【Orient（状況判断）】
脆弱性を特定する

ここではサイバーセキュリティリスクへの対策OODAループの中のOrient（状況判断）として行う脆弱性診断について解説。その必要性や注目ポイントなどをご紹介します。

Orient（状況判断における脆弱性診断）

脆弱性はセキュリティホールとも呼ばれ、プログラムやシステム設計上での欠陥のことです。脆弱性をそのまま放置するのは、家の鍵が壊れても修理せず開放しているのと同じなので、攻撃者の不正アクセスターゲットになります。

システムの脆弱性には種類があるので、サイバー攻撃から守るためにはどこにセキュリティ上の穴があるのか特定が必要でこれを脆弱性診断と言います。脆弱性に関する情報が調査機関から公開されているかチェックも必要です。

脆弱性診断（セキュリティ診断）とは？
目的や必要性について詳しく見る

脆弱性診断がなぜ必要なのか

脆弱性があると攻撃者から悪用され、不正アクセスにより情報漏洩のリスクが高まります。また不正操作を目的とした攻撃によりシステムが乗っ取られたり、ホームページデータの改ざんや他システム攻撃の踏み台に使われる可能性もあります。

そうしたセキュリティ上のリスクを低くし、穴を塞ぐために脆弱性診断が必要となるのです。脆弱性を突かれてウイルスに感染してしまえば、被害は拡大していくばかり。取引企業も巻き込むような事態になると経営や信用問題にも発展してしまいます。

具体的な手法およびすべきこと

OSやシステムアップデート

OSやファームウェアは開発元から脆弱性を塞ぐためのアップデートファイルが提供されます。脆弱性診断に入る前に、更新情報などからシステムが最新の状態かどうか確認しましょう。脆弱性を突かれてサイバー攻撃を受けてしまう企業には、こうした更新・アップデート作業が遅れたことが原因となるケースも少なくありません。

脆弱性診断・チェック

脆弱性のチェックは専用ツールにより自動診断を行うケースと、人による手動診断の2種類があります。

ツール診断はボタンひとつで脆弱性チェックができるので手間や時間がかかりませんが、複雑なシステムは誤診する可能性があります。手動診断は精度が高く、設計上の不具合も発見できますが時間と費用が高くなる傾向があります。

どちらが優れているとは一概には言えません。提供企業へ相談をするのが確実だと言えるでしょう。

診断対象の明確化

システムはアプリケーションとその土台となるOSなどのプラットフォーム、そこに接続するスマホやタブレット端末などが組み合わさって動作します。脆弱性はそれぞれに存在するため、どこを診断するか対象を明確にすることが必要です。どこを攻撃されても脆弱性に対応できているか丁寧にチェックすることがセキュリティ向上につながります。

次にすべきこと

脆弱性診断に終わりはありません。その時点では完璧であっても、アプリケーションの機能が追加されたりOSのバージョンアップなどがあると新たな脆弱性が発生するからです。また脆弱性に関する情報も増えていきます。

OODAループの中でも重要な位置づけになるためチェックと情報収集は常に心がけておきましょう。また。本サイトの監修者であるアルファネットはセキュリティ対策のアドバイスも行っているので、相談先の一つに加えておくとよいでしょう。

【Decide（意思決定）】
IDおよびアクセス管理を導入する