アップデートはすぐに当てなくてもいいが、いつか絶対に当てるべし

　原則的には、「アップデートは公開後、速やかに適用すべし」です。ただし、これはあくまでも原則であり、言い方は悪いですが“きれいごと”ともいえます。今も昔も、アップデートの品質が問題になることは多く、セキュリティに多額の投資をしているマイクロソフトですら、定期的にアップデートの不具合が報じられるほどです。

　そのため、新しいアップデートが公開されても、しばらくは様子を見ることが重要かもしれません。場合によっては、1～2週間ほど様子を見る、あるいはメジャーバージョンアップの次に出るマイナーバージョンアップまで待つという判断も一つの戦略といえるでしょう。

　ただ、例外があります。それは、まれに報道される「緊急」のアップデートです。こうしたアップデートについては、兎にも角にも速やかに適用しなければならないと考えるべきでしょう。「緊急」の定義はさまざまですが、特に「既に攻撃コードが広まっている」、つまり攻撃に使われ始めている脆弱性を修正するアップデートについては、もはや待っているわけにはいきません。適用しないリスクの方がはるかに上回る場合だけは、例外であると考えてください。

　テスト環境と呼べる端末があるのなら、そこで事前に対応しておくことが可能です。その際には、パッチを適用した後に元の環境へ戻す方法があるかどうかを、あらかじめチェックしておくことを強くお勧めします。

　これはつまり、バックアップが取られていること、そしてそれを戻すための手順書が最新であることを確認する、という意味です。逆にいえば、「元に戻せる自信」があるのなら、「アップデートなど恐るるに足らず」と考えることができるはずです。これが、最も賢い戦略なのかもしれませんね。

アップデートの不安は、「適切に怖がる」ことで対応せよ

　アップデートは、トラブルに関する報道ばかりが目立つため、いつしか「怖いもの」という印象が強くなってしまいました。とはいえ、実際に慎重になるべきなのは、主に「組織」のシステムであって、ミッションクリティカルではない個人のPCやスマートフォンであれば、多少軽率なくらいの勢いでアップデートしても構わないはずです。

　組織のシステムに関しては、なぜ「怖い」と感じるのか、その背景を理解することが大切です。一体、何が怖いのかを掘り下げてみましょう。例えば、アップデートしても元に戻せる手段や代替策があるのなら、「ちょっと怖い」程度で済むはずです。そのためには、システムを熟知した人材を確保する、つまり、なじみのベンダーに相談できる環境があることが最もよいのではないでしょうか。

　製造業は日本で最もメジャーな、仲間の多い業種といえます。セキュリティに関していえば、競合ではなく、同じ課題に取り組む「同志」であるはずです。そして、そうした企業を支えるベンダーやインテグレーターとともに、セキュリティの基本であるアップデートに取り組んでいけるはずです。ここでも、「適切に怖がる」ことが重要です。そこに至るためにも、引き続き本コラムをよろしくお願いいたします。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！