国内におけるサイバーハイジーン
実態調査結果について

2023年3月3日
タニウム合同会社

本調査実施の背景

タニウムの企業概要
Tanium Inc.

タニウム合同会社

設立：2007年 (2012年製品提供開始)
代表：Dan Streetman (CEO)
従業員数：2,200+名
本社：ワシントン州 カークランド
評価額：90億ドル

70 %

設立：2014年
代表：古市 力 (アジア太平洋日本地域
プレジデント 兼 日本法人代表執行役社長)
従業員数：約100名
本社：東京都千代田区
営業拠点：東京、大阪、名古屋

8Fortune 100 企業 米国トップ 10 金融機関
における採用率
における採用数

753,000 万

世界トップ 10 流通業
における採用数

米国軍組織
における採用数

グローバルで管理している
エンドポイント数

国内のお客さま（公開可能企業のみ。五十音順）
••
•
•
•

伊藤忠テクノソリューションズ株式会社
株式会社 荏原製作所
株式会社エヌ・ティ・ティ・データ
九州旅客鉄道株式会社
京セラ株式会社•••••• 東急不動産ホールディングス株式会社• 東芝デジタルソリューションズ 株式会社• 西日本電信電話株式会社• 日本電気株式会社• 福井県

鴻池運輸株式会社
株式会社 資生堂
セガサミーホールディングス株式会社
全日本空輸株式会社株式会社ダイセル3• 古野電気株式会社• 株式会社ベネッセホールディングス• 株式会社みずほフィナンシャルグループ• ローム株式会社© 20212023 Tanium. All rights reserved.

タニウム国内ビジネスアップデート（2022年2月〜2023年1月）

50+%

国内売上成長率
＊99+%

更新率7倍
＊エマージング

エンタープライズ領域
昨対成長率

エマージングエンタープライズ：従業員1,000〜10,000名までの企業群を意味する
4© 20212023 Tanium. All rights reserved.

お客様の DX 施策を強力に保護する XEM
DX の浸透に伴って拡大するアタックサーフェス

日々拡張するサプライチェーンネットワーク

多様化するエンドポイント

コンバージド・エンドポイント管理（XEM）- あらゆる変化に適応可能なワンストップ型エンドポイント管理ソリューション セキュリティ

IT 運用管理• IT 資産管理• 性能監視• 脆弱性管理• リスク分析• アプリ配信• パッチ管理• シャドー IT 管理• EDR• データ可視化• モバイル管理• 脅威ハンティング

5© 20212023 Tanium. All rights reserved.

サイバー攻撃プロセスとセキュリティ対策の優先度
サイバー攻撃プロセス
犯罪組織
非管理端末の存在 “20％以上”
OS/アプリ脆弱性の存在 “40％以上”
不正アクセスやランサムの高速拡散
段階的に管理者権限まで昇格”ADの陥落”

攻撃プロセスを踏まえた対策の優先度
OT/IoTIT

ガバナンスの責任範囲
リモート
クラウド
脆弱なサーバ本社(HQ)①非管理端末を常に0％に近づける
最優先施策②パッチ適用は常に早く100％に近づける
サイバー・ハイジーン(プロアクティブ・ディフェンス)③常に脆弱性を特定/識別し是正し続ける

脆弱なPC
暗号化
破壊・脅迫

④EPP/EDRの100％稼働を管理

国内/海外
グループ 数時間でAD陥落(リアクティブ・ディフェンス)⑥SOC分析結果の影響度分析と即時の対処⑤緊急時は台数依存しない即時の論理隔離

サイバー・レジリエンス
共通要件

ランサム感染&拡散

EPPやEDR機能の無力化やログ消去
サーバを暗号化し破壊・脅迫”事業停止“や”情報漏洩“ソフトウェアサプライチェーン・ガバナンス責任範囲の“網羅性”を確保
・各IT運用業務の“リアルタイム性”を確保

非管理PCやサーバ、脆弱性を悪用

動的なエンドポイント管理が必須要件に！

6© 20212023 Tanium. All rights reserved.

IPAが公開した情報セキュリティ10大脅威 2023※の考察
脆弱性に起因する脅威はサイバー・ハイジーン
全体の“70％”
ガバナンス不徹底に関連する脅威はグループITガバナンス全体の“90％”

動的なサイバー・ハイジーンとグループITガバナンスの重要性を裏付ける※https://www.ipa.go.jp/security/vuln/10threats2023.html
7© 20212023 Tanium. All rights reserved.

サイバーハイジーンに関する市場調査• 調査対象：主に大企業のＩＴ管理者と担当者（有効回答者：651名）• 調査方法：Webアンケート• 実施期間：2022年12月19日〜2022年12月31日

【調査#1】サイバーハイジーンの認知度

業種別/規模別大企業での認知度が高い傾向が見られる。

0%

数値としては昨年とほぼ横ばい。
2022年

3%

27%

43%

26% 3%

48%

25% 3%

建設業（N=31）

29%

流通・小売・商社（N=55）

27%

45%

22% 5%

金融業（N=54）

31%

43%

22% 4%

サービス（N=158）

28%
20%

聞いたことがない

わからない

25%

19%

37%

30%

5%

49%

27%

5%

38%

名前は知っている31%

聞いたことがない

50%
43%

わからない

75%

100%

全体（N=651）

27%

1,000〜4,999人（N=287）

23%5,000〜9,999人（N=110）

26%

45%

26% 2%

10,000〜49,999人（N=126）

25%

44%

27%

(N=651)

952%

31%

0%

名前は知っている

100%

24%

主な機能を含め、よく知っている

主な機能を含め、よく知っている75%

製造業（N=218）

その他（N=94）

43%

50%

全体（N=651）

公務員・公共サービス（N=41）

27%

26%

25%

43%

26%

3%

30%

4%

50,000人以上（N=128）

38%

42%

主な機能を含め、よく知っている

名前は知っている

聞いたことがない

3%

18% 2%
わからない© 2021
2023 Tanium. All rights reserved.

【調査#2】サイバーハイジーンの実施範囲
昨年と比較して、大きな変化は見られず。32%強の組織で全社対応。
規模の大きい組織ほど全社規模で実施している割合が高い。
規模別

2022年
6%

0%

13%

25%

50%

75%

100%

全体（N=458）

32%

49%

13%

5%

1,000〜4,999人（N=189）

32%

44%

20%

3%

5,000〜9,999人（N=79）

28%

53%

10%

9%

10,000〜49,999人（N=88）

28%

56%

9%7%

7%

6%

32%

49%

(N=458)

全社規模で実施している

部分的に実施している

実施していない

わからない

50,000人以上（N=102）

10

38%

49%

全社規模で実施している

部分的に実施している

実施していない

わからない© 20212023 Tanium. All rights reserved.

【調査#3】IT資産の棚卸頻度毎日実施している企業は全体のわずか 2.3% であり、サイバーハイジーンの徹底が浸透しているとは言えない。定期的な棚卸が実態となっているのも昨年から大きく変わらず。
2022年
2022年度から追加

8%
3%
2%

[考察]
• サイバーハイジーン実施においては、資産の状態22%を常に把握することが基本となる
12%• IT資産の棚卸とは別にサイバーハイジーンの一環で資産可視化をおこなっている組織は一定数存在する 可能性はある
年に1回実施21%
半年に1回実施
四半期に1回実施
不定期に実施
毎日実施している
実施していない
わからない32%(N=651)11© 2021
2023 Tanium. All rights reserved.

【調査#4】非管理端末（野良端末）の把握
完全に把握できていると回答した組織は4割に満たず、６割を超える組織で非管理端末が存在。
業種別では公共と流通で非管理端末の比率が高い。
業種別

2022年
7%

0%

37%

全体（N=576）

37%

製造業（N=203）

33%

建設業（N=26）
流通・小売・商社（N=41）

56%(N=576)

25%

38%
24%

50%

75%

100%

56%

7%

58%

9%

50%
66%

12%
10%

金融業（N=49）

45%

49%

6%

サービス（N=135）

40%

55%

5%

公務員・公共サービス（N=36）

22%

75%

3%

完全に把握している（非管理端末数：ゼロ）
その他（N=86）

49%

47%

5%

IT部門としては非管理端末の存在は認知しているものの、管理は担当者に完全に把握している（非管理端末数:ゼロ）

任せているので正確な台数は把握していない
IT部門として、そもそも非管理端末の存在を認知していないため不明

IT部門としては非管理端末の存在は認知しているものの、管理は担当者に任せているので正確な台数は把握していない
IT部門として、そもそも非管理端末の存在を認知していないため不明

12© 2021
2023 Tanium. All rights reserved.

【調査#5】脆弱性対応の頻度87％強の組織が四半期に一回以下の脆弱性対応実施にとどまる。規模別では大企業の実施頻度が高い傾向にある。
規模別

2022年
12%

13%

0%

25%

全体（N=651）

13%

1,000〜4,999人（N=287）

10%5,000〜9,999人（N=110）

12%

10,000〜49,999人（N=126）

11%

50%

37%

75%

28%

100%

10% 12%

10%

37%

34%

36%

45%

29%

12%

14%

27%

11%

14%

27%

10% 7%

25%6% 13%28%
50,000人以上（N=128）

年に５回以上実施
年に２〜４回程度実施
年に１回程度実施
実施したことがない
わからない(N=651)

13

21%

34%

年に5回以上実施

年に2〜4回程度実施

実施したことがない

わからない

年に1回程度実施© 20212023 Tanium. All rights reserved.

【絞り込み調査#1】脆弱性対応の頻度
年5回以上実施できている組織の割合に顕著な差異。サイバーハイジーン徹底組織においては40%超。
サイバーハイジーン
これから

サイバーハイジーン徹底
3%

1%

4%
17%

13%
42%

35%

13%

41%

(N=101)31%

年5回以上実施
年に2~4回程度実施
年に1回程度実施
実施したことがないわからない(N=393)15

年5回以上実施
年に2~4回程度実施
年に1回程度実施
実施したことがない
わからない© 20212023 Tanium. All rights reserved.

【絞り込み調査#2】脆弱性対処時間（脆弱性発見後、必要な監査やアップデートなどの是正措置を対象全台に実施するのにかかった時間）

3日未満の結果に顕著な差異が見られる。サイバーハイジーン徹底組織は6割以上が3日未満で対処が完了。
サイバーハイジーン
これから

サイバーハイジーン徹底

8%

6%

0% 1%
4%
23%

9%

33%

2%
2%

16%
1日未満
1日以上3日未満
3日以上7日未満
7日以上30日未満
30日以上対象となる端末が特定できなかった
実施していない
未回答

25%

1日未満
1日以上3日未満
3日以上7日未満
7日以上30日未満
30日以上対象となる端末が特定できなかった
実施していない
3% 0%
未回答

39%
(N=101)

16

29%(N=393)© 20212023 Tanium. All rights reserved.

【絞り込み調査#3】安全性確認までにかかった時間（インシデント発生後に端末全ての安全性確認にかかった時間）

特に短期間での完了に顕著な差異。サイバーハイジーン徹底組織においては50%強が3日以内に安全性確認完了。
サイバーハイジーン
これから

サイバーハイジーン徹底

8%

2% 2%

2%

4%

23%

27%

21%

11%

3%
21%
1日未満
1日以上3日未満
3日以上7日未満
7日以上30日未満
30日以上
全台の安全性確認ができなかった
実施していない
未回答

5%

3%
31%

1日未満
1日以上3日未満
3日以上7日未満
13%
7日以上30日未満
30日以上
全台の安全性確認ができなかった
実施していない
未回答(N=101)

17

24%(N=393)© 20212023 Tanium. All rights reserved.

調査結果を踏まえてタニウムからの提言

2023年3月3日
タニウム合同会社

タニウムはサイバーハイジーンを推奨します中長期セキュリティ戦略策定に向けた考察
NISTサイバーセキュリティフレームに基づく施策(グローバル・ベストプラクティスの活用)
更なるセキュリティ強化の目的③グローバル
ITガバナンスの実現②発生したリスクの最小化①リスク発生の未然予防

中長期セキュリティ強化施策の骨子
各種今セ後
キ︑
ュ日
リ本テ政
ィ府施よ
策りに公も開
適予
宜定
順の応

20

③サプライチェーンリスク管理
・セキュリティ評価基準(KPI)
・SBOM対応の実現(今後、重要度高)②サイバー・レジリエンス施策・導入した更なるEDRの有効活用
・リスク影響度分析/対処の迅速化①サイバー・ハイジーン施策
・動的なIT資産管理の実現
・動的な脆弱性管理の高度化© 2021
Tanium.
All rights© 2023
Tanium.
All rightsreserved.
reserved.

グローバルで加速化するサイバー・ハイジーンの最新動向
明示的にサイバー・ハイジーンを言及する 法令/戦略/ガイドライン/フレームワーク等
CISA : Cyber
Hygiene Service

CIS : Essential
Cyber Hygiene

CYBER HYGIENE SERVICES
REDUCING THE RISK OF A SUCCESSFUL CYBER ATTACK
Adversaries use known vulnerabilities and phishing attacks to compromise the security of organizations. The
Cybersecurity and Infrastructure Security Agency (CISA) offers several scanning and testing services to helporganizations reduce their exposure to threats by taking a proactive approach to mitigating attack vectors.
•Vulnerability Scanning: Evaluates external network presence by executing continuous scans of public, static IPs foraccessible services and vulnerabilities. This service provides weekly vulnerability reports and ad-hoc alerts.

•Web Application Scanning: Evaluates known and discovered publicly-accessible websites for potential bugs andweak configuration to provide recommendations for mitigating web application security risks.

•Phishing Campaign Assessment: Provides an opportunity for determining the potential susceptibility of personnel tophishing attacks. This is a practical exercise intended to support and measure the effectiveness of security
awareness training.

•Remote Penetration Test: Simulates the tactics and techniques of real-world adversaries to identify and validate
exploitable pathways. This service is ideal for testing perimeter defenses, the security of externally-available
applications, and the potential for exploitation of open source information.

EU : NIS 2 Directive(2023年1月施行)

NCSC : National
Cyber StrategyNationalCyber
Strategy 2022

グローバルにおいては、ITに先進的な諸外国が一斉に指示

Pioneering a cyber future withthe whole of the UK

FREQUENTLY ASKED QUESTIONS
How much does it cost? CISA cybersecurity assessment services are available at no cost.
Who can receive services? Federal, state, local, tribal and territorial governments, as well as public and private sector
critical infrastructure organizations.
When will my services begin? Vulnerability Scanning and Web Application Scanning typically begin within one week of
returning the appropriate forms.
Who performs the service? Cyber Hygiene services are provided by CISA’s highly trained information security experts
equipped with top of the line tools. Our mission is to measurably reduce cybersecurity risks to the Nation by providing
services to government and critical infrastructure stakeholders.

GET STARTED
Email us at vulnerability_info@cisa.dhs.gov with the subject line “Requesting Cyber Hygiene Services” to get started.

CONNECT WITH USwww.cisa.gov
For more information,email vulnerability_info@cisa.dhs.gov

Linkedin.com/company/cybersecurityand-infrastructure-security-agency@CISAgov | @cyber | @uscert_gov
Facebook.com/CISA

サイバーセキュリティ
戦略本部

金融庁

Singapore: CyberSecurity Strategy

Global Cybersecurity
Outlook 2022

日本においては、金融庁やサイバーセキュリティ戦略本部が指示

21© 20212023 Tanium. All rights reserved.

次回はSBOMに関する調査発表を予定です。
乞うご期待ください。