米調査に見るWebサイト攻撃のリスク
Web攻撃を受ける企業に共通するセキュリティ対策の誤り
ここ数年、企業のネットワークへの侵入方法を探す攻撃者にとって、Webアプリケーションが格好のターゲットとなっている。
2月8日に発表された新たな調査結果によると、セキュリティ対策が不十分なWebアプリケーションは組織に深刻なセキュリティリスクをもたらしており、Webサイト攻撃は企業にとって最大の懸念の1つになっているという。
この調査は、セキュリティベンダーの米Barracuda Networksと米Cenzicに委託されて、米調査会社Ponemon Instituteが実施したもの。ITとITセキュリティの担当者637人を対象に、Webアプリケーションのセキュリティに対する意識が調査された。その結果によると、Webアプリケーションのセキュリティがその他のセキュリティ問題と比べて「同程度に重要」または「より重要」と答えた回答者が全体の74％を占めた。一方で、セキュリティ対策の不十分なWebアプリケーションを社内のエンドユーザーが使用することに関して「十分なガバナンスとポリシーを確立している」と答えた回答者はわずか36％にとどまっている。
ここ数年、企業のネットワークへの侵入方法を探す攻撃者にとって、Webアプリケーションは格好のターゲットとなっている。Webアプリケーションの脆弱性を探しやすくする自動ツールキットの存在が、攻撃を増大させているのだ。調査結果によると、Webサイトの脆弱性を狙った攻撃は今や一般的なものになっており、「セキュリティの不十分なWebアプリケーションがハッキング攻撃を受けたことが、過去2年間に少なくとも一度はある」と答えた回答者が全体の73％に上っている。
攻撃を追跡しているセキュリティベンダーや、Webアプリケーションのセキュリティを専門としている企業の調査によると、攻撃者が標的としている脆弱性のタイプは昔と変わらないようだ。Webアプリケーションの問題のうち、最も一般的なのはSQLインジェクションエラー、2番目以降はクロスサイトスクリプティング（XSS）エラー、入力検証エラー、コードインジェクションエラーと続いている。米SANS Instituteはソフトウェアの脆弱性を招く「最も危険なコードエラーのトップ25」リストを発表し、プログラミングエラーを避けるためにより高品質なソフトウェア開発を目指すよう呼び掛けている。
Ponemon Instituteの調査では、回答者が懸念しているセキュリティ問題のトップは「Webサイト攻撃」で、その後に「ネットワークレイヤー攻撃」「デスクトップPCやノートPCなど、ネットワークに接続された端末を経由した社内ネットワークへの侵入の試み」と続いている。また回答者の半数以上（53％）は、「Webアプリケーションのセキュリティ管理はWebホスティングプロバイダーに頼っている」と答えている。
「Webアプリケーションを自社でテストしないのは、主に予算と経験が不足しているからだ」と調査報告書には記されている。
攻撃を受けた場合の経済的損失については、47％の回答者が「10万～50万ドルの範囲」と推定しており、平均で25万5000ドルとなっている。「ITの担当者は、攻撃を受けた場合のコストが高くつく可能性をよく理解している。機密データの流出、規制への不順守に対する罰金、業務の混乱などによる損失が考えられるからだ」と調査報告書には記されている。
さらに調査結果によると、回答者は社内でネットワークファイアウォールを使用し、ペネトレーションテスト（侵入検査）も実施しているようだ。もっとも、セキュリティ専門家によると、Webアプリケーションに対する攻撃をネットワークファイアウォールで防御できるというのは誤った認識で、Webアプリケーションファイアウォールや脆弱性スキャニングの方がより効果的だという。
半数以上の回答者は、「Webアプリケーションの脆弱性スキャニングを実施して、カスタムアプリケーションとアウトソースアプリケーションをテストした」と答えている。ただし調査では、そうしたアプリケーションは主に開発段階でテストされていることが分かっている。「稼働中のアプリケーションに対してテストをしている」と答えた回答者は、わずか13％だった。
Webアプリケーションのセキュリティを重視する理由として最も多く挙げられたのは、「データ保護」と「コンプライアンス」だ。専門家によると、Webアプリケーションの保護に使われるWebアプリケーションファイアウォールなどのツールの中には、クレジットカード情報保護の国際セキュリティ基準である「PCI DSS」に準拠したものもあるという。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
2
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
5
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
6
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
7
AI時代のITインフラ戦略とは？ 販売代理店が知っておきたい最新トレンド
-
8
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
9
人間のせいでAIエージェントの生産性が上がらない
-
10
「IBM i（AS/400）はクローズドなシステム」という誤解 DXに寄与する一歩
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー