「Windows 7／8.1」のアップデート方法が大幅変更へ、“先延ばし”はもうできない？

Microsoftの月例アップデート「Patch Tuesday」が2016年10月に大きく変わる。新しい方式によって、更新作業は簡素になるのか、かえって面倒になるのか。専門家の意見は分かれる。

公開 2016年09月21日 07時00分

著者

Michael Heller

[TechTarget]

印刷する

Windowsのアップデートというと必要性は認識されながらも、気が重い作業になりがちだ。新方式でどう変わるのだろうか

　2016年10月、Microsoftの月例アップデート「Patch Tuesday」の配布方法が大きく変わる。専門家からは、新しい方式では、企業が相互互換性の問題を回避するためにリスクにさらされかねないと警告する。

　Microsoftは「Windows 7」と「Windows 8.1」のアップデート方法を2016年10月以降、月例ロールアップ方式に変更すると表明している。この変更で「Internet Explorer」（以下、IE）とWindows、そして、「.NET Framework」向けの更新プログラムをそれぞれ別個のロールアップパッケージとして提供するようになる。

　変更によってアップデート作業を簡素化して更新の断片化を減らすことになるというのがMicrosoftの主張だが、この方式ではユーザーが適用するパッチを個別に選択できない。

　Windows 7／8.1の新しい更新方法は「Windows 10」で採用した更新プログラムの提供方法とよく似ている。ただし、ITセキュリティの専門家は「Windows 7／8.1向けのロールアップ方式はIT担当者にとって柔軟性がある」と主張している。

併せて読みたいお勧め記事

今も気になるWindows 10アップグレード

Windowsアップデートに関するトピック

　ITセキュリティ企業「Shavlik」の製品マネジャーを務めるクリス・ゲートル氏は、次のように指摘する。「Windows 10は、各月の累積的な更新プログラムに全てのアップデートを含む。10月以降に予定しているWindows 7／8.1の新しい更新方法と比べてWindows 10の更新方法は厳しい。少なくともWindows 7／8.1では毎月、IEとOS向けの累積的なロールアップを適用する代わりに、セキュリティのみのロールアップ更新プログラムを選択できる」

　Windows 7／8.1では、.NET Framework向けのロールアップも別途用意する。10月からの変更でWindows 7／8.1とWindows 10の更新方法の相違は少なくなるが、それでもまだWindows 10の制約は多い。

　Microsoftのパッチリリースは、これまでいろいろな方法を提供してきた。IT管理者はパッチをテストし、パッチが互換性の問題を引き起こさないか、既に使っているソフトウェアに新たな問題をもたらさないかを確認する必要がある。

　セキュリティ企業Tripwireのセキュリティ調査担当マネジャーを務めるタイラー・レグリー氏は、「IT担当者やセキュリティ担当者はWindows 10の更新方法に対して否定的だ」と説明する。Windows 7／8.1の更新が新たにロールアップ式に変わるからといって、テストの必要が減るわけではなく、「企業はテスト用に、本番環境を忠実に再現した大規模なテストラボを用意する必要がある。累積パッチを適用する過程で、必ず悪影響を受けるだろうから」とレグリー氏は警戒する。

　ただし、新しい更新方法のメリットを指摘する声もある。セキュリティ企業Core Securityでシステムエンジニアを務めるボビー・カズマ氏は、ユーザー企業の承諾なしに更新を強制し、更新を延期したい企業に追加の支払いを求めるWindows 10の手法には抵抗を感じている。だが自動更新の強制には大規模な予防措置と集団免疫の効果があるという。

　カズマ氏は「何百種類もの組み合わせをテストしなくても、アップデートを1つテストするだけで済む。ソフトウェアデプロイメントの一貫性を維持できれば、トラブルシューティングを簡素化でき、脆弱（ぜいじゃく）性管理の負担も減る」と語る。「確かに一部のソフトウェアで互換性の問題が起きるかもしれない。だが、それはベンダーの問題だ。MicrosoftのOSには複数のバージョンにわたって発生する脆弱性がある。Microsoftがそれだけ互換性の維持に注力しているということだ。そのため、バグのあるコードも次のバージョンに順次引き継ぐことになる」と同氏は続ける。

　新しい更新方法では、ユーザーに「互換性の問題が生じるリスクを覚悟の上で更新する」か「全く更新しないか」の選択を迫ることになりかねない。Windows 7／8.1向けの更新プログラムの適用にはオプションがあり、ユーザーは月例アップデートのインストールを遅らせることもできる。ただしその行動の効果は、アップデートを翌月のパッケージに持ち越すだけだ。

　ゲートル氏は、新しい更新方法はより多くのリスクをもたらす可能性があると指摘する。新方式では、セキュリティ情報の件数が減る一方で、セキュリティ情報1件に含むCVE（共通脆弱性識別子）の数、つまり脆弱性の件数が増えるからだ。

　「リスクの観点からすると、ソフトウェア互換性の問題を理由に更新を見送った場合、その影響はこれまで以上に大きくなる。大型なアップデート方式のセキュリティ更新プログラムを適用してもシステムに問題が生じないことを確認するために、企業はより厳しくソフトウェアの互換性をテストしなければならない。何か支障があるようなら、ベンダーには問題解決のプレッシャーが掛かることになる。これまで企業は1つか2つの脆弱性と引き換えに更新を見送ることがあったかもしれない。だがパッチを当てずに20個の脆弱性を放置するとなると、話は全く違う」とゲートル氏は危惧する。

　一方で、セキュリティ企業Qualysで脆弱性ラボ担当ディレクターを務めるアモル・サーウェイト氏は、新しいアップデート方式は誰にとっても悪いわけではないと主張する。

　「月例アップデートは大半のユーザーにとって優れたアイデアだ。どのパッチが必要なのか、どのパッチをインストールしたかを追跡する負担がなくなる。各月のアップデートは前月のそれを置き換えるので、システムが最新の状態にあるかどうかの確認が楽になる。ただし、こうした“All or Nothing”のアプローチには、安定性や利便性の問題が見つかったバッチが1つだけだったとしても、そのパッチを選択して拒否できないデメリットもある。また、2016年10月のロールアップはこれまでにリリース済みの修正プログラムを含まず、今後1年をかけて順次追加していくことも不安材料となる。これは短期的にIT担当者の仕事を増やすだろう。各月の更新に過去のどのパッチを含むのか確認する必要があるからだ」（サーウェイト氏）

印刷する