「このパッチ、当てたほうがいいですか?」
顧客からこう聞かれたとき、なんと答えますか。
教科書的な答えは決まっています。「セキュリティパッチは速やかに適用すべき」。それは正しい。
でも、現場はそう単純ではありません。
- 業務システムが動かなくなるかもしれない
- 検証環境がない
- 止められるのは月1回の夜間だけ
- そもそもパッチが多すぎて全部は追えない
正直に告白します。私も若いころは「当てるのが正解」と思っていました。でも実際には、当てることでシステムが止まった経験もあります。あのときは、パッチを当てた自分を責めました。
今は19年やってきて、判断の仕方が変わりました。今回は、現場で実際にどう判断しているかを書きます。
「すぐ当てる」が成立しない理由
まず、なぜ教科書通りにいかないのか。理由を整理します。
1. 業務システムとの互換性
パッチによって、既存のアプリケーションが動かなくなることがあります。特に古い業務システムや、ベンダー製のパッケージは要注意です。
「Windows Updateを当てたら基幹システムが起動しなくなった」——これは実際に起きます。
2. 検証環境がない
理想は、検証環境で試してから本番に当てることです。でも、コストの問題で検証環境を持っていない顧客は珍しくありません。
その場合、本番がぶっつけ本番になります。
3. 止められるタイミングが限られる
再起動が必要なパッチは、業務時間中には当てられません。夜間や休日に限られ、その調整だけで数週間かかることもあります。
4. 量が多すぎる
毎月出るパッチをすべて精査して当てるのは、現実的に不可能です。人手が足りません。
つまり、「全部すぐ当てる」は理想論です。現実には、優先順位をつけて判断するしかありません。
判断の軸は3つ
私が判断するとき、見ているのはこの3つです。
①脆弱性の深刻度
まず、そのパッチがどれくらい危険な穴を塞ぐものかを見ます。
判断材料になるのは、こういう情報です。
- CVSSスコア（9.0以上は最優先、7.0以上は要対応）
- 攻撃コードが公開されているか（PoCが出ていれば緊急度が跳ね上がる）
- 実際に攻撃が観測されているか（悪用が確認されていれば即対応）
- リモートから攻撃可能か（ローカル権限が必要なものより危険）
CVSSスコアだけで判断しないことがポイントです。スコアが高くても、その環境では攻撃経路がないケースもあります。
②自環境への影響度
次に、そのシステムが実際に狙われうるかを見ます。
- インターネットに公開されているか
- 該当の機能・サービスを使っているか
- 攻撃を受ける経路が存在するか
- 他の対策で緩和できているか（WAF、ネットワーク分離など）
たとえば、CVSS 9.8の脆弱性でも、その機能を無効化している環境なら影響しません。逆にCVSS 6.0でも、インターネット公開サーバーなら優先度は上がります。
同じパッチでも、環境によって緊急度は変わる。 ここを見ずに「スコアが高いから当てる」と機械的に判断すると、労力の割に効果が薄くなります。
③適用リスク
最後に、当てることによるリスクを見ます。
- 業務システムとの互換性に懸念があるか
- ベンダーの動作確認は取れているか
- 検証環境で試せるか
- 切り戻しができるか
- 再起動が必要か、業務停止時間はどれくらいか
パッチ適用は、それ自体が変更作業です。 変更にはリスクが伴う。このリスクと、当てないリスクを天秤にかけます。
実際の判断パターン
3つの軸を組み合わせると、だいたいこのパターンに分かれます。
パターンA：即時適用
深刻度が高く、攻撃が観測されていて、自環境が該当する場合。
このときは、多少のリスクを取ってでも当てます。緊急メンテナンスを申請してでも対応する。
判断基準の目安：CVSS 9.0以上 + 攻撃コード公開 + インターネット公開環境
パターンB：次回定期メンテで適用
深刻度はあるが、緊急性が低い場合。または、影響を受ける経路が限定的な場合。
月次の定期メンテナンスのタイミングでまとめて当てます。これが一番多いパターンです。
パターンC：検証してから判断
業務システムへの影響が懸念される場合。
ベンダーに確認する、検証環境で試す、他社事例を調べる——確認してから適用を判断します。
パターンD：適用しない（別の対策を取る）
適用リスクが高く、当てると業務に支障が出る場合。
このときは、代替策で緩和します。
- ネットワークで該当ポートを遮断する
- 該当機能を無効化する
- アクセス制限を強化する
- 監視を強化して、異常を早期検知する
「当てない」も選択肢です。 ただし、必ず代替策とセットにする。何もしないのとは違います。
顧客にどう説明するか
判断できても、顧客に伝わらなければ意味がありません。
ここが実は一番難しい部分です。
避けたい伝え方
「CVSSスコアが8.8なので、適用を推奨します」
技術的には正確ですが、顧客の情報システム担当者は、これを社内で説明できません。上長に「CVSSって何?」と聞かれて終わります。
伝わる伝え方
「この脆弱性は、外部から攻撃を受けると管理者権限を奪われる可能性があります。すでに攻撃手法が公開されているため、早めの適用を推奨します。適用には再起動が必要で、業務停止は約30分です」
ポイントは3つです。
- 何が起きうるか（技術用語ではなく、被害の内容で）
- どれくらい緊急か（判断の根拠を添えて）
- 適用にかかるコスト（停止時間、作業時間）
顧客は、この3点で判断します。 数字だけ渡しても動けません。
「当てない」判断をするときの注意点
パターンDを選ぶとき、必ずやっていることがあります。
1. 判断理由を文書で残す
なぜ適用しないのか、代わりに何をするのか。これを記録に残します。
後になって「なぜ当てなかったのか」と問われたとき、判断の根拠がなければ、単なる怠慢に見えます。
2. 顧客の合意を取る
適用しない判断は、こちらだけで決めてはいけません。リスクを説明し、顧客に判断してもらう。
「リスクを認識したうえで、今回は適用を見送る」という合意があるかどうかで、後の状況がまったく変わります。
3. 再検討のタイミングを決める
「今回は見送り」を、そのまま放置しないこと。
「次回のシステム更改時に対応する」「3ヶ月後に再評価する」——期限を切っておかないと、永遠に残ります。
パッチ適用を回しやすくする準備
最後に、日頃からやっておくと楽になることを書きます。
1. 適用ルールを事前に決めておく
「CVSS 9.0以上は緊急対応、7.0以上は次回定期メンテ」といった基準を、あらかじめ顧客と合意しておきます。
都度判断するより、ルールがあるほうが早い。そして、緊急時に揉めません。
2. 定期メンテナンスの枠を確保しておく
月1回でも、定期的に止められる枠があると、パッチ適用は格段に回しやすくなります。
毎回ゼロから調整するのは、お互いに負担です。
3. 構成情報を最新に保つ
どのサーバーに何が入っているか。これがわからないと、脆弱性情報が出たときに影響範囲を判断できません。
地味ですが、ここが整理されているかどうかで、緊急対応のスピードが変わります。
まとめ
セキュリティパッチ適用の判断について、まとめます。
判断の3つの軸
- 脆弱性の深刻度 — CVSSスコア、攻撃コードの有無、悪用の観測
- 自環境への影響度 — 公開状況、該当機能の使用、代替の緩和策
- 適用リスク — 互換性、検証可否、切り戻し、停止時間
判断パターン
- A：即時適用 — 深刻度高 + 攻撃観測 + 該当環境
- B：次回定期メンテ — 深刻度あり、緊急性は低い（最多）
- C：検証してから判断 — 業務影響が懸念される
- D：適用しない — 代替策とセットで
顧客への伝え方
- 何が起きうるか（被害の内容で）
- どれくらい緊急か（根拠を添えて）
- 適用にかかるコスト（停止時間）
「当てない」判断の注意点
- 判断理由を文書で残す
- 顧客の合意を取る
- 再検討のタイミングを決める
パッチ適用は、正解が一つに決まらない領域です。
だからこそ、判断の軸を持っておくことが大事だと思っています。軸があれば、迷ったときに立ち返れるし、顧客にも説明できます。
「すぐ当てるべき」と「当てられない」の間で悩んでいる人の、参考になれば嬉しいです。
コメント