パソコンの更新、社員任せになっていませんか？端末台帳と更新確認の始め方

「自動更新をオンにした」から、更新されたことを会社で確かめる運用へ。

更新の設定と、完了の確認を分ける

IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、情報セキュリティ6か条の一つとして、OSやソフトウェアに修正プログラムを適用する、または最新版を使うことを示しています。会社ではその方針に加え、誰が更新状態を確認するかまで決める必要があります。以下はSONAEの運用例です。自動更新が有効でも、長期間電源が入っていない端末や、再起動が保留された端末がないかを確かめます。更新済みと判断する根拠を、社員の記憶だけに頼らない形にしましょう。

まずは使っている端末とソフトを一覧にする

会社で管理するパソコン、持ち出す端末、業務に使うスマートフォンなどを挙げ、利用者と管理する人を結びつけます。OSだけでなく、ブラウザー、業務アプリ、周辺のネットワーク機器なども確認対象になり得ます。製品名、バージョン、サポートの状態、確認日、情報の取得方法を記録してください。一度に全部調べられない場合は対象範囲を明記し、未確認を空欄のまま放置せず分類します。台帳にパスワードやライセンスキーを貼る必要はありません。

定期確認と、緊急の確認を分けておく

通常の更新については、利用者への連絡、業務を止められる時間、更新後に確認する操作を決めます。一方、利用中の製品に緊急の注意喚起が出た場合に誰が内容を読み、対象か判断し、対応を依頼するかも用意します。次の定例日まで必ず待つ、といった一律のルールは避けます。優先度や適用方法は、製品提供元の情報と自社の利用状況から判断してください。具体的な脆弱性の影響や対応期限を、この記事だけで決めることはできません。

更新できない端末を、例外として管理する

業務アプリとの互換性やサポート終了などが理由で、すぐ更新できないこともあります。その場合は理由、業務への影響、責任者、代替策、解消する期限を記録します。更新をずっと先送りする承認にはせず、交換や業務の移行も含めて検討してください。外部事業者が管理する機器なら、変更できる範囲と作業の窓口を先に確認します。更新前のバックアップや戻し方、更新後の動作確認も、製品と業務に合った方法で準備します。

一台の完了記録から始める

架空の例として、持ち出し用PC一台の更新を確認するなら、対象の管理番号、OSと業務アプリの状態、確認日、実施者、再起動や業務の動作確認、残った課題を記録します。「全台対応済み」と書くのは、合意した範囲をすべて確認してからです。管理ツールがある場合はその記録を活用し、ない場合も小さな台帳から始められます。未確認や未完了の件数を経営・管理部門と共有し、対応する人と次の確認日を決めることが、継続するための一歩です。

相談前の確認表

• 端末・利用者・管理担当が一覧になっている
• OSと業務ソフトの状態を確認する方法が決まった
• 緊急の注意喚起を見る担当と連絡先がある
• 未更新の理由・担当・解消期限を記録できる

参考資料（確認日：2026年10月22日）：IPA：中小企業の情報セキュリティ対策ガイドライン 第4.0版（本文20ページ） ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。