パッチ管理・セキュリティパッチとは？

パッチ管理・セキュリティパッチの意味

OSやソフトウェアの脆弱性を修正する更新プログラム（セキュリティパッチ）を、計画的に把握・適用・管理すること。未適用の脆弱性は攻撃者に狙われる代表的な弱点となる。

パッチ管理・セキュリティパッチの具体例

情報システム部門が四半期ごとに社内端末のOSやソフトウェアの更新状況を棚卸しし、未適用のパッチを一斉に配布・適用する。

パッチ管理・セキュリティパッチは試験でどう引っ掛けられる？

ゼロデイ攻撃は修正パッチが存在しない期間を突く攻撃なので、パッチ管理を徹底しても防げない点が境界。また「早くあてるほど良い」と単純化するのも誤りで、業務システムが動かなくなる恐れがあるため、適用前の検証と適用後の確認まで含めて管理する。

パッチ管理・セキュリティパッチが出た過去問

• ソフトウェアベンダから提供されたセキュリティパッチの内容を確認し、自社システムに適用する場合の影響を評価した。この作業はシステムの運用管理業務のうちどれに該当す…

  正解：変更管理

  要点：変更管理は変更の影響を評価し可否を決める

  変更管理は、システムへの変更要求について影響範囲やリスクを評価し、実施の可否と方法を決めて統制するプロセスである。パッチの内容確認と自社システムへの影響評価は、変更を実施してよいかを判断する作業なので変更管理に該当する。実際に本番環境へ展開する作業はリリース管理が担う。

  出典：平成22年度 秋期 ITパスポート試験 問40（IPA）

• 情報セキュリティに関する対策a〜dのうち、ウイルスに感染することを防止するための対策として、適切なものだけを全て挙げたものはどれか。 a ウイルス対策ソフトの導…

  正解：a, b

  要点：感染防止はウイルス対策ソフトと修正プログラムの適用

  ウイルスの感染を防ぐには、侵入しようとする不正なプログラムを検知・排除するウイルス対策ソフトの導入(a)と、感染の入口となる脆弱性をふさぐ修正プログラムの適用(b)が有効である。ハードディスクのパスワード(c)やファイルの暗号化(d)は、盗難時などに情報を読まれないようにする対策であり、感染そのものを防ぐ働きはない。

  出典：平成26年度 春期 ITパスポート試験 問82（IPA）

• PDCAモデルに基づいてISMSを運用している組織において，始業時の手順に従って業務用PCに適用されていないセキュリティパッチの有無を確認し，必要なパッチを適用…

  正解：D

  要点：決めた手順どおり運用するのはPDCAのD（実行）

  PDCAのD（Do）は、定めた手順や計画を実際に運用・実施する段階である。始業時の決められた手順に従ってパッチの適用状況を確認し適用する作業は、確立された手順の実施にあたるためDに該当する。C（Check）は運用が有効かを評価する監査やレビューの活動を指す。

  出典：平成27年度 秋期 ITパスポート試験 問69（IPA）

• コンピュータウイルスに関する次の記述中のa，bに入れる字句の適切な組合せはどれか。 OSやアプリケーションの[ a ]を突くようなウイルスの感染予防には，ウイル…

  正解：a:脆弱性　b:OS，アプリケーションにセキュリティパッチをあてること

  要点：脆弱性はパッチでふさぐ。暗号化は感染予防にならない

  ウイルスはOSやアプリケーションに残る脆弱性（セキュリティ上の弱点）を突いて侵入する。対策は、ウイルス定義ファイルを最新に保つことに加え、修正プログラム（セキュリティパッチ）を適用して弱点自体をふさぐことである。暗号化は情報漏えい時の被害軽減策であり、感染の予防にはならない。

  出典：平成27年度 秋期 ITパスポート試験 問75（IPA）

• 会社で業務に使用しているPCにおいて，OS，ミドルウェアやアプリケーションなどに適用するセキュリティパッチに関する記述として，適切なものはどれか。

  正解：ウイルス感染予防として適用すべきである。

  要点：セキュリティパッチは感染前に予防的に適用する

  セキュリティパッチは、ソフトウェアの脆弱性を塞ぐ修正であり、攻撃や感染を受ける前に適用してこそ意味がある。感染後や不具合を感じたときに入れるものではなく、機能に満足していても適用が必要である。サポートが終了した製品は新たな脆弱性が見つかっても修正されないため、使い続けること自体が危険である。

  出典：平成28年度 秋期 ITパスポート試験 問59（IPA）