「CSIRTを設置済みの企業は2割に満たない」
（KPMGコンサルティング 平野宜敬 シニアマネージャー）
KPMGコンサルティングの平野宜敬 シニアマネージャー
KPMGコンサルティングが先頃、売上高500億円以上の国内企業の情報セキュリティ責任者を対象に実施した「KPMGサイバーセキュリティサーベイ2017」の調査結果を発表した。この調査を担当した同社サイバーセキュリティアドバイザリーのシニアマネージャーを務める平野氏の冒頭の発言は、その発表会見で、調査対象企業におけるCSIRT（Computer Security Incident Response Team）の設置状況について述べたものである。
同サーベイは、国内企業のサイバーセキュリティ被害の実態と対策の実情や、抱えている課題などについて調査したもので、今年4月から5月にかけて実施し、457件の回答を得たとしている。（関連記事参照）
ここでは、調査結果の中から筆者が興味深かった項目を2つ取り上げておきたい。
まず1つは、平野氏の冒頭の発言にあるCSIRTの設置状況について。結果は図のグラフのように、「設置済み」と答えた企業の割合が18.4％と2割に満たなかった。一方、「設置予定はない」と答えた企業が40.7％と4割を超えている状況も明らかになった。設置予定がない企業の内訳を見ると、「従業員999人以下」が50.8％、「売上高1000億円未満」が50.4％と高い割合を示していることも分かった。
国内企業におけるCSIRTの設置状況（出典：KPMGコンサルティングの発表資料）
もう1つは、最高情報セキュリティ責任者（CISO）をはじめとした情報セキュリティ責任者の設置状況について。結果は7割の企業が設置していると回答。しかもその55％は取締役であり、情報セキュリティを経営課題として取り上げられる立場にあることが分かった。一方、この結果は無回答を除き、3割近い企業がセキュリティ責任者を置いていない状況も浮き彫りにした。
こうした結果を受けて、平野氏は次のように語った。
「企業がサイバーセキュリティリスクを適切に管理できるようにするためには、経営層がセキュリティ対策の現状を的確に理解できていなければならない。そのためには、経営層にCISOを置き、トップダウンでセキュリティの推進を主導し、情報セキュリティ部門との間で正確・適時に情報を交換・共有できる管理体制を整えることが重要だ」
かねて指摘されていることだが、あらためて経営者が肝に銘じるべき非常に重要な課題である。
