「OS・ソフトウェアのセキュリティ更新を適用していますか」の答え方｜確認先・回答例・証拠の例

公開：2026年10月18日／最終更新：2026年10月18日／Moshiru 岡﨑悠太

こんなときに役立ちます

取引先から届いたチェックシートに、この設問があったとき
社内の誰に、何を確かめればよいか分からないとき

読み終えたあと、社内でこう言えます

「確認先に文面を送りました。回答は実態に合わせて、足りないところは予定と一緒に書きます」

この設問は何を聞いているか：パソコンやサーバ、ソフトに、セキュリティの更新を速やかに当てているか、を聞いています。★3では、サポートが終わった製品を使わない（またはネットから切り離す）ことと、重大・高リスクと説明される脆弱性を直す更新を、公開から14日以内に当てることが求められます。

ここまでやれば答えられます：確認先に下の文面を送って実態を確かめ、更新の適用ルールのような記録を1つ用意できれば、「はい」か「一部」で具体的に答えられます。足りないところは「いつまでに何をするか」を書けば十分です。

セキュリティ更新（パッチ）の設問は、確認先に聞き、実態に合わせて、はい・一部・いいえで答える

取引先に対策を求める大企業は88.2%、求められた中小企業の43.2%にできていない対策がある、という調査があります（ミツモア、2026年10月）。回答期日は2〜3営業日が最も多く、1週間以内が76%です（SecureNavi社、2026年2月発表）。できていない項目があるのは珍しくありません。短い期日でも、確認先を先に決めれば間に合います。

社内の誰に確認すればよいか

パソコンの設定をしている社員か保守業者に確認します。サポートが終わった機器（古いWindowsやルーターなど）がないかも聞きます。下の文面は、そのまま送れるように書いています。【】の部分を置き換えてください。

件名：セキュリティ更新の適用状況の確認のお願い

【保守業者名】ご担当者様

取引先からセキュリティのチェックシートが届き、次の点を確認しています。

■当社のパソコン・サーバ・ネットワーク機器に、セキュリティ更新をどのように当てているか（自動か、手動か）
■重大な脆弱性の更新は、公開から何日以内に当てているか
■メーカーのサポートが終わった機器・ソフトがないか

【期日】までに分かる範囲で教えていただけると助かります。

回答例（はい／一部／いいえ）

書き方の例です。御社の実態に合わせて書き換えてください。実態と違う内容を写すことはしないでください。

回答	回答例
はい	「OS・ソフトウェアは自動更新を有効にし、重大・高リスクの脆弱性の更新は公開から14日以内に適用している。サポートが終了した製品は使用していない。」
一部	「パソコンは自動更新を有効にしているが、サーバとネットワーク機器の更新は不定期。【年月】までに適用の手順と期限を定める予定。」
いいえ	「更新の適用ルールは未整備。【年月】までに定める予定。現在、パソコンの自動更新は有効にしている。」

「いいえ」のときは、どう書けばよいか

サポートが終わった機器が残っている場合は、「いつまでに入れ替えるか」と「それまでネットから切り離すなどの代わりの対策」を書くと、正直で具体的な回答になります。「検討中」だけで終わらせず、いつまでに何をするかと、それまでの代わりの対策を書くと、取引先は判断しやすくなります。

証拠を求められたら、何を出せばよいか

更新の適用ルール（期限つき）
機器ごとのOSとバージョンの一覧
更新の適用記録

パスワードや、管理画面のURLが写った部分は消してから出してください。

SCS評価制度の★3では、どう求められているか

★3に入る項目です。この設問は、★3の要求事項「4-4-4 セキュリティパッチ・アップデートの手続」にあたります。評価基準は2項目です（IPA公開のExcelの原文）。

システム、情報機器及びソフトウェアは以下の状態とすること。 - ライセンスが付与され、サポートされている。 - サポートが終了した場合に削除されるか、又はインターネットとの全てのトラフィックを遮断することで適用範囲から削除される。 - 可能であれば、自動アップデートが有効化されている。（4-4-4-1）
利用している機能又は設定に関して、以下のいずれかに該当するアップデートプログラムがリリースされてから14日以内に、アップデートすること。 - 当該アップデートが、ベンダーにより「重大」(Critical)又は「高リスク」(High Risk)と説明される脆弱性を修正するものである。 - 当該アップデートが、CVSSの基本値が7.0以上の脆弱性を修正するものである。 - 当該アップデートが修正する脆弱性のレベルの詳細がベンダーから提供されていない。・やむを得ず上記のとおりアップデートができない場合(例えば、動作検証に一定期間を要し、期限内にアップデートが完了しない場合)は、アップデート適用までの間、以下のいずれかにより脆弱性悪用のリスクを低減する対策を実施すること。 - 脆弱性悪用の対象となる機能を無効化すること。 - ベンダーが推奨する回避策を実施すること。 - 対象となる情報機器を適用範囲内のネットワークから分離すること。 - 対象となる情報機器と適用範囲内のネットワークとの通信を監視し、当該脆弱性を悪用する不正な通信を遮断する機器又はソフトウェアを導入すること。 [対象] -会社支給のパソコンの OS、ブラウザ及びOffice ソフト -サーバの OS及びミドルウェア -会社支給のスマートデバイスのOS及びアプリ -インターネットとの境界に設置されているネットワーク機器のOS及びファームウェア（4-4-4-2）

くわしくは、パッチ管理、VPN機器・リモートデスクトップの点検手順にまとめています。

次に読む

シートごと送れば、回答はこちらで作ります

届いたチェックシートをそのまま送ってください。設問ごとの回答と、確認が要る点の一覧をお返しします。初めての1枚目は、30問まで無料です。打合せはなく、メールだけで進みます。

シートを送る初めての1枚目は無料ほかの設問の答え方手引き