パッチ管理
セキュリティパッチを適用し、システムとソフトウェアを最新の状態に保つ。
パッチ管理 は NIST CSF 2.0 のアウトカム PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk) で定義されています。 対応表 ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 SOC 2, Essential Eight, DORA および Cyber Essentials において編集上マッピング済み。 HIPAA においては緩やかに関連するのみ。 当サイトのデータにはマッピングがありません 当サイトのデータには GDPR および CPS 234 に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | トピックの定義 | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | 対応表 | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | 対応表 | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | 編集 | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | 対応表 | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | 対応表 | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | 対応表 | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | このトピックにはマッピングされていません | これらの要件は、公開されているクロスウォークを通じて、このトピックの CSF アウトカム（PR.PS-02）を共有しているにすぎません。確認の価値はありますが、マッピングではありません。 | |
| GDPR | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている GDPR の要件はありません。 |
| NIS2 | 6.6 | Security patch management | 対応表 | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | 編集 | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | 編集 | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CPS 234 の要件はありません。 |
| Cyber Essentials | CE 3 | Security Update Management | 編集 | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
パッチ管理について
パッチ管理とは、既知の脆弱性を修正するために、オペレーティングシステム、アプリケーション、ファームウェア、サードパーティ製ソフトウェアのセキュリティアップデートを特定、テスト、展開する体系的なプロセスです。適用期限はフレームワークによって異なります。PCI DSSでは重大度が重大および高のセキュリティパッチを公開から1か月以内に適用することが求められ（6.3.3）、Essential Eightでは成熟度レベルごとに期限が定められています。その他の多くのフレームワークでは、リスクベースの期限を定義し、本番環境に適用する前にパッチをテストすることが求められています。自動化されたパッチ管理ツールと正確な資産インベントリを組み合わせることで、網羅的なカバレッジを確保し、既知のエクスプロイトに晒される期間を短縮する効果が期待できます。