脆弱性「診断」が大好きなニッポンに脆弱性「管理」を提案 ～ tenable one [Interop Tokyo 2024 REPORT]

　千葉県の幕張メッセで 6 月に開催されたネットワーク技術の総合展示会「Interop Tokyo 2024 」の注目セキュリティ製品を取材した。

　Tenable Network Security Japan株式会社が提供するTenable Oneは、統合的サイバーエクスポージャー管理プラットフォーム。

　「I脆弱性管理」「外部アタックサーフェス管理」「Active Directory保護」「クラウドおよびコンテナセキュリティ」「ウェブアプリケーションセキュリティ」などの機能を提供し、リスク予測と優先順位付けを実施可能。

　Tenable Network Security Japan シニアマーケティングマネージャー 水村明博氏は本誌の取材に答え「USなど海外では、Tenable製品等が提供する『脆弱性管理』と、日本でも広く実施されている『脆弱性診断』の予算や人的工数の投下が、おおむね脆弱性診断：脆弱性管理 ＝ 1 対 1 の比率だが、日本は脆弱性診断のみに大きく偏っている現状がありこれを変えていくことが商機となる」という趣旨の回答をした。

　先頃発表された特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）「2023年 国内情報セキュリティ市場調査報告書」15 ページの記載によれば「脆弱性検査製品」は、市場の規模そのものはまだ小さいものの旺盛な伸び率を示している。

　水村氏によれば同社では積極的に事例作成と公開を行っており、特定の産業の一社の事例を公開すると必ず数社の問い合わせがあり多くは商談となり、一定比率で契約するという。事例集はかなり見つけづらい階層に存在したがそれでもそれだけ読まれているのなら、一定の需要が存在し今後上昇が見込まれると推定できる。

　現在日本で年末の大掃除のように、主に期末に年一で行われる脆弱性診断の習慣が確立されたのは、2000年代半ばから後半にかけての時期である。これまでのような年一の大掃除（脆弱性診断）でなく、今後は毎日掃除（脆弱性管理）をしなければならないとしたら、管理者にとってまったく嬉しい話ではないかもしれないが、サイバー攻撃実施のために攻撃組織が行う脆弱性探しは年一の実施ではない。