Introduction
サイバーセキュリティは常に「バランス」が求められ、長年に渡り、そこにはセキュリティ vs. 利便性の争いがあります。ビジネス環境においても消費者市場においても、セキュリティ管理の強化は、利便性の低下を意味しており、ほとんどのエンドユーザーが躊躇するトレードオフとなります。組織は、テクノロジーとポリシーを使ってこの問題を強制することができますが、それにより、リスキーな回避策への扉が開かれてしまう可能性があります。
今日、新たな課題が浮上しています。情報セキュリティー最高責任者（CISO）や最高情報責任者（CIO）など、企業のセキュリティ維持に携わる者にとって、そのような葛藤は対「利便性」ではなく、対「進歩」だといいます。組織がDXを進め、テクノロジーの取り組みをビジネスの成功に強く結びつけるにつれ、過剰なサイバーセキュリティ対策が全体的な進歩を妨げる可能性があります。もちろん、緩すぎる対策は深刻なインシデントにつながる可能性もあり、結果として進歩にさらなる影響を与えることもあるのです。
本レポート「State of Cybersecurity ～セキュリティの現状～」レポートでは、サイバーセキュリティの方程式の「バランス」を取る上で考慮すべき、多くの変数を探ります。サイバーセキュリティがビジネスに不可欠なものとなるにつれ、あらゆるプロセスで潜在的な脆弱性がないか精査する必要があります。そして、このリスク分析をすることで、ワークフロー、スキル構築、テクノロジー導入に関する意思決定が促されます。テクノロジーの動向が進化し、攻撃パターンが変化する中、真の均衡に達することは困難であり、こうしたバランス取りはフルタイムの仕事なのです。

CompTIA State of Cybersecurity 20241

注目すべき動向

2024
ポリシー

リスク管理はサイバーセキュリティの原動力である

プロセス

サイバーセキュリティ
プロセスがさまざまな意思決定を促す

人材企業がスキルのレジリエンスを高めることで、人材のパイプラインが強化される

製品

AIがサイバーセキュリティ製品を新たな高みへと押し上げる

CompTIA State of Cybersecurity 2024

2

市場概要
適切な「バランス」を見つけることがいかに難しいかは、組織のサイバーセキュリティ戦略の背景にある目的を見ればわかります。本レポートの調査には、6つの異なる地域が参加し、さまざまな経済的かつ技術的成熟度を表しています。6つの地域すべてにおいて、サイバーセキュリティ戦略の最優先事項には、「重要な企業資産の保護」や「顧客データのプライバシー保護」など、「保護」という従来の目的が含まれています。

サイバーセキュリティの目的

信用の確保

リスク軽減

プライバシー保護
障害の最小化

生産性確保

重要資産の保護コンプライアンス維持

Source: CompTIA 2024 State of Cybersecurity | n=1156 technical and business professionals

しかし、「保護」はパズルの1 ピースにすぎません。業務のデジタル化が進むにつれ、業務の障害を最小限に抑え、増える規制へのコンプライアンスを維持し、企業ブランドの一部としての信頼を確立するには、強固なサイバーセキュリティのアプローチが必要になります。
これらを達成するには、外部からの脅威を防ぐだけでは不十分であることから、健全な内部プロセスに対する積極的なマインドセットが必要なのです。

CompTIA State of Cybersecurity 20243

サイバーセキュリティ懸念を駆り立てる多くの問題
ハッカー/サイバー犯罪の増加

45%

他人のデータを扱うプライバシーへの懸念

39%

生成AI

37%

潜在的な攻撃の規模/事業に対する全体的脅威

37%

攻撃の多様性37%

データ依存の高まり

37%

サイバーセキュリティ問題の定量化

35%

法規制への対応
幅広いサイバーセキュリティスキルの必要性

32%
28%

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

企業のサイバーセキュリティに対する危機感と、そのポリシーを策定する上での課題を簡単に表すなら、規模の劇的な拡大です。脅威の観点から見ると、サイバー犯罪件数が急増し、その組織的能力が高まっていることがわかります。同時に、攻撃による潜在的な被害は壊滅的なものになりかねません。データの観点から見ると、膨大なデータが収集され、顧客のプライバシーへの影響と、社内ワークフローの運用リスクが存在します。
製品の観点から見ると、生成AIの能力が加速しており、組織のスキル格差はさらに広がっています。
米国において、その規模が過小評価されているであろうものに、サイバーセキュリティに対する外部要因の台頭があります。その最たる例が、政府の規制です。どの国においても、サイバーセキュリティのガイドラインはますます複雑化しており、医療や金融といった一般に規制の厳しい業界を超えています。グローバルに事業を展開する組織にとって、それぞれの国の規制に対応することはさらに困難といえます。また、その他の外部要因には、関係を結ぶ企業間の契約要件や、サイバー保険に付随する規定などがあります。

CompTIA State of Cybersecurity 2024

4過去1年間のサイバーセキュリティの変化
適切なインシデント対応の決定を優先する

45%

プロセス改善への一層の注力

40%

より多様なテクノロジーツール

36%

従業員教育への一層の注力

35%

サイバーセキュリティ保険の検討/導入

33%

サイバーセキュリティ選任リソース/チームの創設

33%

セキュリティ対策の効果を見るための新たな指標の使用

33%

サイバーセキュリティ戦略における第三者機関の活用拡大

32%

プロアクティブなアセスメント/評価施策への転換

31%

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

サイバーセキュリティという大きな問題に対処するには、多面的なアプローチが必要です。
組織全体のプロセス、特にインシデント対応に関するプロセスが改善されなければなりません。さらに、スキルギャップに対処しなければなりません。そのためには、広範な人材教育、専任のサイバーセキュリティリソース、外部パートナーの協力が必要となります。特定のアクティビティに対応するターゲットテクノロジーと、すべてをまとめるダッシュボードとともに、ツールボックスをアップデートする必要があります。
ゆっくりですが確実に、こうしたアプローチの変化は効果を発揮しているようです。
経済におけるサイバーセキュリティの全体的な状況に関しては、調査回答者の67%が「改善している」と感じていて、そのうち27%は「劇的に改善している」としています。後者の「劇的に改善している」に関しては、2022年の時点では25%でした。組織の観点から見ると、回答者の76%が「自社のサイバーセキュリティ対応は十分である」と感じており、その中には「完全に満足している」とする回答が28%も含まれています。2022年には、後者の「完全に満足している」は24%のみでした。
興味深いことに、組織全体を通してエグゼクティブ（経営層）と他の従業員の間で満足度に大きな差があることがわかりました。10人中4人以上のエグゼクティブが、自社のサイバーセキュリティ対応に「完全に満足している」と報告していますが、ITスタッフでは25%、事業スタッフでは21%です。この背景には、エグゼクティブは、テクノロジーに関してより多くの裁量が与えられていて、他の従業員よりも利便性が高いということがあるかもしれません。一方、一般スタッフは、エグゼクティブには見えないサイバーセキュリティ導入の詳細について頭を悩ませているかもしれません。いずれにせよ、こうした意識のギャップは、このトピックに関するコミュニケーションが改善されるべきであることを示唆しています。
満足度がわずかに向上したとしても、改善の余地はたくさんあります。近年、企業はサイバーセキュリティをテクノロジーと密接に関連したクリティカルな機能と捉え始めていますが、成功に関連する指標は独立しています。 次の段階では、この独立したユニットの運用を確立し、洗練させ、さらに戦略的なポリシーとプロセスを用いることで、人材と製品に関する戦術的なアクションを推進することです。

CompTIA State of Cybersecurity 2024

5インシデントと影響
サイバーセキュリティに関しておそらく最も一般的な質問は、サイバーセキュリティイン
シデントのコストについてでしょう。この質問に答えるには、エンドユーザーから2つの情報が必要になります。まず、侵害が発生したという認識についてです。次に、被害低減に要する総コストを把握しているかです。どちらの情報も収集は簡単ではありません。
サイバーセキュリティインシデントを認識するには、システムに対する十分な可視性と、インシデントの構成要素に関する合意の両方が必要です。Palo Alto Networksの調査What‘s
Next in Cyber Reportによると、96%の組織が2022年に少なくとも1件の侵害を経験したと報告しています。これと比較して、Splunkの調査State of Security 2023では、52%組織が最近のデータ侵害を報告している一方、87%がランサムウェアの標的となったと報告しています。
これら回答は、インシデントに関する不確実性を示すもので、ネットワーク侵入が何か月も検出されなかったという報告によってさらに悪化した可能性があります。
コストについては、サイバーセキュリティインシデントによる経済的影響に関する多くの推計報告があります。注目すべきはIBMのCost of a Data Breachの調査で、2023年のデータ侵害のグローバルな平均コストは445万ドルとされています。さま
ざまな数値や、低減の取り組みを定量化しようとした動きがありますが、最終的な数値は大企業に偏るもので、企業がそうした取り組みを詳細に示すには至っていません。

過去1年間のインシデントのリスク低減について

一般的な低減措置

インシデントに伴う推定影響
深刻

中程度

22%

なし

43%

9%
24%

1

テクニカルスタッフを時間外業務から外す

2

新しいソフトウェアの購入

3

テクニカルスタッフをルーチン業務から外す

4

従業員の懲戒処分/解雇

5

新しいハードウェアの購入

6

事業スタッフをワークフローから外す

7

外部へのコミュニケーション計画の見直し

低い
Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

CompTIA の ア プ ロ ー チ は 、 回 答 者 に イ ン シ デ ン ト の 影 響 を 評 価 す る よ う 求 める も の で 、 企 業 サ イ ズ に 関 係 な く 正 規 化 し た も の で す 。 （ 100 万 ド ル の 軽 減 措
置 は 小 規 模 企 業 に と っ て は 深 刻な影響 かもしれませんが、 巨大企業にとっては低 い も の か も し れ ま せ ん 。）次に、 イ ンシデントに対処するために取られた典型 的 な 手 順 に つ い て 求 め ま し た。これ には、 時間や労力を伴うものの、 必ずしも 直 接 的 コ ス ト で は な い も の が含まれ ます。 例えば、 上記にあるインシデントに関与した従業員の懲戒処分/解雇で、サイバーセキュリティ問題における人的ミスや不正行為の脅威を強調しています。

CompTIA State of Cybersecurity 202461

ポリシー:
リスク管理はサイバーセキュリティの原動力である

リスク管理は、現代のサイバーセキュリティにおける大きな課題の1つを解決する主要な手法になりつつあります。その理由は、サイバーセキュリティの取り組みと業務運用の関係性です。
サイバーセキュリティプロフェッショナルが以下を行うと、サイバーセキュリティ対策への支出と望ましい成果との関係性はより強くなります。
1.
2.
3.
4.

さまざまなリスクの特定
サイバーインシデントの確率の割り当て
潜在的コストの特定
インシデントレスポンス計画の提案

正式なリスク管理フレームワークが必要ですか？ 回答者の取り組みを見てみましょう

リスク管理への組織的アプローチ
小規模企業(<100 employees)

大規模企業(500+ employees)

中規模企業(100-499 employees)

35%

23%

63%
45%

27%

15%

57%
13%

9%

6%

7%

1%
正式なフレームワークを使い、リスクを評価する

正式なフレームワークを持たず、リスクを評価する

完全なリスク管理はなく、リスクに関する議論を行う

リスクに関する議論はほとんど行われない

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

CompTIA State of Cybersecurity 2024

7正式なフレームワークを使用すべき理由の1つは、従来のITシステムアーキテクチャから外れた領域を特定しやすくするためです。

リスク分析に含まれるトピック
テクノロジー調達/シャドーIT

49%

クラウドの使用42%

データの分類/優先順位付け

41%

モバイルデバイスの使用

40%

データの所有37%

ソーシャルメディアの使用

37%

データウェアハウス

33%

POSシステム32%

事業継続/災害復旧
従業員退職に関するプロシージャ
パートナー/サプライヤーの関係

31%
29%
28%

Source: CompTIA 2024 State of Cybersecurity | n=488 U.S. technical and business professionals

徹底したリスク分析では、技術的なトピックにとどまらず、IT チームとはあまり関係のないポリシーやプロセスも調査します。

CompTIA State of Cybersecurity 202482プロセス :

サイバーセキュリティ
プロセスがさまざまな意思決定を促す包括的なリスク管理の規律に従い、サイバーセキュリティプロセスを構築し、サイバーセキュリティを事業ワークフローに組み込むことで、多くの機能的な決定を促します。
1 . サイバーセキュリティは、テクノロジーを評価する際の第一要因になりつつある

テクノロジー評価におけるサイバーセキュリティの役割

一次要因

58%
37%

二次要因

5%
補足要因
Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

58%の企業が、新しい取り組み（イニシアチブ）を評価する際にサイバーセキュリティを主な考慮事項とみなしていますが、サイバーセキュリティを依然として二次的要因、あるいは後回しにしている企業が多いことも事実です。従来のIT部門の監視が少なくなった中でテクノロジー導入が進んでいることから、組織は、新しいシステムを議論する際にサイバーセキュリティが最前線かつ中心にあることを確認する必要があります。

CompTIA State of Cybersecurity 2024

9組織のサイバーセキュリティ戦略の要素
サイバーセキュリティモニタリングと分析

46%

脅威インテリジェンス38%

インシデント検知/レスポンス

37%

脆弱性アセスメント/ペンテスト

36%

事業継続/災害復旧

35%

ガバナンス、リスク、コンプライアンス

34%

脅威モデリング

34%

人材評価/教育31%

ゼロトラストフレームワーク

28%

机上エクササイズ

26%

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

2. サイバーセキュリティは他のビジネス活動に影響を与えている・脅威インテリジェンスには現在、ソーシャルエンジニアリングやランサムウェア攻撃などテクノロジーと現実が交差する新しいタイプのサイバー脅威が含まれています。
・規制問題やデジタルビジネスを監督する政府機関により、組織はビジネスの進め方をより認識するようになっています。
・リモートやハイブリッドワークが続く中、従業員教育によるセキュアプラクティスを維持する各従業員の責任はかつてないほど高まっています。

CompTIA State of Cybersecurity 2024

103. サイバーセキュリティプロセスの目標は、ゼロトラストフレームワークの原則との一致です

サイバーセキュリティ戦略に含まれるプラクティス

ネットワーク分析

43%ソフトウェア定義のマイクロセグメンテーション

42%

多要素認証

41%

クラウドワークロードガバナンス

38%

IDおよびアクセス管理ソフトウェア

38%

正式な継続的改善プロセス

31%

企業のデバイス管理28%

最小権限のアクセス

27%

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

ゼロトラストフレームワークをサイバーセキュリティ戦略の一部として捉えている企業は28%に止まりますが、一般にゼロトラストのアプローチに含まれる個別のプラクティスを取り入れる企業は増加しています。

CompTIA State of Cybersecurity 2024

11

3

人材 :
企業がスキルのレジリエンスを高めることで、人材のパイプラインが強化される

組織は、従業員全体のサイバーセキュリティスキルの重要性を明確に認識しています。
CompTIAのCyberseekツールによると、2022年5月から2023年4月までに米国では66万件以上のサイバーセキュリティ関連の求人があり、パンデミック下の2020年の同時期と比べて28%増加しました。
サイバーセキュリティの最大の課題は何ですか？

回答者の課題を見てみましょう

サイバーセキュリティの取り組みにおける課題
従業員間のサイバーセキュリティのスキルギャップ

39%

今のセキュリティ対策で「十分」という考え

39%

他のテクノロジーの優先37%

セキュリティの有効性を示すための指標の欠如

34%

サイバーセキュリティの最新動向に対する理解が低い

34%

セキュリティに充てられた予算の不足

32%

新たなサイバーセキュリティの脅威に対する理解が低い

31%

セキュリティを第三者に委託することへの不確実性

30%

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

サイバーセキュリティの取り組みを推進する上での最大の課題は、サイバーセキュリティのスキルギャップです。ギャップを埋めるための有効な選択肢の1つは、経験の浅いサイバーセキュリティプロフェッショナルを迎え入れ、企業文化や目標を理解しながらスキルを高めてもらうことです。

CompTIA State of Cybersecurity 202412採用のルートに関わらず、新しい人材が組織に加わる時や、社内の従業員がサイバーセキュリ
ティに異動する時には、何らかのスキルギャップが存在します。

サイバーセキュリティ担当の要改善エリア
アプリケーションセキュリティ

44%

51%

5%

脅威の状況に関する知識

43%

53%

5%

ネットワーク/インフラセキュリティ

43%

54%

3%

アクセスコントール/アイデンティティ管理

40%

53%

7%

データセキュリティ

40%

54%

7%

規制の状況

39%

54%

7%

暗号化

39%

エンドポイントセキュリティ

39%

55%

6%

データ分析

38%

56%

6%

大幅な改善が必要

50%

中程度の改善が必要

11%

わからない

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

業界の専門知識とベストプラクティスに基づいた定期的なスキル評価を計画することは、スキルギャップの正確な性質を理解するための重要なステップとなります。

CompTIA State of Cybersecurity 2024

13サードパーティの利用については？

回答者の状況を見てみましょう

サイバーセキュリティの取り組みに携わるグループ
利用するサードパーティの種類

54%
49%

31%

社内の一般
IT従業員

30%

サード
サード
社内のサイバーセキュ パーティサイ パーティIT企業
リティ専門家 バーセキュリ
ティ企業

1

主要IT製品を提供するマネージドサービスプロバイダー

2

サイバーセキュリティに特化したマネージドサービスプロバイダー

3

サイバー/物理セキュリティを提供する総合セキュリティ企業

4

技術ビジネスサービスを提供する企業

5

セキュリティを製品に組み込むクラウドプロバイダー

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals
n=314 U.S. technical and business professionals using third parties for cybersecurity strategy

今日、組織はベンダーやパートナーを選ぶ際、より包括的なアプローチを取っています。
何よりもまず、エンドユーザーは、現代の脅威の状況を理解し、脅威インテリジェンスにアクセスできる企業を探しています。

CompTIA State of Cybersecurity 2024

14

4

製品:

AIがサイバーセキュリティ製品
を新たな高みへと押し上げる

生成人工知能（AI）が話題になっています。多くの人は、このAIの新たな波は、ここ数十年で最大のテクノロジーパラダイムシフトであるといいますが、多くの企業は以前からAIを使用しているのです。
回答者の56%は、すでにAIと機械学習 (ML) を使用していると回答しています。
36%は、使用していないが、可能性を模索しているといいます。
サイバーセキュリティにおけるAIの可能性とは？

回答者の見解を見てみましょう

サイバーセキュリティにおけるAIの潜在的な用途

ネットワークトラフィックの監視とマルウェア検出

53%

ユーザーのビヘイビアパターンの分析
サイバーセキュリティインシデント対応の自動化

50%

48%

サイバーセキュリティインフラ構成の自動化

45%

将来的に侵害が発生する可能性のある領域を予測

45%

サイバーセキュリティ防御テストの生成45%Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionals

CompTIA State of Cybersecurity 202415もちろん、AIも他の新興テクノロジーと同じで、それ自体はスタンドアローン製品ではなく、他の製品の組み込まれるコンポーネントです。

使用されているサイバーセキュリティ製品
ファイアウォール

52%

ネットワークモニタリング

52%

ウイルス対策

48%

VPN

45%
44%

マルウェア対策

42%

スパイウェア対策

42%

暗号化ソフトウェア

40%

パスワード管理40%

アイデンティティとアクセス管理（IAM）

36%

SaaSモニタリング/管理35%

セキュリティ情報イベント管理（SIEM）

34%

データ漏洩対策（DLP)34%

ウェブ脆弱性スキャナー

32%

ログ管理

32%

エンドポイントにおける検知と対応（EDR）

31%

侵入防止システム/侵入検知システム（IPS/IDS）

28%

IaaSモニタリング/管理

27%

パケットスニファー/アナライザー

26%

Extended detection and response (XDR)
公開鍵インフラストラクチャ（PKI）
Eディスカバリ（電子情報開示）

21%
14%

Source: CompTIA 2024 State of Cybersecurity | n=511 U.S. technical and business professionalsサイバーセキュリティリソースはここ数年で着実に拡大しており、さまざまなサイバーセキュリティツールを管理するという課題は、それぞれにAI機能が組み込まれていることでさらに複雑になっています。

CompTIA State of Cybersecurity 2024

16

Methodology 手法
この定量的調査は2023年第3四半期に、サイバーセキュリティに関わるビジネスおよびITプロフェッショナルを対象としたオンライン調査から構成されています。米国で活動する511名が調査に参加し、95％の信頼性でのサンプル誤差は＋/－4.4%ポイントでした。海外地域（ANZ、ASEAN、ベネルクス、DACH、イギリス/アイルランド）については、各地域で合計125名のプロフェッショナ
ルが調査に参加し、95％の信頼性における全体のサンプリング誤差は±8.9%ポイントとなりました。サンプリングエラーは、データのサブグループほど大きくなります。

どの調査でもそうであるように、標本誤差は起こり得る誤差の原因の一つにすぎません。非標本誤差を正確に計算することはできないため、その影響を最小限におさえるために調査設計、データ収集と処理のあらゆるフェーズで予防的ステップがとられました。
CompTIAはすべての内容および分析に責任を負います。当調査に係るいかなる質問も、CompTIA Research and Market Intelligenceのスタッフが対応します。メールアドレスはresearch@comptia.org です。
CompTIAは市場調査業界のInsights Associationの一員であり、世界的に尊重されているその標準および倫理規定を順守しています。

CompTIA State of Cybersecurity 2024

17

CompTIAについて
CompTIA（the Computing Technology Industry Association）は、ITエコシステム、そして5兆ドル規模の世界的の動力であるテクノロジーを設計、管理、保守している約7,500万の業界やITプロフェッショナルを代表する、業界団体です。教育、トレーニング、認定資格、政策支援、慈善活動や市場調査を通し、CompTIAはIT業界とそのワークフォースが進歩するためのハブとなっています。
CompTIAは世界有数のベンダーニュートラルなIT認定団体であり、提供されるパフォーマンスベースの試験による認定者数は300万以上にのぼります。CompTIAはエントリーレベルからエキスパートレベルのプロフェッショナルまで、テクノロジー分野におけるキャリアのあらゆるステージでの成功に欠かせない業務能力を評価します。また、慈善活動として、CompTIAは革新的なオンランプ（入口）およびキャリアパスを開発しました。これは、従来、ITワークフォースとして活躍することの少なかった人々に対する機会を拡大するものです。

CompTIA.org
Copyright © 2023 CompTIA, Inc. All Rights Reserved.
CompTIA is responsible for all content and analysis. Any questions
regarding the report should be directed to CompTIA Researchand Market Intelligence staff at research@comptia.org.

CompTIA State of Cybersecurity 202418