「深刻な脆弱性に集中」の落とし穴

　モンセガー氏は「“セキュリティ開化”（新しいセキュリティ文化の幕開け）という状態があるとすれば、そこに到達するまでには、予算を投入すべき段階と領域が幾つも待ち構えている」と語る。調査に参加したハッカーは、このような“セキュリティ開化”は、はるか遠くにあるという意見で一致しているようだ。というのも、攻撃者として最も不満に思うこととして、回答者の64％が「脆弱性があると分かっているものをエンドユーザーや企業が直さないこと」、75％が「攻撃後の最も一般的な企業の対応が『リスクの高い／深刻な脆弱性を対象に若干の修復をすること』」を挙げているからだ。

　最も深刻な脆弱性を修正することは、合理的な修復方法のように見える。だがレポートの中でポーグ氏は「この方法論は、脆弱性の本質を誤って伝えるものであり、セキュリティについて間違った認識を意思決定者に与えている」と記している。

　サイバーセキュリティにおいて、状況を考慮せず無作為に選んだ特定の脆弱性に対処するのは「根本的な原因に対処せず、症状に対処しているにすぎない」とポーグ氏は語る。特定の脆弱性を修正するだけでは、脆弱性が存在するそもそもの原因に対処できない。パッチ管理ポリシーの不備や不足、脆弱性管理プログラムの欠如、未熟なセキュリティ担当者など、戦略上の欠陥を無視している。

　調査会社Forrester Researchでシニアアナリストを務めるジョセフ・ブランケンシップ氏は「ペネトレーションテストを『実用的な結果が得られないコンプライアンス要件』だと考えている企業があまりにも多い」と語る。ペネトレーションテストの結果を受けて変化しなければならないことを認識する企業があっても「変化を実現するための時間や人員、予算といったリソースがない」（ブランケンシップ氏）のが現状だからだ。

　ペネトレーションテスターまたはツールによって深刻な脆弱性だと評価されたものが、実際は深刻ではない場合がある。「脆弱性を完全に解消するのではなく、脆弱性に対して多層的な防御を構築することで、一部の脆弱性を軽減できるだろう」とウィリアムス氏は語る。

　組織が脆弱性を十分に修復するためには、ペネトレーションテスターがそのリスクについて、うまく伝える必要がある。そのためペネトレーションテスターにとって効果的なコミュニケーションスキルと報告書の作成スキルが重要になるが、ウィリアムス氏によると「これらのスキルは、企業では見過ごされがちだ」という。

　モンセガー氏もこの意見に同意し「企業が問題を解決する鍵を握るのは、コミュニケーションと教育だ」と主張する。「重要なのは、適切な人物とセキュリティの問題について話し合い、いつでも連絡を取れるようにしておくことだ。そして、その人物に問題やリスク、潜在的な攻撃を認識させ、修復提案に基づいて行動するように働きかけることが必要になる」と同氏は語る。