脆弱性情報の緊急性の評価
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目12 情報セキュリティに関する動向・事例情報の収集と評価：『12-1 情報セキュリティに関する動向・事例情報の収集と評価』
事例
A 社は、従業員 400 名の樹脂成形品メーカーである。工場の生産管理部では、情報セキュリティ担当者（以下、担当者）が、毎週月曜日に、IPA の注意喚起や製品ベンダーの情報などを集め、生産管理部への影響を評価して、部長に報告している。生産管理部で使っている製品を、表1に示す。
| 製品 | 用途 | バージョン |
|---|---|---|
| 製品 P | 生産管理システムの Web 画面を動かす実行環境 | 8.2 |
| 製品 Q | 協力工場との間の保守用 VPN 装置（1 台） | 5.0 |
| 製品 T | 日報の要約や作業手順書の下書きに使う生成 AI の業務支援ツール（AI エージェント機能つき） | 2.3 |
生産管理部の手順では、集めた情報を、次の三つの区分で評価する。
・即日対応：使っている製品が情報の対象バージョンに当たり、かつ、その脆弱性を悪用した攻撃が確認されているもの。当日中に部長に報告し、暫定の対策を行う。
・計画対応：使っている製品が対象バージョンに当たるが、攻撃は確認されていないもの。修正版の適用を、次の月次保守日に計画する。
・共有のみ：使っていない製品、または対象バージョンに当たらないもの。記録して、部内に共有するにとどめる。
なお、IPA の注意喚起では、影響度の高い問題が公開され、かつ、その問題を悪用した攻撃が行われているものに【緊急】が付く。影響度の高い問題が公開されたもの、または今後攻撃が行われる可能性があり対策が必要なものには、【注意】が付く。
今週、担当者は三つの情報を集め、手順に従って評価した結果を表2にまとめた。ただし、評価の欄の a1〜a3 は、空欄にしてある。
| 情報 | 情報源 | 内容 | 対象バージョン | 攻撃の状況 | 評価 |
|---|---|---|---|---|---|
| 1 | IPA の注意喚起（【緊急】） | 製品 Q に、認証を受けずに、外部から装置を操作される脆弱性 | 5.1 未満 | 攻撃が確認されている | a1 |
| 2 | 製品 P のベンダーの情報 | 製品 P に、細工した要求で任意のプログラムを実行される脆弱性。修正版を公開 | 8.0 以上 8.3 以下 | 攻撃は確認されていない | a2 |
| 3 | IPA の注意喚起（【緊急】） | 製品 T の AI エージェント機能に、読み込ませた文書の中の指示に従って、社内の情報を外部に送ってしまう脆弱性 | 2.0 未満 | 攻撃が確認されている | a3 |
表2中の a1〜a3 に入れる評価の組合せとして適切なものを、解答群の中から選べ。
正解：ウ a1：即日対応／a2：計画対応／a3：共有のみ
ポイント
集めた脆弱性情報を、自部門の使用状況と攻撃の有無に当てはめて、対応の緊急性を評価する事例です。
考え方と解き方
決め手は、表1の使っている製品とバージョン、表2の対象バージョンと攻撃の状況、本文の三つの区分です。IPA の【緊急】は、攻撃が行われている問題に付きますが、自部門で対応が要るかどうかは、使っている製品が対象バージョンに当たるかで決まります。間違えやすいのは、情報源の【緊急】や生成 AI という話題だけで、即日対応と決めてしまうことです。
- 情報1は、表1で製品 Q は 5.0 です。対象の「5.1 未満」に当たり、攻撃が確認されているので、a1 は即日対応です。
- 情報2は、製品 P は 8.2 で、対象の「8.0 以上 8.3 以下」に当たります。攻撃は確認されていないので、a2 は計画対応です。
- 情報3は、製品 T は 2.3 で、対象の「2.0 未満」に当たりません。【緊急】が付き、攻撃が確認されていても、使っている版が対象外なので、a3 は共有のみです。
- したがって、適切なのは a1：即日対応、a2：計画対応、a3：共有のみで、ウ です。
ほかの選択肢
- ア a1 が不適切です。製品 Q は 5.0 で、対象の「5.1 未満」に当たり、攻撃も確認されているので、計画対応ではなく即日対応です。 a2 が不適切です。製品 P は 8.2 で、対象の「8.0 以上 8.3 以下」に当たるので、共有のみにはできません。 a3 が不適切です。製品 T は 2.3 で、対象の「2.0 未満」に当たらないので、修正版の適用を計画する必要はありません。
- イ a1 が不適切です。製品 Q は 5.0 で、対象の「5.1 未満」に当たり、攻撃も確認されているので、計画対応ではなく即日対応です。
- エ a1 が不適切です。製品 Q は使っていて、5.0 は対象の「5.1 未満」に当たるので、共有のみにはできません。 a2 が不適切です。表2の攻撃の状況は「確認されていない」なので、製品 P は即日対応ではなく計画対応です。 a3 が不適切です。製品 T は 2.3 で、対象の「2.0 未満」に当たらないので、【緊急】で攻撃が確認されていても、即日対応にはなりません。
- オ a2 が不適切です。表2の攻撃の状況は「確認されていない」なので、製品 P は即日対応ではなく計画対応です。
- カ a1 が不適切です。製品 Q は 5.0 で、対象の「5.1 未満」に当たり、攻撃も確認されているので、計画対応ではなく即日対応です。 a2 が不適切です。表2の攻撃の状況は「確認されていない」なので、製品 P は即日対応ではなく計画対応です。 a3 が不適切です。製品 T は 2.3 で、対象の「2.0 未満」に当たらないので、【緊急】で攻撃が確認されていても、即日対応にはなりません。
- キ a1 が不適切です。製品 Q は使っていて、5.0 は対象の「5.1 未満」に当たるので、共有のみにはできません。 a2 が不適切です。製品 P は 8.2 で、対象の「8.0 以上 8.3 以下」に当たるので、共有のみにはできません。 a3 が不適切です。製品 T は 2.3 で、対象の「2.0 未満」に当たらないので、【緊急】で攻撃が確認されていても、即日対応にはなりません。
- ク a3 が不適切です。製品 T は 2.3 で、対象の「2.0 未満」に当たらないので、修正版の適用を計画する必要はありません。
- ケ a1 が不適切です。製品 Q は 5.0 で、対象の「5.1 未満」に当たり、攻撃も確認されているので、計画対応ではなく即日対応です。 a2 が不適切です。製品 P は 8.2 で、対象の「8.0 以上 8.3 以下」に当たるので、共有のみにはできません。 a3 が不適切です。製品 T は 2.3 で、対象の「2.0 未満」に当たらないので、【緊急】で攻撃が確認されていても、即日対応にはなりません。
- コ a1 が不適切です。製品 Q は使っていて、5.0 は対象の「5.1 未満」に当たるので、共有のみにはできません。 a2 が不適切です。製品 P は 8.2 で、対象の「8.0 以上 8.3 以下」に当たるので、共有のみにはできません。 a3 が不適切です。製品 T は 2.3 で、対象の「2.0 未満」に当たらないので、修正版の適用を計画する必要はありません。
覚えておくこと
- 収集した脆弱性情報は、自部門で使っている製品とバージョンが対象に当たるか、攻撃が確認されているかの二つで、対応の緊急性を決める
- 情報源の【緊急】や話題性（生成 AI など）だけで、自部門の対応を決めない。【緊急】は攻撃が行われている問題に付き、自部門が対象かは別に確かめる