エムオーテックス株式会社（本社：大阪市淀川区、代表取締役社長：徳毛 博幸、以下MOTEX）は、システム開発者 約1,000名を対象に実施した「システム開発における脆弱性診断の実態調査」を実施し、その結果を発表しました。

 
資料ダウンロードはこちら（無料）

■ 調査背景 

近年、情報システムの安全性を確保することは、組織にとって不可欠な取り組みとなっています。サイバー攻撃の手法が高度化し続ける中、システム開発の段階で脆弱性を診断し、早期に対策を講じることが求められています。 

そこで今回、MOTEXでは、システム開発の担当者 約1,000名を対象に、脆弱性診断の現状や課題、実際に診断を行っている担当者の視点から見た効果や改善点を明らかにすべく、脆弱性診断の実態に関する調査を実施しました。  

■ 「システム開発における脆弱性診断の実態調査」の概要 

【調査内容】

・システム開発の際、脆弱性対策を実施していますか？ 

・システム開発において脆弱性対策が必要になったきっかけを教えてください 

・システム開発の際に実施している脆弱性対策を教えてください 

・過去に脆弱性診断を実施したことがありますか？ 

・過去に脆弱性診断を実施していない理由を教えてください 

・過去に脆弱性診断を実施した際、どのように実施しましたか？ 

・脆弱性診断をセキュリティ企業に依頼する際、重視する点を教えてください（複数回答可） 

・脆弱性診断の結果、どのような脆弱性が発見されましたか？ （複数回答可） 

・脆弱性診断を実施してどのような効果を感じましたか？（複数回答可） 

・脆弱性診断の頻度はどのくらいですか？ 

・脆弱性診断の結果をどのように活用していますか？（複数回答可） 

・システム開発の際、どのようなセキュリティ対策を実施していますか？（複数回答可） 

・ここ数年（3年程）でシステムやWebサイトのセキュリティ対策、脆弱性対策にかかるコストはどのようになりましたか？ 

・システム開発を委託もしくは受託する際、脆弱性診断（もしくは脆弱性対策）は契約に含まれていますか？ 

・システム開発の際、セキュリティ対策に関して自社とサービス提供者の責任範囲は明確になっていますか？ 

・取引先のセキュリティに関する要望は増えましたか？ 

・今後の脆弱性対策において、最も重要だと思う要素は何ですか？ 

【調査方法】  

■ 調査内容のダイジェスト 

サイバー攻撃の脅威の増大に伴い、脆弱性診断のニーズが高まる一方で、診断精度やコスト、社内外のリソース確保など、多くの課題も存在しています。 

本調査では、システム開発における脆弱性対策や診断の実態、課題感や担当者の意識が明らかとなっています。皆様が今後、効果的な診断を検討・実施し、安全で信頼性の高いシステム構築やセキュリティ体制強化の一助となれば幸いです。ぜひ資料をダウンロードのうえ、ご確認ください。

資料ダウンロードはこちら（無料）

■ TOPIC 1： システム開発における脆弱性対策の実施状況

～7割以上の企業がシステム開発の際に脆弱性対策を実施～ 

本調査では、はじめに、システム開発における脆弱性対策の実施状況についてお伺いしました。 

システム開発時に『脆弱性対策を実施している』と回答した企業は74％という結果となりました。 

また、システム開発において脆弱性対策が必要になった背景としては、『自社・グループのセキュリティポリシーに基づいて（55％）』という回答が最も多く、次いで『法律・（業界団体などによる）規制変更に基づいて（40％）』、『取引先からの実施依頼（39％）』という結果となりました。内部統制やガバナンス強化に伴う、社内ポリシーに基づく取り組みが多いほか、昨今、サプライチェーンのセキュリティが問題となるケースを受けて強化されている業界ガイドラインや規制などへの対応、取引先からのセキュリティ要求への対応なども、背景となっていることがうかがえます。 

なお、システム開発の際に実施している具体的な脆弱性対策としては、「要件定義」や「設計」の段階といった上流工程で行っているという回答が多く、システム開発や運用において品質管理やセキュリティ対策を、従来よりも前倒し（＝工程の左側）で実施する「シフトレフト」の取り組みが進展していることが分かりました。 

■ TOPIC 2： 脆弱性診断の実施方法や予算の傾向

～脆弱性診断も7割近くの企業が実施、その半数は外部のベンダーに依頼～ 

続いて、脆弱性診断の実施状況についてお伺いしました。 

システム開発において脆弱性診断を『実施したことがある』と回答した企業は、67％という結果となりました。  

また、そのうちの半数以上となる54％の企業では、診断をセキュリティベンダーに外注しており、専門家の活用により、診断精度の向上や自社リソース不足の解消を図っていることがうかがえます。