パッチ管理の基本は、①何を使っているかを把握する（資産管理）、②脆弱性の情報を集める、③優先順位を付けて適用するの3つです。とくにインターネットに公開している機器（VPN・ファイアウォール・Webサーバー）と、実際に悪用が確認されている脆弱性は最優先で対応します。
優先順位の付け方
| 優先度 | 条件 |
|---|---|
| 最優先 | 外部に公開している機器で、悪用が確認されている |
| 高 | 外部公開、または深刻度が高い（遠隔からコードを実行できる等） |
| 中 | 社内の端末・サーバーの一般的な更新 |
情報の集め方
- 製品ベンダーのセキュリティ情報の購読
- JVN・JPCERT/CCの注意喚起（脆弱性情報の見方）
- 米国CISAの「既知の悪用された脆弱性」カタログ（KEV）
修正を当てても、すでに侵入されていることがある：VPN機器などでは、修正前に侵入され、認証情報が盗まれている場合があります。ベンダーの注意喚起に従い、侵害の痕跡の確認とパスワードの変更も行いましょう。