最終更新日：
脆弱性管理とは、使っているシステムの脆弱性の情報を集め、影響を見極めて、直すまでを続けて管理することです。
脆弱性管理では、まず、使っているサーバー、ソフトウェア、クラウドのサービス、ネットワークの機器と、その版を一覧にします。一覧がないと、新しい脆弱性が公表されたときに、自社に関係するかを判断できません。そのうえで、製品の開発元や JVN などから脆弱性の情報を集めます。
関係する脆弱性は、CVSSの値を目安にしながら、インターネットに公開しているか、重要な情報を扱うかといった自社の状況を加えて、直す順番を決めます。直す方法は、セキュリティパッチを当てる、設定を変える、すぐに直せない場合は回避策で影響を小さくする、などです。直した後は、直ったことを確かめて記録に残します。
脆弱性診断が、ある時点のシステムを調べるものであるのに対し、脆弱性管理は日々の運用として続けるものです。担当と、情報を確かめる頻度、直すまでの目安の期間を決めておくと、抜け漏れが減ります。開発や運用を外部に委託している場合は、どちらが受け持つかを契約で決めておきます。
脆弱性管理の流れ（日々の運用として続ける）
一覧にするサーバー・ソフトウェア・クラウドのサービス・ネットワークの機器と、その版
情報を集める製品の開発元や JVN などから、脆弱性の情報を集めます
順番を決めるCVSSの値を目安に、公開しているか・重要な情報を扱うかを加えます
直すパッチを当てる・設定を変える・すぐに直せない場合は回避策で影響を小さくします
確かめる直ったことを確かめて、記録に残します
担当と、情報を確かめる頻度、直すまでの目安の期間を決めておくと、抜け漏れが減ります