SCS評価制度★4の脆弱性管理体制の作り方 ― 中小企業が回せる最小構成のプロセス設計
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
SCS評価制度の★4で新しく登場する要求事項のひとつが、**「脆弱性の管理体制と管理プロセスを定め、それに基づく管理を行うこと」**です。リスクの特定領域に位置づけられ、★3にはありません。
この要件がやっかいなのは、製品を買っても満たせない点です。脆弱性診断サービスを1回受ければ済む話ではなく、「体制」と「プロセス」——つまり誰が、何を見て、どう判断し、いつまでに対応し、どこに記録するかという継続的な仕組みが問われます。
この記事では、専任のセキュリティ担当がいない中小企業でも回せる、最小構成の脆弱性管理を設計します。
★3のパッチ適用と何が違うのか
| ★3 | ★4 | |
|---|---|---|
| 要求 | セキュリティパッチを適用する運用が確立されていること | ＋脆弱性の管理体制と管理プロセスを定め、それに基づく管理を行うこと |
| 実質的な意味 | 更新が当たっている状態を維持する | 情報を能動的に収集し、自社への影響を判断し、期限内に対応・記録する |
★3は「結果として最新であること」、★4は「プロセスとして回っていること」を求めます。Windows Updateの自動更新だけでは、★4の要件としては不十分です。理由は明快で、自動更新はOSとMicrosoft製品しかカバーしないからです。ルーター、UTM、NAS、業務アプリ、CMS、ライブラリ——脆弱性はそこにも出ます。
最小構成の4ステップ
Step 1. 対象と収集元を決める
まず「何の脆弱性情報を追うのか」を決めます。IT資産台帳がそのまま対象リストになります。台帳がなければ、脆弱性管理は始まりません（IT資産管理の基本）。
| 対象 | 情報の収集元 |
|---|---|
| Windows / Office | Microsoft の更新プログラム（自動）、Defender 脆弱性の管理 |
| Mac / ChromeOS | 各OSの自動更新、管理コンソールの通知 |
| ルーター・UTM・VPN機器 | メーカーのセキュリティ情報ページ／メール通知（要登録） |
| NAS・複合機 | メーカーのサポート情報 |
| 業務アプリ・パッケージ | ベンダーからの通知 |
| 自社Webサイト・CMS | CMS本体とプラグインの更新情報 |
| 全般 | JVN（Japan Vulnerability Notes）、IPAの重要なセキュリティ情報 |
最も重要なのはネットワーク機器です。 ルーターやVPN装置の脆弱性は侵入に直結し、かつ自動更新されないものが大半です。メーカーの通知メールに登録する——これだけで管理レベルは大きく上がります。所要時間は10分です。
Step 2. 体制を決める（3つの役割）
「体制」といっても、専門組織を作る必要はありません。3つの役割を決めて文書に書くだけです。
| 役割 | 担当 | やること |
|---|---|---|
| 情報収集担当 | 情シス担当者（兼任可） | 週1回、収集元を確認し、自社に関係するものを拾う |
| 判断者 | 情シス責任者 | 緊急度を判定し、対応方針と期限を決める |
| 承認者 | 経営層または管理職 | 業務停止を伴う緊急対応や、対応しない判断を承認する |
小規模企業では、情報収集と判断を同一人物が担っても構いません。重要なのは、「対応しない」という判断を誰がするかが決まっていることです。ここが曖昧だと、リスクを放置したまま誰も責任を負わない状態になります。
外部委託している場合は、委託先が担う範囲と自社に残る範囲を契約で明記します。
Step 3. 緊急度と対応期限を決める
対応期限がないルールは運用されません。次の3段階が扱いやすい粒度です。
| 区分 | 該当例 | 対応期限 |
|---|---|---|
| 緊急 | 攻撃が観測されている（悪用が確認済み）／インターネットに公開している機器の重大な脆弱性 | 72時間以内に適用または緩和策 |
| 高 | 重大だが公開範囲が限定的／認証が必要な脆弱性 | 2週間以内 |
| 中・低 | 影響が限定的／条件が厳しい | 次回の定期更新に合わせて |
CVSSスコアを厳密に運用しようとすると破綻します。**「インターネットから直接触れるか」「実際に攻撃されているか」**の2軸で判断すれば、中小企業の実務としては十分です。
期限は自社で守れる線に設定してください。規程に書いた期限を守れていない記録が残るほうが、緩めの期限を確実に守るより不利です。
Step 4. 記録する
★4は第三者評価です。プロセスが回っている証跡が必要になります。管理表は次の項目があれば足ります。
| 検知日 | 対象 | 内容 | 緊急度 | 対応方針 | 期限 | 対応日 | 確認者 |
|---|---|---|---|---|---|---|---|
| 2026/8/5 | UTM | ベンダー公表の重大脆弱性 | 緊急 | ファーム更新 | 8/8 | 8/7 | ○○ |
| 2026/8/12 | 業務サーバ | 中程度の脆弱性 | 中 | 次回定期更新で対応 | 9月定期 | 9/10 | ○○ |
ExcelでもSharePointリストでも構いません。「該当なし」の週も記録を残すのがコツです。空白期間があると「見ていない期間」に見えますが、「確認したが該当なし」の記録があれば継続性を示せます。
Microsoft 365 / Google Workspace で使える機能
| 機能 | できること | 必要なライセンス |
|---|---|---|
| Microsoft Defender 脆弱性の管理 | 端末のOS・アプリの脆弱性を一覧化し、優先度付け | Defender for Business（Business Premium 等） |
| Intune | OS・アプリのバージョン可視化、更新リングでの計画的適用 | Business Premium 等 |
| Microsoft 365 Defender ポータル | 推奨事項とセキュリティスコア | 同上 |
| GWS エンドポイント管理 | 登録端末のOSバージョン可視化 | Business Standard 以上 |
| ChromeOS の自動更新 | OS・ブラウザの自動更新 | 標準 |
M365 Business Premiumを導入している企業は、Defender 脆弱性の管理がそのまま「収集元」と「対象リスト」を兼ねます。 端末側はこれでほぼ完結し、残る課題はネットワーク機器・NAS・業務アプリになります。GWS環境では端末側の可視化手段が限られるため、資産台帳と手動の情報収集を組み合わせる設計になります（★3のM365/GWS実装ガイド）。
パッチを当てられない機器をどう扱うか
現場には必ず「止められない」「ベンダーが検証していない」「更新すると保証が切れる」機器があります。工場の制御端末、検査装置、レガシー業務システムなどです。
★4は「すべてに最新パッチを当てること」を求めているわけではありません。 求められているのは管理です。次の形にすれば要件を満たせます。
- 台帳で適用可能／不可を区分する
- 不可の機器について理由を記録する（ベンダー未検証、24時間稼働、保証条件など）
- 代替策を講じる（ネットワーク分離、アクセス制限、監視強化、可搬媒体の制限）
- 更改計画を持つ（時期・予算）
なお、サポート期限切れOS・ソフトウェアの利用停止と更改は★4の別要求事項です。「更新できないから放置」ではなく、「いつ・どう置き換えるか」の計画があることが問われます（工場・OT環境 × SCS評価制度）。
脆弱性診断は必要か
★4では第三者評価の一環として**技術検証（脆弱性検査など）**が実施されます。これは評価機関が行うものであり、自社で診断サービスを毎年購入することが要件化されているわけではありません。
ただし、インターネットに公開しているサーバやWebアプリを自社で運用している場合は、事前に脆弱性診断を受けておく価値があります。技術検証で指摘される前に自ら把握し、対応記録を残しておけば、プロセスが機能している証跡にもなります（★4の第三者評価フロー）。
運用を続けるコツ
- 週次15分の枠を作る。 毎週決まった曜日に収集元を確認し、管理表に1行書く。これだけで継続します
- 通知を人に頼らない。 メーカーの通知メールを共有メールボックスで受け、複数人が見られる状態にする
- 月次で経営層に1行報告。 「今月：緊急0件、高1件（対応済）」。★4のガバナンス要件（推進計画の経営層報告）にも接続します
- 年1回、収集元リストを見直す。 機器の更改で対象が変わります
情シス365による支援
情シス365では、脆弱性管理を月額の運用支援に組み込んで提供しています。
- プロセス設計： 収集元・体制・判断基準・期限・記録様式の設計と文書化
- 週次の情報収集代行： 御社の資産に関係する脆弱性情報の抽出と影響評価
- 適用作業： 端末・サーバ・ネットワーク機器の更新作業
- 記録の維持： ★4の評価に耐える管理表の運用と、月次レポートの提供
「体制を作ったが、続ける自信がない」という段階でのご相談を歓迎します。
まとめ
- 脆弱性管理は**★4からの新規要件**。★3の「パッチ適用の運用」より一段深く、プロセスとして回っていることが問われる
- 最小構成は4ステップ：対象と収集元を決める／3つの役割を決める／緊急度と期限を決める／記録する
- 最重要はネットワーク機器。メーカーの通知メール登録という10分の作業が最も効く
- 判断は**「インターネットから触れるか」「攻撃されているか」**の2軸で十分。CVSSの厳密運用は破綻する
- パッチを当てられない機器は、区分・理由・代替策・更改計画の4点セットで管理する
- 「該当なし」の週も記録する。空白は「見ていない期間」に見える
参考リンク：