企業の約2割、個人依存のきわめて脆弱な状態 - IDC Japan調査

国内企業では、セキュリティ責任者の取締役を置くケースが少なく、セキュリティ対策が進まない要因になっているとの調査結果をIDC Japanが取りまとめた。

7月に同社が、国内企業を対象としてセキュリティ対策の取り組み状況を調査し、分析したもの。ITサービス業界を除く従業員500人以上の企業において、情報セキュリティ戦略や計画策定に関与するIT関連部門の課長職以上である200人が回答した。

同調査では、同社が独自のフレームワークを用いて、「ビジョン」「リスク管理」「組織、人材マネジメント」「運用プロセス」「セキュリティテクノロジー」の5つの特性を評価指標として成熟度を算出。成熟度が低い「個人依存」から、「限定的導入」「標準基盤化」「定量的管理」「継続的革新」の5段階にわけて評価した。

調査結果を見ると、56.7％がセキュリティ侵害を検討せず、効果的な投資を行っていない「限定的導入」の以下の段階で、そのうち20.7％は個人に依存し、きわめて脆弱な状態だったという。

また戦略的な投資までは実施していない「標準基盤化」の企業が27.2％。これら企業は外部からの脅威については多くの企業が対応済みだが、ITリソース全体までリスク管理及んでいなかった。

米国企業を対象に実施した同様の調査と比較すると、国内企業は「標準基盤化」より上の段階への移行が遅れている傾向があると指摘。セキュリティ部門の幹部が取締役に置かれておらず、リーダーシップが弱いとし、対策の遅れに影響していると同社は分析している。

5つの特性の成熟度分析を見ると、もっとも遅れているのは「セキュリティテクノロジー」で、次が「組織/人材マネジメント」と「運用プロセス」だった。

（Security NEXT - 2016/10/20 ）ツイート