■取るべき対策や大企業への影響

Q：組織はどのような対策を取るべきか。

A：ソフトウエアを常に最新の状態に保ち、修正プログラムが公開され次第、速やかに適用できる態勢を整えておくことだ。

今後は脆弱性が大量に見つかり、それに対応する修正プログラムや被害軽減策も大量に登場するだろう。ただし、その重要度に差は生じる。

社内に十分な対応能力を持たない多くの小規模組織にとって重要となるのは、ソフトウエアの提供元が更新プログラムを公開した際、できるだけ速やかに適用できる体制へと組織を変えていくことだ。

Q：すべての脆弱性が危険なのか。

A：これまで実際に悪用されてきた脆弱性の割合は5～6％程度で、この数字が上昇している兆候はない。しかし現在では、悪意ある攻撃者が脆弱性を悪用するまでの時間が大幅に短くなっている。

以前は、脆弱性を悪用できることを実証する概念実証（PoC）コードが登場するまでに1～2か月かかり、さらに攻撃者が使う攻撃ツールに組み込まれるまでに1～2か月かかっていた。今では、その時間が数時間から数日単位に短縮されている。

Q：大企業にとっては何を意味するのか。

A：これまでほとんどの企業は、システムに不具合が生じるリスクを一切許容しない姿勢を取っていた。そのため、修正プログラムを本番環境に適用する前に、徹底的なテストを実施していた。しかし、今ではそんな時間はない。

修正プログラムを適用することで何らかの不具合が生じるリスクが1％だとしても、サイバー攻撃を受ければ数千万ドルの損害が発生する可能性があるとすれば、どちらのリスクを取るべきかという難しい判断を迫られることになる。