脆弱性パッチ

計算式と考え方

月間の必要工数は、緊急度ごとの件数に1件あたりの工数を掛けて合計し、管理する機器数に応じた係数を掛けて求めます。緊急6件×12時間、重要18件×6時間、中程度45件×2時間で270時間、機器450台の係数1.0でそのまま270時間です。対応可能な工数は3人×60時間で180時間となり、90時間が不足します。1件あたりの平均工数3.86時間で割ると、月あたり約23.33件が積み残る計算です。年間280件が未対応となり、1件あたり年1.5%の悪用確率、侵害1件で5,000万円の損失とすると、期待損失は約2.1億円になります。

対応の優先度

脆弱性パッチの詳しい解説

脆弱性への対応は、公表される件数が年々増えているため、すべてに即座に対応することは現実的ではありません。限られた資源をどこに配分するかという優先順位づけが、実務の中心的な課題になります。優先順位を決める基準としては、影響の大きさと悪用の容易さを評価した指標が広く用いられます。この指標が高いものから対応することが基本ですが、指標だけでは十分ではありません。同じ指標でも、外部に公開されている機器と、内部でのみ使われる機器では、実際のリスクが大きく異なります。また、悪用の手法が公開されているか、実際に悪用が観測されているかによっても緊急性は変わります。対応の前提として、何がどこで動いているかを把握していることが必要です。この把握ができていなければ、脆弱性が公表されても自組織が影響を受けるかを判断できません。使用している部品や構成要素の一覧を管理する取り組みが進められているのは、この判断を可能にするためです。管理の対象が漏れていれば、その部分は対応から抜け落ちます。修正の適用には、動作への影響という懸念が伴います。適用した結果、既存の機能が動かなくなるという事態を避けるため、検証の工程が必要になります。この検証に時間がかかることが、対応が遅れる主な理由の一つです。検証を自動化する、段階的に適用して影響を確認するといった仕組みにより、この時間を短縮できます。適用そのものの自動化も、工数の削減に有効です。件数が多く定型的な作業であれば、自動で適用する仕組みにより担当者の負担を大きく減らせます。ただし、業務に影響する可能性のあるものについては、人の判断を挟む必要があります。自動と手動の切り分けを設計することが、効率と安全の両立につながります。修正がすぐに提供されない、あるいは適用できない事情がある場合、暫定的な対策を講じることになります。該当する機能を無効にする、通信を制限する、監視を強化するといった方法により、悪用のリスクを下げられます。この対策は恒久的な解決ではないため、記録して追跡し、修正が可能になった時点で適用する運用が必要です。未対応の状態を放置すると、その件数は時間とともに積み上がっていきます。

業界・現場での使い方

よくある間違い・注意点

• 指標の数値だけで優先順位を決める — 公開の状況や悪用の観測によって実際のリスクは変わります。文脈を含めた判断が必要です。
• 管理の対象を把握しないまま対応する — 何がどこで動いているか分からなければ影響の有無を判断できません。
• 暫定対策で対応済みとする — 恒久的な解決ではありません。記録して追跡し、修正が可能になった時点で適用してください。

関連する規格・法規

• NIST
• IPA

※本ツールは公的基準に基づく参考計算です。実際の設計・施工・法令適用は最新の告示・規格および所轄官庁の判断に従ってください。

よくある質問（FAQ）

関連計算ツール