Windows障害で明白になった「“わずか15社”がもたらす深刻なリスク」とはブルースクリーンとCrowdStrike事故の教訓

2024年7月のWindowsのシステム障害では、単一のソフトウェアがもたらす影響力の大きさが浮き彫りになった。あるレポートを基に、世界のITシステムが特定のソフトウェアに依存する現実とそのリスクを解説する。

2024年09月09日 07時00分 公開
[Alex ScroxtonTechTarget]

 2024年7月にMicrosoftのクライアントOS「Windows」搭載PCに発生したシステム障害は、セキュリティベンダーCrowdStrikeの更新ファイルが引き起こしたエラーに起因するものだった。同様の障害は、今後も発生する可能性があるのか。ある調査は、世界のITシステムに対して15社が多大な影響を及ぼす可能性があることを指摘している。その実態とは。

Windows障害の教訓 「わずか15社がもたらす深刻なリスク」とは

 2024年7月19日に発生したWindowsの障害は世界中に広がり、大々的に報じられた。原因はCrowdStrikeの更新ファイルの欠陥だった。この更新ファイルはPCにダウンロードされた後、「ブートループ」(PCが起動途中で再起動を繰り返す現象)を引き起こした。PCは起動の途中でクラッシュ(正常に動作しなくなり)し、悪名高いブルースクリーン(OSに深刻なエラーが発生した場合の青い画面)のエラーを発生させた。

 Microsoftによれば、この障害の影響を受けたPCは約850万台だった。世界のWindows搭載PC全体に占める割合では1%未満に過ぎない。だが空港や駅、店舗といった公共性の高い業種のWindows搭載PCにも影響したことから、その障害の影響は瞬く間に拡散された。

 セキュリティベンダーSecurityScorecardが2024年4月に公開したレポート「Redefining Resilience: Concentrated Cyber Risk in a Global Economy」によると、世界の組織の「攻撃対象領域」(アタックサーフェス)で検出されたIT製品・サービス全体の90%は、150社の企業によって提供されている。同じく攻撃対象領域の62%は、わずか15社によって提供されている。攻撃対象領域とは、企業などの組織に対する攻撃の侵入口や経路となり得る領域を指す。

 同レポートによると、Security Scorecardが15社のIT製品・サービスについて独自の評価方法でリスクレーティング(セキュリティの強度を示す指標)を評価したところ、その平均スコアは、前述の150社の平均スコアよりも低かった。ランサムウェア(身代金要求型マルウェア)攻撃などの攻撃者は、大規模に導入されているIT製品・サービスの脆弱(ぜいじゃく)性を狙う傾向にあるため、この状況は組織のITチームにとっての重大な懸念事項となりそうだ。

 「停止してはいけない重要なサービスがわずかな大手ITベンダーに依存していることで、企業は重大な単一障害点を作ってしまっている」。SecurityScorecardのCEOアレクサンドル・ヤンポルスキー氏はそう語り、世界のITシステムの大部分が「崖っぷちに建つ危なっかしい家」だと例える。

 ヤンポルスキー氏は、重要なサービスを提供する企業が少数のITベンダーに依存している関係が2024年7月19日の障害によって浮き彫りになったことを例にして、改めて複数のベンダーからツールを調達することの重要性を指摘する。

 CrowdStrikeに起因した今回の障害の教訓として、ヤンポルスキー氏は以下が重要だと説明する。

  • サプライチェーンを知る
    • サプライチェーンは「オペレーショナルレジリエンス」(ビジネス活動の回復力)を確保する上でますます重要な要素となっている。サプライチェーンを理解し、適切に管理することで、サイバー攻撃や人的ミス、その他の何らかの原因によるシステム障害などのリスク低減につながる。
  • ITベンダーとの依存関係をより深く理解する
    • 自社のビジネスとITベンダーとの依存関係と、そこに潜む脆弱性を特定することで、破壊的なインシデントに対する自社のレジリエンスを強化できる。

 システム障害に堅実に対処するためには、「全ての卵を1つのかごに入れない」ことが重要だとヤンポルスキー氏は説明する。その上で重要になるのは以下の取り組みだ。

  • システムにおける多様性を確保する
  • 単一障害点を把握する
  • 障害の机上演習やシミュレーションによるストレステストを予防的に実施する

 これに加えて、「カオスエンジニアリング」の考え方も検討に値するという。これはシステムに意図的に障害を発生させ、コンピュータの反応を調べ、障害対応や復旧計画の検証、改善につなげるものだ。

Computer Weekly発 世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。

Copyright © ITmedia, Inc. All Rights Reserved.

髫エ�ス�ス�ー鬨セ�ケ�つ€驛「譎擾スク蜴・�。驛「�ァ�ス�、驛「譎冗樟�ス�ス驛「譎「�ス�シ驛「譏懶スサ�」�ス�ス

市場調査・トレンド SUSE ソフトウエア ソリューションズ ジャパン株式会社

ベンダー依存から脱却、柔軟かつ統合的なLinux環境を構築する方法とは?

エンタープライズ向け技術は、Linuxを中核に据え、オープンソースで動作しているものが多い。しかし近年、一部のベンダーが契約による囲い込みを強めており、ベンダーロックインのリスクが高まっている。安定したLinux運用を実現するには?

製品資料 株式会社野村総合研究所

運用効率化に欠かせないITSMツール、ノンカスタマイズが正解とは限らない?

ITサービスへの要求は年々増大しており、その対応を手作業でカバーするには限界がある。そこで導入されるのがITSMツールだが、特に自動化機能には注意が必要だ。自社に適した運用自動化や作業効率化を実現できるのか、しっかり吟味したい。

製品レビュー 株式会社クレオ

現場でカスタマイズ可能なITシステム、コストと時間をかけずに実現する方法とは

業務効率を高めて生産性を向上させるために、多くの企業がITシステムの導入を進めている。しかし、自社の業務に合わないITシステムを導入してしまっては、逆に生産性が低下する可能性も高い。この問題をどう解決すればよいのだろうか。

製品レビュー グーグル合同会社

重要なエンドポイントを守る、Chromeブラウザを企業向けに安全性を強化する方法

世界中で広く利用されているChromeブラウザは、業務における重要なエンドポイントとなっているため、強固なセキュリティが必要となる。そこでChromeブラウザを起点に、企業が安全にWebへのアクセスポイントを確立する方法を紹介する。

製品資料 グーグル合同会社

Chromeの拡張機能:企業における今求められる管理戦略とは

Google Chromeの拡張機能は生産性の向上に不可欠な機能であり、ユーザーが独自にインストールできる一方、IT管理者を悩ませている。ユーザーデータを保護するためにも、効率的な運用・監視が求められるが、どのように実現すればよいのか。

驛「譎冗函�趣スヲ驛「謨鳴€驛「譎「�ス�シ驛「�ァ�ス�ウ驛「譎「�ス�ウ驛「譎「�ソ�ス�趣スヲ驛「譎「�ソ�スPR

From Informa TechTarget

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ(仮想PC画面)は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。

繧「繧ッ繧サ繧ケ繝ゥ繝ウ繧ュ繝ウ繧ー

2025/05/11 UPDATE

Windows障害で明白になった「“わずか15社”がもたらす深刻なリスク」とは:ブルースクリーンとCrowdStrike事故の教訓 - TechTargetジャパン システム運用管理 髫エ�ス�ス�ー鬨セ�ケ�つ€鬮ォ�ェ陋滂ソス�ス�コ�ス�ス

TechTarget驛「�ァ�ス�ク驛「譎「�ス�」驛「譏懶スサ�」�趣スヲ 髫エ�ス�ス�ー鬨セ�ケ�つ€鬮ォ�ェ陋滂ソス�ス�コ�ス�ス

ITmedia マーケティング新着記事

news025.png

「マーケティングオートメーション」 国内売れ筋TOP10(2025年5月)
今週は、マーケティングオートメーション(MA)ツールの売れ筋TOP10を紹介します。

news014.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年4月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。

news046.png

「ECプラットフォーム」売れ筋TOP10(2025年4月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。