「月1回パッチを当てています」だけでは、脆弱性管理の説明として足りなくなっています
【結論】
企業の脆弱性対応では、
「毎月決まった日にパッチを適用する」
という運用だけではなく、
どの脆弱性を誰が評価しどの条件なら緊急対応し何時間・何日以内に判断し通常の変更管理をどこまで短縮できるのか
まで決めておく必要があります。
Microsoftが2026年10月1日に公表した「2026 Microsoft Digital Defense Report」では、実環境で脆弱性が発見されてから攻撃に利用可能な状態へ武器化されるまでの中央値が、24時間を大きく下回っていると報告されています。
一方で、企業が重大な外部公開脆弱性を修復するまでには30～60日かかる場合があるとされています。
つまり、
攻撃側は「日」ではなく「時間」で動き始めているのに対し、
組織側の変更申請、検証、承認、作業日程調整が「週」や「月」単位のままでは、対応速度に大きな差が生じる可能性があります。
【背景】
Microsoftによると、2026年上半期だけで公開されたCVEは約4万件に達しました。
また、Microsoft Defender Expertsの観測では、初期侵入のうち、
利用者自身による実行が30％正規アカウントの悪用が20％
を占めています。
ここで重要なのは、
「脆弱性が多すぎるから、全部すぐ直す」
という話ではありません。
Microsoft自身も、パッチ件数やアラート件数だけでなく、
どの程度の攻撃可能な露出を減らしたか修復までの時間をどれだけ短縮したか
という観点で評価することを挙げています。
さらに同報告では、主要5件のCVEに関連した検知の58％が、2020年に最初に公開されたCVE-2020-1472に関連していたとされています。
「古い脆弱性だから優先度が低い」
とは必ずしも言えません。
【実務上の注意】
企業では、次の5点を整理しておくことが考えられます。
① 「毎月第2土曜日」だけで対応期限を決めない
通常パッチは月次で問題なくても、
インターネットへ公開されている実際に攻撃へ利用されている管理者権限につながる重要データへ到達できる認証回避につながる
といった条件では、通常の月次サイクルから切り離して評価する必要があります。
「定例変更」と「緊急変更」を分ける考え方です。
② 技術的な深刻度と業務上の影響を分けて評価する
CVSS等の値が高いことだけで、自社の優先順位が決まるわけではありません。
例えば同じ脆弱性でも、
インターネット公開サーバ社内限定サーバ停止中の検証環境
では、自社にとっての露出が異なります。
技術担当者が、
攻撃可能性公開範囲権限データ業務重要度代替策
を評価し、その結果を変更管理へ接続できる仕組みが必要です。
③ 緊急時の承認者を先に決める
重大な脆弱性が判明してから、
「誰の承認が必要ですか」
と確認していては、対応開始が遅れます。
例えば、
通常変更緊急変更サービス停止を伴う変更業務影響を伴う変更
について、承認者・代行者・連絡手段をあらかじめ決めておくことが考えられます。
④ 委託先との契約にも対応時間を反映する
クラウド、サーバ、ネットワーク、業務システムを外部事業者へ委託している場合、
脆弱性を誰が検知するのか誰が影響を評価するのか誰が修正作業を行うのか緊急作業は追加費用なのか休日・夜間にも対応するのか顧客側の承認待ちは誰が管理するのか
を確認しておく必要があります。
契約書に「適切に脆弱性対応を行う」とだけ書いてあっても、実際の対応時間や責任分界までは確認できません。
⑤ 「パッチ適用」と「復旧可能性」を一緒に考える
緊急パッチを早く適用するほど、十分な事前検証を行えない場合があります。
そのため、
事前バックアップ復旧方法ロールバック変更記録業務影響障害時の連絡先
をセットで決めておく必要があります。
「早く当てること」と「安全に変更すること」の両方が必要です。
【数字で見る今回の公式情報】
2026年上半期に公開されたCVE約4万件
実環境での発見から武器化までの中央値24時間を大きく下回る
企業による重大な外部公開脆弱性の修復30～60日かかる場合がある
Microsoft Defender Expertsが観測した初期侵入利用者による実行 30％正規アカウント 20％
主要5件のCVE関連検知のうちCVE-2020-1472関連 58％
いずれも2026年10月1日公表のMicrosoft Digital Defense Report 2026による数値です。
【山崎行政書士事務所が支援できる内容】
山崎行政書士事務所では、情報システム部門、セキュリティ担当者、クラウド担当者が決定した技術要件を踏まえ、
脆弱性管理規程IT変更管理規程緊急変更手順変更申請書・承認書緊急作業申請書インシデント報告書管理者権限申請書外部IT事業者との責任分界表運用保守契約の関連条項障害・脆弱性発生時の報告条項バックアップ・復旧手順との整合情報セキュリティ規程との整合確認
など、技術運用と社内文書・契約条件を一致させるための文書整備を支援します。
重要なのは、
「何日以内にパッチを当てる」
という数字だけを規程へ書くことではありません。
どの条件なら緊急扱いにするのか誰が判断するのか誰が承認するのか委託先は何時間以内に報告するのか業務停止の判断は誰が行うのか失敗した場合どう戻すのか
まで、実際の運用と一致させることです。
脆弱性管理は、セキュリティ製品だけの問題ではありません。
技術変更管理承認契約委託先管理事業継続
を一つの運用として設計する必要があります。
【公式出典】
Microsoft2026 Microsoft Digital Defense Report公表日：2026年10月1日
Microsoft Security Blog「Insights from the 2026 Microsoft Digital Defense Report」公表日：2026年10月1日
コメント