企業環境は定期的なセキュリティ評価の合間にも変化し続けており、その空白期間に新たな脆弱性が見過ごされてしまう組織が存在します。Synackの調査レポート「State of Continuous Security Validation」によると、調査対象組織の95%が過去1年間に、計画されたテスト期間外で深刻度の高い、あるいは重大な脆弱性を発見していました。さらに42%は少なくとも月に1回はこうした事態に直面していたことが分かりました。
過去12カ月間にテスト期間外で高深刻度・重大な脆弱性が発見された頻度（出典：Synack）
誤った安心感によるカバー範囲の錯覚
セキュリティ責任者の83%が、自社のテスト頻度は環境内の変化に対応できていると回答しました。多くの担当者は、環境のどこかが常にテスト対象になっているという理由から、自組織は十分にカバーされていると考えています。しかし、自社のセキュリティテストおよび検証プログラムを「継続的」と表現したのは、わずか15%にとどまりました。
企業のインフラは、APIの更新、クラウド構成の変更、ID管理の変更、そしてAI生成コードの展開などによって絶えず変化しています。1回のセキュリティ評価には数週間を要することもあり、その間はアタックサーフェスの一部が最近の検証を受けられない状態に置かれます。
回答者の38%は、過去90日間で重大なアタックサーフェスの少なくとも4分の1が、第三者によるテストや検証を一度も受けていなかったと答えています。
発見事項を検証する人間の専門家
セキュリティチームはAI支援によるテストを活用する一方、AI生成コードの展開も行っています。しかし、脆弱性が実在し悪用可能であることを行動に移す前に確認する際は、人間の専門家に頼っています。偵察、テストのカバー範囲確認、悪用可能性の検証、誤検知の削減といった、規模を拡大できる反復作業にはAIを活用しています。
Synackの最高技術責任者（CTO）を務めるMark Kuhr氏は、次のように述べています。「自動化はより多くのシグナルを表面化させることができますが、セキュリティチームが必要としているのはノイズではなく証拠です。人間の研究者は、複数の弱点を連鎖させ、悪用可能性を確認し、攻撃者が実際に何をできるのかを示すための創造性と文脈理解をもたらしてくれます」
高まる継続的セキュリティ検証への関心
継続的なペネトレーションテストと継続的セキュリティ検証は、年次の一時点テストに取って代わる可能性が最も高いアプローチとして挙げられました。
多くの組織はすでに継続的テストの要素を一部取り入れています。しかし、継続的セキュリティ検証を自社の主要なアプローチとして位置づけている組織や、自社のセキュリティプログラムを「継続的」と表現する組織はごくわずかです。
コンプライアンス主導のテストスケジュール、統合上の課題、自動化に対する信頼の低さ、誤検知、投資対効果（ROI）を示すことの難しさ、そしてチーム間で所有権が明確に定義されていないことが、継続的セキュリティ検証を阻む主な要因として挙げられました。
SynackでCMOを務めるAngela Heindl-Schober氏は、インフラの変化が定期的なテストサイクルよりも頻繁に発生していることから、各組織はAIと人間の専門知識に支えられた継続的検証へと移行しつつあると述べています。
翻訳元: https://www.helpnetsecurity.com/2026/07/22/continuous-security-testing-gaps-report/
