PHP のサポート期間が終了しても、セキュリティ対策は継続可能です。

要件 6.3.3 では、既知の脆弱性に対してパッチを適用することが求められており、重大な問題については 30 日間の SLA が定められています。パッチが適用されていないレガシー版 PHP を使用している場合は、直ちに不適合となります。NES はパッチ適用プロセスを復旧させます。

サポート対象外のコンポーネントがあると、ePHIを扱うシステムに対して適切な安全対策を講じることが困難になります。NESは、積極的なメンテナンスと、文書化されたリスク低減策を提供しています。

トラスト・サービス基準では、脆弱性の適時な是正とパッチ管理が求められています。セキュリティパッチが適用されていないレガシーコンポーネントは、認証不通過につながります。

ベースラインはNIST SI-2に基づいており、定義された期間内に欠陥の修正およびセキュリティ更新プログラムの適用が求められます。政府のクラウド環境において、パッチが適用されていないレガシーソフトウェアは、コンプライアンス要件を満たしていません。

レガシーソフトウェアを、金融ICT資産の耐障害性における弱点と見なしています。NESは、重要システムに対して、文書化されたパッチ管理プログラムを運用しています。

第21条では、パッチ適用、脆弱性、およびサプライチェーン管理について規定している。パッチが適用されていないレガシーソフトウェアは、リスクをもたらす場合、事実上、準拠していないものとみなされる。

第32条では、「最先端の」技術的措置が求められています。サポートが終了したレガシーソフトウェアを稼働させている場合、侵害が発生した後にその正当性を主張するのは困難です。NESはウェブサーバーのメンテナンスを継続しています。

規制PR.PS-02では、組織に対し、リスクに基づいて脆弱性のあるソフトウェアを積極的に維持または削除することが求められています。NESを利用すれば、強制的なアップグレードや削除を行うことなく、コンプライアンスを確保できます。

サポート期間中は、製品およびそのコンポーネントの脆弱性に対して効果的な対応を行うことが求められます。NESは、出荷済み製品のPHPレイヤーのサポートを継続しています。

脆弱性管理および構成管理の統制措置では、技術的な脆弱性を特定し、ソフトウェアをセキュリティ基準の範囲内に維持することが求められます。NESは、EOL（サポート終了）ソフトウェア向けのパッチ提供を通じて、統制態勢を回復させます。

コントロール7（継続的な脆弱性管理）およびコントロール2（ソフトウェア資産の棚卸し）では、セキュリティ更新プログラムの提供が終了したソフトウェアを、本質的に脆弱であるとみなしています。NESは、ソフトウェアに常にパッチを適用し、監査可能な状態を維持します。

多くの組織では、サポート対象外のソフトウェアを出荷することが契約上禁じられています。NESは、こうしたポリシーが求める、ベンダーによるサポートが保証されたソリューションを提供します。