概要
- サイバー犯罪者は最短24〜48時間で脆弱性を悪用できる一方、組織がそれを修復するには平均43日かかります。
- 重要なのは、より多くの脆弱性にパッチを適用することではなく、ビジネスに最大のリスクをもたらす脆弱性を優先することです。
- 自動化とリスクベースの脆弱性管理は、対応の迅速化とサイバーセキュリティ態勢の強化に役立ちます。
ハッカーが脆弱性を悪用するのと同じ速さで脆弱性にパッチを適用することは、常に可能とは限りません。しかし最近のデータは、このギャップがどれほど拡大しているかを明確に示しています。
FortiGuard Labsは、重大な脆弱性が公開されてから実際に悪用されるまでの時間が、24〜48時間に急速に短縮されたと推定しています。一方、Verizonの2026年版Data Breach Investigations Reportによると、組織が脆弱性の修復を完了するまでにかかる日数の中央値は43日です。
グローバルな金融セクターの多くのリーダーが痛感しているように、脆弱性が悪用されてからパッチの展開が成功するまでの数日から数週間の間に、甚大な被害が発生する可能性があります。
業界リーダーの視点から見ると、どちらの数値も望ましくない方向に進んでいます。以前は、ハッカーが脆弱性を悪用するには1週間程度かかるのが一般的でした。また、パッチ適用のプロセスも以前はより迅速でした。現在の43日という数値は、12か月前に記録された32日から増加しています。
ハッカーの動きは速くなっています。
パッチ適用は遅くなっています。
ハッカーを追いかけるだけでは解決できない
できるだけ多くの脆弱性をリアクティブに特定し、パッチを適用してハッカーを追い続けることが正しい答えのように思えるかもしれません。
しかし、それが必ずしも最善の選択肢とは限りません。
その代わりに、世界中の金融機関はプロアクティブなパッチ管理を優先することを真剣に検討すべきです。できるだけ多くの脆弱性にパッチを適用しようとするのではなく、優先順位付けとは、適切な脆弱性にパッチを適用することを意味します。これには、リスクベースの脆弱性管理のようなモデルが含まれます。このモデルでは、次のような問いを立てます。ビジネスに最大のリスクをもたらす脆弱性はどれか。影響を受ける資産はどの程度重要か。悪用される可能性はどの程度か。悪用された場合、業務にどのような影響が及ぶ可能性があるか。
こうした問いは、対応の優先順位付けを支援し、ITチームとセキュリティチームがより戦略的に取り組むことを可能にします。金融機関がますます複雑化するIT環境を管理するなか、世界的にサイバー面での圧力が高まっていることを踏まえると、これは特に重要です。
適切な指標を測定する
サイバーセキュリティの現状に関する新しいレポートによると、セキュリティ専門家の57%がソフトウェアの脆弱性を高レベルまたは重大な脅威と見なしている一方で、十分に備えられていると回答したのはわずか27%でした。この30パーセントポイントのギャップは、わずか1年で11ポイント拡大しました。
パッチを効果的に優先順位付けするには、まず適切な指標を測定する必要があります。同レポートによると、サイバーセキュリティのリスク露出スコアまたはその他のリスクベースの指標を使用している企業はわずか51%です。残りの企業は、平均修復時間（47%）や修復済み露出の割合（41%）といったプロセス指標に依存しています。これらは速度やカバレッジを示す指標ではあるものの、リスク態勢が実際に改善したかどうかについてはほとんど示しません。3社に1社は、パッチ管理などの領域でリスク修復の優先順位付けに苦慮していると回答しています。
自動化が支援となる
ITチームとセキュリティチームがすでに大きな業務負荷を抱える中で、運用上の変更は支援というよりも複雑さを増すものに見える場合があります。自動化はその負担の一部を軽減できますが、それは適切に導入された場合に限られます。サイバーセキュリティの現状に関するレポートでは、セキュリティ専門家の92%が、自動化によってチームの平均対応時間が短縮されると回答しています。しかし、脆弱性への対応と修復にAIを使用しているのはわずか42%です。
自動化には、すでに利用可能な情報をより有効に活用できる可能性があります。各企業固有のリスクに基づき、より迅速な意思決定と優先順位付けを可能にします。自動化に支えられたリスクベースの脆弱性管理への流れは、世界有数の多くの金融機関ですでに明確になっており、業界のその他の企業も注目すべきです。ハッカーの意欲が弱まることはありません。
