脆弱性とは？意味や事例のほか、情報セキュリティに必須の対処法などを解説
ランサムウェアに感染してデータが暗号化されてしまい、復旧と引き換えに金銭を要求されるなどといった事件を聞いたことがありませんか？このような事件の原因の多くは「脆弱性」に起因するものです。脆弱性は、単なるシステム設計の不備にとどまるものではなく、システムの運用・管理など様々なフェーズに複数の要因が絡み合って発生するセキュリティ上の欠陥です。一度でも脆弱性を悪用されてしまえば取り返しのつかない事態になってしまいかねないため、企業のIT責任者としては、正しい知識と適切な対処法を知っておくことが必要不可欠です。
そこで本記事では、脆弱性の定義から、原因や対処法などについて、解説していきます。
脆弱性とは
脆弱性とは、企業のシステムやネットワークに存在するセキュリティ上の弱点や欠陥のことを指します。
脆弱性には、OSやソフトウェア、ハードウェアのセキュリティホール以外にも、設計ミスや管理、運用面での不備から発生した設定ミスなども含まれ、これらを放置すると、不正アクセスやデータの漏洩、サービスの停止などのセキュリティインシデントを引き起こす可能性があります。
脆弱性が発生する原因
脆弱性が発生する原因としては、主に以下のような原因が挙げられます。
システム設計時の不備や実装（コーディング等）におけるミス
システム設計時にセキュリティ要件を適切に考慮せずにアクセス制御や入力フォームの設計を行った場合や、開発者のプログラミングミスによるバッファオーバーフローなどに起因して脆弱性が発生する場合です。
このような段階でのミスは、システム全体の安全性に大きな影響を及ぼし、後から脆弱性を修正するためにコストやリスクが増加します。
そのため、近年では、開発の初期段階からセキュリティ対策を考慮したアプローチ（セキュリティ・バイ・デザイン）が重視されています。
OSやソフトウェアやシステムのアップデートを怠る
OSやソフトウェア等のアップデートには、修正パッチと呼ばれる、発見された脆弱性に対処するための修正プログラムが含まれている場合があります。そのため、アップデートを怠って修正パッチを適用しないままでいると、脆弱性の原因となる場合があります。
したがって、アップデート情報を定期的に確認することや、企業の場合には、アップデートに関する運用上のルールを整備しておくことも重要です。
セキュリティポリシーの不備
システム利用者へのアクセス権の付与ルールやパスワードポリシーの不備により、不正アクセスが誘発するリスクが高まります。
脆弱性の深刻度を示すCVSSとは？
脆弱性のリスクを評価する際には、脆弱性情報の「CVSSによる深刻度」の情報が役に立ちます。
CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）とは、ソフトウェアや情報システムにおける脆弱性の深刻度を評価するための国際標準的な指標です。
CVSSは、脆弱性そのものの特性を評価する「基本評価基準」、現時点での脆弱性の悪用状況や対策状況を評価する「現状評価基準」、利用者の環境も含めて最終的な脆弱性の深刻度を評価する「環境評価基準」の3つの基準で、ユーザーがその脆弱性についてどのように対応するべきか評価します。
これにより、脆弱性の深刻度を定量的に評価することができるため、セキュリティ対策の優先順位を決定し、より効果的なセキュリティ対策を実施することが可能となります。
脆弱性の発見方法
脆弱性を発見する方法としては、既存の脆弱性診断ツールの利用や手動による脆弱性診断、模擬サイバー攻撃により脆弱性を見つけるペネトレーションテストなど様々な方法があります。
方法に応じてメリットやデメリットも様々であるため、どのような方法を採用するかは、目的や要件に合わせて検討することが大切です。
脆弱性によるリスク
以下では、脆弱性によって具体的にどのような被害が発生するのかについて解説します。
マルウェアへの感染
マルウェア（malware）とは、ウイルスやスパイウェア、ランサムウェアなど不正かつ有害に動作させる意図で作成された悪意のあるソフトウェアや悪質なコードの総称です。
マルウェアへの感染は、ハードウェアやソフトウェアの脆弱性を悪用されることに起因します。マルウェアに感染すると機密情報の漏洩やシステムの不正アクセス、金銭要求などの被害が発生します。
不正アクセスによる情報漏洩
悪意を持った第三者が脆弱性を悪用して社内ネットワークに不正アクセスすることで、企業の機密情報や個人情報を閲覧、漏洩されるおそれがあります。
Webページの改ざんやサービスの停止
不正アクセスを許してしまうと、Webページやデータなどが改ざんされる恐れや、サービスやシステムが一時的または永続的に停止してしまう場合もあります。
端末の遠隔操作
不正アクセスにより端末の遠隔操作がされてしまうことで、攻撃用の端末として利用されたり、攻撃元を分からなくするための踏み台端末とされたりします。
クラウドサービスの過剰利用による経済的被害
不正アクセスによりアカウントが侵害され、クラウド上でシステムのリソースが大量消費させられたり、クラウドを利用しているシステムへの集中的なアクセスにより経済的ダメージを負わせる攻撃（EDoS攻撃）を受けたりする可能性があります。
脆弱性への対策
脆弱性を発生させないためには、以下のような対策を実施しておくことが重要です。
使用しているソフトウェアやハードウェアを適切に管理する
まずは、使用しているOSやソフトウェア、ハードウェアを把握し、適切に管理することが重要です。バージョンが更新されたら最新版へアップデートしたり、適宜従業員に対してセキュリティ講習を実施したりすることで、無用な脆弱性の発生を未然に防ぐことができます。
最新のセキュリティ情報（脆弱性情報）を収集できるようにしておく
また、脆弱性情報をいつでも収集できるようにしておくことも重要です。とはいえ、使用しているすべてのソフトウェアから逐一脆弱性情報を収集するのは、実はとても大変な作業です。
そこで、IPA（独立行政法人情報処理推進機構）やJPCERTなどが公表している脆弱性対策情報（JVN）やCVEなどのデータベースを適宜確認するようにしておくと良いでしょう。
定期的に脆弱性診断を実施する
そして、前述した脆弱性診断ツールやテストを通じて、定期的に脆弱性診断を実施することも重要です。どのような頻度で脆弱性診断を実施するかは、対象のシステムや製品などの状況によって様々ですが、デジタル庁による『政府情報システムにおける脆弱性診断導入ガイドライン（2024（令和 6）年 １ 月 31 日）』やIPAの『ECサイト構築・運用セキュリティガイドライン』を一つの参考にすると良いでしょう。
脆弱性管理を支援するツールを活用する
たとえば、弊社TD SYNNEXが取り扱っている以下の製品（ツール）を活用することで効率的に脆弱性に管理をすることかでききます。
パッチ管理機能を備えたバックアップツール
セキュリティパッチとは、ソフトウェアに脆弱性が発見された際にユーザーに配布される修正プログラムのことであり、ユーザーのシステムをウイルスやハッカーの攻撃から守るために不可欠のものです。
したがって、システム管理者は、定期的にパッチの適用状況を把握するなどパッチ管理を適切に行う必要があります。
Acronis Cyber Protect Cloud
次世代バックアップ機能とデータセキュリティ機能を融合したバックアップソリューションです。バックアップだけではなく、セキュリティ対策まで、1つのプラットフォームで包括的に運用されたい方におすすめです。
Panda Adaptive Defense 360
脆弱性保護モジュールが、最新のセキュリティパッチの更新がされていないシステムを、企業が安全な環境で作業できるよう動作ルールによって保護します。脆弱な状態となっているシステムを抱えている環境や、１つのソリューションでエンドポイントから脆弱性対策までを行いたい企業におすすめです。
資産管理ツール
資産管理とは、使用しているソフトウェアやハードウェアの所在の把握、アップデートの状況を管理することであり、前述したとおり、脆弱性対策としてとても重要な作業です。
LANSCOPE Cloud/on-premises
「LANSCOPE Cloud/on-premises」は、パッチの自動適用を含む資産管理や、操作ログの取得など社内のPC管理を一元管理できるソフトウェアです。
SKYSEA Client View
PCだけではなくスマートフォン、プリンタやハブなどネットワークに接続された機器を一元管理することができます。
ログ解析（SIEM）・複合対策（XDR）ツール
ネットワーク環境のログの解析（SIEM）をもとに、システム全体の攻撃の検知や防御などを網羅的に対策できるのがXDRツールです。
Elastic Security
「Elastic Security」は検索・分析エンジン「Elastic Stack」を使用した、業界最高水準のサイバー攻撃からの防御、検知に対応したXDRソリューションです。あらゆるフォーマットのセキュリティデータを取得でき、リアルタイムに検索、分析、可視化することができます。
脆弱性を意識した適切なセキュリティ対策を
脆弱性の原因は、システムの設計段階から運用段階まで様々なところに潜んでいます。そして、一度でも脆弱性を悪用されてしまえば、取り返しのつかない事態に発展してしまいかねません。だからこそ、システム管理者や運用担当者は、脆弱性の契機や適切に対処するための方法をあらかじめ把握しておくことがとても重要です。
近年では、脆弱性に対処するための様々なツールやサービスも多くリリースされているので、目的や要件に応じてこのようなものも利用しながら、適切なセキュリティ対策を講じましょう。
【著者プロフィール】
河瀬季／かわせ・とき
モノリス法律事務所 代表弁護士
小3でプログラミングを始め、19歳よりIT事業を開始。
ベンチャー経営を経て、東京大学法科大学院に入学し、弁護士に。
モノリス法律事務所を設立し、ITへの知見を活かして、IT・ベンチャー企業を中心に累計1,075社をクライアントとしている。
