調査結果は、業務端末へのアップデート適用方法について、全体と従業員規模別で運用方針に明確な差異があることを示している。全体では61.8％の企業が、IT資産管理ツールやモバイルデバイス管理（MDM）ツールなどを利用してアップデートを管理・配信している（うち一括管理・配信は45.3％）。しかし、従業員数300人未満の企業に限定すると、こうした管理ツールを利用する割合は低下し、44.4％が「端末利用者にアップデートの実施を任せている」と回答した。大企業ほど管理ツールによる統制が進んでいる一方、中小企業では予算や運用人員の不足を背景に、従業員のITリテラシーに依存した管理体制が続いている。

　アップデート適用時の業務上のボトルネックも浮き彫りになった。最大の課題として挙げられたのは「リモート環境の端末への適用が難しい」点だ。従業員数300人未満の企業で25.5％、300人から1000人未満の企業で34.9％、1000人以上の企業で35.5％の担当者がこれを課題として回答した。テレワークが定着し、社内ネットワークに接続されていない端末が増加した結果、管理サーバからのアップデートプログラム配信が届きにくい状況が生じている。適用を従業員に周知徹底させることや、個々の端末の適用状況を正確に把握することも難しくなっており、テレワーク下での端末管理の限界が露呈している。

未適用端末に対する「ネットワーク隔離」の意向と規模による意識差

　確実なアップデート適用が難しい状況で、脆弱性を抱えたままの端末をアップデート未適用の状態で放置することは、マルウェア感染などの重大なセキュリティインシデントに直結する。アップデートが適用されていない端末に対して実施したい対処として、全体で最も多く挙げられた答えは「社内ネットワークへのアクセス制御・隔離」であり、43.2％に達した。次いで「端末への警告（実施の促進）」（36.1％）、「アップデート手順の案内」（29.0％）と続く。

　注目すべきは、ネットワークからのアクセス制御や隔離といった厳格な措置に対する意向が、企業規模が大きくなるほど強くなる点だ。従業員数300人未満では34.6％にとどまるものの、300人から1000人未満の企業で42.3％、1000人以上の企業では53.0％へと跳ね上がる。大企業は、管理ツールを用いた一斉配信や適用状況の監視にとどまらず、コンプライアンス違反の端末を物理的・論理的に社内ネットワークから切り離すことで、基幹システムや機密データへの脅威波及を水際で防ぐアプローチが求められている。

WSUS非推奨化と迫るSCS評価制度の運用開始

　Windowsのアップデート管理を取り巻く環境は、技術的要件と制度的要件の両面で転換期を迎えている。技術面の変化は、MicrosoftがWSUSを非推奨とする方針を示したことだ。WSUSを利用している企業に対して今後の運用方針を尋ねたところ、42.3％が「Microsoft Intune」での運用に移行済み、または移行を検討すると回答した。15.6％がサードパーティー製のIT資産管理ツールを利用した運用への移行を進めている。

　一方で、「完全に廃止されるまでWSUSを利用し続ける」と回答した企業も35.0％存在した。今後の方針を検討できていない層を含めると、代替システムへの移行に足踏みしている企業が4割を超える。オンプレミスインフラで稼働してきた管理ツールのクラウド移行や、それに伴う運用プロセスの再設計が容易ではない実情を示している。

　制度面では、経済産業省と独立行政法人情報処理推進機構（IPA）が推進するSCS評価制度の運用開始が、2027年3月ごろになると見込まれている。同制度は要求事項として、指定されたアップデートの期限内適用や、適用できない場合のリスク低減策の実施を含む。調査対象者の74.4％が本制度を認知しており、そのうちの8割以上が「14日以内のアップデート適用」や「共通脆弱性評価システム（CVSS）スコア7.0以上の脆弱性への対処」といった具体的な要求事項を理解していると回答した。

　アップデート管理は単なるIT部門のルーティンワークから、サプライチェーン全体の信頼性を確保するための経営課題へと変化している。旧来の管理システムが寿命を迎え、新たな法規制の開始が迫る中、企業は自社の規模や環境に適したシステムの刷新と、確実な運用体制の構築を急ぐ必要がある。