コンテンツにスキップ

プレビュー版

このガイドはプレビュー版です。内容は今後変わることがあります。

STEP3 対応した結果を記録する#

全員が読む

担当者は、割り当てられたタスクに対応し、どう対応したかを「ステータス」として記録します。記録が残ることで、対応の漏れを防ぎ、あとから「なぜこの脆弱性に対応しなかったのか」を説明できるようになります。

  • 対象者

    技術担当（脆弱性に対応する方）、管理者

  • 所要時間

    タスク1件の記録に約2分

  • このページでわかること

    自分の担当タスクの見つけ方と、ステータスの選び方

  • 完了の目安

    「Immediate」と判定された脆弱性を、1か月を超えて溜めずに対応できている状態が続いている

この状態が続いていれば、ご契約から90日を目安とする「運用の定着」の段階に届いています（立ち上がりの目安）。

自分の担当タスクを開く2つの入口#

入口 どんなときに使うか 見えるもの
お知らせメールのリンク タスクが割り当てられたとき、更新されたとき そのタスク1件
タスクタブの「マイタスク」 毎朝など、決まったタイミング 自分が担当で、まだ終わっていないタスクの一覧

タスクタブの「マイタスク」を開いた画面

ステータスの流れ#

タスクのステータスは、「未対応」「対応中」「対応済」の3つの段階で進みます。自動で切り替わるのは、基本的に「新規」と「パッチ適用」の2つです。ただし、SSVC のトリガー＆アクションでステータスを設定している場合は、「今は対応しない（DEFER）」や「リスク受容」へ自動で変わることもあります（SSVC のステータス）。ほかは、対応した人が選んで変えます。

flowchart LR
    N["新規<br>NEW"] --> I["調査中<br>INVESTIGATING"]
    I --> O["作業中<br>ONGOING"]
    O --> D["対応済<br>（4種類から選ぶ）"]
    I --> F["今は対応しない<br>DEFER"]
    F -.->|対応を始めるとき| O

未対応・対応中のステータス#

ステータス 意味 いつ使うか
新規（NEW） 脆弱性が見つかった直後 検知されたときに自動で設定されます
調査中（INVESTIGATING） 自社に影響があるかを調べている 調べ始めたときに設定します
作業中（ONGOING） 対応の方法を決めて作業している 調査が終わり、対応の準備や作業に入るときに設定します
今は対応しない（DEFER） いまは対応しないと判断した 影響が小さい、または今は直せない事情があり、対応を先に延ばすと決めたときに設定します。3か月ごとの見直しで、判断を確かめ直します

対応済のステータス（選べるのは4種類）#

「パッチ適用」はスキャンで自動的に付くステータスで、手では選べません。手で選ぶのは、残りの4種類です。

ステータス どんなときに選ぶか
パッチ適用（PATCH_APPLIED） パッチやバージョンアップで直した（スキャンで自動的に付く）
恒久的代替策（ALT_RESOLVED） 機能を止めるなど、パッチ以外の方法で攻撃の道を完全に断った
緩和策実施（WORKAROUND） 設定変更などで一時的に危険を下げた（脆弱性そのものは残る）
影響なし（NOT_AFFECTED） その機能を使っておらず、自社の環境には影響しないと確認できた
リスク受容（RISK_ACCEPTED） 影響が小さいため、直さないと自社として判断した

パッチを当てた場合は、次のスキャンで自動的に「パッチ適用」になります。手で変える必要はありません。ペーストスキャンで登録したサーバは、構成情報を貼り直したあとのスキャンで切り替わります。

タスクの詳細でステータスを選ぶ画面

「Immediate」を溜めないために#

運用が定着しているかどうかは、「Immediate（即時対応）」と判定された脆弱性が、1か月を超えて残っていないかで確かめます。次の2つを習慣にすると、溜まりにくくなります。

  • 毎朝「マイタスク」を開く：自分の担当で終わっていないタスクを確認します。
  • 対応しないと決めたら記録する：直さない判断をしたものは、「リスク受容」や「影響なし」で記録し、未対応のまま放置しないようにします。

よくあるつまずき#

症状・疑問 原因と対処
アップデートしたのに「パッチ適用」にならない 一覧の「パッチ提供」列を確認します。修正版の情報がない脆弱性は、適用済みかを自動で判定できません（「アップデートしてもタスクがPATCH_APPLIEDにならない」）
対応が不要な脆弱性のステータスをどうするか 自社に影響がないと判断できる場合は「影響なし（NOT_AFFECTED）」、設定変更などで危険を下げた場合は「緩和策実施（WORKAROUND）」にします

つまずいたとき#

それでも解決しない場合は、お問い合わせ窓口からご連絡ください。

さらに詳しく知りたいとき#

次に読むページ#

ここまでで、毎日の運用の3つのステップがそろいました。続けて、毎週と3か月ごとに見直すことを決めます。運用のリズムを決めるに進みます。

運用のリズムを決めるへ進む