脆弱性対応・パッチ適用の業務手順書テンプレート（受託開発・情報システム）
OS・ソフトウェア・機器の脆弱性情報を集め、自社への影響と緊急度を判断し、検証してから更新プログラムを適用する流れです。手順書にすると、重要な脆弱性の見落としや、適用漏れの端末が残ることを防げます。
この手順書の範囲
- 目的
- 脆弱性情報の確認と適用を定例化し、緊急のものは決めた期限内に対応できるようにします。
- 範囲
- 脆弱性情報の収集から、適用状況の確認と記録までです。
- 始まるきっかけ
- 毎週の定例確認、およびメーカーや公的機関から緊急の脆弱性情報が出たとき
- 頻度・量の目安
- 毎週1回・月の定例更新と緊急対応が月0〜3件
- 使う書類・システム
- メーカーのセキュリティ情報、公的機関の脆弱性情報（JVN、IPA の注意喚起など）、IT資産管理台帳（OS・ソフトの版）、端末管理ツールの適用状況
担当と役割
情報システム担当
情報の収集、影響の確認、検証、適用
システム管理責任者
緊急度の判定、停止を伴う適用の承認
業務担当
検証環境での業務確認
手順（10ステップ）
1. 脆弱性情報を集める
メーカーのセキュリティ情報、JVN、IPA・JPCERT/CC の注意喚起を確かめます。
- 確かめること
- 自社で使う製品の一覧（IT資産管理台帳）と照らして確かめる。
- できあがるもの
- 収集した情報の一覧
2. 自社で該当する機器とソフトを洗い出す
台帳と端末管理ツールで、該当する製品と版を使っている機器を洗い出します。
- 確かめること
- インターネットに公開している機器（VPN 装置・Web サーバー）を優先して確かめる。
- できあがるもの
- 該当機器の一覧
- 判定システム管理責任者・目安 15分
3. 緊急度を判定する
深刻度の評価、悪用の有無、インターネットからの到達性、扱うデータで判定します。
- 確かめること
- 悪用が確認されている外部公開機器は、最優先（例: 72時間以内）とする。
- できあがるもの
- 緊急度の判定
- 回避策情報システム担当・目安 案件による
4. すぐに適用できない場合の回避策を取る
メーカーが示す回避策（機能の無効化、アクセスの制限）を行います。
- 確かめること
- 回避策を取った日と内容を記録する。
- できあがるもの
- 回避策の記録
- 検証情報システム担当・目安 半日
5. 検証環境または一部の端末で更新を試す
更新後に業務システムが動くかを確かめます。
- 確かめること
- 業務で使う主要なシステムの動作を確かめる項目を決めておく。
- できあがるもの
- 検証の記録
- 検証業務担当・目安 30分
6. 業務システムが正しく動くか確かめる
主な操作を行い、問題がないか報告します。
- 確かめること
- 問題があれば、情報システム担当がメーカーの情報を確かめる。
- できあがるもの
- 業務確認の記録
- 承認システム管理責任者・目安 10分
7. 停止を伴う適用の日時を承認する
サーバーの再起動などで業務が止まる場合、日時と利用者への連絡を承認します。
- 確かめること
- 緊急のものは業務時間中でも適用する判断基準を決めておく。
- できあがるもの
- 承認の記録
8. 更新プログラムを適用する
端末管理ツールで配信し、サーバーや機器は手順に沿って適用します。
- 確かめること
- 適用前にサーバー・機器の設定を保存しておく。
- できあがるもの
- 適用の記録
9. 適用状況を確かめる
端末管理ツールで未適用の端末を洗い出し、利用者に再起動などを依頼します。
- 確かめること
- 決めた期限（例: 定例更新は2週間）を過ぎた未適用端末は上長に連絡する。
- できあがるもの
- 適用状況の一覧
10. 対応の記録を残す
脆弱性ごとに、該当機器、判定、回避策、適用日、未適用の残りを記録します。
- 確かめること
- サポートが終わった製品は、入れ替えの計画を記録する。
- できあがるもの
- 対応記録
締めのチェックリスト
- 自社で使う製品の脆弱性情報を週1回確かめた
- 該当する機器とソフトを洗い出した
- 外部公開機器を優先して確かめた
- 緊急度を判定した
- すぐ適用できないものに回避策を取った
- 検証で業務システムの動作を確かめた
- 適用前に設定を保存した
- 未適用の端末を洗い出し、連絡した
- サポート終了の製品の入れ替え計画がある
- 対応の記録を残した
よくあるミスと防ぎ方
VPN 装置などのネットワーク機器を忘れる
PC の更新に目が向き、外部公開機器の更新が遅れることがあります。外部公開機器を台帳で分けて管理し、最優先で確かめます。
未適用の端末を放置する
長期間電源を入れていない PC や持ち出し端末に更新が届きません。端末管理ツールで未適用の一覧を出し、期限を決めて追います。
サポート終了の製品を使い続ける
更新プログラムが出なくなり、脆弱性を直せません。サポート終了日を台帳に入れ、入れ替えを計画します。
測っておきたい指標
- 緊急の脆弱性の対応日数（判定から適用まで）
- 定例更新の期限内適用率
- サポート終了製品の台数
関係する法令・規格
個人情報保護法
個人データを扱う機器の脆弱性への対策など、技術的安全管理措置に関わります。
サイバーセキュリティ基本法
事業者がサイバーセキュリティの確保に自主的・積極的に努めることを定めています。
無料ダウンロード
業務手順書テンプレート集（IT・受託開発・10業務）
- 「脆弱性対応・パッチ適用」を含む10業務の手順書を、1業務1シートで書き換えられるExcel
- 手順ごとに担当・確かめること・できあがるもの・目安時間の列。自社のやり方に合わせて行を足せます
- 締めのチェックリストと改訂履歴のシートつき。A4横で印刷できます
フォームを送信すると、すぐにダウンロードできます
10手順のうち5つは、自動化の候補です
よくある質問
- どこの脆弱性情報を見ればよいですか。
- 使っている製品のメーカーのセキュリティ情報、JVN（Japan Vulnerability Notes）、IPA・JPCERT/CC の注意喚起を確かめます。
- 更新で業務システムが動かなくなるのが心配です。
- 検証環境や一部の端末で先に試し、業務の主な操作を確かめてから全体に配信します。問題があれば回避策を取りながら、メーカーの情報を待ちます。
- 緊急度はどう判定しますか。
- 深刻度の評価に加えて、悪用されているか、インターネットから到達できるか、重要なデータを扱うかで判定します。