パッチとは? — ソフトウェアの問題を直す修正プログラム

どこで出てくる言葉?

システムの保守や、情報の安全対策を話すミーティングで出てきます。「パッチを当てる」「パッチを適用する」のように使います。日本語では「修正プログラム」とも呼ばれます。

情報処理推進機構(IPA)は、日常の対策のひとつにこの作業を挙げています。パソコンやスマートフォンの基本ソフト(OS)や各種ソフトウェアに修正プログラムを適用し、最新のバージョンに更新するよう呼びかけています。

パッチの管理には何が含まれるの?

パッチは、入れる作業まで含めて話題になります。NIST は 2022 年 4 月の手引きで、組織としてのパッチ管理を次の 5 つの作業で説明しています。対象には、パッチのほかに更新やアップグレードも含まれます。

• 特定する: 自社に必要なパッチがどれかを洗い出します
• 優先順位を付ける: どれから先に入れるかを決めます
• 入手する: パッチを手に入れます
• 入れる: 対象の機器にパッチを入れます
• 確かめる: 正しく入ったかどうかを確認します

似ている用語とはどう違うの?

パッチの定義は、1 つに決まっていません。NIST の用語集には、複数の定義が載っています。ひとつは、プログラムの「修理」であり「フィックス(fix)」とも呼ばれる、という説明です。もうひとつは、バージョンの番号を変えずに、別のソフトウェアのファイルや設定を直接書き換える部品、という説明です。

Microsoft は、自社のソフトウェアの更新を次のように呼び分けています。

「パッチ」と言われたら、どの種類の話なのかを聞きます。安全面の弱点を直すものかどうかで、急ぐ度合いが変わります。

経営にとって何が変わるの?

NIST は、パッチの価値について、事業の責任者と、安全対策や技術の管理者とのあいだで見方が分かれることが多いと指摘しています。そのうえで、パッチを当てる作業を「事業を行うための費用」と位置づけています。組織が目的を果たすために必要な仕事だ、という考え方です。

NIST によると、パッチ管理による予防のための保守は、侵害や情報の流出、業務の中断を防ぐ助けになります。保守の契約にパッチを入れる作業が含まれているかどうかで、問題が見つかったときの動きが変わります。

このワードが出たら、担当、期限、入れられない機器の扱いを確かめます。入れる前に動作を試す手順と、作業のために機器を止める時間も聞いておきます。担当と期限が決まっていないと、パッチが出ていても入らないままになります。

ひとことで言うと

パッチとは、ソフトウェアに見つかった問題を直すために配られ、自社の機器に入れてはじめて効く修正プログラムです。