業務：脆弱性対応プロセス
「弱点のないソフトウェアはない」、、、らしい（涙）
つまり、無数のソフトウェアが組み込まれているコンピュータや通信機器は「弱点だらけ」なワケだ。それにもかかわらず、会社には沢山のコンピュータや通信機器がある。社員が使うパソコンもあれば、会社ホームページのためのサーバコンピュータもある。売上や給与を管理する業務システムだってある。。。
情シス部による「脆弱性（ぜいじゃくせい）対応」とは、カンタンに言えば「ソフトウェアの補修作業」だ。
具体的に言えば、情シス部は日頃から「IT情報サイト」や「Google Alert メール」で脆弱性情報を収集し、それが会社のコンピュータで使われているソフトウェアに関する情報であれば、「パッチの適用」や「バージョンアップ」といった作業を行うのだ。最近は「自動パッチ」や「自動更新」が行われるソフトも多くなっているとは言え、それでも「手動対応しなければならない事案」は少なくない。
なお、年に１・２度、日ごろの補修作業がキチンと行われているかのチェックをかね、専門業者によるセキュリティテスト（「脆弱性検査」という）が行われる。
課題：属人的な対応
ただ、、、今日では、凄まじい数の「攻撃方法」が毎日毎日発見されている。
古いソフトウェアに関する「攻撃方法」も毎日のように報告される。日々の補修によって「弱点」は克服されていっているハズなのだが、攻撃アイデアや攻撃力も日々向上しているのだろう。永遠に無くなりそうにない。たとえば CVE 公表される「脆弱性」は年間１万件以上にものぼる。（CVE：Common Vulnerabilities and Exposures ／ 脆弱性情報データベース）
もはや、情シス部が全てに目を通せる量ではない。ベテラン社員がその「嗅覚？」と「属人的な情報ネットワーク？」によって機転を利かせて対応しているのが現実だ。
うーむ、、、もう少し組織的に対処できないモノだろうか？
もっと言えば、「緊急を要する脆弱性」について誰がどのような判断をしたのか・しているのか、についてキチンと記録・共有したいものだ。たとえば「ShellShock」や「Heartbleed」といった世間を騒がせた脆弱性に、いつ誰がどのような対応をしたのか、振り返りたいと思うのだが。。。 (OpenSSL, GNU bash)
「ゼイジャクセイ、対策しろと、言われても…」（情シス川柳）
[脆弱性対応プロセス]
