社内CSIRTを構築済みの企業が全体の4割を超える

NRIセキュアテクノロジーズ株式会社（本社：東京都千代田区、代表取締役社長：増谷 洋、以下「NRIセキュア」）は、東証一部・二部上場企業を中心とする3000社の情報システム・情報セキュリティ担当者を対象とした情報セキュリティに関するアンケート調査をおこない、調査結果を集計・分析してまとめた「企業における情報セキュリティ実態調査 2014」を本日発表しました。本調査は2002年度から毎年実施しており、今回で13回目となります。 今回の調査で明らかになった、企業の情報セキュリティの実態は主に以下の3点です。 ●　社内CSIRT*1（シーサート）を構築済み企業＊2が全体の4割超 ●　セキュリティ関連の投資意欲は過去3年で最大、人材は3年連続8割の企業で不足 ●　重視するセキュリティ対策として、「スマートデバイスやクラウドサービス利用上のセキュリティ対策・ルール整備」が増加

■　社内CSIRTを構築済みの企業が、昨年から2.2倍増加し、全体の4割を超える

本調査時点で、情報セキュリティ関連事故の対応専門組織であるCSIRTを構築済みであると回答した企業が、昨年度の19.0％から2.2倍の41.8%と大幅な伸びを見せました。
また、CSIRT構築の主な目的として、CSIRTを「構築済み」および「構築中」の両回答企業に訪ねたところ（複数回答）、「インシデントに対し迅速に対応できる」（60.8%）、「組織としてインシデントに対応できる」（59.7%）、「インシデント対応フローが明確になる」（45.6%）、「インシデント対応のノウハウを集約できる」（32.2%）に回答が集まりました。
昨今のサイバー攻撃の高度化、セキュリティ関連事件・事故に関する報道の増加などに加え、CSIRTを多くのメディアが取り上げ、その機能や目的、必要性などが広く認知されたことにより、構築を進める企業が増加したと考えられます。


■　セキュリティ関連投資意欲は大幅増も、人材は3年連続不足傾向

2014年度の情報セキュリティ関連投資額を前年度より増額すると回答した企業は、全体の31.4%でした。2012年度は19.6%、2013年度は26.1%と、過去3年で最大となっています。これは、本年度にIEゼロデイ等の脆弱性や、大規模な情報漏えい事故が多数報道され、情報セキュリティへの注目が集まったことに起因すると考えられます。
情報セキュリティ対策に従事する人材について、「不足している」と考える企業が全体の82.9%に上り、3年連続で8割を超えています。不足人材の種類については（複数回答）、「脅威情報の収集・伝達や発生したインシデントに対応する人材」が64.7%、「セキュリティに関する中長期的な戦略・ポリシーを策定する人材」が64.0%、「システムに対する不正な通信やアクセス等を監視する人材」が55.0%と、高度なスキルを持った人材に回答が集中しました。


■　「スマートデバイスやクラウド利用上の対策・ルール整備」を重視する企業が増加

2014年度に重視するセキュリティ対策は、昨年3位だった「スマートデバイス利用時のセキュリティ対策・ルール整備」（企業全体の40.0%）が1位となりました。また「クラウドサービス利用時のセキュリティ対策・ルール整備」が昨年の6位から4位（24.8%）へと大幅に上昇しています。これは、近年のスマートデバイスやクラウドサービスといった新技術を積極的に利活用する攻めの体制が高まり、増大するセキュリティリスクに対応するためのルール整備を行う企業が増加しているためと考えられます。


「企業における情報セキュリティ実態調査 2014」の詳細については、下記のウェブサイトを参照ください。

●PDF版レポートダウンロード
(リンク »)
●ウェブ版レポート特設サイト
(リンク »)

用語解説

*1 CSIRT（Computer Security Incident Response Team）：
組織内において、情報セキュリティの問題に対して専門に対応する組織
*2 CSIRTを構築済み企業：
CSIRTを社内に構築済み、もしくは類似機能を情報システム部門で実施している企業