セキュリティコラム(第1回) : 脆弱性診断の必要性

このセキュリティコラムは、情報セキュリティに関する疑問や課題について専門家以外の方にもわかりやすく説明していくことを目的としています。第1回目は、「脆弱性診断の必要性」です。

「脆弱性」とは

そもそも、「脆弱性(ぜいじゃくせい)」とは、いったい何でしょうか。広辞苑で「脆弱性」を引くと、「もろくてよわい性質。コンピューターやネットワークなどの情報システムでは、障害・事故・災害・不正使用・攻撃・情報漏えいなどに対するもろさ。ヴァルネラビリティー。」とあります。これを見ても、情報セキュリティに携わる人以外にはピンと来ないかもしれません。

私達が普段利用しているウェブサイトの多くは、ウェブアプリケーションと呼ばれる、ブラウザから利用可能なプログラムで構成されています。プログラムにミス、いわゆるバグが存在すると、不正に使用され情報漏えいなどの事故が発生してしまうことがあります。このバグの中で悪用可能なものを脆弱性と呼びます。例えば、コップであれば「ひび」、バケツであれば「穴」があるなど、外見上の問題があれば、修理する、新しいものを購入するといった判断ができると思いますが、普段は表に見えていないプログラムのバグを見た目から判断することは非常に難しいのが現状です。

システムに脆弱性がある状態を放置すると、悪意のある第三者から攻撃を受けることにより、日常の業務に支障を来したり、顧客情報等を窃取されたりすることによって、多額の損失を被るリスクがあります。

脆弱性対応の難しさ

脆弱性を塞ぐには、プログラムのアップデートやセキュリティパッチの適用が必要となります。Windowsの場合には、サービスパックやWindows Updateによって、それまでに発見された脆弱性を塞ぐことができます。

しかしながら、次々と発見される脆弱性への対応は、企業にとって容易ではありません。CVE Details※1によると、2017年には14,714件、2018年には16,555件もの脆弱性が発見・報告されています。2019年も8月の執筆時点で既に7,853件が報告されているなど、増加の一途を辿っています。2018年で言えば、単純計算で1日に45件の脆弱性が発見・報告されていることになります。

以上を踏まえると、情報システム部門やそれに相当する職員が、自社に関係が脆弱性であるかの判別、実際に攻撃に使用された際の深刻度の評価、セキュリティパッチ等の適用などの対応を通常業務の傍らで実施することがいかに難しいか、想像に堅くないのではないでしょうか。また、数の多さもさることながら、ウェブアプリケーション等のシステムが稼働するには、これを動かすOSやミドルウェア等の他のプログラムの脆弱性にも目を向けなければならないなど、自社のシステムの脆弱性を網羅的に塞ぐことは極めて難しいと言えます。
 

脆弱性診断の必要性

脆弱性を網羅的に塞ぐことが困難である以上、リスクマネジメントの観点からは、脆弱性を特定するだけでなく、その深刻度を評価した上で、対応の優先順序を付けて計画的に対応することが求められます。このため、システムの脆弱性について、相応の技術を身に付けて自身で診断するか、または専門家による診断を受けることが必要です。

また、日々新しい脆弱性が発見され、攻撃手法もアップデートされています。このため、私達人間も症状の無い病気の早期発見や経過観察のために定期的に健康診断を受けるように、システムにおいても、少なくとも年に一度(クレジットカードを扱う企業は、四半期に一度)以上の頻度で脆弱性診断を継続的に実施し、ウェブサイトや使用中のOS、ミドルウェアその他のプログラムに「もろくて弱い箇所」があるのかを特定する必要があります。脆弱性診断によって、発見された脆弱性を悪用する方法を再現し、危険かどうかの判断、攻撃された際の影響を分析・評価し、サイバー攻撃による被害を最小限に抑える活動を続けていくことが企業存続のための成功要因の一つであると考えます。

脆弱性診断を行うための有効なツール

これまで脆弱性対応の難しさと脆弱性診断の必要性について述べてきましたが、『SOMPO CYBER SECURITY』では、特に中小企業のお客さまが手軽にウェブアプリケーションの脆弱性診断を利用できる『SOMPO DEFNAVI』をご提供しています。最初の1か月間は無料で全ての機能をお試しいただくことができますので、まずはトライアルユーザーとしてご登録いただき、一度診断を行うことをお薦めいたします。

『SOMPO DEFNAVI』の詳細は、こちらをご参照ください。

執筆者

平原 伸昭
(クラウドセーフ株式会社 代表取締役)

 

2002年に大手セキュリティベンダーに入社以来、 情報セキュリティ分野に従事し、不正プログラムに関する動向や解析、サイバー攻撃、サイバー犯罪、コンピュータに残された痕跡情報調査の分野に精通。多くの政府・企業・団体におけるセキュリティ事故への対応を経験。

 

2017年4月、 ITの安全、安心、簡単利活用で企業の成長に貢献したいという想いからクラウドセーフ株式会社を創業。

 

サイバーセキュリティに関して多くのIT関連記事を寄稿。
企業、団体へのセキュリティトレーニング、大手損害保険会社、上場企業、大手製造業、スタートアップ企業等の技術顧問を務める。

 

SOMPOリスクマネジメント株式会社サイバーセキュリティテクニカルアドバイザー、
警察庁「総合セキュリティ対策会議」委員、
愛知県警察サイバー犯罪・サイバー攻撃対策アドバイザー、
福岡県警察サイバー犯罪対策テクニカルアドバイザー、
北海道警察サイバー攻撃対策アドバイザー       などを務める。

 

GCFA(GIAC Certified Forensic Analyst )
CHFI (Computer Hacking Forensic Investigator)

SOMPOホールディングスグループは、
お客さまの「安心・安全・健康」に資する
最高品質のサービスをご提供し、
社会に貢献します。

page top