セキュリティの
学び場

今回の解説ニュース

セキュリティに関する日々の習慣や対策であるサイバーハイジーンについて発表されています。サイバーハイジーンのひとつである脆弱性対応の具体的な内容と、その必要性について説明します。

今回の調査は、大企業のIT管理者・担当者を対象に実施したWebアンケートの結果をまとめたものです。結果として、脆弱性対応の頻度について尋ねたところ、年に5回以上実施していたのは11％にとどまり、89％の組織で四半期に1回以下の脆弱性対応実施にとどまっていたことが判明しました。また、ランサムウェアの侵入経路とされる機器のセキュリティパッチの適用状況について、未適用のセキュリティパッチがあったのは60％にものぼり、サイバーハイジーン運用の未徹底が原因であるとしています。

なお、サイバーハイジーン運用の徹底には平時有事問わず、サプライチェーン全体のモニタリングが重要であると述べられています。

脆弱性対応の具体的な内容

脆弱性対応とは、システム上の脆弱性を随時特定して修正や防止をする、セキュリティの運用です。日々発生しているセキュリティの脅威からシステムを保護するために、脆弱性対応は必要不可欠なプロセスとなります。

脆弱性対応には主に、脆弱性の特定、評価、修正、監視のプロセスが含まれます。まず、ツールや手動による脆弱性診断によって、システム上の脆弱性を特定します。特定された脆弱性の深刻度をCVSSなどで評価して、深刻度に応じて対応に優先順位を付けます。そして、開発元から対策が提供されていれば、脆弱性を修正するためのパッチやアップデートを適用したり、システムの設定を変更したりします。その後、脆弱性が修正されたことを確認し、新しい脆弱性が発生していないかを繰り返し確認していくことが、脆弱性対応のサイバーハイジーンとなります。

脆弱性対応の必要性

脆弱性対応は、サイバー攻撃のリスクを低減するために、極めて重要な取り組みと言うことができます。理由として、放置された脆弱性は、攻撃者がシステムに侵入し、機密データを盗んだり、システムを破壊したりするきっかけとなるからです。

脆弱性対応をせず、未対応の脆弱性を悪用された場合、組織は情報漏えいやシステムダウン、乗っ取りなどの深刻な被害を受ける可能性があります。具体的には、放置された脆弱性が悪用され、システムに侵入されることで、顧客情報、機密情報などの大切なデータが窃取されたり、システムが停止し、業務が中断されることで、大きな経済的損失が発生したりする可能性があります。また、システム全体を乗っ取られてしまい、別のサイバー攻撃を実施する踏み台にされる場合もありますので、自分だけの問題とは考えず、脆弱性対応に取り組むことが求められます。