要約

  • LACNICの回顧記事によると、CEDIAのBadí Quinterosは2025年の発表で、エクアドルの47大学を対象とした公開ネットワーク面の月次監視を紹介した。F、すなわち重大とされた評価を受けた大学の割合は、23.4%から11.1%へ低下したという。
  • FIRSTの発表概要も同じ数値を記載しているが、どちらの資料にも各時点のF評価の大学数や実際に採点された大学数がない。そのため、公表情報だけでは計算を再現できない。

分析

人数を伴わない割合

LACNICが2026年9月29日に掲載した回顧記事は、LACNIC 44で行われた2025年のセッションを振り返っている。記事は、CEDIAのBadí Quinterosがエクアドル47大学の監視データを示し、各機関が公開された脆弱性を修正するにつれて重大評価の割合が23.4%から11.1%へ下がったと伝えた。FIRST地域シンポジウムの当初のプログラム概要には、より詳しい発表内容がある。監視は2025年1月から7月まで毎月行われ、全機関で未修正の重大・中程度のCVEが確認されたこと、95%超で認証情報が露出していたこと、ポートフォリオ平均が72から76に上がったこと、Universidad Técnica del Norteが42点から97点に上昇したことも報告された。

これは発表で報告された結果であり、公開データセットではない。FIRSTの概要とLACNICの回顧記事は同じ発表に基づく関連資料で、独立した裏付けではない。どちらにも各大学の得点、開始時と終了時のF評価数、各計算に含めた大学数は載っていない。引用資料からは評価尺度、正確な測定日、欠測値の扱いも分からない。

「47大学を監視した」という説明だけでは、両時点で47校すべてに得点があったとは言えない。分母が両時点とも47なら、23.4%は丸めれば11/47と整合する。一方、11.1%は47を分母として整数の大学数から計算し、小数第1位に丸めた値にはならない。たとえば5/45なら11.1%になるが、これは算術上の例にすぎず、実際に45校が評価されたことを示すものではない。

この欠落から、どちらかの割合が誤りだとは結論できない。後の計算では採点済みの大学数が異なった、対象群が変わった、記録が不完全だった、あるいは監視全体とは異なる評価対象が使われた可能性がある。公開資料はどの説明が当てはまるかを示していない。また、報告されたセキュリティ得点だけでは、脆弱性、攻撃成功、実際のインシデントが減ったとは言えない。得点の推移とインシデント率の推移は別の指標だ。

最近のLACNIC記事は2026年のFIRSTシンポジウムを案内する文脈でこの結果を再掲している。それは数字が再び取り上げられた理由を示すが、新しい測定を加えたり、過去の結果を検証したりするものではない。FIRSTのプログラムが発表内容の当初の公開記録であり、後の回顧記事は同じ主張の再掲であって、第二のデータセットではない。

求める追加情報は明確だ。両時点のF評価数と実際の採点対象数、評価の定義と日付を公表し、対象範囲や欠測値の扱いに変更があったかを示せばよい。集計上の疑問に答えるために、個別大学の機微な情報を公開する必要はない。それまでは「発表では23.4%から11.1%への低下が報告されたが、公開記録から分母を再現できない」と記すのが妥当だ。

出典