緊急対応力は平時にしか作れない

2026-10-29 最終更新日時 : 2026-10-29 Fumitaka Ikai
投稿者：none

脆弱性管理は経営判断の問題である

ベクターデザインのエンジニア、猪飼（いかい）です。

今回のコラムでは、今話題の脆弱性管理について取り上げます。

少し硬めの論調となりますが、脆弱性管理に関わる本質的な内容ですので、是非ご一読ください。

要旨

  • 重大な脆弱性が公表されたとき、どれだけ速く対応できるかは、その日の現場の頑張りでは決まりません。それまでに人・時間・予算をどう配分してきたかで決まります。
  • 脆弱性管理はパッチを当てる作業ではありません。自社のリスクを評価し、限られた資源の中で優先順位を付ける経営活動です。
  • 国内外の主要なガイドラインも、これを経営者が担うべき責任としています。

1. 何が起きたか、なぜ経営の問題なのか

2026年10月21日23時（日本時間）、PHPの重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）と、それらを修正するセキュリティリリースが公表されました。2件を組み合わせた攻撃は通称「PHP2shell」と呼ばれています。

情報漏洩やランサムウェア被害の報道が続くなか、経営層や事業部門が「自社は大丈夫か」「すぐに対応を」と求めるのは自然なことです。一方で、開発・インフラ・運用の現場からは「緊急時だけ即応を求められても難しい」「平時から時間と人員を確保してほしい」という声が上がります。

この食い違いは、意識が高いか低いかの問題ではありません。脆弱性管理を平時から維持する組織能力と見るか、有事に発生する臨時作業と見るかという認識の違いがあり、その違いを放置している組織管理、さらにはそれを許している経営管理の問題です。

2. 脆弱性管理は「アップデート作業」ではない

「PHPのバージョンを上げれば済むのでは？」と思われるかもしれません。パッチ適用は最終的な解決策のひとつですが、脆弱性管理の一工程にすぎません。

脆弱性が公表されると、組織は次の手順を踏む必要があります。

  1. 確認：自社で使っているか、どのバージョンか、どこで使っているか、外部に公開しているか、実際に悪用されているか、事業への影響はどの程度か
  2. 判断：即時対応、早期対応、定期保守での対応、代替策による一時的なリスク低減のどれを選ぶか
  3. 実行：検証、適用、必要に応じたロールバック

米国CISA（サイバーセキュリティ・社会基盤安全保障庁）は、実際に悪用が確認された脆弱性を「KEV（Known Exploited Vulnerabilities）カタログ」として別に管理しています。すべての脆弱性を一律に扱うのではなく、現実の悪用状況と自社システムの重要性によって優先順位を付けるという考え方です。

3. 対応速度は平時の準備で決まる

重大な脆弱性が公表されたとき、数時間で影響範囲を特定して方針を決められる組織もあれば、「どこで使っているか」を調べるところから始める組織もあります。この差は担当者の能力から生まれるのではなく、平時の準備の差です。

平時の準備有事に得られる効果
IT資産・バージョンの管理対象システムを即座に特定でき、影響の有無を判断できる
責任者の明確化誰が判断し、誰が動くかで迷わない
検証環境・バックアップ・ロールバック手順更新に伴う業務停止リスクを抑えられる
緊急変更時の承認ルート意思決定にかかる時間を短縮できる

つまり平時の投資で蓄えているのは、有事に短時間で判断し、実行する能力そのものです。

4. なぜ平時の対策は後回しになるのか

最大の理由は、成果が見えにくいことです。新規開発や営業活動は機能・売上・削減時間で成果を示せますが、資産管理、定期更新、EOL（サポート終了）対応、検証環境の維持は、うまくいっているほど何も起きないため評価されにくくなります。IPAも「費用対効果が不透明で経営者の理解を得にくい」ことを、企業が予算を確保するうえでの典型的な課題として挙げています。

しかし、これは無駄な支出ではありません。NIST SP 800-40 Rev.4は、パッチ管理をIT資産の予防保守であり、事業を継続するために必要なコストと位置付けています。製造業が設備を、運輸業が車両を、故障していなくても定期点検するのと同じです。

5. 経営が決めるべきこと

一定水準の脆弱性管理を実現しようとすると、最終的には次の判断に行き着きます。

  • 人員をどう配置するか
  • 保守時間をどれだけ確保するか
  • 開発とどちらを優先するか
  • 予算をいくら配分するか
  • システムを停止してよいか

いずれも現場では決められず、管理職・経営層にしか下せない判断です。

経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者がCISO等に指示すべき重要10項目に、①対策のための資源（予算・人材）確保、②インシデント発生時の緊急対応体制の整備、③事業継続・復旧体制の整備を挙げています。NIST Cybersecurity Framework 2.0も、役割・責任・権限を明確にすることと、リスク戦略に見合った資源を配分することを求めています（GV.RR-02、GV.RR-03）。

脆弱性管理は「セキュリティ部門からの要望」ではなく、すでに経営管理上の課題として整理されているのです。

6. 「対策しない」も経営判断であり、結果を伴う

経営資源には限りがあるため、対策を見送る判断もあり得ます。ただし、見送った場合に残るリスクは次のように具体的です。

  • 要員を確保しない → 重大な脆弱性の公表時に、影響範囲の特定に時間がかかる
  • 検証環境を持たない → 緊急パッチを安全に適用できるまでの時間が延びる
  • EOL製品を使い続ける → 脆弱性が見つかっても修正プログラムが提供されない

これを理解したうえで別の事業を優先するのであれば、それは明確な経営判断です。しかし、判断しないまま先送りしているなら、それはリスクを受け入れたことにはなりません。

現場の対応不足を問う前に、「必要な対応能力を維持するための資源配分を、組織として事前に判断していたか」を確認する必要があります。

7. 役割分担

立場役割
技術部門危険性、対象、対応期限、必要工数、停止時間、未対応時の影響を、事業側が判断できる情報に変換する
事業部門納期、顧客影響、業務継続とセキュリティリスクを比べて優先順位を調整する
経営層どのリスクを下げ、どのリスクを受け入れ、そのためにどれだけの資源を配分するかを決定する

経営層に求められているのは、個々のCVEや攻撃手法を技術者と同じ水準で理解することではありません。リスクと必要な資源について判断することです。

8. 経営層への5つの問い

今回の件を機に、自社について次の点を確認してください。

  1. 今回の脆弱性について、影響の有無を何時間で回答できたか
  2. 主要システムの資産・バージョン・責任者は一覧で把握されているか
  3. 緊急パッチを適用するときの承認ルートと停止判断の権限は決まっているか
  4. EOL製品を使い続けている場合、そのリスクを経営として受け入れた記録はあるか
  5. 脆弱性管理のための人・時間・予算が平時の計画に組み込まれているか

結び

脆弱性は突然公表されます。しかし、緊急対応力は平時にしか作れません。

自社のリスクに対してどの程度の対応能力を持つのか、それを維持するために平時から人・時間・予算をどれだけ配分するのか。脆弱性への対応速度は、こうした経営判断の結果として表れます。

今回の一連の事象を受けて、貴社は脆弱性とどう向き合いますか。

参考資料

※こちらはQumowill NAS 月次レポート（2026年11月号）に掲載されたコラムと同様の内容です。

カテゴリー
コラム
タグ
前の記事
【保育記録アプリ導入レポート】New!!
2026-10-29