外部リンク：レポート

SecurityScorecard がスポンサーを務める IDC スポットライト 2026 年の IDC スポットライトでは、時点ごとのベンダーリスク評価ではもはや対応できない理由と、継続的で脅威情報に基づいた TPRM が実際にどのようなものになるかを示しています。IDC スポットライトで指摘されているように、2026 年の Verizon データ侵害調査レポート (DBIR) では、侵害におけるサードパーティの関与が 48% で、前年比 60% 増加しており、過去 2 年間を合わせたよりも急激な増加となっています。2026 年 8 月に 1,226 の TPRM ソフトウェアを使用している組織を対象に実施された IDC のサードパーティリスク管理ソフトウェア調査では、全体的な保証方法の特徴を尋ねたところ、継続的な監視 (セキュリティ評価、攻撃対象領域の監視、侵害および脆弱性インテリジェンスフィード) を使用しているモデルとして回答したのは 16.2% にとどまりました。 IDC Spotlightの全文を読むと、以下の点がわかります。組織の30.9%が今後18か月以内にTPRMソフトウェアプロバイダーを切り替える可能性が高いと回答している理由（IDCのサードパーティリスク管理ソフトウェア調査、2026年8月）。IDCが、インサイドアウトテレメトリ、APIベースのデータ収集、ビジネスコンテキストに紐づいたリスクスコアリングに基づいて構築された、継続的で脅威情報に基づいたTPRMが、今後数年間でポイントインタイム評価をベースライン運用モデルとして置き換え続けると考える理由。そして、この変化の最終目標は、TPRMライフサイクルの90%以上が自動化され、アナリストが手作業で結果を作成するのではなく、機械生成された結果をレビューするようになることです。抜粋はこちら

SecurityScorecardの研究者は、Driftnetのインターネット規模の検出機能を使用して、町のインターネットサービスプロバイダー（ISP）としても機能する米国の小規模な地方自治体公益事業者のネットワークフットプリントを分析しました。調査の結果、脆弱な監視機器、露出した産業制御システム（ICS）、脆弱な暗号化構成、サポート終了（EoL）のWindowsデバイスなど、インターネットに接続されたシステム全体に広範囲にわたる脆弱性が明らかになりました。この公益事業者は独自の自律システム（AS）を運用しており、インターネット接続と重要なインフラストラクチャサービスが同じ広範な運用環境内に存在します。この統合により、1つのサービスが中断するとコミュニティ全体に影響が及ぶ集中障害点が生じます。Driftnetは6か月間にわたり、692のIPアドレスにわたる1,498のサービスを特定しました。そのうち446のIPアドレス（64%）は、少なくとも1つの技術的問題を示しており、脆弱性のリスクを高めていました。SecurityScorecardのDriftnetエンジンは、従来のスキャン手法よりも150%多くのインターネットに接続されたサービスを特定し、従来の手法では見逃される脆弱性を明らかにします。調査結果には以下が含まれます。ユーティリティASのフットプリント全体にDahuaとHikvisionの監視機器が30台存在。禁止されているインターネットプロトコル（IP）カメラは、中間者攻撃（MitM）、分散型サービス拒否（DDoS）攻撃、マルウェアベースのキャンペーンなどを可能にする可能性があります。インターネットから直接アクセスできるICS、SCADA、およびOT関連サービスが公開されています。同じブロードキャストドメインでICSまたはIoTサービスと消費者デバイスをホストする/24クラスタが少なくとも3つ存在します。382のIPアドレスにわたる暗号化が脆弱または誤って設定されており、さらに平文FTPとHTTP、および認識されていない認証局が存在します。Server Message Block（SMB）とNetBIOS経由でアクセスできるEoL Windowsホスト。これは過去の遺物であり、OT環境以外ではほとんど見られません。インターネットに接続されたサービス全体で25の既知の悪用された脆弱性（KEV）が特定されました。ユーティリティとISPの統合により、単一障害点が発生します。電力供給とインターネットは同じAS上に存在します。一方にインシデントが発生すると、もう一方にも同様の影響が及びます。また、調査では、消費者向けデバイス、監視システム、ICS関連技術が同じローカルネットワーク環境内で動作している複数のネットワークセグメントも特定されました。このようなセグメンテーションの欠如は、セキュリティレベルの低いシステムが侵害されると、運用インフラストラクチャへの横方向の移動が可能になる可能性を高めます。調査結果の全容を理解するには、今すぐ完全版レポートをダウンロードして、Driftnetが組織が受動的なセキュリティから継続的な脅威情報に基づく防御へと移行するために必要な可視性をどのように提供するかをご覧ください。

詳しくはこの資料をご覧ください。

Marsh McLennan グローバル サイバー リスク分析センターと SecurityScorecard は協力して、サイバーセキュリティ評価とサイバー保険リスクの低減との相関関係を調査しました。

詳しくはこの資料をご覧ください。