中小企業のPCセキュリティ、今見直すべきは「更新」と「復旧」の運用です
日々の問い合わせ対応や業務改善に追われる中小企業では、PC更新やサーバー保守が後回しになりがちです。しかし、2026年8月19日時点で確認できる一次情報を見ると、端末だけを対象にした対策では十分とはいえません。CISAは、実際に悪用された証拠に基づき、Windows関連の脆弱性6件を既知悪用脆弱性（KEV）カタログへ追加しています。対象にはOffice／Word、MSHTML、Windows Shell、Remote Desktop Services（RDP）に関わる領域が含まれます。CISAの告知
大切なのは不安をあおることではなく、限られた担当者でも「何を先に確認するか」「更新後にどう業務を戻すか」を決めることです。本記事では、悪用中の脆弱性への優先付け、更新管理、ランサムウェアやフィッシングを想定した復旧、サーバー基盤の保守を実務の視点で整理します。
優先すべきは「深刻そうなもの」より、悪用確認済みのもの
脆弱性対応では、CVSSの数値だけで優先順位を決めないことが重要です。まず実悪用の確認有無、次に自社のPC・サーバー・ソフトウェアが該当するか、さらに外部公開や特権利用の有無、業務への影響を照合します。KEVは米国政府機関向けの期限を国内企業へそのまま課すものではありませんが、CISAは全組織が脆弱性管理の優先材料として使うことを勧めています。少人数のIT運用にとっても、「先に確認する対象」を絞る有効な起点です。
対象はWindows PCやOfficeに限りません。認証のActive Directory（AD）、ファイル共有のSMB、データベースのSQL Server、リモート管理、更新配布基盤まで、止まると業務が滞る要素はつながっています。端末とサーバーを別々に扱うのではなく、社内IT全体を一つの運用対象として捉えましょう。
Windows／Office／RDPは、利用状況を棚卸しして優先対応する
CISAが2026年2月に追加した6件には、Windows Shellの保護機構、MSHTMLのセキュリティ機能回避、Office Wordの信頼されない入力処理、Windows、RDPの権限昇格に関する脆弱性が含まれます。CVEの技術的な細部を追う前に、次を確認してください。
該当し得るWindows端末・サーバーと、その更新状況は把握できているか
Office／Wordを利用する端末を特定できるか
RDPを使う端末・サーバーが、外部から直接到達できる状態になっていないか
日常業務用アカウントと管理者権限が分離されているか
RDPが必要な場合も、インターネットへ直接公開しない設計を基本とし、VPNなど管理された経路、MFA、接続元の制限、接続ログの確認を組み合わせます。採用できる手段はネットワーク構成や業務要件によって異なるため、設定変更前には影響範囲を確認することが前提です。
更新は「適用日」ではなく「確認完了日」まで管理する
Microsoftの2026年3月セキュリティ更新には97件のCVEが掲載され、Windowsだけでなく、SMB Server、AD Domain Services、SQL Server、Windows Kernelにも対象が広がりました。MSRCの2026年3月更新情報は、PCの更新画面だけを見て終わりにできないことを示しています。
更新は「配信した」「インストールした」ではなく、再起動と業務確認まで終えて完了です。実行しやすい流れは次のとおりです。
資産台帳と更新対象を照合する。
少数端末または検証環境で、主要業務アプリへの影響を確認する。
再起動時間を利用者へ周知し、段階的に適用する。
更新後、ログオン、共有フォルダー、印刷、VPN、主要業務アプリを確認する。
未適用端末と例外理由を記録し、再対応日を決める。
ChromeやApple製品、IPA、JPCERT/CCについては、今回の調査範囲で個別の2026年公式情報を確認できていません。そのため具体的な更新番号や最新脅威を断定せず、OS・ブラウザ・業務ソフトをサポート中の版に保つ、自動更新または定例確認を行う、不要な拡張機能を棚卸しする、更新不能な端末を把握する、という定常運用を基本とします。
ランサムウェア／フィッシングは、侵入後に「戻せるか」を確認する
今回確認した資料では、2026年のランサムウェア件数やAIを用いたフィッシングの動向を裏付ける公式本文は確認できませんでした。件数や流行を断定する代わりに、一般的な備えを実装できているかを見直しましょう。
フィッシング対策は注意喚起だけに依存せず、MFA、特権アカウントの分離、不審なメール・リンク・添付ファイルを報告するルール、誤操作時に直ちに連絡できる窓口を整えます。ランサムウェアを想定するなら、「バックアップがある」だけでは足りません。復元対象、保存世代、必要なアカウント、復元手順、復旧テストの実施状況まで確認します。共有フォルダーの書き込み権限を最小限にし、誰が何へアクセスできるかを定期的に見直すことも、被害範囲を抑える基本です。
ファイル共有・認証・更新配布を「止めにくいから後回し」にしない
サーバー更新は、業務停止の不安から先延ばしにされやすい領域です。MicrosoftはWindows Server 2022について、多くのWindowsデバイスでSecure Boot証明書が2026年6月から期限切れになり始めること、同製品のメインストリームサポートが2026年10月13日に終了することを案内しています。2026年5月の更新情報を起点に、BIOS／UEFI、Secure Boot、BitLocker、回復キー、OSのサポート期限を台帳化し、更新・移行の予算と計画へつなげてください。
更新には障害時の備えも必要です。2026年4月のWindows Server 2022更新情報には、特定条件下でのBitLocker回復キー入力、ドメインコントローラーの再起動、RDP表示などに関する既知の事象が記載されています。KB5082142を踏まえ、適用前にバックアップ、回復キー、コンソールアクセス、緊急連絡先、切り戻し判断者を確認し、適用後には認証、RDP、共有フォルダー、バックアップ、業務アプリを確認します。
WSUSなどの更新配布基盤も、管理用だから安全とは限りません。インターネットから到達しにくい構成にし、管理経路と権限を限定し、バックアップと代替手段を用意します。配布状況は管理画面だけで判断せず、端末・サーバー側の実際のバージョンで検証しましょう。更新を怖がって止めるのでも、急いで当てるだけでもなく、影響を小さく試し、復旧可能性を確かめる定例保守へ変えることが、安定した基盤につながります。
実務チェックリスト：まず1週間で確認したいこと
すべてを一度に整える必要はありません。担当者、期限、確認結果を記録し、未実施を放置しないところから始めます。
優先順位
[ ] Windows、Office、サーバー、RDP利用、ブラウザ、更新配布基盤の資産台帳を最新化する
[ ] CISA KEVに該当し得る製品と更新状況を確認する
[ ] 外部公開中のRDP、不要なSMB／管理ポート、共用の管理者アカウントがないか確認する
更新前後
[ ] 検証対象、適用日時、再起動、利用者連絡、切り戻し条件を決める
[ ] BitLocker回復キー、緊急連絡先、コンソールアクセス、バックアップの保管先を確認する
[ ] 適用後にログオン、共有フォルダー、VPN、RDP、バックアップ、主要業務アプリを記録付きで確認する
復旧・権限
[ ] 重要データの復元をテストし、所要時間と不足情報を記録する
[ ] 部署・個人ごとのアクセス権を見直し、退職者・異動者・不要な特権を削除する
[ ] 不審メールや端末異常を、利用者がすぐ報告できる連絡先と初動を共有する
月次では更新状況と未適用例外、四半期では権限・外部公開・復旧テスト、期限前にはOSやハードウェアのサポート状況を確認する、と周期を分けると継続しやすくなります。担当者が変わっても回せる台帳と手順書が、障害時の初動を支えます。
自社環境に合わせて確認の進め方を整理したい場合は
ファイル共有、アクセス権、バックアップ、リモート保守をどこまで整えるべきかは、端末数、利用中のOS、ネットワーク構成、業務要件で変わります。Liveworks インテリジェントサーバーは、社内ファイル共有や部署・個人単位のアクセス制御、HDD／サービスの遠隔監視、RAID1、最大30日分の差分世代バックアップ、PCデータ自動バックアップ、VPN、URLブラックリストを利用したプロキシ、5年間の監視・遠隔保守サポートを案内しています。これらは完全な防御や復旧を保証するものではなく、必要な運用設計や手順確認とあわせて検討する内容です。
最初の一歩は、悪用確認済みの脆弱性に該当する未適用箇所と、障害時に戻せない状態を見つけることです。自社での対応範囲や、ファイル共有・バックアップ・アクセス権・保守体制を含めた要件を整理したい場合は、Liveworks インテリジェントサーバーが自社要件に合うか確認・相談できる選択肢の一つとして、案内ページを参考にできます。
