手間をかけずにアップデートを管理する
攻撃の多くは、ベンダーが既に修正済みの脆弱性を悪用しています。そのため、アップデートを迅速に適用することは、体制さえ整えれば最も費用対効果の高い対策のひとつです。
Kayzen Security編集チーム読了時間：3分
なぜそれほど重要なのか
ベンダーがセキュリティパッチを公開すると、それは事実上、脆弱性の存在を明らかにすることになります。攻撃者はこうしたパッチを分析し、まだ適用していない端末を狙います。公開から悪用までの期間は非常に短いことがあります。
ANSSIの情報衛生ガイドは、ソフトウェアの定期的なアップデートを基本的な対策のひとつに位置づけています。
優先的にアップデートすべきもの
- オペレーティングシステム（Windows、macOS、Android、iOS）と、メーカーが提供している場合はファームウェア（BIOS/UEFI）。
- ブラウザーとその拡張機能：最も攻撃にさらされやすい入口です。
- 外部から届いたファイルを開くソフトウェア：オフィススイート、PDFビューアー、メールソフト、圧縮ツール。
- ネットワーク機器：ルーター、VPN、NAS。インターネットからアクセスできるにもかかわらず、忘れられがちです。
- 業務アプリケーションとWebサイトのプラグイン。
ご家庭では：自動化する
- 自動アップデートを有効にしたままにし、定期的に再起動してください。多くのパッチは再起動時にしか適用されません。
- 使わなくなったソフトウェアはアンインストールしましょう。インストールされていないソフトウェアはアップデートの必要がありません。
- 端末のサポート終了日を確認してください。古いスマートフォンや、サポートが終了したWindowsのバージョンは脆弱なままです。
小規模事業者・中小企業では：体制を整える
- 端末とインストール済みソフトウェアの最新のインベントリを維持する：把握していないものは修正できません。
- 段階的に展開する：まず数台のテスト端末に適用し、数日後に残りの端末へ展開して、問題のあるパッチがないかを確認する。
- メンテナンス時間帯と期限を決める：たとえば、緊急パッチは数日以内、その他のパッチは1か月以内。
- 失敗を追跡する：何週間も再起動されていない端末や、アップデートに失敗する端末はアラートとして上がるようにする。
- 記録を残す：適用したパッチの一覧は、保険会社や監査に対する有用な証拠になります。
アップデートは提供元からのみダウンロードする
見知らぬサイトで「プレーヤーをアップデートしてください」と促すポップアップは、典型的な罠です。正規のアップデートは、システム、アプリストア、またはベンダーの公式サイトを通じて提供されます。
公式情報源
- ANSSI （新しいタブ） — Agence nationale de la sécurité des systèmes d'information — guides et publications
- Cybermalveillance.gouv.fr （新しいタブ） — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
引用した資料は、各発行元が原語で公開しているものです。Kayzen はこれらの機関のいずれとも提携していません。
本ガイドは一般的な情報提供を目的としたものです。法的助言や情報セキュリティ専門家による対応に代わるものではありません。