English
アーカイブ
プレス発表 ウェブサイトの脆弱性対策に向け、8年ぶりにガイドを改訂
小規模ウェブサイト運営者301社へのアンケート結果を踏まえ、最新の対策を紹介
2021年3月30日
独立行政法人情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：富田達夫）は、ウェブサイトの脆弱性対策を促進するため、小規模ウェブサイト運営者を対象としたアンケート調査結果を踏まえて「企業ウェブサイトのための脆弱性対応ガイド」 を8年ぶりに改訂しました。
IPAは2004年7月から、ソフトウエア製品やウェブアプリケーション等における脆弱性関連情報の届出受付業務（脚注）を担い、これまでに累計16,225件の届出を受けてきました。その内訳はウェブサイトに関するものが11,526件、ソフトウエア製品に関するものが4,699件で、ウェブサイトに関する届出が全体の約7割を占めています。IPAは受け取った情報に関してウェブサイト運営者に通知して修正を促していますが、小規模ウェブサイト運営者においては脆弱性への修正対応がなされないケースも多く、脆弱性対策を進める上で大きな課題となっていました。
このためIPAは2020年12月に、小規模ウェブサイト運営者301社から脆弱性対処の現状に関するアンケート結果を回収し、2012年度に行った調査との経年比較や課題の抽出、課題への対処方法の検討を行いました。アンケート調査の結果、ウェブサイトの重要性が高まるなか（図1）、この10年程度のセキュリティ対策コストは変わっていないことが分かりました（図2）。さらに、脆弱性対策を進める上での課題として、技術の習得や情報の入手・選別が難しいことをあげる割合が高いことが分かりました（図3）。
1. ウェブサイトの重要性・事業影響度の変化について尋ねたところ、「変わらない」という回答が46.2％、「大幅に高まった」、「高まった」という回答の合計は42.5％であり、「重要性が低下した」という回答は少なく、変わらないまたは重要性が高まったという回答が多い傾向にある（回答数=301）
2. この10年程度のウェブサイトのセキュリティ対策コストの増減については、「変わらない」が63.8％と最多（回答数=301）
3. ウェブサイトに脆弱性対策などのセキュリティ対策を進める上での課題として、「脆弱性やセキュリティに関する技術の習得が難しい」が約70％、「脆弱性やセキュリティに関する情報がどこにあるかわからない」が約60％、「脆弱性やセキュリティに関する情報が多すぎて選別が難しい」が約60％
これらの調査結果をもとにIPAは、「情報システム等の脆弱性情報の取扱いに関する研究会」でこれまで調査してきた結果も踏まえて課題への対処方法を検討しました。その結果、脆弱性対策に必要となる情報を集約し、基本的な知識から技術習得のための情報までをまとめた形で小規模のウェブサイト運営者に対して提供することを目的に「企業ウェブサイトのための脆弱性対応ガイド」 を改訂しました。
2013年の公開から8年ぶりとなる今回の改訂では、実際の被害事例を刷新し、クラウドサービスの利用や外部委託先に依頼する際に検討すべき点を追加するなど、8年間の変化を踏まえた最新の情報に差し替えています。ウェブサイトの脆弱性対策のポイントを7項目に大別して具体的な対応に役立つ情報をリンクで明示し、対策の要否に関するチェックリストを紹介するなどして、小規模ウェブサイト運営者が抱える課題に対処しています。
本ガイドおよび、前述を含む全てのアンケート調査結果と分析をまとめた「小規模ウェブサイト運営者の脆弱性対策に関する調査報告書」は、本日より IPAウェブサイト（2020年度情報システム等の脆弱性情報の取扱いに関する研究会）からダウンロードが可能です。また、本調査を含む「情報システム等の脆弱性情報の取扱いに関する研究会」の調査実施報告書も、「情報システム等の脆弱性情報の取扱いに関する研究会 2020年度報告書」として同時に公開しています。
- 「企業ウェブサイトのための脆弱性対応ガイド」
- 「小規模ウェブサイト運営者の脆弱性対策に関する調査報告書」
- 「情報システム等の脆弱性情報の取扱いに関する研究会 2020年度報告書」
IPAは、小規模ウェブサイト運営者が本ガイドを参照して脆弱性対策を行うことで、運営者自身のみならずウェブサイトの利用者が被害に遭う危険性も低下していくことを期待しています。
脚注
- 脚注 2004年7月に経済産業省の告示に基づき策定された、情報セキュリティ早期警戒パートナーシップガイドラインに則り、事業を実施
脆弱性関連情報取扱体制