よく見られるセキュリティ構成ミスは？ – 米当局がランキング
米当局は、大規模組織でよく見られるセキュリティ上のネットワーク構成ミスのランキングを発表した。

■システムの管理をアウトソースしている企業は、アウトソース先に確認（質問）することをお勧めします。
■従業者に対してはソフトウェア（アプリケーション）の更新の徹底を強く指示することをお勧めします。

この発表は、米国家安全保障局（NSA）とサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が共同でアドバイザリをリリースし、注意を呼びかけたもので、脆弱性の探索やインシデント対応などの活動と評価を通じて、よく見られるネットワークの構成ミスについて上位10件をピックアップした。

これら構成ミスについては、成熟したサイバー検疫体制を持つ企業を含め、多くの大規模組織における傾向を示していると指摘。ネットワーク防護における負担を減らすためにも、ソフトウェアメーカーが「セキュリティバイデザイン」の原則を実装する重要性を訴えた。あわせて構成ミスに対する緩和策を示しており、攻撃者によって悪用されるリスクを低減するため、対策を講じるよう求めている。今回発表されたランキングは以下のとおり。

1位：デフォルト構成でソフトウェアやアプリケーションを利用する
2位：ユーザー権限と管理者権限の不適切な分離
3位：不十分な内部ネットワークの監視
4位：ネットワークセグメンテーションの欠如
5位：粗末なパッチ管理
6位：システムアクセス制御のバイパス
7位：脆弱あるいは構成ミスによる多要素認証（MFA）の利用
8位：ネットワーク共有、サービスに対する不十分なアクセス制御リスト
9位：貧弱な認証情報の検疫管理
10位：無制限のコード実行