パッチとは、バグを修正したりセキュリティホールを塞いだりするソフトウェアアップデートのことです。ベンダーは欠陥を発見するとパッチをリリースします。欠陥が軽微でパッチの適用が定型的な場合もあれば、重大な欠陥でパッチの適用が緊急を要する場合もあります。この違いは重要です。インターネットに接続されたサービスのリモートコード実行の脆弱性は、数時間以内にパッチを適用する必要があります。一方、内部ツールの軽微なバグであれば、次のメンテナンスまで待つことができます。

パッチ適用は必須です。成功した攻撃の大部分は、パッチが既に提供されていた既知の脆弱性を悪用しています。2017年のWannaCryは、Microsoftが2か月前にパッチを適用していたWindowsの脆弱性を悪用して拡散しました。パッチを適用していなかった組織は被害を受けましたが、適用していた組織は被害を免れました。毎年同じパターンが繰り返されます。攻撃者は、パッチ未適用のシステムを容易に標的にするため、それらを狙って攻撃を仕掛けます。パッチ適用は地味な作業です。テスト、スケジュール調整、そして時には再起動が必要になります。しかし、他のほとんどすべてのセキュリティ対策よりも多くの侵害を防ぐことができます。

パッチカテゴリ

• セキュリティパッチ - 脆弱性の修正、最優先事項
• バグ修正 — 機能上の不具合を修正
• 機能アップデート — 新機能の追加、リスクを伴う可能性あり
• ファームウェアパッチ — ハードウェアレベルのコードを更新する
• 緊急パッチ ― 重大な欠陥に対する帯域外リリース

パッチを広く展開する前に、必ずテストを実施してください。重要なアプリケーションを破損させるパッチは、それ自体が重大なインシデントです。