ソフトウェアアップデート管理の重要性を再確認

投稿日: 2024年9月23日 作成者: climb
このエントリーをはてなブックマークに追加
LINEで送る

今年の夏は、猛暑や台風やオリンピックなど、いろいろあって、もうすっかり忘れたかもしれませんが、7月末にITに関わる重大な事件がありました。世界中のWindowsコンピュータ850万台がダウンして、各種サービスが閉鎖された事件です。あぁそう言えばそんなこともあったね、程度に思い出す人も多いでしょうが、ITセキュリティに携わる者には忘れられない、いや、忘れてはいけない事件でした。

教訓は、ソフトウェアのアップデートを盲目に信じてはいけないということです。7月末の大規模障害はクラウドストライクの配布したセキュリティソフトのアップデートが原因でしたが、大手サイバーセキュリティ企業がリリースしたアップデートだからきっと大丈夫に違いない、という妄信は、ITセキュリティにおいては禁忌となりました。

本番環境に影響を与え得るアップデートはなるべく最小限に抑えよう、と固く心に誓った業務責任者もいたことでしょう。ごく自然な反応だと思います。業務に直接関係のないアップデートでせっかくこれまで培ってきた仕事の流れを乱されたくない気持ちは理解できます。しかし、マルウェアやランサムウェアによるサイバー犯罪が滅多に起きない平和な世の中なら、それでもよいのですが、残念ながら、現在、サイバー社会の治安は乱れに乱れています。新手のサイバー攻撃が次々と生まれる現代において、ソフトウェアのアップデートをしないで済ます選択肢はありません。先延ばしにするのも得策ではありません。ハッカーは、アップデート未適用で脆弱性が残っているシステムを常に狙っています。セキュリティアップデートを先延ばしにすると、いわゆるゼロデイ攻撃の格好の餌食になってしまいます。

ソフトウェアのアップデートでシステムを守る、と同時にソフトウェアのアップデートからシステムを守る！

社内ネットワークに接続されていないコンピュータなら安全というわけでもありません。AIによるソーシャルエンジニアリングを駆使した騙しのテクニック（メールのフィッシングなど）に引っかかってしまう可能性もあるし、USBからウイルス感染してしまう可能性もあります（いわゆるBadUSBです）。

したがって、ソフトウェアの頻繁かつ継続的なアップデート、それに関連したコンフィグレーションやセキュリティポリシーの更新は、すべてのシステムが避けては通れない必要悪です。アップデートで生じる可能性のある悪影響には、あらかじめ入念に備えなければなりません。セキュリティを強化するはずのアップデートで業務が中断されてしまっては、アップデート自体がウイルスみたいなもので本末転倒になってしまうので（クラウドストライクの件はまさにそういう事態だったわけですが）、ソフトウェアのアップデートに対しても、ある種のDisaster Recovery（障害復旧）プランが必要になります。

ソフトウェアアップデート管理のベストプラクティス

ソフトウェアのアップデート管理には、ポリシー、ツール、トレーニングの三本柱が重要です。ポリシーとは、アップデートを社内全体に一貫性をもって、どのように適用するかの手順を細かく定義するものです。このポリシーにもとづいて、全社員が各自のシステムに一様にアップデートを適用できるようなツールと、その使用法やルールに関するトレーニングが必要になります。

ポリシーは以下の項目を網羅するのが理想的です。

1. 社内の各システムと、適用すべきアップデートを重要度に応じてカテゴライズする（必須、重要、任意など）。

2. メンテナンスが許容される時間枠やダウンタイムを定め、業務への影響を最小限に抑える。

3. アップデート適用前のテスト方法、テスト基準、スケジュール、テスト完了後のロールアウト手順を定義する。

4. アップデートを評価し、承認する役割・責任を明確にする。

5. 緊急を要するアップデート（特に重要な一刻を争うアップデート）の手順を定義する。

6. アップデートが基準を満たさなかった場合の延期スケジュール・手順を定義する。

7. アップデート後のモニタリング、アップデートがシステムに問題を生じさせてしまった場合の判断基準、ロールバック手順を定義する。

8. アップデートでシステム障害が生じてしまった場合のDRプラン、代替システムを用いた事業継続プランを定義する。

アップデートに必要なツールとしては、第一にテスト環境が必要になります。これは本番環境を模したもので、アップデートの業務への影響を正確に評価できる環境でなければなりません。さらに、アップデートのデプロイメントを自動化するツール、バックアップやリカバリのためのツールも必要になります。

リカバリが必要になってしまった場合、社員全員のコンピュータを一つひとつリカバリしなければならない可能性があります。これは、なるべく自動化され、専門知識がなくても適用できる単純化された手順によって各社員がセルフサービスで行えるのが理想的です。これによって、障害発生後のダウンタイムが大幅に違ってきます。

したがって、アップデート管理の最後の要素、トレーニングが非常に大きな意味を持ちます。IT担当者のトレーニングはもちろん、全社員のトレーニングが必要であり、これは一回きりのものではなく、定期的に情報を再確認し、更新できるものでなければなりません。

結局バックアップが命

上記のアップデート管理プランを支える最後の砦は、バックアップです。ソフトウェアのアップデートだからといって深刻な障害が起きないとは限らないことは、クラウドストライクのケースが証明したとおりです。なるべく問題が起きないよう、起きたら最小限に抑えられるよう、普段からしっかりと準備することが大事ですが、同時に、最悪の事態に備えてバックアップは常に取っておかなければなりません。バックアップから直ちに復元可能にすること、頻繁なバックアップで復元によるデータ損失を最小限に抑えること（つまり、リカバリ時間目標（RTO）とリカバリポイント目標（RPO）を最小限にすること）の重要性は、サイバー攻撃対策となんら変わりはありません。バックアップ自体の健全性を保つこと（たとえばイミュータブルにすること）の重要性も然りです。

ポリシー、ツール、トレーニング、そして最後の砦のバックアップと、多重防御構造で社内インフラストラクチャの強靭性を高めること、それがサイバー攻撃対策と同様に、ソフトウェアアップデート管理の基本となります。

 

 

 

関連トピックス

コメントを残す

メールアドレスが公開されることはありません。

 

このサイトはスパムを低減するために Akismet を使っています。コメントデータの処理方法の詳細はこちらをご覧ください。