CISO設置組織も半数超はセキュリティの事業リスクを未評価

CISOがいる組織においても、リスクを分析し、結果を経営層の事業リスク評価に役立てている割合は41.1％にとどまる。

「リスク分析をしてはいるが、結果を経営層の事業リスク評価に役立てていない（32.4％）」「リスク分析を行っていない（21.0％）」をあわせると、53.4％が事業に与えるリスクの評価を実施していなかった。

同様の調査をITへの依存度が高い204組織に限定して結果を見ると、リスクを分析し、結果を経営層の事業リスク評価に役立てている割合は50.3％と半数を超えている。

「リスクを分析してはいるが、結果を経営層の事業リスク評価に役立てていない」は30.7％で、「リスク分析を行っていない」が16.5％だった。

ITの依存度が高い企業におけるリスク分析結果の活用状況（グラフ：IPA）

（Security NEXT - 2020/03/26 ）ツイート