情報処理推進機構、「企業のCISOやCSIRTに関する実態調査　２０１６」を発表

情報セキュリティに対する経営者の関与、組織的な取り組みについて日・米・欧で比較調査
〜日・米・欧でCSIRT（＊１）設置率に差異はないが、日本ではCSIRTに対する満足度が欧米の３分の１〜


　IPA（独立行政法人情報処理推進機構、理事長：富田　達夫）は、「企業のCISOやCSIRTに関する実態調査　２０１６」を２０１６年５月１０日（火）に公開しました。
　URL：https://www.ipa.go.jp/security/fy27/reports/ciso-csirt/

　昨年１２月に経済産業省とIPAが共同で策定した、“サイバーセキュリティ経営ガイドライン”が公開されました。このガイドラインでは組織の情報セキュリティ対策の推進には経営層の主体的な関与が必要と指摘しています。
　IPAでは企業経営者の情報セキュリティに対する関与、組織的な対策状況について把握するため、文献・アンケート・ヒアリングの３段階で調査を実施しました（＊２）。アンケートでは日・米・欧の従業員３００人以上の企業を対象に実施し（＊３）その結果を比較しました（＊４）。主なトピックは以下のとおりです。


（１）CISO（＊５）が経営層として任命されていると、情報セキュリティ対策の実施率は高くなる。また、この傾向に日・米・欧の差異はない。

　◇表１は添付の関連資料を参照


　（＊１）Computer　Security　Incident　Response　Teamの略。サイバー攻撃による情報漏えいや障害など、コンピュータセキュリティにかかわるインシデントに対処するための組織。
　（＊２）本調査設計のため、まず文献を調査し日本シーサート協議会会員向けに書面アンケート調査を実施した。その結果を元に日・米・欧の企業向けにウェブアンケートを実施し、更に、CSIRT、CISOを設置している企業を対象にヒアリング調査を実施した。
　（＊３）得られた回答数は日本５８８件、米国５９８件、欧州５４０件（英１９５件、独２０５件、仏１４０件）
　（＊４）本調査はIPAが実施してきた「情報セキュリティ事象被害状況調査」の後継調査の位置づけ。従前の調査は、１９８９年から２０１５年まで２５回実施され、２０１５年１月１５日に公表した２０１４年度版が最後。
　（＊５）Chief　Information　Security　Officerの略。最高情報セキュリティ責任者。本調査では組織全体の情報セキュリティ対策を統括するCISOまたは同等の責任者を指す。


（２）CSIRTは設置したが、人材の能力・スキル不足を実感しており、現状に満足していない日本
　［１］CSIRTが“期待したレベルを満たしている”と回答した割合は米国４５．３％、欧州４８．８％に対し日本は１４％となり、欧米の３分の１と大きく差が開く結果となった（別紙２．）。

　［２］CSIRT等の有効性を左右する最大の要素として“能力・スキルのある人員の確保”と回答した割合は日本が７３．３％と最多で、米国５６．８％や欧州５４．２％と比べ２割程度多い（別紙３．）。

　［３］情報セキュリティ人材のスキル面等の質的充足度が十分であると回答した日本の企業は２５．２％と、米国５４．３％や欧州６１．９％の半分以下（別紙４．）。

　　※なお、CSIRTおよび同等組織の設置状況に日・米・欧の差は余り見られない（別紙５．）。

　　考察：日本はCSIRT等への満足度や情報セキュリティ担当者の質的充足度が欧米に比べ低い。日本のCSIRT等の期待レベルの向上には能力・スキルのある人員の確保が特に重視されており、要求が厳しいことが伺える。


　◇リリース詳細・別紙は添付の関連資料を参照