2024年の脆弱性管理を総括：プロアクティブな対策が効果を上げ始めた – Kaseya

Navigating the Future: Key IT Vulnerability Management Trends 

2025/02/05 TheHackerNews — サイバーセキュリティの状況が進化し続ける中、プロアクティブな脆弱性管理は MSP (Managed Service Providers) と IT チームにとって重要な優先事項となっている。最近のトレンドとして、潜在的なセキュリティ上の欠陥の特定／対処の頻度が高まっている状況が挙げられる。つまり、ユーザー組織において、セキュリティ脆弱性の評価を優先する傾向が強まっていることになる。

これらの傾向を把握しておくことで、MSP と IT チームは、潜在的なサイバー・リスクの一歩先を進んでいける。Kaseya Cybersecurity Survey Report 2024 は、サイバーの課題である、この新たな動向をナビゲートするものだ。すべてが、データにより明確にされる。ユーザー組織は、脆弱性の評価に対する依存度を高め、この分野への投資を 2025年は優先していくだろう。

脆弱性評価の頻度が高まっている

2024 年には、回答者の 24% が、脆弱性評価を年間で４回以上実施していると回答しており、2023 年の 15% から増加している。この変化が浮き彫りにするのは、継続的な監視と、新たな脅威への迅速な対応への認識の高まりである。その一方で、半年ごとの評価という頻度は一般的ではなくなり始め、そのペースで実施する組織の割合は、 29% から 18% に減少している。脆弱性評価の頻度が上がる傾向は、より強力で回復力のある、セキュリティ体制へのシフトを示している。

組織における脆弱性スキャンの頻度

脆弱性スキャンの実行の必要性と頻度は、それぞれの環境におけるリスク・レベルやコンプライアンス要件などの要因により異なるものになる。

一般向けアプリケーションや重要インフラなどの高リスク領域では、毎日／毎週のスキャンが必要になる場合がある。また、それほど重要でないシステムは、毎月／四半期ごとのスキャンもあり得る。

Payment Card Industry (PCI DSS) などのコンプライアンス規制により、脆弱性スキャンが３か月に１ 回のペースで実施される場合もある。

インフラに大きな変更があった場合には、たとえば、新たなクラウド・アカウント／ネットワークの変更／Web アプリの大規模な構造変更などが生じた場合には、より頻繁なスキャンが必要になる場合がある。

継続的なスキャンは、IT 環境を 24 時間 365 日監視できるため人気を博している。また、脆弱性を発見して修正する時間の短縮にも役立つ。

脆弱性スキャンの頻度を選択する際には、テクノロジーの進歩のペースと、攻撃者による悪用に先行して、サイバー・セキュリティのギャップを埋めるように考慮すべきである。

サイバー・セキュリティ問題の最大の原因は人間

ユーザーに関連するセキュリティ問題は、IT プロフェッショナルにとって大きな懸念事項である。エンド・ユーザーにおける課題と、サイバー・セキュリティに関するトレーニング不足を、セキュリティにおける根本的な問題として挙げる組織は、2023年の 28% から、2024年の 44% へと増加している。さらに、回答者の約半数が、ユーザーの不適切な習慣や騙され易さを大きな問題として挙げており、その値は 2023年の 15% から 2024年の 45% へと、３倍に増加している。

ユーザーの不適切な行動は、さまざまな負の要因を生じるため、サイバー・セキュリティの脆弱性につながる可能性がある。端的に言うと、ユーザーのログイン認証情報を侵害したサイバー犯罪者は、組織のネットワークに不正にアクセスできる。

この問題はセキュリティ侵害の 60% から 80% に関与している

IT プロフェッショナルたちが、サイバー・セキュリティの課題の重要な要素として、ユーザーを見なしていることは明らかだ。そのため、組織にとって重要なことは、脆弱性評価やトレーニングなどの予防的対策により、セキュリティ・ギャップを埋め、リスクを軽減し、人的トラブルを最小限に抑えることになる。

サイバー・セキュリティ問題の根本的な原因の Top-3 は？

脆弱性管理はサイバー・セキュリティ投資における優先事項

数多くの企業において、セキュリティ成熟度が横ばいになるにつれて、予防的なサイバー・セキュリティ対策への注目が高まっている。脆弱性評価への投資への関心は、2023年の 13% から 2024年の 26% へと倍増している。この傾向と一致する投資の増加としては、クラウド・セキュリティ (33%) および、自動ペネトレーション・テスト (27%)、ネットワーク・セキュリティ (26%) などがある。それらが浮き彫りにするのは、急速に変化する脅威の状況下において、脆弱性を迅速に特定して対処することが、多くの人々により重視されていることだ。

今後 12 か月で行う予定のサイバー・セキュリティ投資は？

脆弱性評価によりインシデント・コストを最小限に抑える

ユーザー企業は、セキュリティ投資が成果を上げていることに気付き始めており、また、2024年におけるインシデント・コストは下がる傾向にある。つまり、脆弱性評価などのプロアクティブな対策により、インシデント・コストが大幅に削減され、サイバー・セキュリティのレジリエンスが高まっているのだ。

VulScan による迅速かつ効果的な脆弱性管理

Kaseya の VulScan は、管理するネットワークの内部／外部の脆弱性を特定し、優先順位を付けるための包括的なソリューションである。スキャンのスケジュール設定と、結果に対するフィルタリングは簡素化され、効果的な脆弱性管理を可能にしている。直感的なダッシュボードとレポートにより、悪用される前に対処すべき、深刻な脆弱性を迅速に特定できる。さらに、無制限のネットワーク・スキャナーを設定し、Web 管理ポータルからのスキャン結果へのアクセスも迅速かつ簡単である。

VulScan の機能：

• ローカル／リモートの内部脆弱性管理
• ローカル／ホストの外部脆弱性スキャン
• マルチテナント管理ダッシュボード
• 脆弱性ノイズ管理

脆弱性評価の重要性が高まる中で、組織全体の意識改革が求められています。Kaseya の PR 記事ですが、それなりのユーザー・ベースを持っているベンダーの調査／分析なので、いまのセキュリティの状況を伝えるものとして、貴重なデータを提供していると思えます。よろしければ、カテゴリ SecTools も、ご参照下さい。