5.1セキュリティ管理の概念

セキュリティ運用は派手なインシデント対応だけではなく、その手前の地味な管理プロセスが土台です。「何が繋がっているか分からない」「誰も承認していない設定変更が入っている」「何か月も当てていないパッチがある」——こうした管理の穴が、攻撃者に最初の足場を与えます。この節では、資産・構成・モバイル端末・パッチ・脆弱性という5つの管理概念を、それぞれがどのリスクを潰すためのものかという観点で整理し、状況に応じて適切なプロセスを選べるようにします。

5.1.1資産管理と構成管理

• 資産管理（asset management）＝ハードウェア・ソフトウェア・データといった資産を識別・分類・追跡・棚卸するプロセス。「守るべきものが何か」を把握できていなければ保護もパッチ適用も監視もできないため、すべての管理の起点になる。棚卸から漏れたシャドーITやEOLの機器は、監視も更新もされないまま攻撃の入口になりやすい。
• 構成管理（configuration management）＝承認された既知の良好な状態（ベースライン）を定義し、変更を統制するプロセス。無断の設定変更や設定ドリフトを防ぎ、逸脱を検知できるようにする。インシデント時には「正常な構成」との差分が侵害の手掛かりになるため、フォレンジックの基準線としても機能する。

5.1.2モバイルデバイス管理（MDM）

• MDM（mobile device management）＝スマートフォン・タブレット等のモバイル端末を集中管理し、暗号化・パスコード・アプリ配布などのポリシーを一律に強制する仕組み。紛失・盗難時にはリモートロック/リモートワイプで情報漏えいを抑える。境界の内外を移動する端末を統制する要となる。
• BYOD（私物端末の業務利用）では、私物領域と業務領域を分離するコンテナ化により、会社データだけを選択的にワイプできるようにするのが実務上の落としどころ。個人の写真ごと消すのは受け入れられにくいため、業務データの統制と私生活の尊重を両立させる設計が求められる。

5.1.3パッチ管理と脆弱性管理

• パッチ管理（patch management）＝ベンダのパッチを評価→テスト→展開→検証する運用サイクル。無検証の即時適用は業務停止のリスクがあり、放置は既知脆弱性の放置になる。緊急度と業務影響を天秤にかけ、検証環境を経て計画的に当てるのが原則。
• 脆弱性管理（vulnerability management）＝スキャンで脆弱性を継続的に発見・評価・優先順位付け・修復する、より広いプロセス。修復手段はパッチ適用に限らず、設定変更・機能無効化・補償的統制（緩和）も含む。CVSSスコアと資産の重要度・露出度で優先度を決めるのが要点で、「すべてを今すぐ直す」ことは現実的でない。

あなたはSOCで、脆弱性スキャナが「境界のWebサーバに深刻度9.8（CVSS）のリモートコード実行脆弱性」を検出したというチケットを受け取りました。若手は反射的に「すぐ全サーバにパッチを当てよう」と言いますが、これは脆弱性管理とパッチ管理を混同した早計です。まず資産管理の台帳と照合し、その脆弱性を持つのが本当にインターネット公開の重要資産か、それとも内部の検証機かを確認します——同じCVSSでも露出度と資産の重要度が違えば優先度は変わります。次に構成管理のベースラインを見て、暫定の緩和策（該当機能の無効化、WAFルール追加、アクセス制限）で攻撃面を即座に下げられないかを判断します。パッチ自体は重要ですが、無検証で本番投入して基幹業務を落とせば本末転倒なので、パッチ管理の手順に沿って検証環境でテストしてから計画展開します。ここで重要なのは、「脆弱性を修復する」＝「パッチを当てる」ではないという理解です。修復には設定変更・機能停止・補償的統制という選択肢があり、SOCアナリストの仕事はその状況で被害を最小化する組み合わせを選ぶことです。もしその資産がそもそも棚卸から漏れたシャドーITだったなら、根本問題は資産管理の欠落であり、パッチ以前に可視化されていない資産をなくすことが先決になります。

5.1.4この節のまとめ

• 資産管理（識別/分類/追跡/棚卸）が全管理の起点。構成管理は承認済みベースラインと変更統制で逸脱を検知可能にする
• MDMはモバイル端末を集中管理しリモートワイプ、BYODはコンテナ化で会社データのみ選択ワイプ
• パッチ管理（評価/テスト/展開/検証）は脆弱性管理（継続的な発見/評価/優先順位付け/修復）の一手段。優先度はCVSS＋資産の重要度/露出度で決める