この記事は、情報システム担当者・セキュリティ責任者が「パッチ適用工程」をリスクベースで設計する判断材料として書いています。脆弱性報告の受付工程は「AI生成の脆弱性報告の受付・真偽判定設計」を、SOCのトリアージ工程は「フロンティアAI時代のSOCトリアージ設計」をあわせてご覧ください。
2026年5月22日、金融庁と日本銀行は連名で「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」を公表し、全金融機関に対して概ね1か月以内の対応を求めました。要請の根拠は「フロンティアAIにより脆弱性の発見が加速し、短期間に大量のパッチが提供される可能性がある」という前提です。
この要請は金融機関向けですが、脆弱性の発見速度が上がるという前提は業種を問いません。SaaS事業者、医療機関、EC、製造業、自治体でも、外部公開システムやVPN、メールゲートウェイを使っている限り、パッチ適用工程の整備は急務です。
金融庁・日銀が求めた9項目の要点
要請で示された9項目は金融機関向けですが、どの業種でも応用できる考え方です。特にパッチ運用に直結する項目を抜き出します（一次情報：金融庁公表文書より）。
| 項目番号 | 内容（要約） | 他業種への応用 |
|---|---|---|
| 1 | フロンティアAI対応を経営課題として扱う | 経営者がパッチ対応の停止判断を下す体制を整える |
| 2 | 優先的に対応するサービス・システムを特定する | 外部公開・個人情報・売上直結の順に優先度を設定 |
| 6 | リスクベースでパッチ適用プロセスを運用する | CVSSだけでなく悪用確認・公開状況を加味する |
| 7 | パッチ適用以外の対策も強化する | WAF・MFA・アクセス制限を暫定策として備える |
| 8 | 優先サービスが停止した場合に備える | 停止判断基準と代替業務フローを事前に定める |
EMERGENCY RESPONSE
この脆弱性、貴社システムは影響を受けますか？
影響範囲の一次評価を無料で実施。致命的脆弱性は24時間以内にアラートし、パッチ適用・恒久対応まで伴走します。
リスクベースのパッチ適用SLAを設計する
CVSSスコアだけで優先度を決めると、実際の業務リスクと対応順序がずれることがあります。以下の変数を組み合わせた優先度で対応期限（SLA）を決めます。
| 区分 | 適用条件 | 暫定策の期限 | 恒久策の期限 |
|---|---|---|---|
| 緊急 | 悪用確認あり＋外部公開＋個人情報 | 当日中 | 72時間以内 |
| 高 | CVSSスコア7以上＋外部公開 | 3営業日 | 1週間以内 |
| 中 | 内部限定または代替策で緩和可能 | 不要 | 月次対応 |
| 低 | 内部限定＋悪用確認なし＋代替策あり | 不要 | 四半期対応 |
暫定策の例：WAFルール追加、該当ポートのアクセス制限、VPN切り離し、管理画面の一時停止。
パッチ運用 成熟度セルフチェック
自社のパッチ運用がどの段階にあるかを把握すると、要請が求める「リスクベース」「経営課題化」に対して、どこが弱いのかを特定できます。次の表で各項目を自己採点してみてください（レベルは設計の目安であり、点数や順位を保証するものではありません）。
| 項目 | レベル0 | レベル1 | レベル2 | レベル3 |
|---|---|---|---|---|
| 検知 | 脆弱性情報を把握していない | ニュースで気づく程度 | 主要製品のアドバイザリを定期確認 | 資産台帳と連動し、該当製品の情報が自動で届く |
| トリアージ | 深刻度を判断する基準がない | CVSSスコアだけで判断 | 悪用確認・公開状況も加味 | 業務影響と個人情報の有無まで含めて優先度を確定 |
| 適用SLA | 対応期限を決めていない | 「気づいたら対応」 | 区分ごとに期限の目安がある | 区分別の暫定策・恒久策の期限が文書化され運用されている |
| ベンダー保守 | 委託範囲が不明確 | 保守会社に丸投げ | 通知窓口を自社で受領 | 連絡時間・暫定策権限・記録共有まで契約で明確化 |
| 記録・証跡 | 記録が残らない | 担当者の口頭・記憶 | 作業記録を都度メモ | 検知から適用までの判断と作業が時系列で残る |
| 経営報告 | 経営層は関与しない | 重大時のみ事後報告 | 定例で対応状況を共有 | 停止判断の権限と報告ラインが事前に定義されている |
各項目でレベル0〜1が多い場合は、まず検知と資産台帳の整備から着手すると、後続の工程が回り始めます。
FREE DOWNLOAD
AI導入チェックリスト（PoC 失敗要因 10項目）
情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。
誰が何を担うか（役割分担の整理）
パッチ運用が止まる原因の多くは、技術的な難しさではなく「誰が判断するのか決まっていない」ことにあります。最低限、次の役割を事前に割り当てておきます（下表は設計例であり、組織規模に応じて統合・委譲してください）。
| 工程 | IT/インフラ | セキュリティ | 経営層 | ベンダー/保守 |
|---|---|---|---|---|
| 脆弱性の検知 | 資産との突合 | 情報源の選定・受信 | — | 該当製品の通知 |
| トリアージ・優先度づけ | 業務影響の確認 | 区分とSLAの確定 | — | 技術的な影響範囲の助言 |
| 暫定策の実施 | 設定変更の実作業 | 暫定策の妥当性確認 | — | 委託範囲内の実作業 |
| サービス停止の判断 | 停止手順の提示 | リスクの説明 | 停止可否の決裁 | 復旧見込みの提示 |
| 恒久策（パッチ適用） | 適用・動作確認 | 適用後の検証 | — | 委託範囲内の適用 |
| 記録・経営報告 | 作業記録の保存 | 報告内容の取りまとめ | 報告の受領・指示 | 作業記録の共有 |
ベンダーに任せている工程ほど、自社側に残る役割（受領・確認・決裁）を明文化しておくことが、いざというときの停滞を防ぎます。
適用判断フロー例
優先度づけの考え方を一連の流れにすると、現場で迷ったときの拠り所になります。次はあくまで設計の一例で、自社のSLA区分や業務に合わせて調整してください。
- 資産の特定（例）：その脆弱性が、外部公開資産・個人情報を扱う資産・売上直結の資産に該当するかを確認します。どれにも該当しなければ優先度は下がります。
- 悪用状況の確認（例）：悪用が確認されているか、攻撃コードが公開されているかを調べます。悪用確認ありは優先度を引き上げます。
- 区分の確定（例）：上記2点とCVSSスコアを組み合わせ、本記事の「緊急／高／中／低」のどれに当てはめるかを決めます。
- 暫定策の判断（例）：恒久パッチを即時適用できない場合に、WAFルールやアクセス制限などの暫定策を先に当てるかを判断します。
- 停止判断のエスカレーション（例）：暫定策でも緩和できず、顧客影響のあるサービスに及ぶ場合は、停止可否を決裁者へエスカレーションします。
- 適用と記録（例）：恒久策を適用し、検知から適用までの判断と作業を時系列で記録します。
このフローを一度文書化しておくと、担当者が変わっても判断のばらつきを抑えられます。
外部公開資産の棚卸しが起点になる
パッチの優先度を決めるためには、自社の外部公開資産が把握されていることが前提です。意外に多いのが「いつ公開したか分からないVPNエンドポイント」や「開発用に立てたまま外部公開になっているサーバ」です。
最低限、次の項目を一覧化します。
- Webサービス・API（URL、使用フレームワーク・バージョン）
- VPN・リモートアクセスゲートウェイ（製品名・バージョン・認証方式）
- メールゲートウェイ・スパムフィルタ
- クラウド管理コンソール（AWS/Azure/GCPの管理者アクセス経路）
- SaaSの管理者アカウントとシングルサインオン設定
資産台帳がない状態では、影響確認だけで時間を消費します。外部攻撃面の診断を活用すると、自社の公開資産を体系的に洗い出す起点になります。
ベンダー保守に任せている場合の確認事項
保守会社に任せていても、「通知を受ける窓口」「停止判断の権限」「業務影響の確認」は自社側に残ります。以下の点を保守契約で確認しておきます。
| 確認項目 | 合格例 | 不合格例 |
|---|---|---|
| 脆弱性通知の受け取り先 | 社内担当者のメールアドレス宛 | 保守会社だけが受信 |
| 緊急時の連絡時間 | 2時間以内に第一報 | 翌営業日対応のみ |
| 暫定策の実施権限 | 保守会社が当日着手可能 | 契約変更が必要 |
| パッチ適用の記録 | 作業記録を顧客に共有 | 記録なし・口頭のみ |
経営判断として準備すること
フロンティアAI時代のパッチ運用で現場が一番迷うのは「サービスを止めてよいか」です。顧客影響があるサービスほど、停止判断の権限者・代替手段・顧客連絡文面を事前に決めておく必要があります。インシデント対応の設計では、停止判断と社内連絡フローをどう組み込むかを扱っています。
GXOはどう支援するか
GXOでは、外部公開資産の棚卸し、リスクベースのパッチ適用SLA設計、保守契約の見直しチェック、緊急時の停止判断フロー整備を一連で支援します。初回相談では、現状の外部公開資産の把握状況、保守委託の範囲、セキュリティ担当者の体制を確認し、どこから整備すべきかを優先順位化します。
よくある質問
Q1. CVSSスコアが高いものから順番に対応すれば十分ですか
CVSSスコアは深刻度の目安ですが、内部限定で悪用確認もない場合は後回しにできます。逆にスコアが中程度でも外部公開かつ個人情報を扱う場合は緊急対応が必要です。本記事のSLA表を基準にしてください。
Q2. ベンダー保守があれば自社で対応しなくてよいですか
保守会社はパッチの実施を担えますが、どのシステムへの影響かの確認・停止判断・業務影響の説明は自社側に残ります。通知窓口と判断権限を先に整理しておく必要があります。
Q3. 金融機関ではない中小企業でも今すぐ対応が必要ですか
外部公開のWebサービス、VPN、クラウド管理コンソールを持つ企業は規模にかかわらず対象になります。まず外部公開資産の一覧化と保守会社の緊急連絡先確認から着手することをおすすめします。
Q4. 成熟度セルフチェックでレベルが低い項目から手をつけるべきですか
検知と記録が弱いと、その後の優先度づけや経営報告も成り立ちません。検知・資産台帳・記録の3つが土台になりますので、ここがレベル0〜1の場合は先に整えると、SLA運用や停止判断の工程が回り始めます。
Q5. パッチを即時適用できないときはどう判断すればよいですか
恒久パッチを当てられない事情があるときは、WAFルールやアクセス制限などの暫定策で被害を緩和し、恒久策の期限を別途設定します。本記事の適用判断フロー例の「暫定策の判断」と「停止判断のエスカレーション」を、自社のSLA区分に合わせて運用してください。
参考情報
- 金融庁・日本銀行「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」（2026年5月22日）：https://www.boj.or.jp/finsys/release/frel260522a.htm
- 金融庁「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応に係る要請について」：https://www.fsa.go.jp/news/r7/sonota/20260522-5/20260522.html
- 内閣サイバーセキュリティ戦略室「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について（Project YATA-Shield）」（2026年5月18日）：https://www.cyber.go.jp/pdf/press/20260518_AI_CS_Package.pdf
パッチ適用SLAと外部公開資産の棚卸しを整備しませんか
GXOでは、外部公開資産の棚卸し、リスクベースのパッチ優先度設計、保守契約の見直し、緊急時の停止判断フロー整備を一連で支援します。