2022 年 10 月 24 日 編集部記事

パッチが適用されていないソフトウェアの脆弱性は、依然として最も広く利用される攻撃ベクトルです。これにはいくつか要因があります。まず、中小企業は、業務の簡素化と効率化のため、これまで以上に、新しいソフトウェアアプリケーションをインフラストラクチャに導入しています。しかし、これによって組織の状況は変化しており、セキュリティ対策にさらなる複雑さをもたらしています。しかし、これによって組織の状況は変化し、セキュリティ対策はさらに複雑になっています。すべての従業員が 1 つのオフィスで会社のデバイスを使用し働く勤務形態から、従業員が自宅やオフィスからリモートで働き、場合によっては自分のデバイスを使って働くハイブリッド勤務へと移行が進んでいます。それは、労働者が組織に求める新しい柔軟なモデルです。そのため、攻撃対象も拡大しており、セキュリティ境界線も従来の物理的なオフィスから移動し、かつ曖昧になっています。この新しい状況下で、ソフトウェアの脆弱性の数は増加しています。

大手企業では、平均して 37 種類のソフトウェアツールやプラットフォームが日常業務に使用されており、大企業の場合、この数は 90 種類に跳ね上がります。これほど多くのアプリケーションを使用しているので、IT およびセキュリティチームは、妥当な時間枠で展開すべき脆弱性とパッチに対応することができていません。このため、脆弱性の多くが、悪用されてから 6 カ月以上が経過しており、かつ修正パッチが期限内に適用されていないため、企業は侵入される可能性があるのです。さらにサイバー犯罪者は、IT 管理者を不意打ちするようなセキュリティギャップを積極的に狙っています。ウォッチガードの最新のインターネットセキュリティレポートでは、マルウェアの量が全体として減少しているのとは対照的に、MS Office の悪用が今年第 2 四半期の最大の脅威として浮上していることを明らかにしました。OS やサードパーティ製ソフトウェアのパッチ管理に関して、すべての企業が正しく対応できるスキルや技術、時間を持ち合わせているわけではなく、また状況は間違いなく複雑化しています。そこで中小企業は、このタスクを MSP に任せることを選択しています。

しかし MSP にとっても、パッチ管理という業務がたやすいわけではありません。顧客の環境における脆弱性の全体像を把握し、どのパッチを最初に導入する必要があるのか優先順位をつけ、実施することは、大変に難しい作業です。これを実現する最良の方法は、システムインベントリを作成し、システムとネットワークにあるアセットを頻繁にスキャンして常に可視化し、それによって MSP がどのパッチをいつ展開する必要があるかを決定できるようにすることです。次に、古いソフトウェアを含むアセットをパッチの重要度に従ってグループ化し、パッチの展開にダウンタイムが必要な場合は、それが業務に与える影響を評価する必要があります。

上記のステップとは別に、ソフトウェアベンダが発表するパッチの最新情報を入手することも重要です。ウォッチガードでは、MSP や企業の IT チームが常に最新の情報を入手できるよう、利用可能な重要パッチをリストアップするモニタリングサービスを提供しています。しかし、MSP が顧客のソフトウェアを最新の状態に保ち、攻撃対象領域を減らす上で、パッチ管理ソリューションを使用することが最良の方法であるのは間違いありません。

自動化されたパッチ管理ツールを導入すれば、手作業が必要でなくなる上に、正確性が向上します。リアルタイムの更新とアラートにより、MSP は常に情報を得ることができ、顧客サービスの向上と、長期的な顧客ロイヤリティの獲得につながります。時間とリソースの節約だけでなく、チームメンバーが反復作業を行う必要性を減らし、その労力を他の分野に振り向けて、会社の効率と生産性を最大限に高めることもできます。MSP にとって、顧客のニーズを把握し対応するための最善の方法は、必ずしもすべてを自社で行うことではありません。高度化する脅威から保護するために必要なテクノロジやツールを提供する、信頼できるプロバイダに頼ることも視野に入れるべきです。セキュリティ体制の強化に悩んでいる組織は、付加価値の高いセキュリティサービスを提供できる MSP に業務を委託することで、社内のチームを必要とせず、時間とコストの節約、リソース負荷の軽減を図ることができます。