リスク低減のために脆弱性スキャン実施→対処できているのは深刻度の高いものだけ……という組織が半数

脆弱性管理の実態

　脆弱性管理はCSIRTなどのセキュリティ担当者にとって重要な役割の1つですが、その実態について米Tripwireは調査会社Dimensional Researchとともに調査した結果を「Tripwire 2019 Vulnerability Management Survey」として発表しました。調査は2019年5月に340名の情報セキュリティ専門家を対象に行われました。

　今回の調査結果の中でTripwireやメディアが最も注目しているのは、調査対象組織の27％がパッチ未適用の脆弱性が原因で侵害が起きたことがあると回答している点です。なお、対象をヨーロッパに限定すると、この割合は34％となります。

　この4分の1から3分の1程度という数字は一見すると少なめな印象がありますが、フィッシングをはじめとする一般的に脆弱性を使わないソーシャルエンジニアリング攻撃による被害が目立っている現状を考えれば、「さもありなん」と言えるかもしれません。

　脆弱性管理に必要な資産管理について、まず新しいハードウェアやソフトウェアがネットワークに加わった際にどれくらいの時間で検知できるかとの質問に対する回答をまとめたのが以下の図です。計59％が数時間のうちに検知できるとしています。

　一方、自動的に検知できるのはどれくらいの割合か訊ねた結果をまとめたのが以下の図です。半分未満としているのが計35％となっています。

　脆弱性スキャンを実施している組織の割合は88％で、実際に行なっている脆弱性スキャンのタイプを複数回答可で選択してもらった結果をまとめたのが以下の図です。

　また、脆弱性スキャンを実施している頻度をまとめたのが以下の図です。なお、Tripwireは最低でも週に一度はスキャンを実施した方がよいとしています。

　脆弱性管理に対する自組織のアプローチを示す内容を選んでもらった結果は以下の図のようになっています。

　これをヨーロッパと米国／カナダで分けた結果が以下の図です。

　半数の組織が、リスクを減らすために脆弱性スキャンを実施しているものの、深刻度の高い脆弱性以外には対応できていないとしています。また、法令遵守やその他の要件に合わせるためだけに脆弱性スキャンを実施しているとの回答も少なからずあります。

　対処したい脆弱性の全てに対処する上での障害となっているものを複数回答可で選んでもらった結果をまとめたのが以下の図です。8割近くの組織が「人材とプロセス」と回答しています。

　スキャンツールで検知された全ての脆弱性を修正するのにかかる時間を訊ねた結果をまとめたのが以下の図です。およそ4分の3の組織が30日以内に修正するとしています。

　セキュリティパッチを適用するまでにかかる時間を訊ねた結果をまとめたのが以下の図です。6割近くが1週間以内に適用しているそうです。

　今回の調査では、自組織の脆弱性管理についてだけでなく、脆弱性に対応するベンダーに対する考えなどについても調べています。

　脆弱性の開示が原因で当該製品の使用をやめたことがあるかを訊ねた結果をまとめたのが以下の図です。8割が何らかのかたちで「ある」としています。

　脆弱性の発見からパッチのリリースまでにかかる時間として受け入れ可能な長さは以下の図のようになっています。7割近くは1週間以内としています。

　生産や販売を終了した製品に対するパッチの提供をベンダーがやめる時期として妥当（reasonable）なものを訊ねた結果をまとめたのが以下の図です。生産・販売終了後1年から2年との回答が最も多いです。

　調査対象は北米とヨーロッパの組織のようなので、この結果をそのまま日本に適用して比較してよいかは判断の分かれるところでしょうが、自組織の脆弱性管理の改善や見直しの参考資料にはなるでしょう。うまく利用してください。

プライバシー侵害の恐れがある技術を使用している都市トップ5

　公衆保護（public protection）を目的に監視カメラの設置やGPS位置情報の追跡など、さまざまな技術を導入している自治体が当たり前となっているなか、米Webrootは市民のプライバシーを侵害する可能性のある技術を使っている都市トップ5を自社のブログで紹介しています。