yamoryは11月12日、ランサムウェアの主要な侵入口「VPN機器」のセキュリティ対策実態を調査した結果を発表した。これは、従業員数1000名以上の企業に勤務する情報システム・セキュリティ担当者300名を対象に行ったもの。調査結果の概要は以下のとおり。
■約半数がVPN機器のバージョン情報を「正確には把握していない」
利用しているVPN機器のファームウェアやOSのバージョン情報について、「正確には把握できていない」と回答した担当者が48.3%に上った。これは、資産情報（インベントリ）の管理が追いついておらず、脆弱性発生時に対応すべき機器を迅速に特定できないリスクを示している。
■脆弱性発覚時、6割超が対応機器の即時特定ができていない
収集した脆弱性情報と、社内の「どのVPN機器の、どのバージョン」が該当するかを特定する速さについて尋ねたところ、43.3%が「数日以内」、8.7%が「1週間以上」かかると回答。また11.3%は「特定するための仕組みがない、またはできていない」と回答した。合計で63.3%が機器の特定に時間を要している、または特定できず脆弱性を放置しており、ランサムウェアの主要な入り口として攻撃しやすい状況が見受けられる。
■約半数が「対応遅延の経験あり」。主な課題は「人手・リソース不足」
重大なVPN機器の脆弱性が発見された際に、対応機器の特定から影響調査に工数がかかり、対応が遅れた経験について、「頻繁にある」（10.0%）、「時々ある」（37.3%）と、約半数（47.3%）が課題を感じていると回答した。VPN機器の脆弱性対策に関しては約8割が課題を抱えており、「対応するための人手・リソース不足」（42.7%）が最も多く、次いで「脆弱性情報が多すぎて優先順位がつけられない」（34.0%）と、リソースの制約が対策の遅れに直結している実態が浮き彫りになった。
■ランサムウェア被害増加を受け、約8割がVPN機器対策の強化を決定・検討
昨今のランサムウェア被害の増加・報道を受け、自社のセキュリティ対策強化の一環として、VPN機器の脆弱性対策の見直しを行う予定について尋ねたところ、「すでに具体的な対策強化を決定した」（29.3%）、「対策強化を検討している」（49.0%）を合わせ、約8割（78.3%）が対策の強化に前向きな姿勢を示している。
関連リンク