－システムの脆弱性管理に関する企業ユーザ調査－ 4分の1がOSの修正プログラム未適用による不正プログラム感染を経験

～修正プログラム検証に1週間以上かかる回答者が6割超～

2014年1月22日

トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長兼 CEO：エバ・チェン、東証一部：4704、以下、トレンドマイクロ）は、2013年12月に、企業におけるシステムの脆弱性管理に関するWebアンケート調査（対象者：企業のIT管理者515名）を実施しました。

本調査で、自社の業務用端末のOSの修正プログラム適用状況を把握しているIT管理者のうち4人に1人が、勤務先においてOSの修正プログラム未適用を原因とした不正プログラム感染を経験したことがあると回答しました（グラフ1）。さらに、OSの修正プログラム適用前に検証を行うとしたIT管理者を対象に、検証にかかる平均時間を聞いたところ、「1週間以上かかる」とした回答者は6割を超えました（グラフ2）。修正プログラム適用までに時間がかかり、OSの脆弱性により不正プログラム感染のリスクにさらされている期間が発生している状況が明らかになりました。

修正プログラム適用の課題については、「全てのPCへの適用に時間がかかる（32.0%）」、「修正プログラムの検証に時間がかかる（29.7%）」、「適用が確実に行われているか把握できない（29.1%）」などが主に挙げられました（グラフ3）。また、業務用PCの脆弱性管理について、約8割の回答者が「脆弱性の管理は複雑になりつつある」、「修正プログラムの適用に時間がかかるのは仕方がない」と回答しています（グラフ4）。現状の業務用PCの脆弱性対策に課題を感じつつも、多くのIT担当者は迅速な修正プログラム適用は実質的に難しいと考えていることが浮き彫りになりました。
また、OSの修正プログラム適用前に検証を行うとしたIT管理者を対象に、検証期間中に行っているセキュリティ対策について聞いたところ、最も多かった「従業員への注意喚起」でも約3割、「OSの脆弱性を狙った攻撃を防ぐ製品の利用」については2割程度にとどまりました（グラフ5）。OSの脆弱性により不正プログラム感染のリスクが高い、修正プログラム検証期間中の脆弱性対策について、十分に実施されていないことが分かりました。

OSやアプリケーションの脆弱性対策では、自社で使用しているシステムのバージョンや修正プログラムの管理徹底が必要です。また、すぐに修正プログラムが適用できない状況下でも、特定の脆弱性を狙った攻撃を防ぐ仮想パッチを活用するなど、脆弱性を狙った攻撃からユーザのシステムを保護する対策を検討することを推奨します。

■調査の概要
○調査名：システムの脆弱性管理に関する企業ユーザ調査
○実施時期：2013年12月12日～12月13日
○回答者数：企業のIT管理者515名
○手法：インターネット調査

■主な調査結果　※グラフ内の各数値は、小数点第2位で四捨五入しています。
●グラフ1：あなたの勤務先において、OSの修正プログラムの適用の遅れ、もしくは未適用が原因で、業務用PCが不正プログラムに感染した経験の有無について、お選びください。
（単一回答。対象者：業務用端末のOSの修正プログラム適用状況を把握しているIT管理者、n=481）

●グラフ2：あなたの勤務先において、業務で使用しているPCのOSの修正プログラム適用について、1度の修正プログラムの検証にかかる平均的な時間をお選びください。
（単一回答。対象者：OSの修正プログラムについて適用前に検証を行うIT管理者、n=143）

●グラフ3：あなたの勤務先において、業務で使用しているPCのOSの修正プログラム適用について、課題として当てはまるものを全てお選びください。
（複数回答。対象者：業務用端末のOSの修正プログラム適用状況を把握しているIT管理者、n=481）

●グラフ4：あなたの勤務先の業務PCで利用するOS、アプリケーションの脆弱性の管理に対して、現在のお考えをお聞かせください。（各項目について単一回答。対象者：全回答者、n=515）

●グラフ5：あなたの勤務先において、業務用PCで利用しているOSの修正プログラムの検証期間中に行っているセキュリティ対策について全てお選びください。
（複数回答。対象者：OSの修正プログラムについて適用前に検証を行うIT管理者、n=143）

■Trend Micro 脆弱性対策オプションについて
Trend Micro 脆弱性対策オプションは、企業向け総合セキュリティソフト「ウイルスバスターコーポレートエディション」にプラグイン方式で提供される有償オプション製品です。OSやWindows共通のシステム、Java・Flashといったアプリケーションの既知の脆弱性を自動で発見し、発見した脆弱性には自動的に仮想パッチを適用することで、正規の修正プログラムが適用されるまで暫定的に脆弱性を狙った攻撃からお客さまを守ります。詳細は以下からご確認いただけます。
http://www.trendmicro.co.jp/jp/business/products/corp-idf/index.html

※　TREND MICRO、およびウイルスバスターは、トレンドマイクロ株式会社の登録商標です。各社の社名、製品名およびサービス名は、各社の商標または登録商標です。