IBMは、同社傘下のResilient Systems Incと調査会社Ponemon Instituteが行う「Cyber Resilient Organization」（サイバー・レジリエントな組織）に関する調査結果を発表した。

調査結果のインフォグラフィ(flicker内同社資料)

調査は、企業におけるサイバー攻撃への耐性(サイバーレジリエンス/Cyber Resilient)を調査するもので、4月にIBMのグループ企業となったインシデントレスポンスソリューションを展開するResilient Systemsと調査会社Ponemon Instituteが行ったもの。米国、英国、フランス、ドイツ、アラブ首長国連邦、ブラジル、オーストラリアなど世界各地のセキュリティやITを専門とする2,400人の参加者からのデータに基づいている。

"サイバー・レジリエンス"の妨げになっているのは2年連続でインシデント対応。75%の回答者が全社に一貫して適用される正式なサイバー・セキュリティ・インシデント計画(CSIRP/Cyber Security Incident Response Plan)がないことを認めているという。また、導入以降計画の見直しや更新をしていない、その予定すらない企業は52%と高い。

この1年間にサイバーインシデントの解決に要する時間が増えたと答えている企業が41%とインシデントの大幅な増加にも関わらず、それに対応する計画策定に及んでいないことがデータからも見える。66%が「不十分な計画と準備」がサイバー・レジリエント最大の障壁と認めている。

また46%が「ITプロセスの複雑性」が高いレベルのサイバー・レジリエンスを実現する上で大きな障壁となっていると回答し、52%が「ビジネス・プロセスの複雑性」が大きな障壁と回答するなど、各種の複雑性がインシデントへの対応を遅らせる要因であることもうかがえる。

主な調査結果は以下の通り。

企業は頻繁にサイバー攻撃の被害を受けている
・半数以上（53%）が、過去2年間で最低１回はデータ侵害の被害にあったと回答
・74%が、過去1年間に人為的エラーによる脅威に直面したと回答
・過去2年間で見ると、頻繁にマルウェアに感染したと回答したのは74%、頻繁にフィッシングの被害を受けたと回答したのは64%

攻撃を受けた後は、組織は運用を完全に維持することや迅速に復旧することができない
・68%が、自社組織はサイバー攻撃の直後にレジリエンスを維持できる能力があるとは考えていない
・66%が、攻撃からうまく復旧するための自社の能力に自信がないと回答

計画と準備不足が最大の障壁である
・組織全体にわたり一貫したインシデント対応計画を適用しているのはわずか25%。インシデント対応計画がまったくないという回答は23%
・少なくとも年1回は自社のインシデント対応計画をテストしていると回答したのはわずか14%
・自社組織がサイバー攻撃に対する耐性をつけるための最大の障壁として、計画不足を挙げたのは66%

サイバー攻撃への対応能力が十分に向上していない
・48%が、過去1年間で自社組織のサイバー・レジリエンスが低下した（4%）、あるいは向上していない（44%）と回答
・サイバー・インシデントの解決に要する時間が増えた、または大幅に増えたとの回答は41%で、減ったまたは大幅に減ったとの回答はわずか31%