パッチ管理の手順：毎月の流れと適用期限の例

要点：パッチ適用は、台帳の更新、トリアージ、先行適用リング、段階展開、確認、報告という毎月の固定サイクルにします。重大度ごとに適用期限を決め（下の数値は出発点の例で、環境に合わせて調整するもの。業界標準ではありません）、自動更新されないサードパーティ製ソフトを一覧にし、展開の前にロールバック手順を書いておきます。Microsoftは通常、Windowsの月例品質更新プログラムを毎月第2火曜日に公開するので、サイクルはこの日を基準に組みます。

この記事は、「思い出したときにパッチを当てる」状態から抜け出したい中小企業の情シス担当者や総務担当者向けです。読み終えると、毎月繰り返せる手順、そのまま採用できる重大度別の期限、記入用のサードパーティ製ソフト一覧、ロールバック計画が手に入ります。

NIST SP 800-40 Rev. 4（2022年4月公開、2026年10月28日確認）は、パッチ管理を「組織全体でパッチ、更新、アップグレードを識別し、優先順位を付け、入手し、適用し、適用を検証するプロセス」と定義し、技術に対する予防的な保守と位置づけています。以下のサイクルは、この動詞の流れに沿っています。

毎月のサイクル全体像

Microsoft Learnによると、Windowsの品質更新プログラムは通常、毎月第2火曜日に公開されますが、随時公開されることもあります（Microsoft Learnで確認、2026年10月28日）。この火曜日を「0日目」として数えます。日数は出発点のカレンダーです。

0日目より前に、資産台帳を更新する。パッチ対象の端末、サーバー、ネットワーク機器、ソフトを、担当者、設置場所、重要度とともに洗い出します。台帳にないものにはパッチが当たりません。
0〜2日目：トリアージ。ベンダーのリリースノートを読み、各更新を緊急（悪用が報告されている、またはベンダーが回避策なしとしているもの）、重大、重要、定例に分けます。業務アプリに関わる更新は印を付けます。
1〜7日目：先行適用。まず少数のテスト端末に配ります。IT担当者の端末と、各部署1台ずつです。インストール失敗、起動不良、主要な業務アプリの不具合を見ます。
7〜14日目：本展開。メインのリング、その後にサーバーを専用の保守時間帯で配ります。再起動の時刻をユーザーに事前に知らせます。
14〜21日目：確認。更新が入ったか、再起動されたか、止まっているものがないかを確かめ、このサイクルに乗り遅れた端末を追いかけます。
21〜28日目：報告と例外の記録。パッチ適用率、失敗数、そして適用しないと判断した端末すべてについて、理由と再確認日を報告します。

緊急と重大のパッチは、このカレンダーに従いません。当日に先行適用し、各リングの間隔を詰めて、下の期限に間に合わせます。上のカレンダーは、重要、中・低、定例の更新向けです。

大きな更新がない月も、同じ手順を回します。毎月回している定型作業のほうが、緊急時に急いで作る手順より、速くしやすいからです。

IntuneでWindows端末の更新リングを作る

端末がMicrosoft Intuneで管理されているなら、先行適用と展開の段階は更新リング（update rings）で組むのが最も簡単です。更新リングにはMicrosoft Intune Plan 1が必要で、端末がIntuneに登録されている必要があります（Microsoft Learnで確認、2026年10月28日）。メニュー名は英語の原名のまま記載し、括弧内に補足を付けます。

Microsoft Intune admin center（管理センター）で、Devices > By platform > Windows > Manage updates > Windows updates（デバイス > プラットフォーム別 > Windows > 更新の管理 > Windows更新）を開きます。
Update ringsタブを選び、Create profile（プロファイルの作成）を選びます。
段階ごとに名前を付けます。例：「Ring 0 先行」「Ring 1 一般社員」「Ring 2 重要ユーザー」。
Update ring settingsで、リングごとに品質更新プログラムの延期日数と期限を変えます。出発点の例：先行リングは延期0日、メインリングは5日、重要ユーザーリングは10日。2サイクル回したあとで調整してください。
Assignments（割り当て）では、ユーザーグループではなくデバイスグループに割り当てます。Microsoftのガイダンスでは、デバイスグループを使うとユーザーのサインインを待たずにポリシーが適用されます。
内容を確認して作成します。

注意点が2つあります。1つ目は、Windows Autopatchで管理されている端末には、Microsoftによると通常、独自の更新リングを割り当てるべきではない点です。2つ目は、リングは最大35日間一時停止でき、リングに対してUninstall（アンインストール）を使うと直近の品質更新プログラムを戻せる点です（ロールバックの項を参照）。

重大度別の適用期限（調整前提の例）

以下は例であり、業界標準でもBrocentのデータでもありません。自社のリスク許容度、テストに要する時間、契約で記録を求められる内容に合わせて決めてください。期限はベンダーがパッチを公開した日から数えます。緊急と重大は毎月のカレンダーを待たず、すぐ先行適用してリングの間隔を詰めます。

緊急（悪用が報告されている、または回避策がない）：24時間以内に先行適用、72時間以内にインターネットに面したシステムと端末すべて。定例外の保守枠を使います。
重大：3日以内に先行適用、7日以内に全システム。
重要：7日以内に先行適用、14日以内に全システム。
中・低：30日以内に全システム。毎月の定例サイクルに含めます。
機能更新プログラムとファームウェア：別枠で計画し、専用のテストを行います。Microsoftによると、Windowsの機能更新プログラムは年1回公開されます（Microsoft Learnで確認、2026年10月28日）。ファームウェアはベンダーの提供スケジュールに従います。

例外のルールも決めておきます。期限を過ぎた端末には、担当者、理由、代替の対策（たとえばネットワークから外す、アクセスを制限する）、再確認日が必要です。

記入用：サードパーティ製ソフトの一覧

Windows Updateは、Microsoft以外のほとんどのソフトにはパッチを当てません。一覧を作り、担当者を決め、それぞれがどう更新されるかを記録します。よくある対象は次のとおりです。

Webブラウザーと拡張機能。
PDFの閲覧・編集ソフト。
リモート接続・会議クライアント。VPNクライアントやリモートサポートツールを含みます。
圧縮ツール、メディアプレーヤー、Javaなどのランタイム。
業務アプリ・業界向けアプリ。ベンダーによる更新が必要なものも含みます。
プリンター、スキャナー、周辺機器のドライバー。
ネットワーク・セキュリティ機器：ファイアウォール、スイッチ、アクセスポイント、VPN装置。ファームウェアもパッチの一部で、別の保守時間帯で行います。
仮想化基盤、NAS、バックアップソフト。
Microsoft 365 AppsとOfficeアドイン。独自の更新チャネルに従います。

各項目に、担当者、更新方法（自動、ツールで管理、手動）、確認頻度、遅れたときの連絡先を記録します。出発点の頻度として、ブラウザーとリモート接続ツールは毎週、それ以外は毎月確認する運用が妥当です。更新の配布方法は項目ごとに選びます。アプリ自身に更新させる、ベンダーの新しいインストーラーを端末管理ツールで配布する、サードパーティ製のパッチ管理ツールを使う、のいずれかです。自社のツールとライセンスが対応しているものを確認してください。

サーバーとネットワーク機器

サーバーはユーザー向けのリングに入れず、専用の手順で進めます。Intuneの更新リングはWindowsクライアント向けのエディション（Microsoftの対応リストにはPro、Enterprise、Educationなどがあり、Windows Serverはありません）が対象なので、サーバーにはリングのPauseやUninstallを当てにしないでください。

パッチ適用の直前にバックアップまたはスナップショットを取り、復元できることを確認する。
最も重要度の低いサーバーから先に適用し、業務に支障がなければ1営業日置いてから残りを行う。
クラスターや冗長構成は、1ノードずつ適用する。
再起動後は、Windowsが起動したかだけでなく、サービス、イベントログ、業務アプリを確認する。
ファイアウォールやスイッチは、ファームウェア更新のチェックリストに従い、1つ前のイメージを手元に残す。

ロールバック計画

最初の展開より前に書いておきます。最初の失敗のあとでは遅いのです。

発動条件を決める。たとえば、先行適用の10台のうち2台が起動できない（出発点の値）、業務アプリが動かない、サーバーのサービスが起動しない、など。判断する人も決めます。
広がりを止める。Intuneでは、リングを一時停止します（Pauseを選び、Qualityを選択）。Microsoftの文書では、一時停止は最大35日間です。
影響を受けた端末を戻す。同じリングでUninstallを使い、Qualityを選んで直近の品質更新プログラムを削除します。Microsoftによると、この操作を行うとIntuneは同じリングの同種の更新も一時停止します。端末はポリシーを受け取るとすぐ削除を始め、再起動が必要な場合もユーザーに延期させません。可能なら事前に知らせてください。修正版の更新が出るまでは、リングを一時停止したままにします。Microsoftの文書では、一時停止が終わると、その更新が引き続き該当する場合、端末は削除した更新を再びインストールします。一時停止は最大35日で、Extendを使うと35日に戻ります。
アンインストールで足りなければ、スナップショットやバックアップからサーバーを復元する。
記録する。更新プログラムの番号、症状、対処を書き留め、ベンダーにも連絡する。

次のコマンドは、特定の更新プログラムが入っていないサーバーを一覧にします。Get-HotFixは、Component Based Servicingで適用された更新のみを返すため、すべての種類の更新が出るとは限りません（Microsoft Learnで確認、2026年10月28日）。

# Servers.txt には1行に1台ずつサーバー名を書く。KB番号は実際のものに置き換える。
$kb = "KB0000000"
Get-Content .\Servers.txt | ForEach-Object {
    $found = Get-HotFix -Id $kb -ComputerName $_ -ErrorAction SilentlyContinue
    [pscustomobject]@{ Server = $_; Installed = [bool]$found }
} | Sort-Object Installed | Format-Table -AutoSize

よくある失敗

資産台帳がない。台帳にない端末にはパッチが当たりません。毎月、台帳と管理ツールの端末一覧を突き合わせてください。
先行適用リングを飛ばす。問題のある更新が全員に一度に届きます。3台のリングでも効果があります。
サードパーティ製ソフトを更新しない。ブラウザー、PDFツール、リモート接続クライアントは侵入口になりがちです。一覧に入れてください。
「インストール済み」を「完了」とみなす。再起動待ちは、古いコードがまだ動いているということです。確認の手順で再起動待ちを調べてください。
Autopatch管理の端末に独自リングを重ねる。Microsoftは推奨していません。端末ごとに運用方式を1つ選びます。
例外の記録を残さない。メモのないまま未適用の端末は、見えないリスクです。理由と再確認日を記録します。
更新リングをユーザーグループに割り当てる。デバイスグループを使えば、サインインを待たずにポリシーが適用されます。

動作確認の方法

Intune管理センターで該当の更新リングを開き、Device and user check-in status（デバイスとユーザーのチェックイン状況）レポートを確認します。チェックインしていない端末やエラーの端末を探します。
各リングの端末一覧を台帳と突き合わせます。どちらにもない端末は管理外です。
上のGet-HotFixコマンドをサーバーに対して実行し、その月の主要な更新を確認します。
21日目までに、全端末で再起動待ちが解消されていることを確認します。
14日目と21日目の、リングごとのパッチ適用率を記録します。21日目が目標を下回る場合は、次のサイクルの前に原因を調べます。
四半期に一度、テスト端末で復元またはロールバックの訓練を行い、手順に慣れておきます。

よくある質問

パッチ管理ポリシーには何を含めるべきですか？

対象範囲（どの端末とソフトか）、役割と担当者、毎月のサイクル、重大度別の期限、緊急パッチの扱い、例外と承認のルール、ロールバックの発動条件、報告の方法です。読んでもらえるよう、1〜2ページに収めます。

Microsoftにはパッチ管理ツールがありますか？

あります。Windows端末では、Microsoft Intuneの更新リングとWindows AutopatchでWindows更新を管理できます。Intune管理センターのパスは、Devices > By platform > Windows > Manage updates > Windows updatesです。サーバーやオンプレミス環境では、Microsoft LearnがWindows Server Update ServicesとMicrosoft Configuration Managerも更新管理のツールとして挙げています（2026年10月28日確認）。選ぶ前に、現在のライセンス要件を確認してください。