日経２２５企業のセキュリティリスク調査、グローバルランキングを集計（RAPID7）
森下恭介氏は日本の特徴として、WannaCryで悪用されたSMBへの対策意識が向上したがいわば以前泥棒に侵入された窓の鍵の補修は万全であっても他の窓やドアが脆弱であれば今後も泥棒に狙われる可能性がある、とコメントしている。
調査・レポート・白書
調査・ホワイトペーパー
調査は、コロナ渦によるリモートアクセスが増加していることを背景に、FTPやTelnet、SMB、公開された安全ではないデータベース等に焦点を当てている他、安全性に欠陥が無いサービスについても、古いバージョンの使用や設定ミスによって脆弱性が存在するものについても測定を行い、総合的なサイバーエクスポージャーを算出した。
サイバーリスクの危険度に関して日本は世界8位にランク付けされた。最も危険にさらされている1位は米国、次いで2位中国、3位韓国、4位英国、5位ドイツ、6位ブラジル、7位ロシアと続く。
グローバルの傾向としてSMB、Telnet、rsync、コアメールプロトコルなどの安全でないサービスの数は、2019年と比較して平均して13％減少し、インターネット全体のセキュリティが向上していることが明らかになったという。より安全性の高いSSHやDNS-over-TLSといった代替プロトコルの採用は増加傾向にある。また、グローバルの業界別傾向では、日本を含めた先進国の上場企業は、特に金融サービスと電気通信のセクターで、脆弱性のあるパッチを多数抱えていた。
日本に関する主な分析結果のトピックは以下の通り。
・日本におけるTelnetの使用は2019年の同時期と比べ7％増加
・SMBのエクスポージャーは24%減少しました
・プレーンテキストFTPのエクスポージャーが2019年から2020年にかけて12％減少
・44,802のMySQLサーバーが直接エクスポージャーにさらされている
ラピッドセブン・ジャパン 代表執行役社長 森下 恭介 氏は日本の特徴として「WannaCryで悪用されたSMBへの対策意識が向上したが、それはいわば以前泥棒に侵入された鍵の補修が万全であることに似ており、他の窓やドアが脆弱であれば今後も泥棒に狙われる可能性がある」とコメントしている。
パスワード管理とパッチ管理は最も重要といえるセキュリティ対策であるにも関わらず、あまりにも基本すぎてその活動があまり評価されない傾向が存在する。果たしてUSやグローバルでもこういう傾向はあるのか、というScanNetSecurityの質問に対し、Rapid7社 チーフデータサイエンティスト Bob Rudis 氏は「アメリカでもまったく同じ傾向が存在する。新しいキラキラするものに皆が注目する。その理由はわからない。だがパッチ管理や脆弱性管理のような縁の下の力持ちの対策がなければ、その上に積み上げた対策も機能しないことは明らかだ」と回答した。
また、同社 リサーチダイレクター Tod Beardsley 氏は「確かにパッチ管理や脆弱性管理は目立たないし人に誉められることはないが、そういうつまらない業務にしておく必要は必ずしもない。たとえばパッチ管理を自動化するような仕組を考えることは、非常に高度なコンピュータエンジニアリングのスキルを要する作業になる。一見つまらないように見えるその業務を高みに上げるかどうかは担当する技術者のクリエイティビティ次第でもある」と答えた。
《高橋 潤哉（ Junya Takahashi ）》
関連記事
この記事の写真
/
関連リンク
特集
アクセスランキング
-
事務局のパソコンが「Emotet」感染、パスワード付きZipファイル添付に注意呼びかけ（日本医師会）
-
社内パソコンがウイルス感染、メール送受信履歴に含まれるアドレスへなりすましメールを送付（ライフ）
-
TLS 1.2以前の暗号を解読する「Raccoon Attack」攻撃（JVN）
-
社員PCがEmotetに感染、社内外のメールデータが流出（岩出建設）
-
社内パソコンがEmotet感染、取引先でも不審メールを確認（山一商事）
-
「Emotet」関連相談が急増、パスワード付きZIPファイル添付攻撃も確認（IPA）
-
パスワードリスト型攻撃のフォレンジック調査で新たな不正ログイン判明（三越伊勢丹）
-
開発者がセキュリティの責を負う時代到来か、セキュアコーディングのSaaS型eラーニングサービス開始（Flatt Security）
-
LINEアカウントへ不正ログイン試行、日本が41,204件でTOPに（LINE）
-
PCI DSS v4.0 が 2021年公開、8 年ぶりのメジャーバージョンアップ ～ 改訂の 2 つの目的と移行スケジュールPR