「パッチ管理」とは、企業の IT システムにソフトウェア更新を効率的に検出、配布、展開するためのプロセスとツールを表します。
私たちは、個人としての生活においてもあらゆる業界においても、常にインターネットを介してデータを送受信しています。 これはインターネットがハッカーの主要なターゲットとなることを意味します。ハッカーが Web ベースのアプリケーションやブラウザを介して情報にアクセスできるようになると、そこでインターネットセキュリティがそれを防ぐために機能します。 このタイプの IT セキュリティでは、ファイアウォール、マルウェア対策、スパイウェア対策、および類似のソフトウェアを使用して、悪意のあるソフトウェアが受信するインターネットトラフィックを監視します。
どんなソフトウェアでも、問題がないということはありません。 一般的に展開の前に実施される厳格なテストフェーズを経たアプリケーションでも、原因不明の欠陥や脆弱性が隠れていることがあります。このような欠陥や脆弱性の多くは、かなり長期にわたって判明しない可能性があります。 同様に、データセキュリティの脅威は常に進化しており、新たな攻撃ベクトルが編み出されることや、これまでは有効だったアプリケーションセキュリティ対策が古くなり無効になることがあります。
パッチにより、ソフトウェア自体のリリース後に、管理者はシステムとアプリケーションを更新し、メンテナンスと修復を実行して、パフォーマンスと使いやすさを向上させることができます。 パッチは IT 資産を最新の状態に維持するために欠かせませんが、多くの組織では、ソフトウェアとシステムのパッチの数が膨大であるために問題が発生する可能性があります。 関連するすべてのビジネステクノロジーを最新状態に維持しながら、既知のセキュリティ脆弱性がない状態にするために、組織はパッチ管理を使用します。
現代の組織は、コンピューティングソフトウェアに大きく依存しており、内部プロセスの簡素化、コミュニケーションの強化、パフォーマンス管理などの目的で数百～数千のアプリケーションが導入されている可能性があります。 これらすべてのアプリケーションのパッチ適用を手作業で管理するには、膨大な時間がかかり、専任のプロフェッショナルを主要なビジネス活動から引き離すことになります。 手作業でのパッチ管理では人的エラーも発生しやすく、脆弱性が露呈し、パッチ適用を怠った場合やパッチを誤って適用した場合にはアプリケーションのパフォーマンスが低下することがあります。
効果の高いパッチ管理ソリューションではこのような問題が解消されます。 パッチ管理では更新のトラッキングとインストールに自動化が適用され、組織はシステムとデバイスのソフトウェアパッチをすべて把握して監督できます。
いくつかの特定の領域におけるパッチ管理のメリットについて以下で説明します。
攻撃者は常に新たな手法を編み出し、悪用できる可能性があるセキュリティの弱点を探しています。 脆弱性が特定され、セキュリティ更新が公開されると、パッチ管理によりこれらの更新が即時に適用されるので、組織とその顧客に対するリスクが低減します。
新たな危険性の発生により、データの扱いと顧客のプライバシーに関連する新たな規制が必要となることがよくあります。 パッチ管理により、施行される新たな法律を組織が確実に順守するようになり、パッチ未適用 (つまり法規制に非準拠の) アプリケーションに起因する影響から組織が保護されます。
パッチが適用されていないシステムでは、バグやクラッシュが発生しやすくなります。 パッチ管理によりシステムが最新の状態で維持されるため、組織は意図しないダウンタイムの発生を懸念する必要がなくなります。
パッチの中には、セキュリティ、メンテナンス、修復に関連しないものもあります。開発者はよく、製品の機能強化のためにソフトウェアパッチで新機能をリリースします。 パッチ管理を導入していない場合、アプリケーションの機能を十分に利用できなくなる可能性があります。
ソフトウェア開発者は、ユーザーがすべてのパッチを適用して最新状態であることを想定しています。 実際にほとんどの開発者は、ユーザーが最新バージョンを使用していない場合には、システム保証の順守を拒否します。 同様に、一部のプロバイダーはパッチが適用されていないアプリケーションやシステムへのユーザーサポートの提供を拒否します。
パッチ管理には、前述の分野の改善と強化の他にも、さまざまなメリットがあります。 そのメリットは以下のとおりです。
多くのサイバー侵害は、パッチが適用されていない脆弱性に直接起因しています。 顧客データ保護の義務を怠る組織には法的責任が課される可能性があります。 適切なパッチ管理により、顧客の情報とこの情報を収集する組織にとって必要不可欠な防御を適用することができます。
顧客にとって、欠陥があり誤動作を起こすアプリケーションほどストレスが溜まるものはありません。 パッチ管理により、顧客対応の組織ではテクノロジー製品が期待どおりに機能し、バグや脆弱性が発生するとすぐに修正されるため、よりポジティブなカスタマーエクスペリエンスを実現できます。
パッチ管理で重要なのは、適用するパッチを特定することです。 効果的なパッチ調達により、パッチに関するインテリジェンスソースを監視し、リリースされた関連性のある更新を検出して適用できます。
実装する必要がある重要パッチバックログがあるが、パッチの実装に割り振ることができるリソースが限られている場合、パッチ管理を導入することで、種類、重要度、ベンダーなどの要素に基づいてパッチを優先順位付けできます。
自動化スケジュールにより、通常の営業時間外の期間を含めて更新の適用に最適なタイミングを決定できます。 これにより、システムのダウンタイムを最小限に抑えることができ、再起動を行うために生産性が低下することがなくなります。
パッチ管理により、パッチポリシーの利用、ネットワークステータス変更の追跡、不足パッチとパッチ適用失敗の特定が容易になり、すべての更新や予定されている更新をリアルタイムで完全に把握できます。 また、ボタン 1 つで詳細なレポートを生成できます。
効果的なパッチ管理とは、ロールアウトする新しい更新をインストールすることだけではありません。成功している組織は、効果的、効率的、そして経済的なパッチ適用を実現するために、パッチ管理戦略に従います。 パッチ管理戦略の主なステップを以下に示します。
- 関連するすべての IT 資産のインベントリを作成する
効果的なパッチ管理には、すべてのアプリケーションとオペレーティングシステム、それらのバージョンタイプ、IP アドレス、所有者、物理的な位置が含まれている包括的なインベントリが必要です。 ほとんどの IT 環境は変化するものであるため、頻繁な IT インベントリ作成をスケジュールすることで、すべての情報を正確かつ明確に維持できます。 - 資産のバージョンタイプを 1 つに標準化する
同じバージョンタイプのシステムやオペレーティングシステムを扱う場合、パッチの特定と適用はそれほど複雑ではありません。 可能な場合には常に資産を標準化します。これにより、以降の修復プロセスをよりスムーズに機能させることができます。 - すべてのセキュリティコントロールのインベントリを作成する
関連するすべての IT 資産を把握したら、次にこれらの資産を保護するために導入されている可能性があるすべてのセキュリティコントロールのインベントリを作成します。 各コントロールにより保護される対象と、それらが接続している資産を書き留めておいてください。 - 既知の脆弱性と資産を照合する
関連する各 IT 資産を、報告されたすべての脆弱性と比較します。 これにより、組織のセキュリティリスクを確認するときに使用できる重要な情報が判明します。 - リスクに基づいて優先順位付けを行う
既知の脆弱性と IT 資産を比較したら、次にパッチイニシアチブをその対応するリスクに基づいて分類し、優先順位を付けます。 その後、組織のニーズに応じて、最も重要なパッチをその他の重要性が低い更新よりも先にスケジュールすることができます。 - 安全な環境でパッチをテストする
場合によっては、パッチによってアプリケーション、システム、あるいは組織全体に悪影響を及ぼす想定外の問題が発生する可能性があります。 パッチを完全に導入する前に、管理されたラボ環境内で代表的なサンプルでパッチをテストします。 - 更新を適用する
パッチの検証が完了し、優先順位を付けたら、更新の適用を開始します。 特定の資産に対してパッチを一括して適用することが推奨されます。テストフェーズの後で問題が明らかになった場合は、その影響を限られた範囲に封じ込めておくようにしてください。 - 成功を揺るぎないものにするために追跡を継続する
パッチを実装したら、引き続き資産を追跡し、更新に伴って発生する可能性がある異常を監視します。
組織がその IT 資産に大きく依存している現在、パッチ管理プロセスに着手するときに慎重になることは理にかなっています。 以下のパッチ管理のベストプラクティスを考慮してください。
パッチ管理イニシアチブの背後に隠れた「理由」を明確に理解した上で、目的意識をもってパッチ管理に取り組むことで、すべての関係者がその成功に向けて尽力するようになります。 パッチ管理の重要性が十分に理解され、組織全体に周知されるようにします。 これにより、パッチ管理ソリューションが広く導入され、主要な意思決定者の支持を確実に得ることができます。
パッチ管理で積極的な役割を果たすチームや個人は、各自の義務と、責任を負う目標や測定基準を明確に理解しておく必要があります。
パッチ管理は、単なる理想にとどまらずに、測定可能であり説明責任が伴うものでなければなりません。 組織の契約 (サービスレベルアグリーメントを含む) によって、チームは目標に注力し、目標に向かって取り組むことができます。
アプリケーションとコンピューターシステムは非常に複雑です。新しい更新によって意図しない問題が発生する可能性は常に存在します。 新しいパッチをロールアウトするときには、必ずその前に管理された環境でテストを行ってください。 パッチの入念な検査が完了した後でも、最初に隔離されたコンピューターグループに適用してから、パッチをネットワーク全体に導入することが推奨されます。
前述したように、複数のチームと部門がパッチ管理の責任を担います。 これらの関係者間で効果的なコミュニケーションが行われることで、うまくいかない状況を防ぐことができます。 同様に、関係者全員の理解が一致した状態で作業が行われるように、技術用語を使用するときには共通の用語を確立することが重要です。
何事によらず言えることですが、関連するチームに対しパッチ管理ソリューションで障害が発生した場合の対策について計画を策定し、トレーニングを行うことをお勧めします。 IT チームや経営陣と協力してこのような計画を策定、発表し、この計画が可能な限り多くの状況に対応していることを確認します。
ビジネスソフトウェアは常に変化し、システムとアプリケーションの融合が着実に進んでいます。このようなシステムとアプリケーションが効果を最大限に発揮するためには、定期的な更新が必要です。 パッチ管理により、組織はリリースされたばかりのソフトウェアパッチを迅速に検出して実装できるようになり、パフォーマンスの低下と脆弱性の露呈の危険性を最小限に抑えます。 ただし、パッチ管理は解決策の一部にすぎません。 完全なサイバーレジリエンスを実現するため、成功している組織は ServiceNow の Security Operations (SecOps) を利用しています。
SecOps は、組織全体の安全なデジタルトランスフォーメーションのために「セキュリティオーケストレーション、自動化、対応」(SOAR) とリスクベースの脆弱性管理を採用しています。 SecOps により IT 部門はセキュリティ態勢の全体像を把握でき、オペレーションのアジリティを促進させ、リスクと IT 修復の優先順位付けを支援できます。 ビジネスは少なくとも利用しているソフトウェアと同程度に変動的であるため、SecOps では重要なアプリケーションがスケーラブルなパッケージにまとめられます。これにより、組織の成長とともにソフトウェアを容易に拡大でき、変化するニーズに対応できます。
ServiceNow によってパッチ管理は変革し、サイバーレジリエンスはかつてないレベルに達しています。 Security Operations の詳細をご覧になり、セキュリティ態勢を最適化してください。
脅威をより迅速に特定し、優先順位を付けて対応します。