WEB脆弱性診断サービスの導入状況

　最初に、「担当するシステムで、個人情報や重要な情報を取り扱うWEBサイトの有無」について尋ねた。その結果、重要情報の取り扱いが「ある」と答えた方は全体の39.7％で、残り60.3％が「ない」と答えている。
　次に、WEB脆弱性診断サービスの「導入状況」を尋ねたところ、全体の14.1％が「導入済み」で、「新規で導入を検討している」と回答したのが8.6％、「必要性を感じているが導入は検討していない」が40.5％、「必要性を感じない」が36.9％という結果となった。
　そして「導入状況」を個人情報や重要な情報を取り扱うWEBサイトの有無で分けて集計したところ、「導入済み」の割合は重要情報の取り扱いが「ある」と回答した人では21.8％、「ない」と回答した人では6.3％に留まった。
　昨今相次ぐサイバー攻撃はほとんどの場合、システムに潜む脆弱性が引き金になっている。ひとたび重要情報が外部に流出すれば顧客からの賠償問題に発展するだけでなく、社会に対する信用失墜、延いては会社の存続をも危ぶまれる事態に発展しかねない。それだけに個人情報や重要な情報を取り扱うWEBサイトの担当者は、重要情報を取り扱わないWEBサイトの担当者に比べてWEB脆弱性診断サービスの導入状況が高いのだろう。

　次に、WEB脆弱性診断サービスを「導入済み」と回答した人に、「導入した目的やきっかけ」を尋ねた（複数回答）。その結果、1位が「情報漏洩対策（個人情報保護法対応等）」で78.5%、2位は「現状のセキュリティへの不安」と「内部統制（SOX法対応等）」が同率で41.8％となり、「Pマークなどの取得」、「サイバーテロのニュースを見て危機感が高まった」、「ウイルスなどの実被害があった」が続いた。
　また、WEB脆弱性診断サービスを「導入予定」と回答した人に、「導入する目的やきっかけ」を尋ねた（複数回答）。その結果、1位から2位は「導入済み」と変わりなく「情報漏洩対策（個人情報保護法対応等）（74.1％）」、「現状のセキュリティへの不安（59.3％）」と続いているが、3位には「サイバーテロのニュースを見て危機感が高まった（38.9％）」と、「導入済み」に比べ3倍のスコアで順位を上げた。
　2011年は、ソニーグループや衆議院、三菱重工、東芝など、特定の企業を標的にしたサイバー攻撃が相次ぎ、多くの情報が外部に漏洩した。それら組織のシステムは決してセキュリティ対策を怠っていたわけではない。それでも重要情報が外部に流出してしまったこれらの事件は世の中に大きなインパクトを残し、このような結果になったのだろう。

　続いて、WEB脆弱性診断サービスを「導入済み」と回答した人に、WEB脆弱性診断サービスを導入した際に「重視したポイント」と「最も重視したポイント」を尋ねた。その結果、1位が「最新の脆弱性への対応」で61.7％、2位が「コスト」で59.3％、3位が「診断項目の範囲」で43.2％となった。また、「最も重視」だけを見ても「最新の脆弱性への対応」を重要視する割合が高い結果となった。
　昨今、IT製品は選定時の重視ポイントとして「コスト」を最も重要視されることが多いが、今回は違った。低コストで実施できたとしても、対応している脆弱性が古く脆弱性診断を実施して最新の脆弱性が見つけられずにそこを悪意のあるユーザに攻撃されればそのコストは無駄になるので当然のことと言えよう。更に言えば重要な情報を奪おうとするような悪意を持つユーザが、古くすでに対策されているような脆弱性を狙ってくることはまずないだろう。
　2012年1月26日に情報処理推進機構（IPA）が発表した「ソフトウェア等の脆弱性関連情報に関する届出状況[2011年第4四半期（10月〜12月）]」を見ると10月から12月に届け出されたWEBサイト（アプリケーション）における脆弱性は381件。1日あたり約4.18件もの脆弱性が発見されている状況を考えると、最新の脆弱性への対応ができているかどうかがコストよりも重要視されていることは自然なことだ。

…この記事の続きは、会員限定です。 　会員登録はこちら(無料)

会員限定の「脆弱性診断サービス/WEB脆弱性診断サービスの導入状況」(全文)では、「脆弱性診断サービス」に関する対策や統計データなどを掲載しています。会員登録を行い、ログインすると記事の続き(以下の内容)がご覧いただけます。

【1】全体の14％が「WEB脆弱性診断サービス」を導入済み、8％が新規導入を検討

【2】相次ぐ“サイバーテロ”のニュース報道、導入予定約4割が導入検討のきっかけに

【3】導入済みの6割以上が「最新の脆弱性への対応」をサービスの重視ポイントに

【4】8割以上が満足するも、「テスト」や「レポート」に不満の声も…

【5】サービスを導入しない理由、半数弱が「費用対効果が明確でない」と回答

会員になると「脆弱性診断サービス」などの製品や市場動向に関する詳しい記事がご覧いただけます。