脆弱性を突いた不正アクセスは、不正アクセスの記事でも触れているように、未更新のソフトが入口になることがあります。大企業のパッチ管理システムがなくても、更新の担当と記録があればリスクを下げられます。
対象の優先順位
- インターネットに公開しているサーバーとVPN機器
- 全従業員のOSとブラウザー
- メールクライアント、PDF閲覧、リモートツール
- 業務専用機で更新を止めている端末（例外管理）
周期と記録
IPA第4.0版の自己診断でも、OSとソフトの更新状況が問われます。月1回の確認日を決め、適用できなかった端末の理由（業務ソフトとの非互換など）を記録してください。
クラウドサービス側
SaaS本体はベンダーが更新しますが、連携するプラグインやAPIキーの期限、OAuthアプリの権限も見直し対象です。