ＮＲＩセキュア、Ｗｅｂサイトのセキュリティ診断結果の傾向を分析
約５割のＷｅｂサイトに情報漏えいにつながる致命的な欠陥が存在
～Ｗｅｂサイトのセキュリティ診断結果の傾向を分析～
ＮＲＩセキュアテクノロジーズ株式会社（本社：東京都千代田区、社長：増谷 洋、以下「ＮＲＩセキュア」）は、２００５年度に企業・官公庁の計１６７のＷｅｂサイトを対象に実施した診断サービスの結果の傾向を分析し、個人情報などの重要情報への不正アクセスが可能と確認されたＷｅｂサイトは全診断数の約５割に達していることが判明しました。
【Ｗｅｂサイトセキュリティ診断結果の傾向】
・ 診断を実施したＷｅｂサイトの約５割で、個人情報を含む重要情報に不正にアクセスできる致命的な欠陥を確認（図１（＊添付資料参照））。
・ 重要情報への不正アクセスが可能となる問題の種類（なりすまし※１、権限昇格※２、ＳＱＬインジェクション※３）別の発生割合を見ると、２００５年から事件が多発しているＳＱＬインジェクションの割合が最も高く、診断総数の３５％で確認されている（図２（＊添付資料参照））。
昨今、Ｗｅｂサイトへの不正アクセスや情報漏えい事件が急増している背景には、この傾向からも分かるように、多くのＷｅｂサイトがセキュリティ上の問題を抱えたまま運営されている実態があると考えられます。
この状況を解決するためには、ＮＲＩセキュアでは、専門家による定期的なセキュリティ診断に加え、データベースのセキュリティ強化、Ｗｅｂサイトの構築・運用体制の強化などのセキュリティ対策が急務であると考えています。
ＮＲＩセキュアでは、これまでに多くの企業や官公庁のＷｅｂサイトを対象に、セキュリティ診断サービスを提供してきました。その診断結果の傾向を分析してレポートにまとめ、昨年から公開しています。
「Ｗｅｂサイトのセキュリティ診断：傾向分析レポート２００６」公開ページ
http://www.nri-secure.co.jp/service/assessment/report2006.html
ＮＲＩセキュアの診断を受け、問題が発見されたＷｅｂサイトについては、当社から診断結果と共に対策案を提示し、対策の実施を促しています。また、診断の実施後、一ヶ月以内であれば、発見された問題への対策を確認するための再診断を無料で実施しています。
ＮＲＩセキュアでは、今後も、セキュリティ診断サービスを拡充し、企業のセキュリティ向上に貢献していきます。
※１： なりすまし： ログインに成功したユーザが、何らかの手段により別のユーザになりすまし、そのユーザの重要情報にアクセスすること。
※２： 権限昇格： 管理者としてログインしていないにも係わらず、不正に管理者機能などの特権操作を行うこと。
※３： ＳＱＬインジェクション： データベースに蓄積されている情報を不正に取得したり、サーバ上で任意のコマンドを実行したりすること。
【ご参考】（＊添付資料参照）
図１．Ｗｅｂサイトのセキュリティ診断結果
図２．重要情報に不正にアクセスできたケースにおける主要な問題の発生割合