経営層の「根拠なき過信」が企業をリスクに晒す、9割以上が「十分なセキュリティ対策を実施」と認識

大企業向けクラウドサービスを手掛けるドリーム・アーツは1月9日、従業員数1000人以上の企業に所属する経営層および情報システム部門500人を対象に実施した情報セキュリティに関する調査結果を発表した。

その結果、情報セキュリティに関する脅威への対策について、9割以上が概ね十分な対策ができていると回答したにも関わらず、約6割が過去1年間に情報セキュリティインシデントに遭遇していることが分かった。

根拠なき無責任な過信

調査対象者500人の内訳は、経営層50人、情報システム部の係長以上200人、情報システム部の一般社員250人。「重要な情報」(不正なアクセスによりそれが改ざん・破損・紛失・滅失で利用不可能になった場合、そのサービス提供に支障が生じ、事業活動が止まるなど影響が特に大きいものと定義)を会社として扱っている企業が対象だ。

「重要な情報」のセキュリティ対策をどの程度実施しているか聞いたところ、「十分対策している」は52.6%、「おおむね十分だが改善の余地はある」まで含めると91%にのぼった。

「重要な情報」のセキュリティ対策について

一方で、過去1年間にセキュリティインシデントの経験があるか聞いたところ、63.4%が経験があると回答。十分な対策をしていると回答していたが、実際には多くの企業でセキュリティインシデントが発生している状況が判明した。

過去1年間のセキュリティインシデント経験の有無

また、インシデントのうち最も多かったものは「メールの誤送信」という社内起因のインシデントではあるものの、2位以降は「ランサムウェア攻撃」「マルウェア感染」「外部からの不正アクセス」と続いた。多くの企業で外部からの攻撃によるセキュリティインシデントが発生しており、情報セキュリティに十分な対策がされていない状況が明らかになった。

過去1年間に経験したセキュリティインシデントの詳細

「十分対策している」という回答が最も多いのは経営層だった。役職別に分析した結果を見ると、役員クラスでは68%となり、「おおむね十分だが改善の余地はある」を含めると、管理職(部長クラス)、経営層では、自社の情報セキュリティの現状について事実を把握できていないことが疑われる結果となった。

役職別「重要な情報」に対する情報セキュリティ対策状況

9日の記者説明会に登壇したドリーム・アーツ取締役執行役員最高技術責任者(CTO)の石田健亮氏は「経営層になると自社の情報セキュリティの現状について事実を把握できていないのではないかと疑われる結果だ。非管理職層では、情報セキュリティインシデントにまで至らなくとも日々発生する攻撃に対応しており、ヒヤリハット事例に触れていることでこの差が生まれたのだろう」と述べた。