「今回のCrowdStrikeの更新プログラムによる影響を受けなかった企業は、この状況を『幸運な回避』ではなく警鐘だと捉えるべきだ」。ソフトウェアライセンスに関するアドバイザリーSynyegaで、IT資産管理市場開発およびエンゲージメント責任者を務めるリッチ・ギボンズ氏は、そう語る。

　ギボンズ氏は「今回の問題を回避できた企業はCrowdStrikeの顧客ではないから回避できただけだ」と語る。全ての企業は、社外関係者の重大なミスによってビジネスが悪影響を受けるリスクにさらされている。「重要なのは、そのリスクを受け入れ、強力なBCP（ビジネス継続計画）とDR（災害復旧）を持つことであり、これは全ての企業にとって優先事項でなければならない」と同氏は助言する。

　堅牢（けんろう）なIT資産管理（ITAM）およびソフトウェア資産管理（SAM）システムを導入することも不可欠だとギボンズ氏は説明する。そうしたツールを導入することで、企業は自社がどのようなソフトウェアやハードウェアを所有しているのか、それらの所在地、サポートと寿命の状況、最後の更新時期、適用した更新プログラムといった情報を把握しやすくなる。これらは効果的なBCP／DRの策定のために重要だ。「この取り組みは、システムがオンプレミスサーバにあっても、ハイブリッドクラウド（オンプレミスサーバとクラウドサービスの併用）にあっても同様だ」と同氏は述べる。

　GartnerのIT分野向けアドバイザリーサービスGartner for Technical Professionalsで、ディレクターアナリストを務めるエリック・グレニエ氏は、BCP／DRの策定だけではなく、それらの定期的なテストの重要性を説く。

　今後も「不具合のある更新プログラム」をベンダーが公開してしまう可能性は否定できない。「企業はBCP／DR戦略を見直し、実際に復旧テストをして、復旧時間が基準を満たすかどうかを確認する必要がある」とグレニエ氏は推奨する。

　グレニエ氏は、自社システムで「自動更新」になっているアプリケーションを特定し、その自動更新が「不具合のある更新」を適用することで生じる影響を評価すべきだともアドバイスする。

　ただしグレニエ氏は、不具合のある更新プログラムのリスクを軽減するために、「世界中の企業で自動更新機能をオフにすべきだ」と主張しているわけではない。オフにするかどうかは、企業のリスク受容レベルと、自社で更新プログラムを適用できる能力の有無によって決まるべきだという。自動更新に関して、同氏が推奨するのは以下の作業だ。

• 自動更新が有効になっているアプリケーションの一覧を作成、保管すること
• 自動更新をオフにできるかどうかを把握すること
• 自動更新が有効なアプリケーションに不具合のある更新プログラムが配信された場合の影響を知っておくこと

　アプリケーションを手動で更新することを選択した場合は何をすべきなのか。「アプリケーションの更新をテストするためのプロセスとワークフローを構築する必要がある」とグレニエ氏は説明する。