クラウドからエッジまでIT資産の管理、検出、保護、サービスを自動化するプラットフォームIvanti Neuronsを提供するIvanti（本社：米国ユタ州ソルトレイクシティ、CEO：Jeff Abbott）は、ITおよびセキュリティの専門家の大多数 (71%) が、パッチ適用は過度に複雑で時間がかかると感じていることを明らかにした調査結果を発表しました。回答者の57%が、リモートワークによってパッチ管理の複雑さと規模が増大したと述べています。
今日のビジネスのスピードは、ユーザーの期待を変化させITに新たな影響を及ぼしています。リモートワークへの急速な移行は、デジタルトランスフォーメーションを7年加速させています。Everywhere Workplace（場所にとらわれない働き方）では、従業員はさまざまなデバイスを使用して、企業のネットワークやデータに接続し、新しい場所や異なる場所から仕事やコラボレーションを行うため、パッチ適用がかつてないほど困難になっています。実際、パッチが適用されていない脆弱性は、ランサムウェア攻撃の最も一般的な侵入ポイントの1つであり、その頻度は増加し、あらゆる規模の企業に影響を及ぼしています。
150カ国、20万台のコンピュータを暗号化したランサムウェア「WannaCry」は、パッチが迅速に適用されなかった場合に発生する可能性のある深刻な影響の典型的な例です。このランサムウェアに悪用された脆弱性に対するパッチは、最初の攻撃の数カ月前から存在していましたが、多くの組織がその適用が十分ではありませんでした。4年経った今でも、3分の2の企業がシステムにパッチを適用していません。しかし、世界中の組織は依然としてWannaCryランサムウェア攻撃の標的になっており、2021年1月から3月にかけてWannaCryランサムウェアの被害を受けた組織数は53％増加しています。
脆弱性のリスクとランサムウェアの影響を軽減するためのパッチ適用には、リソースの問題やビジネスの信頼性に関する懸念がつきまといます。回答者の62%は、パッチ適用は他の作業の後回しになることが多いと回答し、60%はパッチ適用によってユーザーのワークフローが中断されると回答しています。また、ITおよびセキュリティの専門家の61%は、基幹業務のオーナーが例外を要求したり、システムを停止させることができないために四半期に1度メンテナンス時間を短縮したりしていると回答しています。同時に、脆弱性を狙った攻撃の速度は増加し続けています。昨今、深刻な脆弱性を標的とした高度な脅威の手口が増加していることと、従業員が分散化していることによる可視性が低下していることを示しています。
脅威の手口が成熟し、脆弱性を狙った攻撃が増す中で、特にリモートでコードを実行している組織は、攻撃の表面的なリスクや、パッチや修正措置を迅速化する方法に苦慮しています。IT部門とセキュリティの専門家が迅速に対応することは難しく、回答者の53%が深刻な脆弱性の整理と優先順位付けに多くの時間を取られていると答えています。次いで、パッチが適用されなかった場合の解決策の提示（19%） 、パッチのテスト (15%) 、他の部門との連携 (10%) となっています。回答者の49%が、自社の現行のパッチ管理プロトコルはリスクを効果的に軽減できていないと考えていると答えており、パッチ適用に関してITおよびセキュリティの専門家が直面している無数の課題が原因である可能性があります。
Ivanti、セキュリティ製品担当上級副社長であるスリニヴァス・ムッカマラ（Srinivas Mukkamala）のコメント：
「今回の結果は、IT部門とセキュリティの専門家が、これまで以上に従業員の分散化が進んでいる 『Everywhere Workplace（場所にとらわれない働き方）』」 の課題に対処しており、ランサムウェア攻撃が激化して経済や政府に影響を及ぼしている中でもたらされました。ほとんどの組織には、ランサムウェアに関連するようなアクティブな脅威と、それらが悪用する脆弱性をマッピングするための帯域幅やリソースがありません。幸いなことに、リスクベースの脆弱性の優先順位付けと自動化されたパッチインテリジェンスを組み合わせることで、ランサムウェアに関連する活発に悪用されている脆弱性が明らかにできる可能性があります。独自のパッチの信頼性により、IT部門とセキュリティ専門家はパッチをシームレス展開し、組織を危険にさらしている共通の課題を解決できます。」
業界のトップリーダー、専門家、アナリスト企業は、脆弱性の弱点を特定して優先順位を付け、修復を促進するためのリスクベースのアプローチを推奨しています。ホワイトハウスは先ごろ、組織に対して、リスクベースの評価戦略を用いたパッチ管理を促進し、ランサムウェア攻撃に対するサイバーセキュリティを強化するように促すメモを発表しました。さらに、ガートナーは、リスクベースの脆弱性管理を、セキュリティおよびリスク管理の専門家がビジネス価値を高め、リスクを低減するために2021年に注力すべき最も重要なセキュリティプロジェクトとして挙げています。
Ivantiは、北米とEMEA（欧州・中東・アフリカ）地域の500人以上の企業IT部門およびセキュリティの専門家を対象に調査しました。詳しくはこちらをご覧ください。
本プレスリリースは、米国が発表したリリースの抄訳版です。
Ivantiについて
Ivantiは「Everywhere Workplace（場所にとらわれない働き方）」を実現します。場所にとらわれない働き方により、従業員は多種多様なデバイスでさまざまなネットワークからITアプリケーションやデータにアクセスし、高い生産性を保つことができます。Ivanti Neurons自動化プラットフォームは、業界をリードする統合エンドポイント管理、ゼロトラストセキュリティと、エンタープライズサービス管理のソリューションをつなぎ、デバイスの自己修復および自己保護、またエンドユーザーのセルフサービスを可能にする統合ITプラットフォームを提供します。 Fortune 100の96社を含む40,000社以上の顧客が、クラウドからエッジまでIT資産の管理、検出、保護、サービスのためにIvantiを選択し、従業員があらゆる場所にいても作業できる優れたユーザー体験を提供しています。 詳細については、www.ivanti.co.jpをご参照ください。