セキュリティパッチはIT資産や個人情報を守るために重要な役割があります。昨今はOSやソフトウェア、webサイト、アプリケーションを問わずに脆弱性の届け出件数は例年増加しています。今後も脆弱性の届け出が増加することが考えられるため、セキュリティパッチの管理・運用がますます重要になっていきます。

今回は情報システム部門のご担当者向けに、セキュリティパッチの重要性と管理・運用方法について解説します。セキュリティパッチを更新しないことのリスクも具体的に解説してるので、他人事とは思わずに運用・管理方法を意識してみてください。

セキュリティパッチとは

セキュリティパッチとは、OSやソフトウェア、アプリケーションのセキュリティホール（脆弱性）を修正するための後付プログラムです。OSやシステムは常にセキュリティホールの脅威に晒されているため、定期的にセキュリティパッチを充てる必要があります。
身近な例を挙げると、Windowsの「セキュリティ更新プログラム」がセキュリティパッチに該当します。Windowsの提供元であるマイクロソフト社の場合、毎月必ず月例セキュリティ更新プログラムを公開しています。

セキュリティパッチの必要性と更新しないことのリスク

なぜセキュリティパッチが必要なのか、更新しないことのリスクは何があるのか解説します。セキュリティホールを放置してしまうと、サイバー攻撃の標的になりやすくなり、情報漏洩に繋がるリスクも高くなります。特に、企業によっては情報セキュリティのリテラシー格差が激しい場合があります。個人端末のパッチに関しては顕著なことが多く、数ヶ月間パッチを更新していないこともあります。セキュリティホールを放置し続けてしまっては、セキュリティパッチの意味はありません。

セキュリティホールはプログラムコードの書き方やシステム・OSのバージョン等、様々な要素が重なることで発生します。したがって、セキュリティホールの発生を完全に抑えることは不可能と言っても過言ではありません。対象のOSやシステムの要件を満たした最新のセキュリティパッチを適用することが大切です。

もしも、セキュリティパッチを更新せずにセキュリティホールを放置した場合の具体的なリスクを紹介します。

マルウェアによるサイバー攻撃

マルウェアとは、特定の操作を不正に実行することで、機密情報の流出やデータの破壊、ネットワークへの攻撃等を行う悪意のあるソフトウェアや悪質なコードの総称です。マルウェアはウイルスやワーム、トロイの木馬、スパイウェア等の様々な攻撃方法があります。マルウェアに感染することで、身に覚えのないメールの送信や意図した動作と異なる挙動を起こします。注意したいこととして、マルウェアへの感染ルートは常に一定ではないことです。

例えば、2020年上半期はコロナウイルスにより、マスクやアルコール消毒が品薄になりました。その裏で、実はマルウェアによる感染数が激増していたのをご存知でしょうか。コロナウイルスは世界的な時事問題として関心が高いため、コロナウイルスに関連したフィッシングメールが数多く確認たことが一つの要因です。メールの内容は、給付金の再配布が決定した旨やマスクの無料配布等、人々の関心を煽るようなものばかりだったため、興味本位でリンクを開いてしまう人が続出しました。結果として、マルウェアの感染数が2019年に比べ激増したのです。
（参考：https://eset-info.canon-its.jp/malware_info/malware_topics/）
セキュリティ担当者は、最新のパッチが当てられていることの確認だけでなく、全社に向け、流行っているマルウェアの手法を共有することも大切です。

不正アクセスによる情報漏洩

システムやアプリケーションの欠陥を利用し、webサイトやサーバーへ不正アクセスされるリスクもあります。不正アクセスされた場合、個人情報の流出や銀行口座の不正利用など、信用問題に直結するケースが一般的です。
例えば、2020年9月にドコモ口座不正利用の問題が表面化しました。銀行口座の情報を不正に入手した者が、被害者になりすましてドコモ口座を開設、開設したドコモ口座と被害者の銀行口座を連携し、銀行から出金が可能になるといった事件です。不正アクセスにより得た情報は何に利用されるかわかりません。一度漏れた情報が漏れてしまうと、取り返しのつかない事態を招く可能性があります。

セキュリティパッチの管理・運用上の課題

セキュリティパッチの管理・運用は様々な課題がつきまといます。使用しているシステムやアプリケーションのバージョンアップにスケジュール調整や検証が必要なため、多くの工数が必要になること、情報セキュリティのリテラシー格差によって、OS毎にパッチのバージョンが違うなどが挙げられます。公開されたパッチを適用する必要があるのか判断するにも重要な課題です。

対象のOSやシステムにパッチを更新するだけと考えずに、パッチの内容やセキュリティリテラシーの格差を考慮することが、セキュリティパッチを適切に管理・運用するための一歩です。

セキュリティパッチの適切な管理・運用方法

セキュリティパッチを適切に管理・運用するための方法を解説します。企業システムだけでなく、個人の端末に適用する場合も有効な指針なので、意識して取り組んでみてください。 

セキュリティパッチが必要か判断

公開されたセキュリティパッチをOSやシステム、アプリケーションのバージョンや規格と比較し、適用する必要があるのか判断します。最新のセキュリティパッチを適用しておくことに越したことはありませんが、セキュリティパッチなら何でもいいわけではありません。パッチを適用することで逆に悪影響を与える可能性もあるため、事前の情報収集を怠ってはいけません。

パッチテストの実施

適用する時は必ずパッチテストを行います。パッチテストを行わずに本番環境に適用してから不具合が発生しては目も当てられません。人体においても、皮膚アレルギー検査の時にパッチテストは欠かさず行います。システムに対しても同様にパッチテストを行い問題がないことを確認してから本番環境へ適用します。

スケジュール調整

パッチを適用する際はスケジュールを調整します。特に個人用端末にパッチを適用する場合は、従事者によってパッチ適用を認知していない場合や、パッチ適用を怠る可能性があるからです。事前にスケジュール調整することで、意識的に実施することができます。また、大規模なシステムではスケジュール調整を怠ってしまうと、トラブルが発生する可能性があります。自部署では問題ない場合でも、他部署で大きなトラブルに発展するかもしれません。必ずスケジュール調整をした上で、事前のアナウンスを忘れてはいけません。

管理ツールによる自動化

人材が少なく、より効率的にセキュリティパッチを管理・運用したい場合はパッチ管理ツールの導入も視野に入ります。多くの管理ツールは、パッチの収集やパッチ適用状況の調査、セキュリティ診断を自動で行い、情報セキュリティの向上と工数削減を実現できます。また、環境が異なる場合においても、全ての端末・システム全体をリアルタイムで監視できるため、全社を通してセキュリティレベルの向上も期待できます。

まとめ

今回は、セキュリティパッチの重要性と管理・運用方法について、具体的なリスクを交えて解説しました。今後はより一層、より高水準な情報セキュリティを求められます。セキュリティパッチの適切な管理・運用方法をきっかけに、社内のセキュリティを見直してみることも大切です。