2016年05月16日 08時00分 UPDATE
特集/連載

パッチ疲れ解消の第一歩は……もう管理しきれない……企業にまん延する「パッチ疲れ」が深刻化

2015年、Microsoftは535個のパッチをリリースした。各パッチの必要性や当てたときの影響を調べてサーバやクライアントに適用することに、企業は限界を感じている。

[Warwick Ashford,Computer Weekly]
Computer Weekly

 企業の情報セキュリティのリスクを最小限に抑える上で重要なのが、パッチ管理だ。だが、ソフトウェアのアップデートに苦慮している企業は多い。

Computer Weekly日本語版 5月11日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版 5月11日号」(PDF)掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

なお、同コンテンツのEPUB版およびKindle(MOBI)版も提供しています。

ボタンボタン

 Dimensional ResearchとTripwireの脆弱(ぜいじゃく)性およびリスク調査チーム(VERT:Vulnerability and Exposure Research Team)がITプロフェッショナルを対象に調査を実施した。この調査には480人以上が参加し、パッチを最新状態に保つのに苦労している、またはパッチの量にうんざりすることがあるという回答が半数に上った。

 また、クライアント側のパッチがリリースされるペースを管理できないと感じている回答者や、パッチの適用と脆弱性の解決の違いをITチームが理解していないと考える回答者も半数に達した。

 後者の内訳は、パッチの適用と脆弱性の解決の違いについてITチームの理解に問題があると回答したのが43%、2つの違いを認識していないと回答したのが7%だった。

 「パッチと脆弱性の関係は、ほとんどの人が考えるよりもはるかに複雑だ」とTripwireのITリスクディレクター兼セキュリティストラテジストのティム・アーリン氏は指摘する。

 「パッチによって特定のプラットフォームの脆弱性が複数解決されたとしても、解決されないプラットフォームが残ることもある。パッチとアップグレードが混同されている可能性もある。パッチとアップグレードは、対処する脆弱性が異なる場合も重複する場合もある」(アーリン氏)

パッチ管理と脆弱性管理

 調査報告書では、パッチ管理は一般にソフトウェアサプライヤーのセキュリティ報告や個別のパッチをチェックすること、脆弱性管理はパッチやセキュリティ報告を個別の脆弱性に切り分けることであると説明している。

 報告書は、「企業が適切にパッチを管理するには、脆弱性管理ツールとパッチ管理ツールの両方を使用して包括的なソリューションを実現する必要がある」としている。

 パッチ管理の複雑性は増し続けており、完全にパッチが適用された状態を実現して維持するのは一層難しくなっているとアーリン氏は指摘する。2015年、Microsoftは122種類のプラットフォームに対して535個のパッチをリリースし、501個の脆弱性を解決した。

この記事が気に入ったらTechTargetジャパンに「いいね!」しよう

この記事を読んだ人にお薦めのホワイトペーパー

この記事を読んだ人にお薦めの関連記事

Loading

注目テーマ

ITmedia マーケティング新着記事

news015.jpg

インターネットが好き過ぎる人々の夏
テクノロジーは日進月歩。技術に合わせて私たちのITリテラシーは進化しているのか。ネッ...

news061.jpg

ABM実現のためのデータマネジメントサービスでサンブリッジがリアライズと提携
サンブリッジとNTTデータグループのリアライズは、アカウントベースドマーケティングの実...

news018.jpg

「ラストクリック依存」はなぜ失敗するのか?
CPA(顧客獲得単価)の最適化という目標は達成できているのに肝心の収益には貢献していな...