IDC Japanは5月15日、2018年1月に実施した、国内企業812社の情報セキュリティ対策の実態調査結果を発表した。

同調査によると、2018年度の情報セキュリティ投資を増やす企業は、ネットワークセキュリティを投資重点項目としている企業が多いことが判明した。しかし、約6割の企業では、セキュリティ予算は決められておらず、投資額は前年度と変わらないと回答している。

また、セキュリティ人員に対して、6割以上の企業が既存の人員で十分だと思っており、設備保有コストであるTCOの観点から人員を配備している企業は2割に満たない状況が判明した。2018年度の情報セキュリティ投資は、2017年度に続き増加傾向だが、まだ多くの企業は明確なセキュリティ予算を持たず、戦略的なセキュリティ投資がなされていないとIDCは考えている。

  • 2012年度(会計年)～2018年度(会計年)の情報セキュリティ関連投資の前年度と比較した増減率

    2012年度(会計年)～2018年度(会計年)の情報セキュリティ関連投資の前年度と比較した増減率

今回の調査では、脅威管理、アイデンティティ/アクセス管理、セキュアコンテンツ管理など15項目の情報セキュリティ対策について導入状況を調査した。

調査の結果、国内企業におけるセキュリティ対策の導入は外部からの脅威管理の導入が進んでいるが、内部脅威対策の導入は遅れており、また、ネットワークセキュリティとアイデンティティ/アクセス管理では、オンプレミスの導入よりクラウドサービスの利用を検討している企業が多いことが判明した。

実際にこの1年間でセキュリティ被害に遭った企業は全体の14.2%で、1割近くの企業がランサムウェア感染の被害を受けている。前回(2017年1月)の調査結果と比較すると、セキュリティシステムの検知による発見が10ポイント以上増加。そして、発見してからの収束時間は、24時間以内と回答した企業は59.1%と前回調査の49.5%から増加しており、収束時間が短くなった。

また、重大なセキュリティ被害に遭った企業は26.7%で、前回調査の29.4%から減少。さらに復旧や賠償金などにかかった費用が500万円以上と回答した企業は64.5%と、前回調査の65.2%からは減少した。

非シグネチャ型検出技術による多層防御製品やセキュリティインシデントを分析するSIEM(セキュリティ情報/イベント管理)製品など最新技術を活用したセキュリティ製品が市場に投入され、導入されてきていることで、重大化するセキュリティ被害を早期に検出できていることが影響しているとIDCではみている。

2018年5月25日に施行されるEU 一般データ保護規則(GDPR)を知っている企業は、EU圏でビジネスを行っている企業では9割と認知度が高いが、既に対策済みの企業は2割未満で対策が遅れている。一方、国内企業全体で調査すると、過半数の企業がEU GDPRを知らなかったという。

EU GDPRに対する重大な課題として、EU圏でビジネスを行っている企業はRTBF(Right To Be Forgotten：忘れられる権利)/削除する権利が、EU圏でビジネスを行っていない企業ではデータの暗号化および(または)匿名化が、最も多い結果となった。