IPA、8年ぶりに「企業ウェブサイトのための脆弱性対応ガイド」を改訂

　情報処理推進機構（以下、IPA）は、ウェブサイトの脆弱性対策を促進するため、小規模ウェブサイト運営者を対象としたアンケート調査結果を踏まえて「企業ウェブサイトのための脆弱性対応ガイド」を8年ぶりに改訂した。

　IPAは2004年7月から、ソフトウエア製品やウェブアプリケーション等における脆弱性関連情報の届出受付業務を担い、これまでに累計16,225件の届出を受けてきた。その内訳はウェブサイトに関するものが11,526件、ソフトウエア製品に関するものが4,699件で、ウェブサイトに関する届出が全体の約7割を占めているという。受け取った情報に関してウェブサイト運営者に通知して修正を促しているが、小規模ウェブサイト運営者においては脆弱性への修正対応がなされないケースも多く、脆弱性対策を進める上で大きな課題だとしている。

　このためIPAは2020年12月に、小規模ウェブサイト運営者301社から脆弱性対処の現状に関するアンケート結果を回収し、2012年度に行った調査との経年比較や課題の抽出、課題への対処方法を検討。アンケート調査の結果、ウェブサイトの重要性が高まるなか（図1）、この10年程度のセキュリティ対策コストは変わっていないことがわかったとしている（図2）。

　また、脆弱性対策を進める上での課題として、技術の習得や情報の入手・選別が難しいことをあげる割合が高いことがわかったという（図3）。

　1.ウェブサイトの重要性・事業影響度の変化について尋ねたところ、「変わらない」という回答が46.2％、「大幅に高まった」、「高まった」という回答の合計は42.5％であり、「重要性が低下した」という回答は少なく、変わらないまたは重要性が高まったという回答が多い傾向にある（回答数=301）。

　2.この10年程度のウェブサイトのセキュリティ対策コストの増減については、「変わらない」が63.8％と最多（回答数=301）。

　3.ウェブサイトに脆弱性対策などのセキュリティ対策を進める上での課題として、「脆弱性やセキュリティに関する技術の習得が難しい」が約70％、「脆弱性やセキュリティに関する情報がどこにあるかわからない」が約60％、「脆弱性やセキュリティに関する情報が多すぎて選別が難しい」が約60％となった。

　これらの調査結果をもとにIPAは、「情報システム等の脆弱性情報の取扱いに関する研究会」でこれまで調査してきた結果も踏まえて課題への対処方法を検討。その結果、脆弱性対策に必要となる情報を集約し、基本的な知識から技術習得のための情報までをまとめた形で小規模のウェブサイト運営者に対して提供することを目的に「企業ウェブサイトのための脆弱性対応ガイド」を改訂したという。

　2013年の公開から8年ぶりとなる今回の改訂では、実際の被害事例を刷新し、クラウドサービスの利用や外部委託先に依頼する際に検討すべき点を追加するなど、8年間の変化を踏まえた最新の情報に差し替えているとしている。ウェブサイトの脆弱性対策のポイントを7項目に大別して具体的な対応に役立つ情報をリンクで明示し、対策の要否に関するチェックリストを紹介するなどして、小規模ウェブサイト運営者が抱える課題に対処している。

【関連記事】
・IPA、営業秘密管理に関する調査結果を公開
・委託元と委託先で大きなギャップも【IPA セキュリティ実態調査】
・IPA、情報セキュリティ10大脅威をランキング形式で公表