日本企業におけるサイバーセキュリティの現状と課題 - 調査から読み解く(3) 企業の脅威への対応状況-危機意識が低い日本企業の実情とは

ExtraHop Networksはこのほど、オーストラリア、シンガポール、日本に拠点を置く従業員数50人以上の組織のIT部門の意思決定者300人を対象にした調査レポート「ExtraHop 2022 Cyber Confidence Index-Asia Pacific」を公開した。今回は、同調査の結果から「企業の脅威への対応状況」を明らかにしていく。

脅威への対応状況

現在、企業ではさまざまなセキュリティ対策を外部へ委託することが可能になってきている。マネージドサービスと呼ばれるものだ。以前は機器やアラートの監視が中心だったが、現在はCSIRTやSOCのマネージドサービスも一般的になりつつある。特に、セキュリティ専門の要員さえ配置が難しい中小企業にとっては、マネージドサービスの利用によりセキュリティレベルを向上することが可能になり、その結果、大企業のサプライチェーンに参加できることもあるだろう。

「計画、展開、潜在的な侵害の修復などのサイバーセキュリティの要件について、外部のマネージドサービス・パートナーに利用しているか」との質問では、3カ国全体で66％が「利用している」と答えている。

ただし、この回答は「利用している」と回答した企業の内部にセキュリティチームがないことを示しているわけではない。内部チームがある企業は79％あり、このうち71％は外部のパートナーも利用している。一方で、内部チームがないのは16％で、このうち54％が外部パートナーを利用していた。チームが内部か外部かを認識していない回答者もいたが、少なくとも6％の組織は内部にも外部にもチームがいないことが明らかになっている。

計画、展開、潜在的な侵害の修復などのサイバーセキュリティの要件に関する、外部のマネージドサービス・パートナーの利用状況資料：ExtraHop Networks

また、レガシー・システムが攻撃されることについては、3カ国全体で77％が「懸念している」（「非常に懸念している」、「懸念している」の合計）と答えた。その割合はシンガポールが87％と最も高く、日本は73％と3カ国全体と近い値だが、「非常に懸念している」の回答は最も低かった。うがった見方をすれば、日本は「レガシー・システムが高度な攻撃を受ける可能性はあるが、重大な影響を及ぼす可能性は低い」と考えているのかもしれない。

情報漏えいやサイバーインシデント発生時の対応

「情報漏えいやサイバー攻撃を受けた際の最重要事項を3つ選んでください」という質問に対する3カ国全体の回答は、「同じ侵害を二度と起こさないためのITセキュリティの更新」（54％）、「侵害の阻止・攻撃者の排除（51％）」、「侵害（漏えい）元の特定」（45％）が上位となった。シンガポールでは「顧客への通知」が24％と3カ国中最も高く、顧客を重視していることがわかる。日本では“再発防止”と“原因究明”を重要と考える回答者の割合が3カ国の中で最も低いことが分かった。