いつ Apache Log4j がEOLを迎えても、CVEの報告は止まりません。

要件 6.3.3 では、既知の「重大」および「高」深刻度の脆弱性については、30 日以内にパッチを適用することが求められています。アップストリームからのパッチが提供されていない EOL 版の Apache Log4j を使用している場合、コンプライアンス違反となります。NES はパッチ適用経路を復元します。

サポート対象外のフレームワークでは、ePHIを扱うシステムに対して適切な安全対策を講じることが困難になります。NESは、積極的なメンテナンスとリスク低減を提供します。

トラスト・サービス基準では、脆弱性の適時な是正とパッチ管理が求められています。EOL（サポート終了）となった依存関係については、代償となるサポート手段が存在しない限り、監査の際に重大な指摘事項となります。NESこそが、その代償となるサポート手段です。

第21条では、パッチ適用、脆弱性、およびサプライチェーン管理について規定している。サポート体制が整っていないEOLソフトウェアを稼働させるとリスクが生じるが、NIS2では、事業者がこのリスクを積極的に軽減することが求められている。

DORAは、EOL（サポート終了）ソフトウェアを、金融ICT資産におけるレジリエンスのギャップと見なしています。NESでは、メンテナンスが継続されているビルドと、文書化されたパッチ管理プログラムを提供します。

デジタル要素を含む製品のソフトウェアライフサイクルにおけるセキュリティを管理します。NESでは、保証期間中、EOL（サポート終了）となったApache Log4j製品ラインに対して、メンテナンスおよびパッチ適用済みのビルドを提供します。

規制PR.PS-02では、組織に対し、リスクに基づいて脆弱性のあるソフトウェアを積極的に維持または削除することが求められています。NESを利用すれば、強制的なアップグレードを行うことなく、この規制への準拠が可能になります。

継続的な監視では、定義された周期での脆弱性の修正が求められます。パッチが適用され、ベンダーのサポートが保証されたビルドがあれば、ISSOは、EOL（サポート終了）となったApache Log4jを認証境界内に維持することを正当化するための、文書化された修正手順を確保できます。

脆弱性および構成管理の対策には、技術的な脆弱性を特定し、ソフトウェアをセキュリティ基準の範囲内に維持することが求められます。NESは、EOL（サポート終了）ソフトウェアについても、そのセキュリティ態勢を回復させます。