Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第7部 7-5

パッチ管理とは｜Windowsやソフトの更新を、どの順でいつまでに当てるか

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • Windowsやソフトの更新を社員任せにしているとき
  • VPN機器やルーターの更新を、誰がいつ確認するか決まっていないとき
  • 取引先のチェックシートで「パッチ適用のルール」を聞かれたとき

読み終えたあと、社内でこう言えます

「更新の順番と期限を決め、全台に当たったかを確認しました」

結論：パッチ管理とは、OSやソフトの修正プログラムを、決めた順番と期限で漏れなく当て、当たったことを確かめる運用です。順番は「攻撃に使われているもの」と「社外から見える機器」が先です。期限は会社で決めます。たとえば緊急なら数日以内、通常は月1回のように2段に分けると回しやすくなります。社員任せにせず、担当者が月1回、全台に当たったかを確かめるところまでが運用です。

パッチ管理は、台帳・情報を集める・優先度を決める・当てる・確かめるの5つの手順で回す

なぜ更新を社員任せにすると漏れる？

パッチ（修正プログラム）とは、ソフトの欠陥を直すための更新です。セキュリティ上の欠陥は脆弱性（ぜいじゃくせい）と呼ばれ、放っておくと攻撃の入り口になります。社員任せにすると、次のような漏れが起きます。

米国国立標準技術研究所（NIST）のパッチ管理の指針SP 800-40 Rev.4（2022年4月）は、パッチ適用を機械の定期点検と同じ「予防保守」として扱うよう勧めています。事故が起きてから慌てて当てるのではなく、毎月の決まった仕事にするという考え方です。

パッチ管理の手順は？（5つの手順）

中小企業でも回せる形にすると、次の5つになります。

  1. 台帳をつくる：パソコン、サーバー、VPN機器、ルーター、使っているソフトと版を書き出します。作り方は情報資産台帳のつくり方の節で扱います。
  2. 情報を集める：IPAの「重要なセキュリティ情報」、脆弱性情報のポータルサイトJVN（Japan Vulnerability Notes）、各メーカーのお知らせを、担当者が週1回見ます。
  3. 優先度と期限を決める：下の表の区分に当てはめます。
  4. 当てる：まず数台で試し、業務ソフトが動くかを確かめてから全台に広げます。
  5. 確かめる：管理画面や一覧で、全台に当たったかを見ます。当てられない端末は理由と期限を記録します。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）は、更新を速やかに適用する運用を定めることに加え、サポート期限を定期的に確かめることも求めています。社内のソフトが最新かは、IPAのMyJVNバージョンチェッカでも確かめられます。

どれから先に当てる？優先順位の決め方

全部を同時に当てるのは難しいので、順番をつけます。目安は次のとおりです。期限は一例で、会社の規模や業務に合わせて決めてください。

区分当てはまるもの期限の目安（例）
緊急攻撃に使われていると公表された脆弱性。IPAの「緊急」、米国CISAのKEVカタログに載ったもの数日以内。当てられないなら機能を止める
高VPN機器、ルーター、公開しているWebサイトなど、社外から直接届く機器の脆弱性2週間以内
通常Windowsの月例の更新、ブラウザ、業務ソフト月1回、翌月までに全台
計画大型の機能更新、業務ソフトとの相性の確認がいるもの試してから、次の四半期まで

KEVとは？攻撃に使われている脆弱性の一覧

KEV（Known Exploited Vulnerabilities）カタログは、米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）が公開している、実際の攻撃に使われた脆弱性の一覧です。CISAは、民間を含むすべての組織に、この一覧の脆弱性を優先して直すよう勧めています。

CISAは2021年の指令BOD 22-01で、米国の連邦政府機関に期限を課しています。2021年以降に番号が振られたものは2週間以内、それより前のものは6か月以内です。日本の中小企業に義務はありませんが、期限を決めるときの物差しとして使えます。

指標何が分かるか
CVSS（共通脆弱性評価システム）脆弱性そのものの深刻さ。0〜10点で、高いほど深刻
EPSS今後30日以内に攻撃に使われる見込み。FIRSTが毎日公開している
KEV・IPAの「緊急」すでに攻撃に使われているという事実

CVSSが高くても、攻撃に使われていないものもあります。「深刻さ」と「実際に使われているか」の両方を見るのが、順番づけのこつです。

たとえば社員25人の設計事務所では（架空の例）

社員がそれぞれWindows Updateを押していた設計事務所を考えます。Microsoftの月例の更新は、日本では毎月第2水曜日ごろに出ます。IPAも2026年10月14日（水）に「Microsoft 製品の脆弱性対策について（2026年10月）」を「緊急」で出しました。この事務所は、次のように決めました。

  1. 月例の更新が出た週の水曜に、担当者がIPAの情報を読む。
  2. 担当者と設計リーダーの2台で先に当て、CADが動くかを2日間確かめる。
  3. 翌週の月曜までに全台へ。金曜の終業時に再起動する決まりにする。
  4. VPN機器はメーカーのお知らせを週1回見て、更新が出たら2週間以内に当てる。

試す期間を置くと、業務が止まる心配が減ります。VPN機器の確かめ方はVPN機器の点検にまとめています。

サポートが終わったOSや機器はどうする？

サポートが終わると、修正プログラムそのものが出なくなります。パッチ管理では当てようがないので、入れ替えるか、使い方を限るしかありません。

たとえばWindows 10は、2025年10月14日にサポートが終わりました。Microsoftは個人向けに有償の延長更新（ESU）を用意していますが、会社で管理している端末は個人向けの対象外です。法人向けの延長の条件は、契約先に確かめてください。

対象確かめること
パソコンのOS版とサポート期限。期限の半年前に入れ替えの予算を取る
業務ソフト今の版がいつまで更新を受けられるか
VPN機器・ルーターメーカーのサポート終了（EOL）の予定
入れ替えられないものインターネットから切り離す、使う人を限る、などの代わりの対策と、その記録

入れ替えられない機器を残すと決めたら、それは「残ったリスク」です。社長に判断してもらう書き方は残留リスクとリスクの受容の節にまとめています。

チェックシートではこう聞かれる

よくある設問答え方の例
OSやソフトウェアのセキュリティパッチを適用するルールはありますか。はい。月例の更新は翌月までに全台、攻撃が確認された脆弱性は数日以内と定め、担当者が月1回適用状況を確かめています。
脆弱性情報を定期的に収集していますか。はい。担当者が週1回、IPAの「重要なセキュリティ情報」と、使用機器のメーカー情報を確認しています。
サポートが終了したOSやソフトウェアを使用していませんか。使用していません。台帳でサポート期限を管理し、期限の半年前に入れ替えを計画しています。
ネットワーク機器のファームウェアを最新にしていますか。いいえ。現在は不定期です。〇月から、VPN機器とルーターを月1回の確認対象に加えます。

3つ目の設問は「していませんか」と否定の形で聞いています。「はい／いいえ」が逆にならないよう、文で答えると誤解されません。

試験ではここが問われる

SG・支援士・Security+ 4・CISSP 7

  • パッチ管理の流れ：情報収集→影響の評価と優先度づけ→検証（テスト環境）→適用→確認。SGでは「組織が定めたパッチ適用基準に基づいて適用を進める」ことが問われます。
  • 指標の区別：CVSSは深刻さ、EPSSは今後30日の悪用の見込み、KEVは悪用されたという事実。
  • ゼロデイ攻撃：修正プログラムが出る前に、脆弱性を突く攻撃。パッチだけでは防げず、多層の対策で補います。
  • サポート終了（EOL・EOS）：修正が出なくなるため、入れ替えか、隔離などの代わりの対策が必要。
  • 関連用語：SBOM（ソフトウェア部品表）を使うと、どの製品に影響する部品が入っているかを探しやすくなります。

確認問題

問1 米国CISAが公開しているKEVカタログの説明として、最も適切なものはどれですか。

  1. ア すべての脆弱性に0〜10点の深刻度を付けた一覧
  2. イ 実際の攻撃に使われたことが確認された脆弱性の一覧
  3. ウ 今後30日以内に悪用される確率を毎日計算した一覧
  4. エ ソフトに含まれる部品とその版を並べた一覧
答えと解説
正解：イ　KEVは「悪用が確認された」脆弱性の一覧です。アはCVSS、ウはEPSS、エはSBOMの説明です。

問2 社員30人の物流会社（架空）で、VPN機器の脆弱性が攻撃に使われているとメーカーが公表しました。修正版はまだ出ていません。最初の対応として最も適切なものはどれですか。

  1. ア 修正版が出るまで、何もせずに待つ
  2. イ 月例の更新日まで待ち、ほかの更新とまとめて対応する
  3. ウ メーカーが示す回避策を当てるか、使わない機能を止め、修正版が出たらすぐ当てる
  4. エ CVSSの点数が分かるまで判断を保留する
答えと解説
正解：ウ　悪用が確認され、社外から届く機器なので最優先です。修正版がなければ回避策や機能の停止でしのぎます。アとイは攻撃を受ける期間を延ばします。エについて、悪用の事実があれば点数を待つ理由は薄くなります。

問3 パッチを全台に当てる前に、一部の端末で先に適用する主な目的はどれですか。

  1. ア 脆弱性の深刻度を計算するため
  2. イ 業務ソフトが正しく動くかなど、副作用を確かめるため
  3. ウ ライセンスの数を数えるため
  4. エ 攻撃者に気づかれないようにするため
答えと解説
正解：イ　更新で業務ソフトが動かなくなることがあるため、先に一部で試します。試す期間は、緊急度に応じて短くします。ほかの選択肢は、先行適用の目的ではありません。

よくある質問

Windows Updateを自動にしておけば、パッチ管理は不要ですか？
いいえ、自動にしても確認は必要です。再起動が先送りされて当たっていない端末や、更新が失敗している端末が出るからです。また、ブラウザ以外のソフトやVPN機器は、Windows Updateの対象外のことが多いです。
パッチはいつまでに当てればいいですか？
法律で決まった期限はなく、会社ごとに決めます。目安として、攻撃に使われているものは数日以内、社外から届く機器は2週間以内、月例の更新は翌月までに全台、と分けると回しやすくなります。決めた期限は文書にし、守れなかったときは理由を記録します。
更新したら業務ソフトが動かなくなるのが心配です。
先に1〜2台で試してから全台に広げてください。試す期間は通常の更新で2〜3日が目安です。問題が出たら、業務ソフトのメーカーに対応の予定を聞き、それまでの代わりの対策を決めます。

この記事のまとめ

パッチの設問の回答づくりは任せて、確認だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の更新の運用に合わせた回答を作ってお返しします。ルールが未整備の項目は、期限の決め方と予定の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. NIST「SP 800-40 Rev. 4 Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology」（2022年4月）
  2. CISA「Reducing the Significant Risk of Known Exploited Vulnerabilities」（KEVの説明と掲載基準）
  3. CISA「BOD 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities」（2021年11月）
  4. IPA「重要なセキュリティ情報」
  5. JPCERT/CC・IPA「JVN（Japan Vulnerability Notes）」
  6. IPA「MyJVN（MyJVNバージョンチェッカ）」
  7. FIRST「Exploit Prediction Scoring System（EPSS）」
  8. Microsoft「Windows 10 のサポート終了」
  9. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
  10. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.1