CSA 調査結果 セキュリティ改善の現状 2024

こんにちは、丸山満彦です。

クラウド・セキュリティ・アライアンス (Cloud Security Alliance; CSA) がセキュリティ改善の現状 2024という調査結果をを公表しています。。。

自社の対策のベンチマークの一つとして目を通すのはよいかもですね。。。ただし、2,037件あるサンプルはほとんど北米組織。

Key Takeaways:	主な要点
・Only 23% of organizations report full visibility in their cloud environments.	・クラウド環境の完全な可視化を報告している組織は23%に過ぎない。
・63% of organizations consider duplicate alerts a moderate to significant challenge.	・63％の組織が重複アラートを中程度から重大な課題と考えている。
・61% of organizations use between 3-6 different detection tools.	・61％の組織が3～6種類の検知ツールを使用している。
・About 75% of organizations have security teams spending over 20% of their time performing manual tasks when addressing security alerts.	・約75％の組織で、セキュリティチームがセキュリティアラートに対処する際に、時間の20％以上を手作業に費やしている。
・18% of organizations take more than four days to address critical vulnerabilities.	・18% の組織が、重要な脆弱性への対応に 4 日以上かかっている。
・Over half of the vulnerabilities addressed by organizations tend to recur within a month of remediation.	・組織が対処した脆弱性の半数以上が、修復後 1 カ月以内に再発する傾向がある。
・18% of organizations report no collaboration or counterproductive relationships between security and development teams.	・18% の組織が、セキュリティチームと開発チームとの間で協力関係がない、または逆効果であると報告している。

● Cloud Security Alliance; CSA

・2024.02.13 The State of Security Remediation 2024

プレス...

・2024.02.14 Cloud Security Alliance Survey Finds 77% of Respondents Feel Unprepared to Deal with Security Threats

Cloud Security Alliance Survey Finds 77% of Respondents Feel Unprepared to Deal with Security Threats	クラウド・セキュリティ・アライアンス調査、回答者の77％がセキュリティ脅威への対応に不安を感じていることが判明
Results highlight the importance of unified visibility across code-to-cloud environments to counter risks effectively	リスクに効果的に対処するためには、コード・トゥ・クラウド環境全体を一元的に可視化することが重要であることが浮き彫りになった。
SEATTLE – Feb. 14, 2024 – A new survey and report on The State of Security Remediation from the Cloud Security Alliance (CSA), the world’s leading organization dedicated to defining standards, certifications, and best practices to help ensure a secure cloud computing environment, found that more than 77% of respondents feel unprepared to deal with security threats. Commissioned by Dazz, the leader in security remediation, CSA surveyed more than 2,000 IT and security professionals on the challenges they are facing in their remediation operations practices, as well as critical areas of improvement.	シアトル発 - 2024年2月14日 - 安全なクラウドコンピューティング環境を確保するための標準、認証、ベストプラクティスの定義に取り組む世界有数の組織であるクラウドセキュリティアライアンス（CSA）が発表した「セキュリティ対応の現状」に関する新たな調査と報告書によると、回答者の77％以上がセキュリティの脅威に対応する準備ができていないと感じていることが分かった。CSAは、セキュリティ修復のリーダーであるDazzの委託を受け、2,000人以上のITおよびセキュリティの専門家を対象に、修復業務の実践において直面している課題と、改善すべき重要な分野について調査を行った。
“The survey found that the number of security tools an organization has isn’t nearly as important as the tools’ efficiency and their ability to reduce vulnerabilities. Companies need a more nuanced approach that focuses on tools’ integration and intelligent orchestration,” said Hillary Baron, lead author and Senior Technical Director for Research, Cloud Security Alliance. “As cybersecurity threats evolve, organizations must adapt by seeking better visibility into their code-to-cloud environment, identifying ways to accelerate remediation, strengthening organizational collaboration, and streamlining processes to counter risks effectively.”	「調査の結果、組織が保有するセキュリティ・ツールの数は、ツールの効率性や脆弱性を削減する能力ほど重要ではないことがわかった。企業は、ツールの統合とインテリジェントなオーケストレーションに焦点を当てた、より微妙なアプローチを必要としている。「サイバーセキュリティの脅威が進化するにつれ、企業はコード・トゥ・クラウド環境の可視性を高め、修復を加速する方法を特定し、組織的な連携を強化し、効果的にリスクに対抗するためのプロセスを合理化することで適応しなければならない。
Among the survey’s other key findings:	この調査の他の主要な調査結果の中には、次のようなものがある：
A significant concern exists regarding the prevalence of vulnerabilities in code and their tendency to recur. This finding highlighted a pattern of quick-fix approaches rather than sustainable, long-term solutions. A substantial 38% of respondents estimated that between 21% and 40% of their code contains vulnerabilities; 19% noted that 41-60% of their code contains vulnerabilities, and 13% identified vulnerabilities in 61-80% of their code. Compounding this issue was the finding that over half of the vulnerabilities addressed by organizations tend to recur within a month of remediation.	コードに脆弱性が蔓延し、それが再発する傾向には大きな懸念がある。この調査結果では、持続可能で長期的な解決策ではなく、応急処置的なアプローチのパターンが浮き彫りになった。回答者の実に38％が、自分たちのコードの21％から40％に脆弱性が含まれていると推定しており、19％がコードの41％から60％に脆弱性が含まれていると指摘し、13％がコードの61％から80％に脆弱性があると特定した。この問題をさらに深刻にしているのが、組織が対処した脆弱性の半数以上が、修復後1カ月以内に再発する傾向があるという結果だ。
Many organizations are struggling to achieve visibility in their cloud environments. Only 23% of organizations reported full visibility with 77% experiencing less-than-optimal transparency, strongly suggesting that the complexity of these environments—particularly with the integration of containers and serverless architectures—poses significant challenges.	多くの組織が、クラウド環境の可視化に苦戦している。完全な可視性を報告した組織はわずか23％で、77％は可視性が最適でないと回答している。これは、これらの環境の複雑さ、特にコンテナやサーバーレスアーキテクチャの統合が大きな課題となっていることを強く示唆している。
False positives and duplicate alerts pose significant challenges. Sixty-three percent of organizations consider duplicate alerts a moderate to significant challenge, while 60% view false positives similarly, highlighting the inefficiencies and drawbacks of too much data coming at security teams. The high rate of organizations struggling with this could be attributed to overlapping functionalities among tools, or a lack of refined integration and fine-tuning, leading to alert fatigue, prioritization challenges and, ultimately, slower incident response times.	誤検知や重複アラートが大きな課題となっている。組織の63％が重複アラートを中程度から重大な課題と考えており、60％が偽陽性を同様に捉えている。これは、セキュリティ・チームに寄せられるデータが多すぎることによる非効率性と欠点を浮き彫りにしている。このような問題に苦慮している組織の割合が高いのは、ツール間で機能が重複していたり、統合や微調整が不十分であったりするため、アラートに対する疲労感や優先順位付けの難しさ、ひいてはインシデント対応時間の遅延につながっている可能性がある。
The proliferation of security tooling is creating complexities. The escalating trend of alert overload is a significant challenge facing organizations. With 61% of organizations using between three and six different detection tools and 45% planning to increase their security tooling budget in the coming year (indicating that more are likely to be introduced), the landscape is becoming increasingly complex. This proliferation of tools, while enhancing security coverage, also leads to a surge in alerts, including a high volume of false positives.	セキュリティ対策ツールの急増が複雑さを生み出している。アラート過多の傾向が深刻化していることは、組織が直面する重大な課題である。61％の組織が3～6種類の検知ツールを使用しており、45％が来年度にセキュリティ対策ツールの予算増額を計画している（さらに多くのツールが導入される可能性が高いことを示している）ことから、状況はますます複雑になっている。このようなツールの急増は、セキュリティの網羅性を高める一方で、大量の誤検知を含むアラートの急増にもつながっている。
Significant room for improvement exists in the remediation process. Seventy-five percent of organizations reported their security teams spend over 20% of their time performing manual tasks when addressing security alerts, despite 83% reporting they use at least some automation in their remediation process.	改善プロセスには大きな改善の余地がある。組織の 75 パーセントが、セキュリティチームがセキュリティアラートに対処する際、時間の 20 パーセント以上を手作業に費やしていると回答している。また、83％の組織が、改善プロセスにおいて少なくとも何らかの自動化を実施していると回答している。
Slow response times to vulnerabilities indicate potential gaps in prioritization and response strategies. Eighteen percent of organizations reported taking more than 4 days to address critical vulnerabilities, with 3% exceeding two weeks. This slow response may result in prolonged risk periods, increasing the likelihood that companies will become the victim of a breach.	脆弱性への対応に時間がかかるということは、優先順位付けと対応戦略にギャップがある可能性を示している。18％の組織が、重要な脆弱性への対応に4日以上、3％が2週間以上かかると回答している。このような対応の遅さは、リスク期間の長期化を招き、企業が侵害の被害者となる可能性を高める可能性がある。
The survey was conducted online by CSA in December 2023 and received 2,037 responses from IT and security professionals from organizations of various sizes and locations. CSA research analysts performed the data analysis and interpretation for this report. Sponsors are CSA Corporate Members who support the research project’s findings but have no added influence on the content development or editing rights of CSA research.	本調査は、CSA が 2023 年 12 月にオンラインで実施したもので、さまざまな規模や場所に所在する組織の IT およびセキュ リティの専門家から 2,037 件の回答を得た。CSA の調査アナリストが本レポートのデータ分析と解釈を行った。スポンサーとは、調査プロジェクトの調査結果を支援する CSA 法人会員であるが、CSA 調査のコンテンツ開発や編集権に追加的な影響力を持つことはない。