パッチ管理の始め方 — PC・スマホ・機器・WordPressの更新漏れを防ぐ仕組みと費用【中小企業向け】

パッチ管理とは、パソコン・スマホ・ネットワーク機器・WordPressなど会社が使うあらゆる機器とソフトの「更新」を、漏らさず、順番を決めて、記録を残しながら進める仕組みのことである。 更新は製品の不具合直しだけでなく、すでに知られている脆弱性（セキュリティ上の弱点）をふさぐ役割を持つ。攻撃者は、修正プログラムが公開されたあとも更新されずに残っている機器を狙うため、更新漏れは事故に直結しやすい。10〜50人規模の会社でも、最初の一歩は難しくない。まず機器とソフトの一覧を作り、自動更新に任せてよいものと、確認してから当てるものを分け、月に1回の確認日を決める。これだけで、更新漏れの大半は減らせる。費用は、手作業で回す内製なら追加0円から、管理ツールを入れて月数千円から数万円、外注で月数万円からが一般的な相場の目安である。本記事では、更新漏れが事故につながる理由、棚卸しの方法、対象別の更新頻度、脆弱性情報の集め方、サポート切れ機器の扱い、3つの運用方式と費用、立ち上げの5ステップ、よくある失敗、チェックリストを、IT担当者がいない会社向けに整理する。

ソフトウェアの脆弱性は、発見されると開発元が修正プログラム（パッチ）を公開し、その存在と内容が広く知られる。ここで重要なのは、修正が公開された時点で、弱点の場所も世の中に知られてしまうことである。攻撃者の側から見れば、パッチの内容を手がかりに、まだ更新していない相手を探して順に試せばよい。つまり、更新が遅れた会社ほど「狙いやすい相手」になる。

特に狙われやすいのは、インターネットに面した機器である。たとえばテレワーク用のVPN機器、拠点間をつなぐルーター、外部から見えるUTM（統合脅威管理装置）、公開しているWordPressなどのCMS（コンテンツ管理システム）が該当する。これらは外から直接アクセスできるため、既知の脆弱性が残っていると、パスワードが破られなくても侵入されることがある。実際に、公的機関やセキュリティ組織からも、ネットワーク機器やCMSの既知の脆弱性を悪用した被害について、繰り返し注意喚起が出されている。

もうひとつ見落としやすいのが、普段意識しない機器である。複合機、NAS（ネットワーク接続型のファイル置き場）、社内のスイッチングハブ、防犯カメラやレコーダーなどは、導入後に一度も更新されないまま何年も動いていることが多い。担当者が決まっておらず、「誰も更新していない」状態になりやすいからである。

更新を放置する理由は、たいてい悪意ではなく、次の3つに集約される。

- どこに何があるか分からない（機器やソフトの一覧がない）
- 更新して業務が止まるのが怖い（動いているものを触りたくない）
- 誰の仕事か決まっていない（総務、現場、取引業者の間で責任が宙に浮く）

この3つは、仕組みで解消できる。以降では、棚卸しで1つ目を、更新の分け方で2つ目を、担当と日程の固定で3つ目を、それぞれ解決していく。機器の一覧づくりそのものはIT資産管理の始め方で詳しく扱っているので、あわせて参照してほしい。

更新管理の出発点は一覧表である。一覧にないものは、更新されないまま忘れられる。完璧を目指さず、まずは次の8つの区分について、「何が」「どこに」「誰が使っているか」を書き出す。

- パソコンとOS：Windows、macOS。社員の人数分に加え、予備機、共用機、自宅利用のものも含める
- スマホ・タブレット：会社支給と、私物を業務に使っているもの（BYOD）の両方
- ブラウザと周辺ソフト：Chrome、Edge、PDF閲覧ソフト、圧縮解凍ソフトなど
- Microsoft 365やGoogle Workspaceなど：クラウド側で更新される部分と、手元に入れるアプリ（Officeなど）の部分に分けて見る
- ネットワーク機器：ルーター、UTM、VPN機器、スイッチングハブ、Wi-Fiアクセスポイント
- NAS・複合機・周辺機器：ファイルサーバー代わりのNAS、複合機、防犯カメラ、レコーダー
- WordPressなどのWebサイト：本体、テーマ、プラグイン。サーバー側のPHPやOSの更新も含む
- 業務ソフト・基幹システム：会計、販売管理、勤怠、自社開発のシステムなど

棚卸しでは、機器の名前だけでなく、次の項目を控えておくと、後の判断が速くなる。

- 製品名と型番、ソフトのバージョン
- 設置場所と、日常の管理担当者
- 導入した業者・販売元（保守契約の有無を含む）
- メーカーのサポート期限（分からなければ「不明」と書く）
- インターネットから直接アクセスできるか（できるものは最優先）

書き出す手間を減らすには、スプレッドシート1枚で十分である。台帳の項目の決め方はIT資産管理の始め方に例がある。ここで「サポート期限が不明」と「ネットから見える」の2つに印を付けておくと、後述する優先順位づけに使える。

対象によって、更新の仕組みも、おすすめの頻度も異なる。次の表は一般的な目安であり、実際の頻度は業務への影響や契約内容に合わせて調整してほしい。重大な脆弱性（メーカーが緊急と案内するもの）が出たときは、定例の日を待たずに臨時で対応する。

頻度に幅があるのは、機器によって「止まったときの影響」と「狙われやすさ」が違うからである。インターネットに面した機器と、社内だけで使う機器とでは、前者を短い周期にするのが基本である。

更新を全部手作業にすると続かない。かといって全部自動にすると、業務が止まる事故を起こすことがある。そこで、止まったときの影響が小さいものは自動、大きいものは検証してからと分ける。

検証といっても、大がかりな環境は要らない。中小企業の現実的な方法は、先に1〜2台だけ当てて、数日様子を見てから全体に広げるやり方である。Windowsなら、社内で一番影響が小さい端末（総務担当者の端末など）を「先行端末」にするだけでも効果がある。ネットワーク機器は、更新前に設定のバックアップを取り、更新後に使う機能を一通り試せるチェック項目を作っておく。

更新後に元へ戻せるかどうかも、事前に確認したい。ファームウェアには「前のバージョンに戻せるもの」と「戻せないもの」があり、戻せない機器は特に慎重に扱う。失敗したときの連絡先（販売元や保守業者）も、更新の前に控えておくとよい。

「どの更新が重要か」を判断するには、脆弱性の情報に触れておく必要がある。ただ、全部を毎日読むのは現実的ではない。中小企業は、自社が使っている製品に関する情報だけを、決まった窓口で受け取る形にするとよい。

実務のコツは3つある。1つ目は、台帳に載せた製品名を見ながら、通知の登録先を一度に設定してしまうことである。2つ目は、確認する曜日と時間を決めて、毎週15分だけ見ることである。3つ目は、「悪用が確認されている」「緊急」「重要」といった表現が付いた情報だけは、定例日を待たずに対応の要否を判断することである。製品が自社にあるかどうかは、台帳を引けばすぐに分かる。台帳があるから情報が活きる、という関係である。

なお、自社にどのような弱点が残っているかを外部の目で調べる方法として、脆弱性診断がある。費用の考え方は脆弱性診断の費用相場と選び方で解説している。パッチ管理は日々の更新、診断はその結果を第三者が確かめる位置づけで、役割が異なる。

棚卸しで見つかりやすいのが、メーカーのサポートが終わった機器とソフトである。サポートが終わると、新しい脆弱性が見つかっても修正プログラムが出なくなる。つまり、更新しようにも更新が存在しない状態である。パッチ管理では、更新できるものを更新する努力よりも、更新できないものを早く見つけて入れ替える判断のほうが重い。

対応の優先順位は、次のように考える。

- 最優先：インターネットに面したサポート切れ機器（古いVPN機器、古いルーター、公開しているOSの古いサーバー）。入れ替えか、外部から使えないようにする
- 次に優先：社内だけで使うが、業務上重要な機器（基幹システム用のサーバー、NAS）。入れ替えの計画を立て、それまでは外部との接続を切る
- 計画的に対応：影響が小さいサポート切れ機器。更新時期に合わせて入れ替える

すぐに入れ替えられない場合の一時的な対策としては、機器をインターネットから切り離す、社内の他の機器から隔離したネットワークに置く、使う人と用途を限定する、といった方法がある。ただしこれは時間をかせぐ手段であり、根本的な解決ではない。サポート期限の調べ方と、入れ替えの段取りはサポート終了（EOL）対応ガイドにまとめている。

ネットワーク機器の入れ替えを検討するときは、UTMなどの費用の目安も気になるところである。UTM・ファイアウォールの費用で、導入形態ごとの考え方を整理している。

更新管理を誰が、どの道具で回すかは、大きく3方式に分かれる。費用は規模、機器の数、契約内容で変わるため、以下は一般的な相場の「目安」として幅を持たせて示す。実際の金額は、必ず見積もりで確認してほしい。

①の内製は、費用がかからない代わりに、担当者に仕事が集中する。担当者が退職や休職をすると運用が止まるため、手順書と台帳を共有の場所に置いておく。②の管理ツールは、端末の更新状況が一覧で見られる点が最大の利点である。スマホを含む設定管理の考え方はスマホのMDM導入ガイドで解説している。③の外注は、何を任せて何を自社に残すかを契約前に明確にする。たとえば「更新の実施」まで頼むのか、「通知と報告」だけなのかで、費用は大きく変わる。

実際には、方式を組み合わせるのが現実的である。たとえば、パソコンとスマホは②で一括管理し、ネットワーク機器とWordPressは③の業者に任せ、全体の台帳と判断は①として自社で持つ、といった形である。判断（何を・いつ更新するか）は自社に残し、作業は外に出すという分け方は、責任の所在が明確になりやすい。

費用を比べるときは、ツールの月額だけでなく、次の隠れたコストも見る。

- 初期設定と、端末への導入作業にかかる手間
- 更新が失敗したときの復旧にかかる時間と費用
- 更新作業を休日・夜間に行う場合の割増料金
- ツールの契約人数や台数の下限（小規模では対象外になる製品もある）

最初から完成形を目指さず、次の順に進める。1か月で1周まわすことを目標にするとよい。

ステップ1：担当者と連絡窓口を決める（1日）。 更新管理の担当者を1人と、代理を1人決める。ベンダーからの通知メールの宛先も、個人のアドレスではなく、共有のアドレスにしておくと、退職や異動の影響を受けにくい。経営者が「これは仕事である」と明言することが、運用を続けるうえで効く。

ステップ2：棚卸しをして台帳を作る（1〜2週間）。 前述の8区分について、機器とソフトを書き出す。分からない項目は「不明」のままでよい。「ネットから見えるか」「サポート期限は」の2点を、最初に埋める。

ステップ3：優先順位を付ける（半日）。 「ネットから見える」かつ「サポート切れ・期限不明」のものを最優先にする。次に、業務への影響が大きいもの、最後にその他、の順に並べる。この時点で、すぐに入れ替えが必要なものが見つかることもある。

ステップ4：自動更新を整え、定例日を決める（1週間）。 自動更新に任せるもの（OS、ブラウザ、スマホ）の設定を確認し、有効にする。検証してから当てるもの（ネットワーク機器、NAS、WordPressなど）には、月1回の定例日を設定する。先行端末と、更新の手順書もこの段階で作る。

ステップ5：記録を残し、月次で見直す（継続）。 更新したら、日付、対象、バージョン、結果を台帳に1行書く。月に1回、「更新できていないもの」「サポート期限が近いもの」を確認し、経営者に5分で報告する。この報告があると、予算の確保や入れ替えの判断が早くなる。

とくに多いのが、更新を「入れたつもり」で終わらせる失敗である。ダウンロードだけして再起動していない、管理画面で「更新あり」と出たまま放置している、といったケースは、現場の見落としとして起きやすい。台帳に「適用後のバージョン」を書く習慣が、この確認を兼ねる。

次の項目に、いくつ「はい」と答えられるかで、現在地を確認できる。すべて埋まっていなくても構わない。空いているところが、次にやることである。

- 更新管理の担当者と代理が決まっている
- 機器とソフトの台帳があり、年に1回以上更新している
- インターネットから直接アクセスできる機器を把握している
- 各機器のサポート期限を控えている（不明なものは調査中と記載）
- パソコン、スマホ、ブラウザは自動更新が有効になっている
- ルーター、UTM、VPN機器、NASのファームウェアの確認日を決めている
- WordPressの本体とプラグインを、週に1回は確認している
- 更新前に、設定とデータのバックアップを取っている
- 先行端末で試してから全体に広げる手順がある
- ベンダーの通知メールを、共有アドレスで受け取っている
- JVNやIPAなどの情報を、決まった曜日に確認している
- 更新の記録（日付、対象、バージョン、結果）を残している
- サポート切れの機器について、入れ替えの計画または代替策がある
- 月1回、更新状況を経営者に報告している