警察庁が2026年3月に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェアの感染経路となった機器のパッチ適用状況が確認できた87件のうち、「未適用のセキュリティパッチがあった」のは46件・53%にのぼります。半数以上の被害企業が、既に公表されていた脆弱性のパッチを適用しないまま攻撃を受けていた実態が示されています。
調査概要
警察庁が令和7年3月13日（2026年3月13日）に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」の資料編データ（P50）をもとにした分析結果です。対象：感染経路とされた機器のセキュリティパッチ適用状況を確認できた87件。適用状況：最新のセキュリティパッチを適用済み41件（47.1%）・未適用のセキュリティパッチ有46件（52.9%≒53%）。
ひとことで言うと？
「既に修正プログラム（パッチ）が出ていた脆弱性を放置していた」ことで被害を受けた企業が半数を超えています。攻撃者はパッチが公表された直後から、未適用の機器を自動スキャンで探し出し攻撃します。特にVPN機器やRDP（リモートデスクトップ）の脆弱性は公表後すぐに悪用されるため、「月に1回パッチを当てる」ではなく「重要な脆弱性は公表後72時間以内」という水準での対応が求められます。このデータは「パッチ管理の重要性」を一言で伝える根拠として使えます。
インパクトデータ：感染経路機器のパッチ未適用率53%（令和6年・警察庁）
警察庁の資料によると、ランサムウェア感染経路機器87件のうち46件（53%）に未適用のセキュリティパッチがありました。感染経路の55%がVPN機器（R61・P46_3）であることを踏まえると、VPN機器のパッチ管理が特に重要です。主要VPNベンダー（Fortinet・Cisco・Palo Alto等）はCVSS（共通脆弱性評価システム）スコアが高い脆弱性を定期公表しており、メーカーのセキュリティ情報をRSS/メール購読することで早期に把握できます。
このデータをプレゼンで使うには？
①誰に向けて話すか②次のスライドで何を話すか、を入力するだけで、このインパクトデータを使ったプレゼン冒頭のトークスクリプトを生成AIに作ってもらうためのプロンプトが自動生成されます。生成されたプロンプトをそのままChatGPTやClaudeなどに貼り付けてください。
よくある質問
Q. VPN機器のパッチを素早く適用するための実践的な方法を教えてください。
A. 実践的なパッチ管理の手順は①メーカーのセキュリティアドバイザリをRSS/メールで購読（Fortinet・Cisco・Palo Alto等は無料登録可能）、②CVSS（共通脆弱性評価システム）スコア7.0以上（High・Critical）の脆弱性は最優先で72時間以内に対応、③パッチ適用前に「変更管理手順（バックアップ→テスト環境確認→本番適用）」を確立する、④適用記録を残す（いつ・どの機器に・何を適用したか）、⑤サポート切れ機器（メーカーがパッチを出さない）は速やかに新機種に交換する、の5ステップです。
Q. セキュリティパッチ管理ができていない企業にありがちな問題は何ですか？
A. 最もよくある問題は①「担当者が脆弱性情報をチェックしていない」（情報収集の仕組みがない）、②「パッチ適用で業務が止まることを恐れて後回しにする」（変更管理手順の未整備）、③「機器が多すぎてどれに何が入っているか分からない」（資産台帳・構成管理の欠如）、④「サポート切れ機器が放置されている」（予算・手続きの問題）の4点です。特に①②は仕組みの問題であり、「誰が・何を・いつチェックするか」を明文化するだけで改善できます。IPAの「システム管理基準」を参考に自社のパッチ管理プロセスを定義することを推奨します。
Q. このデータはどこから取得できますか？
A. 警察庁が令和7年3月13日（2026年3月）に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」の資料編P50から取得できます。CSVデータはR06_jousei_data_P50_1.csv（侵入経路とされる機器のセキュリティパッチの適用状況）として警察庁のサイバーセキュリティ統計ページで公開されています。
本記事のグラフ・数値・データ表は、出典として本記事へのリンク（「出典：DataSlide」＋記事URL）を明記いただければ、ブログ・資料・SNS等で自由に転載いただけます。事前連絡は不要です。
