情報セキュリティマネジメント 2018年 春期 午前（科目A） 問17

IT資産管理システム【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の目的を確認：「パッチ適用の漏れを防ぐ」ために何が必要かを考える。
2. 必要な情報を洗い出す：「どの機器にどのソフトが入っているか」「バージョン」「所在（IPや設置場所）」など。
3. 選択肢がその情報を提供するかを検討する。
4. その情報を管理できるのは資産管理システムであると判断して、エを選ぶ。

選択肢別の誤答解説

• ア: 脆弱性対策情報データベース（JVN iPedia）
  JVN iPediaは、ソフトウェアの脆弱性情報を集めたデータベースです。脆弱性の概要や対策情報を得るには有用ですが、組織内のどの機器にそのソフトが入っているかを管理する機能はありません。つまり「情報源」は提供するが、適用漏れを直接防ぐ一覧性は無い、という点で不適切です。
• イ: 共通脆弱性評価システム（CVSS: Common Vulnerability Scoring System）
  CVSSは脆弱性の深刻度（スコア）を評価するための基準です。脆弱性の優先度付け（どの脆弱性を先に直すべきか）には役立ちますが、どの機器にどのバージョンが入っているかを示すものではありません。したがって「適用漏れの発見」には直接使えません。
• ウ: ソースコード管理システム（ソースコードの保存・変更履歴管理）
  ソースコード管理（例：Git）は開発中のコード管理を行います。ソフトウェアの配布先や導入状況を管理する目的のツールではないため、現場のパッチ適用漏れの検出には役立ちません。
• エ: IT資産管理システム（ソフト名・バージョン・導入機器・所在・IPを管理）
  組織内でどの機器にどのソフトがあるか、バージョン情報や設置場所・IPまで管理できるため、パッチの適用状況を突き合わせて漏れを発見・対応できます。したがってパッチ適用漏れを防ぐ観点で適切です。

よくある誤解

• 「脆弱性データベース（JVN）やCVSSがあれば十分」
  誤解しやすい点です。JVNやCVSSは“何が危険か”を教えてくれますが、“自社のどこにそれがあるか”は教えてくれません。両者は連携して使うのが正解です。
• 「ソースコードを管理していれば配布先も分かる」
  実際には配布・導入状況は別管理です。ソースコードのリポジトリは開発履歴であって、運用中のソフトウェアの所在情報は含みません。
• 「資産管理システムを入れれば自動でパッチ適用も完了する」
  資産管理は“見える化”が主目的です。多くのシステムは自動配布機能を持ちますが、適用前のテストや稼働制約、権限設定など運用上の工程が別途必要です。

補足コラム

• まずIT資産管理システムで「ソフト名・バージョン・設置場所・端末の所有者」を一覧化します。
• 脆弱性情報（JVNなど）やCVSSスコアで優先度を決め、該当ソフトのインストール場所をリスト化。
• テスト環境でパッチ動作を確認後、パッチ配布ツール（例：WSUS、SCCM/ConfigMgr、Intune、Ansibleなど）で段階的に展開します。
• 適用後に資産管理システムと照合して「適用済み/未適用」を更新し、未適用の機器は個別対応します。

FAQ