最初に確認する判断材料
対象製品・影響版への該当、未認証攻撃か、公開中の機能か、実際の悪用が確認されているかを調べます。CVSSの点数は参考ですが、自社環境での到達性や重要度の評価を省略しないでください。
優先順位の運用例
| 状況 | 対応の考え方 |
|---|---|
| 悪用確認・外部到達可能 | 緊急連絡し、更新または利用制限を即時判断 |
| 重大な影響・該当条件あり | 短期間で検証と反映を計画 |
| 条件限定・防御あり | 根拠と期限を記録して計画更新 |
| 該当性不明 | 製品・版・公開範囲の調査を優先 |
これは社内フローの設計例で、全案件に適用する保証時間ではありません。
すぐ更新できない場合
機能停止、アクセス制限、WAFなどの代替策を検討します。対象経路を実際に覆うか確認し、保留の責任者と見直し期限を定めます。「互換性が心配」で期限なく延期しないようにします。
更新後の確認も緊急対応に含める
修正版への切替、業務機能、ログの異常を確認します。既に侵害された兆候があれば、更新だけで調査を終了しません。判断時点の情報URLと変更履歴を残しておくと、後の説明が容易になります。
社内へ判断を求める情報
対象、影響、緊急性、推奨対応、停止の必要性、検証・復旧の見込みを簡潔にまとめます。「危険なので至急」だけでは承認しにくいため、該当する条件と代替策を示します。情報が不足する段階では、不明点と追加確認の期限も付けます。
通常の更新日を待たない仕組み
重大情報の通知先、代替担当、公開停止を判断できる責任者を決めます。夜間に情報を受けるだけの契約なら、実作業を誰が行うか確認します。緊急措置をした翌営業日には、恒久対応と記録を整えます。
よくある質問
セキュリティ修正は検証せず反映すべきですか？
影響と緊急性によって検証の範囲を判断します。無検証の一括変更か長期放置かの二択にせず、限定した検証、機能停止、アクセス制限を組み合わせます。
自社では使わない機能の問題なら放置できますか？
攻撃条件が本当に成立しないかを確認します。後で設定が変わる場合もあるため、非該当の根拠と再確認条件を残してください。