企業におけるサーバ脆弱性対策に関する実態調査 2014 

2014年12月24日
トレンドマイクロは、2014年12月に、企業のサーバ運用に関わるIT管理者515名を対象に「企業におけるサーバ脆弱性対策に関する実態調査 2014」を実施。本調査では、企業において運用されている業務用サーバに対する脆弱性対策の実態やその課題について調査しました。

【調査結果】

1 徹底されていないサーバの脆弱性対策。脆弱性のある全てのサーバに更新プログラムを適用している回答者は約半数のみ

脆弱性のあるサーバに対して、メーカよりその脆弱性に対する更新プログラムが提供された際に、必ず更新プログラムを適用しているか質問しました。調査の結果、「更新プログラムを適用できていないサーバもある」との回答が27.0%を占め、「全てのサーバに対して更新プログラムを適用していない」の回答に至っては8.5%、「対応できているのか把握できていない」の回答は14.2%となりました。「脆弱性が確認された全サーバに対して更新プログラムを適用している」のは50.3%のみで、残りの約半数は、脆弱性の確認されたサーバに対する更新プログラムの対応が十分にできていない状況が明らかになりました。

2 時間を要する更新プログラムの適用プロセス。約7割が更新プログラム適用の際に「時間がかかる」ことを課題と認識

メーカより提供されるサーバの脆弱性に対する更新プログラムの適用において、「時間がかかる」という課題を感じているとの回答者が全体の69.9%にも上ることが判明しました。時間がかかる理由としては、「計画的にサーバを停止させる必要があるため(31.5%)」が最も多く、続いて「検証期間に時間がかかるため(29.3%)」、「作業スケジュールを確保するのが困難なため(27.2%)」、「サーバ毎に脆弱性を確認し、必要な更新プログラムを確認し準備するまでに時間と手間がかかるため(20.8%)」、「リソース不足のため(17.9%)」が挙げられています。スケジュールやリソース確保といった人的要因のほか、更新プログラムの事前準備や適用中のサーバの停止など更新プログラムの運用面で多くの企業が課題を抱えていることが浮き彫りになりました。

さらに、サーバに更新プログラムを適応している(「全てのサーバに対して更新プログラムを適用している」または、「更新プログラムを適用できていないサーバもある」の回答者)398人を対象に、業務用サーバにおいて脆弱性が確認され、メーカよりその脆弱性に対する更新プログラムが提供された際に、実際にその適用完了までにかかる平均期間を質問しました。その結果、「1週間程度」と答えた回答者は54.5%、「半月程度」が8.5%、「1か月以上」かかると回答した人は20.0%と、8割以上の回答者が更新プログラムの適用までに約1週間以上の期間を要していることがわかりました。

3 放置される更新プログラム検証中のサイバー攻撃のリスク。約4割が、更新プログラム適用完了までの間の脆弱性対策実施なし・不明。約15%が未適用期間に外部からの攻撃を経験

サーバに更新プログラムを適応している(「全てのサーバに対して更新プログラムを適用している」または「更新プログラムを適用できていないサーバもある」の回答者)398名を対象に、サーバの脆弱性に対する更新プログラム適用の作業プロセスにおいて、その間に何か脆弱性対策として補完した対策を実施しているかを質問しました。その結果、約4割は「特に何もしていない」、「分からない」と回答しました。更新プログラム適用まで時間を要するという課題を抱える一方で、その脆弱性をついたサイバー攻撃に対するセキュリティリスクについても十分な対策がなされていない状況が明らかになりました。

さらに、サーバOSの更新プログラムの適用の遅れ、もしくは未適用が原因で、業務用サーバが外部から攻撃などを受けたことがあるかの質問に対して、15.1%が「経験あり」と回答しました。実際に外部からの攻撃を受けた経験を持つ回答者が一定数存在することがわかりました。

本調査により、約半数近くのIT管理者が、サーバの脆弱性が確認された際に提供される更新プログラムに対して十分な対応が取れていないことが判明しました。更新プログラムの適用には時間がかかり、また、更新プログラム適用完了までの間、その間脆弱性が放置されセキュリティリスクが高い状態となっている現状も明らかになりました。サーバOSの更新プログラムの適用の遅れ、もしくは未適用が原因で、実際に業務用サーバが外部から攻撃などを受けたケースも散見され、サーバの脆弱性をついたサイバー攻撃が企業にとって身近な脅威になっていることも今回の調査から読み取れます。


【調査概要】
調査名:企業におけるサーバ脆弱性対策に関する実態調査 2014
実施時期:2014年12月5日~2014年12月8日
回答者:企業においてサーバに関わるIT管理者515名
手法:インターネット調査

その他、詳しいリサーチ内容はネタ元へ
[トレンドマイクロ]
 マイページ TOP