「政府機関等の対策基準策定のためのガイドライン」の令和8年度一部改定における脆弱性対策の強化

1 はじめに

2026年6月12日に「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」が一部改定されました。「政府機関等の対策基準策定のためのガイドライン」は、サイバーセキュリティに関する政府統一基準の定めを満たすために実施すべき具体的な対策や解説を盛り込んだガイドラインであり、国家サイバー統括室が策定しているものです。

今回は、最近の技術動向等を踏まえていくつかの改定が行われています（主な改定内容はこちらを参照してください）。そこで本稿では、改定事項の一番目に挙げられている「脆弱性対策（セキュリティパッチ適用等）の強化」について説明します。

2 脆弱性対策の強化に関する改定内容

「脆弱性対策（セキュリティパッチ適用等）の強化」の改定は、高性能AIの悪用などによるサイバー攻撃の高度化・自動化等を踏まえ、脆弱性が発見された際に迅速に対応するための仕組み、プロセス、体制を整えることを主眼としており、以下の4つの改定が行われています。

1. 全情報システムについて、セキュリティパッチの適時の適用を前提とした運用設計(パッチマネジメント)を行う
2. サイバー攻撃の高度化・自動化等の状況をふまえ、運用設計を見直す
3. 迅速な適用の要否を判断した上で、脆弱性対策計画を策定・実施する
4. 迅速な適用が必要な場合、情報システムの運用を一時停止することも検討する

以下、それぞれについて解説します。

2.1 セキュリティパッチの適時の適用を前提とした運用設計

これまで、追加セキュリティ対策として位置付けられていた「セキュリティパッチの適時の適用を前提とした運用設計」が、基本セキュリティ対策に格上げされました。「基本セキュリティ対策」および「追加セキュリティ対策」は、以下のように定義されています。

• 基本セキュリティ対策：セキュリティベースラインとして全ての情報システムに対して実施する対策
• 追加セキュリティ対策：高度な情報セキュリティ対策を要求する情報システムに対し追加で実施する対策

つまり、高性能AIの悪用など、サイバー攻撃の高度化・自動化を前提としたときには、高度な情報セキュリティ対策を要求する情報システムに対してだけではなく、全ての情報システムに対してセキュリティパッチの適時の適用を行う必要がある、ということです。今後は構築される全ての情報システムで、セキュリティパッチの適時の適用を行うための運用設計が求められます。

すぐ判断して、すぐ試し、すぐ当てるための設計を運用に組み込んでおくために重要なことは何でしょうか。具体的には、①対象資産の把握、②優先順位付けのルール化、③脆弱性情報の収集・トリアージ体制の構築、④緊急パッチ適用フローの確立、⑤検証環境の準備とテスト方針の策定、⑥パッチ配布・適用の自動化、⑦バックアップ・ロールバック設計、⑧停止可能時間帯の事前調整、⑨演習・訓練など、単なるパッチ適用の手順だけではなく、資産管理・脆弱性管理・変更管理・パッチ管理を一体化した運用設計が必要になります。

また、その運用設計を実現するために、実行可能な運用体制を構築・維持することも新たに盛り込まれています。

2.2 サイバー攻撃の高度化に応じた運用設計の継続的見直し

近年は高性能AI等の活用により、攻撃者が以下のことをより速く・巧妙に実施できるようになってきました。

• フィッシングやなりすましの高度化
• 脆弱性探索・悪用の自動化
• マルウェアの亜種生成
• 侵入後の横展開や情報窃取の効率化

このため、システムが稼働（カットオーバー）すれば終わりということではなく、システムの稼働開始後も、脅威の変化に応じて運用設計を継続的に見直すことが必要になってきます。

見直しの契機としては、以下のようなタイミングが考えられます。

• 定期的な見直し
  • 月次：監視結果、異常傾向、ID／権限改廃
  • 四半期：リスク評価、KPI／KRIレビュー
  • 半期：全権限の棚卸し、ベンダー評価、運用品質見直し
  • 年次：統制全体の再評価、規程改定、演習
• イベントトリガー
  • インシデント発生時
  • 組織変更時
  • ベンダー（運用事業者）変更時
  • 新規システム連携時
  • 大規模な利用拡大時
  • 法やガイドライン等の改正時

見直しにあたっては、まずは前提となる脅威の想定の見直しを行います。以下のような観点での検討を行い、守るべき資産に変化はないか、最も深刻な被害シナリオは何か、攻撃者にとって攻撃の難易度は下がっていないか、という整理を行います。

• 最新の攻撃動向を踏まえた脅威シナリオ更新
• AIを悪用した攻撃の影響評価
• 業界特有の脅威の変化
• 自組織の重要資産に対する攻撃魅力度の変化
• 攻撃対象領域の拡大

見直した脅威想定に基づき、現在のパッチ適用速度は十分か、脆弱性は把握しているが未対応な状態が常態化していないか、公開資産のリスクに見合った運用になっているか、といった観点で運用設計の見直しを行っていきます。

なお、設計・構築事業者においては、システムの運用中に運用設計が見直される可能性があることを前提とした設計を行う必要があり、運用事業者においては、運用設計を見直す役務や、見直し内容の検討、見直しの判断に向けた情報収集の役務が発生するため、要件定義フェーズや調達での考慮が必要になります。

2.3 迅速な対策が必要であるかどうかの見極め

組織内の資産に脆弱性があることが判明した場合には、セキュリティパッチの適用またはソフトウェアのバージョンアップ等による情報システムへの影響を考慮した上で、ソフトウェアに関する脆弱性対策計画を策定することとなっていますが、その際には、迅速な対策が必要であるかどうかの見極め、いわゆるトリアージを行う必要があります。

脆弱性対応のトリアージにあたっては、脆弱性のリスクを評価する必要がありますが、一般的に以下の3要素を組み合わせて評価されます。

• 脅威：悪用実績^*1や悪用可能性^*2、Exploitコード（攻撃プログラム）の公開有無
• 影響：脆弱性の深刻度。一般的にはCVSS基本値が用いられる
• 資産：脆弱性が影響を与えるシステムの重要度

なお、脆弱性対応におけるリスク評価の手法は、IPA（情報処理推進機構）が2024年に公開した「脆弱性対応におけるリスク評価手法のまとめ」に詳しく解説されていますので参照してください。

また、脆弱性が発見された際には迅速にリスク評価を行う必要があります。そのために、ツール等を導入し自動的に評価を行う仕組みを設けることも検討すべきです。

2.4 情報システムの運用一時停止の検討

これまでの運用では、緊急対応が必要な脆弱性が発見されても、例えば夜間や休日のメンテナンス時間を待ってパッチ適用等の対応を実施することが一般的でした。ところがサイバー攻撃の高度化・自動化等によって攻撃の速度や広がりが著しく進化する状況においては、たとえ平日日中帯の通常サービスを提供している時間帯であっても、システムを停止してパッチ適用等の対策を実施することを選択する場面も出てくると考えられます。

このように情報システムの運用を一時停止する場合には、組織内での承認の取得や利用部門／ユーザー、関連部門への通知等、どのようなフローでどんな対応を行うのか、あらかじめ運用設計を行っておくことが必要になります。

また、パッチ適用等の対応を即時に実施できないといった場合は、被害が出る前（顕在化する前）に能動的にシステムを停止するという判断を行うことも求められます。能動的システム停止にあたっては、拙速な停止／遅すぎる停止とならぬよう配慮しながら、停止の判断基準・フローや役割・責任分担を定義しておくことが重要です。

3 最後に

攻撃者はAIの活用により、標的型攻撃、脆弱性悪用、マルウェア改変等を従来以上に迅速かつ巧妙に実行できるようになっており、サイバー攻撃は今後さらに高度化・自動化していくことが想定されます。これに対し、防御側も対策の実効性を一段引き上げる必要にせまられています。

ただし、今回のガイドライン改定は、新技術の導入そのものを目的とするものではありません。新たなツールの構築・導入は選択肢として重要である一方、その前提として、従来から求められてきた基本対策を確実に徹底し、運用面も含めてもう一歩踏み込むことが不可欠です。すなわち、既存の対策を「ある」状態から「機能している」状態へと高めることこそが、現時点で最も優先すべき対応と言えます。

^*1 米国CISA（Cybersecurity and Infrastructure Security Agency）が公開するKEV（Known Exploited Vulnerabilities）が一例

^*2 米国FIRST（Forum of Incident Response and Security Teams）が公開するEPSS（Exploit Prediction Scoring System）値が一例