米国当局は、インターネットに接続されたオンプレミス環境を標的とする、活発に悪用されているSharePoint Serverの脆弱性3件を必須パッチリストに追加した。見出しは定型的だが、その背後にあるパターンは看過できない。

オンプレミスSharePointは危険な交差点に位置している。組織の最も機密性の高い機関知識を保存し、リモートアクセスのためにしばしばインターネットに公開され、そしてベンダーの推奨するペースでパッチを適用するには手薄すぎるIT部門が管理していることが多い。攻撃者はこれを熟知している。コラボレーションおよびファイル共有プラットフォームは、高価値データと遅い修復サイクルを組み合わせているという理由で、好まれる初期アクセス経路となっている。経済性は攻撃者に有利だ。パッチ未適用のサーバー1台が、IDや電子メールを含むMicrosoft環境全体への横展開を可能にする。

グローバル経営幹部にとっての戦略的シグナルは、クラウドネイティブとオンプレミスのリスクプロファイルの差が拡大していることだ。Microsoft 365とSharePoint Onlineは集中的かつほぼ即座にパッチを受け取るが、自社ホスト型インスタンスは人的な注意深さに依存している。これは静かにクラウド移行の義務化を加速させているが、同時に、一貫性のないセキュリティ態勢でハイブリッド環境を運用する企業にとって移行期間の危険地帯を生み出している。主権的理由でデータをオンプレミスに保持してきた規制業界——金融、医療、防衛請負業者、政府サプライヤー——が最も危険にさらされており、迅速な移行が最も困難である。

保険会社と監査法人がエスカレートすることが予想される。サイバー保険の引受審査はすでにパッチ遅延を中心に厳格化しており、既知の悪用されている脆弱性を持つパッチ未適用のインターネット接続サーバーは、補償範囲の争点となりつつある。取締役会は平均パッチ適用時間を運用上の脚注ではなく、報告対象のKPIとして扱うべきだ。

推奨アクション:インターネットに公開されているすべてのオンプレミスアプリケーションを棚卸しし、SharePointを最優先に置く。活発に悪用されているCVEに対して72時間のSLAを適用する。横展開を鈍化させるため、コラボレーションサーバーをID基盤から分離する。そして移行を永続的に延期するのではなく、レガシーなオンプレミスインスタンスに対する予算化された撤退計画を構築する。CISOにとっての教訓は率直だ——脆弱性はソフトウェア自体にあることは稀である。それは開示と防御の間の組織的遅延にある。