チェック・ポイント・リサーチ、次世代セキュリティ運用の基盤となるエクスポージャー管理の重要性を提言

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
可視性と対応のギャップを解消し、継続的なエクスポージャー管理への転換を図るための管理サイクル

サイバーセキュリティソリューションのパイオニアであり、世界的リーダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point(R) Software Technologies Ltd.、NASDAQ: CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、可視性重視の従来型セキュリティ運用で生じるエクスポージャーの放置リスクに着目し、次世代セキュリティ運用の基盤としてのエクスポージャー管理の重要性を提言しました。

多くの組織は、リスクを認識していながら、その気づきをタイムリーかつ安全な行動に移すことに苦心しています。そのギャップから生まれたのがエクスポージャー管理であり、今、セキュリティ分野における基盤的な取り組みとなりつつあります。



上の図が示すように、組織が対策を検討している間もリスクは増大し続けます。エクスポージャーが発見され、アクセスおよび悪用が可能と認識された瞬間から時計は動き出し、環境の変化や依存関係の増大、攻撃者がより迅速に適応することによって、修復ワークフローは後れを取ることになります。手作業での調整、責任の所在の不明確さ、混乱への懸念など、これらすべてが既知のエクスポージャーがオープンかつ悪用可能であることを示す「エクスポージャー滞留時間」を長引かせます。この悪用可能な期間が長いほど、理論上のリスクが実際のインシデントに発展する可能性が高まります。

可視性の罠
ほとんどのセキュリティチームは膨大なセキュリティデータに囲まれながらもそれを成果につなげられていません。各部門が個別にワークフローの最適化を進める一方で、エクスポージャーライフサイクル全体を管理する主体は存在せず、リスクが放置される状態に陥ってしまいます。エクスポージャー管理は、可視化だけではリスクは減少しない、という厳しい現実を認識することから始まります。
- 脆弱性スキャナー：数千に及ぶ検出結果を生成
- 脅威インテリジェンスフィード：自組織との関連性に乏しい、グローバルな攻撃キャンペーンを強調
- 攻撃対象領域可視化ツール：チームの修正速度を上回る速さで資産リストを拡大
- インフラチーム：業務中断を恐れ、修正対応に踏み切れない


出典：Gartner Peer Connect調査 （796523_C）

多くの組織は、エクスポージャー管理に喫緊の必要性を感じています。米国の調査会社ガートナーの調査によると、89%の組織がCTEM（Continuous Threat Exposure Management、継続的脅威エクスポージャー管理）プログラムをすでに導入済み、または導入を検討しています。これは、従来のエクスポージャー管理の手法がもはや実際の規模にそぐわないという認識が、組織の間で広がっていることを示しています。
- 各組織が平均45種類のサイバーセキュリティツールを使用している一方で、多くの組織は検出結果を相関させ、実用的なインテリジェンスへと結びつけることに苦心
- CTEMプログラムに基づいて優先順位を決定する組織は、侵害を受ける可能性が約3分の1に低減

エクスポージャー管理の意義
エクスポージャー管理は、ツールのカテゴリーでも、脆弱性管理の別名でもありません。組織が侵害される可能性を、積極的かつ継続的に低減していくための運用モデルです。

エクスポージャー管理によって、修復への考え方を根本から変える必要が生まれます。
- 現時点で、実際に悪用可能な脆弱性は何か？
- それらのエクスポージャーのうち、組織の攻撃対象領域と重なるものはどれか？
- 自組織の地域および業界では、どのエクスポージャーがターゲットにされているか？
- 悪用された場合、どのようなビジネス上の影響が生じるか？
- 業務を中断させずにリスクを低減するには、どうすればよいか？

なぜ今エクスポージャー管理が重要なのか
1. 変化が著しい攻撃対象領域
クラウドワークロードは現れては消え、SaaSは中央のIT部門を介さずに導入されます。IDや権限は気づかないうちに増え続け、外部資産は企業の境界を越えて拡大し、静的な資産管理ではもはや追いつけません。その結果、セキュリティ制御には設定ミスが生じます。

2.リスク評価システムよりも迅速な攻撃者
脆弱性は数日、あるいは数時間のうちに悪用可能な状態になります。CVSSスコアや単発スキャンは攻撃者の実際の行動に追いつけず、深刻度の評価と実際のリスクは必ずしも一致しません。

3. ボトルネックとなる修復
復旧遅延の原因の大半は、そのエクスポージャーが実際に悪用可能かどうか、修正が業務に支障をきたすか、あるいはすでに代替的なコントロールが存在するかといった不確実性にあります。確信が持てなければ、チームはためらいます。そして攻撃者は、そのためらいを必要としています。

エクスポージャー管理サイクル



効果的なエクスポージャー管理は、「脅威インテリジェンス→脆弱性の優先順位付け→安全な修復対応」という、循環的なプロセスに従っています。

攻撃者視点の脅威インテリジェンス：エクスポージャー管理は、単にどのような脆弱性があるかを把握するだけでなく、現在進行形の攻撃キャンペーンや悪用手法、漏えいした認証情報、フィッシングインフラ、ブランドへのなりすましなど攻撃者の行動を通じて、攻撃者がどこに注力しているかを理解します。これにより、行動指針を示すインテリジェンスが得られます。

実際のリスクに基づく優先順位付け：すべてのエクスポージャーが同等に重要なわけではありません。実環境での悪用可能性、外部・内部からの到達可能性、既存のセキュリティ対策、影響を受ける資産のビジネス重要性といった複数の要素を総合的に評価することで、真の優先順位が明らかになり、修復対応を先回り型の行動リストへと絞り込むことが可能になります。

事業を損なわない修復対応：修復措置は、適用前に既存の制御や運用上の制約に照らして検証されることが必要です。パッチ適用や手作業の調整のみに依存することなく、変更が事前に検証され、既存のセキュリティ制御を通じて実施されることで、ダウンタイムや誤検知、運用リスクを抑えながらエクスポージャー滞留時間を短縮できます。

詳細は、こちらからエクスポージャー管理に関するレポートをご覧ください。

本プレスリリースは、米国時間2026年1月21日に発表されたブログ（英語）をもとに作成しています。

Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud AIに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。
ブログ: https://research.checkpoint.com/
X: https://x.com/_cpresearch_

チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（https://www.checkpoint.com/）は、デジタルトラストのリーディングプロバイダーとして、AIを駆使したサイバーセキュリティソリューションを通じて世界各国の10万を超える組織を保護しています。同社のInfinity Platformとオープンガーデン型エコシステムは、防止優先のアプローチで業界最高レベルのセキュリティ効果を実現しながらリスクを削減します。SASEを中核としたハイブリッドメッシュネットワークアーキテクチャを採用するInfinity Platformは、オンプレミス、クラウド、ワークスペース環境の管理を統合し、企業とサービスプロバイダーに柔軟性、シンプルさ、拡張性を提供します。Check Point Software Technologiesの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

ソーシャルメディア アカウント
・Check Point Blog: https://blog.checkpoint.com
・Check Point Research Blog: https://research.checkpoint.com/
・YouTube: https://youtube.com/user/CPGlobal
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/
・X: https://x.com/checkpointjapan
・Facebook: https://www.facebook.com/checkpointjapan

将来予想に関する記述についての法的な注意事項
本プレスリリースには、将来予想に関する記述が含まれています。将来予想に関する記述は、一般に将来の出来事や当社の将来的な財務または業績に関連するものです。本プレスリリース内の将来予想に関する記述には、チェック・ポイントの製品およびソリューションならびにLakeraの製品およびソリューションに関する見通し、Lakeraの機能を活用し統合する当社の能力、エンドツーエンドのAIセキュリティスタックを提供する当社の能力、チェック・ポイントの新たなGlobal Center of Excellence for AI Security設立に関する記述、そして買収の完了に関する記述が含まれますが、これらに限定されるものではありません。これらの事項に関する当社の予想および信念は実現しない可能性があり、将来における実際の結果や事象は、リスクや不確実性がもたらす影響によって予想と大きく異なる可能性があります。本プレスリリースに含まれる将来予想に関する記述に伴うリスクや不確実性は、2025年3月17日にアメリカ合衆国証券取引委員会に提出した年次報告書（フォーム20-F）を含む証券取引委員会への提出書類に、より詳細に記されています。本プレスリリースに含まれる将来予想に関する記述は、本プレスリリースの日付時点においてチェック・ポイントが入手可能な情報に基づくものであり、チェック・ポイントは法的に特段の義務がある場合を除き、本プレスリリース記載の将来予想に関する記述について更新する義務を負わないものとします。

本件に関する報道関係者からのお問い合わせ
チェック・ポイント広報事務局 （合同会社NEXT PR内）
Tel: [phone]　Fax: [phone]
E-mail: [e-mail]