中小企業のWindowsパッチ管理実践ガイド｜WSUS・Windows Update for Business・手動管理の使い分けと情シス1人でも運用できる月次フロー

情シスが1人で全社のPCを管理している中小企業では、「Windowsのアップデートは自動で当たっているはず」と思い込んでいるケースが少なくありません。しかし現実には、更新が途中で止まっていたり、1台だけ数カ月遅れていたりすることが珍しくなく、そこを起点に侵害が広がります。

この記事では、中小企業の規模・体制に合わせたWindowsパッチ管理の方法を、情シス1人でも運用できる月次フローと合わせて解説します。WSUS・Windows Update for Business・自動更新の使い分けから、具体的な確認手順まで網羅します。

Windowsパッチ管理とは？なぜ中小企業こそ重要なのか

Windowsパッチ管理とは、OSやアプリケーションに定期的に提供されるセキュリティ更新プログラム（パッチ）を計画的に適用し続ける業務のことです。

Microsoftは毎月第2火曜日（日本時間では翌水曜日早朝）にセキュリティ更新プログラムをリリースします。これを「Patch Tuesday（パッチチューズデー）」と呼びます。この日を起点にして月次のパッチサイクルを組み立てるのが一般的な実務です。

中小企業でパッチ管理が重要な理由は3つあります。

・攻撃コードの公開が早い: Patch Tuesdayの翌日には、公開された脆弱性を突く攻撃コードが出回ることがあります。パッチ公開から数日以内に実際の攻撃が観測されるケースも増えています
・ランサムウェアの侵入口になりやすい: 国内で発生したランサムウェア被害の多くで、パッチ未適用の脆弱性が侵入の起点になっています
・大企業より管理が後手に回りやすい: 専任のセキュリティ担当者がいない中小企業では、パッチ適用状況の確認すら漏れがちです

パッチ管理は「派手ではないが効果が高い」対策です。高額なシステムを導入しなくても、月次の確認習慣を作るだけで侵害リスクを大きく下げられます。

攻撃者がパッチ未適用を狙う仕組み（敵を知る）

攻撃者はMicrosoftのパッチリリース情報を分析し、どの脆弱性が広く未対応のまま残っているかを探します。パッチが公開されると、逆に「どんな脆弱性が修正されたか」が明らかになるため、その情報を元に攻撃コードを作成・改良します。

このプロセスを「n-day攻撃」と呼びます。ゼロデイ（パッチ未公開の脆弱性）ではなく、パッチは出ているが適用されていない状態を狙う攻撃です。パッチの存在を知りながら適用しないことで、攻撃者に侵入の機会を与え続けることになります。

一般的な狙われ方のパターンとして、次のようなケースが知られています。

・リモートコード実行（RCE）脆弱性: 悪意のあるファイルを開かせる、または特定のポートへアクセスするだけで任意のコードを実行できる脆弱性。CVSSスコアが9.0以上になることが多く、Patch Tuesdayで最も注意が必要なカテゴリです
・権限昇格（Elevation of Privilege）脆弱性: 一般ユーザー権限での初期侵入後、管理者権限を取得するために使われます。RCEと組み合わせて悪用されることが多いです
・Windowsコンポーネントの既知の弱点: Win32kやNTLM認証など、Windowsの基盤部分にある脆弱性は被害範囲が広く、パッチ適用の優先度が高くなります

「パッチを当てるのが面倒」という感覚は理解できますが、攻撃者にとってはその「面倒」が侵入の糸口です。正しく怖がって、月次の習慣として取り組む姿勢が重要です。

3つの選択肢とその使い分け

中小企業が選べるWindowsパッチ管理の方法は、大きく3つあります。会社の規模・台数・IT予算に合わせて選択します。

1. Windows Update 自動更新（最小構成・10台以下の目安）

最もシンプルな方法です。Windowsの標準機能で自動更新を有効にし、各PCが個別にMicrosoft Updateから更新プログラムをダウンロードして適用します。

管理上の課題は、「全台に適用されているかどうかを確認する手段が限られる」点です。適用状況を確認するには、各PCに管理者でログインしてWindows Updateの画面を開くか、PowerShellで状態を取得する方法が現実的です。

# 最近適用されたパッチを確認する（PowerShell・管理者権限で実行）
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

# 自動更新サービスの状態を確認する
Get-Service wuauserv | Select-Object Status, StartType

10台以下の小規模環境では、月1回このコマンドを全台で実行して記録を取る運用が現実的です。特に「最後に更新が入った日」が1カ月以上前のPCがあれば、優先的に確認します。

2. Windows Update for Business（WUfB）（Microsoft 365 Business対応・追加費用なし）

Microsoft 365 Business PremiumやWindows 10/11 Pro以上のライセンスがあれば、追加費用なしで使えます。グループポリシーまたはMicrosoft Intuneを使い、更新プログラムの配信タイミングを組織全体で制御できます。

主な機能は以下のとおりです。

・適用を数日～数週間延期できる: Patch Tuesdayの直後ではなく、数日後に適用することで、パッチ起因の不具合が発見・修正されてから適用できます
・再起動のタイミングをコントロールできる: 業務時間外に再起動させる設定が可能です
・Intuneと連携すれば適用状況を集中管理できる: Intuneのレポート機能で、どのPCがどの更新を適用済みかを一覧で確認できます

グループポリシーでの設定パス（ドメイン環境がある場合）:

# グループポリシーエディター（gpedit.msc）での設定パス
コンピューターの構成
  └─ 管理用テンプレート
      └─ Windowsコンポーネント
          └─ Windows Update
              └─ Windows Update for Business
                  # 品質更新プログラム（セキュリティパッチ）の延期日数: 推奨7日
                  ├─ 品質更新プログラムを受け取るタイミングを選択する
                  # 機能更新プログラム（大型アップデート）の延期日数: 推奨30日
                  └─ 機能更新プログラムを受け取るタイミングを選択する

3. WSUS（Windows Server Update Services）（50台以上・オンプレ環境の目安）

WSUSはWindowsサーバー上に構築する更新管理サーバーです。社内の全PCがMicrosoftではなくWSUSサーバーへ問い合わせるため、通信帯域の節約と適用コントロールができます。管理コンソールから各PCの適用状況を一覧で確認できる点が強みです。

中小企業での採用基準の目安は「50台以上」または「通信回線が細い拠点がある環境」です。それ以下の規模では、WSUSの運用コスト（サーバー管理・ストレージ・パッチの承認作業）がメリットを上回ることがあります。

情シス1人でも回せる月次パッチ管理フロー

理論はわかっても「具体的に何をすればいいか」が見えないと続きません。情シス1人でも実行できる月次フローを4ステップで示します。

1. Patch Tuesday翌営業日：更新内容の確認（所要時間: 15～30分）

MicrosoftのSecurity Update Guide（msrc.microsoft.com）にアクセスし、今月リリースされたCVEの一覧を確認します。全件を読む必要はなく、以下の条件でフィルターします。

・「悪用確認済み（Exploited: Yes）」のもの: 実際に攻撃が確認されている脆弱性で、最優先で適用します
・CVSSスコア9.0以上のリモートコード実行（RCE）: 悪用実績がなくても高リスクなため、早期適用が望ましいです

JPCERT/CCの「注意喚起」（jpcert.or.jp）も合わせて確認すると、国内環境で問題になりやすい情報を把握できます。

2. 第2週：テスト端末での検証（所要時間: 30分～1時間）

社内の1台～数台を「テスト端末」として指定し、先にパッチを適用して業務システムへの影響を確認します。社内で使っているアプリケーションが正常に動作するか、印刷・ファイル共有・社内システムへのアクセスに問題がないかを確かめます。

完璧な検証は難しいですが、最もよく使う業務アプリケーションを一通り動かすだけでも、本番展開後の障害を減らせます。

3. 第3週：本番環境への段階的な展開（所要時間: 実作業1時間、再起動は夜間自動）

テストが問題なければ、段階的に展開します。一度に全台を再起動させると混乱が生じるため、部門ごと・フロアごとに分けて適用します。

業務時間外に自動で再起動する設定をWUfBやグループポリシーで組んでおくと、日中の中断を最小化できます。再起動の猶予を設けた上で、指定した時間帯に実行させる設定が実務的です。

4. 月末：適用状況の確認と記録（所要時間: 30分）

全台の適用状況を確認し、適用できていないPCをリストアップします。スプレッドシートに「端末名・最終適用日・未適用パッチのCVE番号（重大なもののみ）」を記録しておくと、経営報告や内部監査の際に使えます。

# 全PC共通: 最終パッチ適用日を確認するコマンド（PowerShell）
# 最後に更新が入った日時を取得する
(Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 1).InstalledOn

# Intuneがある場合: デバイスコンプライアンスレポートで未適用端末を確認
# Microsoft Intune管理センター → レポート → デバイスコンプライアンス

中小企業でも今日からできること

大規模なシステム整備は不要です。まずはこの3点から始めましょう。

・全PCで自動更新が有効になっているか確認する: 「設定」→「Windows Update」を開き、自動更新がオンになっているか確認します。離職者のPCや長期間使っていないPCは特に注意が必要です
・月1回、最も古い更新日時のPCを特定する: PowerShellで`Get-HotFix`を実行し、最後の更新適用が1カ月以上前のPCを特定します。そのPCから優先的に対処します
・「悪用確認済み」のパッチだけでも即時適用する運用にする: 全件を完璧に管理しなくても、実際に攻撃が確認されているパッチを最優先で当てるだけで、最もリスクの高い状態は避けられます

よくある誤解と注意点

【注意】「自動更新をオンにすれば大丈夫」は過信です
自動更新が有効でも、PCの電源を頻繁に切っている環境や、ノートPCを社外で使うことが多い環境では更新が止まりやすいです。特にリモートワーカーのPCや、滅多に起動しない共用PCは確認が必要です。

【注意】ドメイン未参加のPCは管理から漏れやすい
Active Directoryドメインに参加していないPCは、グループポリシーの対象外です。役員の個人所有PCや、特定業務用の独立したPCは棚卸しリストから外れがちです。Active Directoryの管理については、中小企業のActive Directoryセキュリティ対策も参考にしてください。

【注意】パッチ適用後の不具合も想定する
稀に、パッチ適用後にプリンタードライバーや業務システムに不具合が出ることがあります。適用前に「何か問題があれば連絡するよう」周知しておき、問題が発生した際のロールバック手順（「設定」→「Windows Update」→「更新の履歴」→「更新プログラムのアンインストール」）も把握しておきましょう。

【注意】WindowsのEOS（サポート終了）端末は別途対処が必要
サポートが終了したWindowsバージョンにはパッチが提供されません。Windows 10のサポートは2025年10月14日に終了済みです。社内にWindows 10端末が残っていないか、棚卸しリストを確認してください。サポート終了後の端末はネットワーク分離または廃棄・更新を検討します。

本記事のまとめ

パッチ管理は地味な作業ですが、侵害事例の多くで「あの時適用していれば」と言われる種類の対策です。月に1時間の確認習慣が、ランサムウェア被害を防ぐ現実的な盾になります。

脆弱性管理全般のプロセスについては、脆弱性管理とは？発見・評価・修正・検証の4ステップと中小企業での実践ガイドをあわせてご覧ください。また、パッチ管理の基礎知識についてはパッチ管理の基礎｜脆弱性対応サイクル・優先度判定・適用手順をわかりやすく解説もご参照ください。