脆弱性管理 · 準備キット
脆弱性管理プログラムの準備
脆弱性スキャン、パッチ適用プロセスから是正 SLA まで、脆弱性管理プログラムの準備資料です。ISO 27001（A.8.8）、SOC 2（CC7.1）、PCI-DSS（要件 6、11）で求められます。
pTrackly に相談する →1. 脆弱性スキャン
- □ 脆弱性スキャナーを選定：Nessus、Qualys、Rapid7 InsightVM、OpenVAS
- □ スキャン頻度：内部は毎週、外部は四半期ごと（PCI-DSS は四半期ごとを要求）
- □ 対象範囲：すべての本番システム。PHI／CHD があればステージングも
- □ 認証ありスキャンと認証なしスキャン：認証ありの方が精度が高い
2. 脆弱性の優先順位付け
- □ CVSS スコア：Critical（9.0-10.0）、High（7.0-8.9）、Medium（4.0-6.9）、Low（0.1-3.9）
- □ 悪用可能性を考慮：公開エクスプロイトはあるか、実際に悪用されているか
- □ 資産の重要度：重要な本番システム上の脆弱性 → 優先度を上げる
- □ 業務上の文脈：インターネットに公開されたシステム → 内部のみより優先
3. 是正 SLA
- □ Critical：7 日以内にパッチ適用（PCI-DSS の要件は 30 日だが、推奨は 7 日）
- □ High：30 日
- □ Medium：90 日
- □ Low：通常のメンテナンスサイクル
- □ パッチを適用できない場合：代替コントロール（WAF、ネットワーク分離、サービス停止）
4. パッチ管理プロセス
- □ パッチのテスト：本番適用前にステージングで検証
- □ 重大なゼロデイ脆弱性のための緊急パッチ適用プロセス
- □ パッチで不具合が出た場合のロールバック計画
- □ パッチ適用を記録：どのパッチを、いつ、誰が適用し、ダウンタイムはあったか
5. 例外と代替コントロール
- □ 例外が必要な場合：パッチで重要な機能が壊れる、ベンダーがパッチを未公開
- □ 代替コントロールの例：WAF ルール、IPS シグネチャ、ネットワークアクセスの制限
- □ 例外の承認：経営層＋セキュリティチーム
- □ 例外を四半期ごとに見直し（パッチを適用できるようになったか）
6. 指標とレポーティング
- □ 深刻度別の平均是正時間（MTTR）
- □ SLA 内に是正された脆弱性の割合
- □ 未解決の脆弱性件数の推移（増えているか、減っているか）
- □ 経営層への月次脆弱性レポート
pTrackly のテンプレートとエビデンスの自動収集で、脆弱性管理 の導入を効率よく進められます。
無料デモを予約
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。