【問301】個人情報保護士 練習問題｜パッチ管理ポリシー

解説

正解

正解は選択肢1です。

各選択肢の解説

選択肢1 → ✅正解

パッチは発見された脆弱性を修正するものであり、定期的に適用して情報システムを最新の状態に保つことが個人情報漏えいのリスク低減につながる。個人情報保護委員会ガイドライン（通則編）別添の技術的安全管理措置でも、対策ソフトウェア等を最新状態とすることが求められている。

選択肢2 → ❌誤り

パッチには緊急度・優先度の差があり、本番システムへ適用する前に互換性や業務影響を検証する工程が必要。一律に「即座に全部」という運用は現実的でなく、適切な管理とはいえない。

選択肢3 → ❌誤り

OSの脆弱性は権限奪取など影響が大きい攻撃経路になるため、OSとアプリケーションのどちらのパッチも重要。OSを対象外とする考え方は誤り。

選択肢4 → ❌誤り

隔離環境でも、持ち込み媒体や内部関係者による操作といった感染・悪用の経路が残るため、パッチ管理は省略できない。

背景知識

ソフトウェアの脆弱性は日々発見されている。発見されたセキュリティ上の欠陥を修正するプログラムがパッチである。適用が遅れるほど、公開済みの脆弱性を突かれてシステムが侵害される危険が高まる。個人情報を扱うシステムでは、その侵害がそのまま漏えい事故に直結する。個人情報保護委員会のガイドラインでも、情報システムを最新の状態に保つことが安全管理措置の一部として位置づけられている。

学習アドバイス

パッチ管理は受け身の作業ではなく、個人情報流出を防ぐ能動的な対策として理解しておきたい。本試験では「定期的に」「優先度をつけて」「検証してから本番適用」という一連の流れが問われやすい。

まとめ

• パッチはセキュリティ脆弱性を修正するものである
• 定期的かつ優先度に応じて適用することが重要
• 本番導入前の互換性・影響検証が欠かせない