HENNGEは10月27日、北海道における企業の情報セキュリティ対策の現状を把握するため、北海道新聞社と共同でセキュリティ対策に関して実施した実態調査の結果を公表した。

回答対象は北海道居住の情報システム部門担当者。調査期間は2026年8月17日～24日。238の有効回答が得られた。

なお、この調査は北海道、東海地方、中国地方、九州地方の4地域における実態調査の一環で実施したもの。

SaaS・クラウド利用が進む一方でセキュリティ体制構築に課題

勤務先でのクラウドサービスおよびSaaS（Software as a Service）の使用状況を聞くと、なんらかのサービスを使用しているという回答は合計で38.2%となった。

一方で「わからない」という回答は44.1%であり、情報システム部門の担当者でも社内の実態を把握できていない状況が浮かび上がった。

  • 使用しているSaaSの数（資料：HENNGE）

    使用しているSaaSの数（資料：HENNGE）

また、セキュリティ担当者の体制を聞くと、専任担当者がいるという回答が合計38.2%であったのに対し、「兼任者がいる」「担当者はいない」とする回答の合計が47.5%となった。

IT活用が進む一方で、実態把握やセキュリティ体制の構築が追いついていない可能性が示唆される。

  • 情報セキュリティ担当者の状況（資料：HENNGE）

    情報セキュリティ担当者の状況（資料：HENNGE）

4社に1社以上がサイバー攻撃を経験

サイバー攻撃を受けた経験を聞くと、計26.5%の人がなんらかの攻撃を受けたことがあると回答した。「攻撃を受けたかわからない」という回答は29.0%であり、実際にはさらに多くの企業が攻撃を受けている可能性がある。

経験したサイバー攻撃は「フィッシング・標的型攻撃メール」（44.4%）、「ビジネスメール詐欺（BEC）」（34.9%）が上位を占め、日常業務に必要なメールが攻撃の手段として多用されているようだ。

また、「Webシステムの脆弱性攻撃」（25.4%）、「境界型防御機器の脆弱性攻撃」（23.8%）なども上位を占めた。

  • サイバー攻撃の被害経験（資料：HENNGE）

    サイバー攻撃の被害経験（資料：HENNGE）

  • 経験したサイバー攻撃（資料：HENNGE）

    経験したサイバー攻撃（資料：HENNGE）

北海道はセキュリティリスクに高い危機感

情報セキュリティ対策の充足度について聞いたところ、「十分」「ある程度十分」の合計が50%を下回った。これは東海地方、中国地方、九州地方の3地域よりも低く、道内の企業は情報セキュリティリスクにより高い危機感を抱いている可能性が考えられる。

  • 勤務先のセキュリティ対策状況（資料：HENNGE）

    勤務先のセキュリティ対策状況（資料：HENNGE）

また、勤務先で取得している情報セキュリティ関連の認証については、Pマーク、ISMS（情報セキュリティマネジメントシステム）認証を取得している比率が、他の3地域よりもやや高い傾向が見られた。

一方で、「取得認証は特にない」という回答も多く、サイバー攻撃等のリスクに直面しながらも、企業によって対応姿勢が分かれているようだ。

  • 勤務先で取得している認証ｙ（資料：HENNGE）

    勤務先で取得している認証（資料：HENNGE）