2018年情報セキュリティ
アンケート調査結果
公開：2018年12月20日 更新：2019年1月16日

情報セキュリティ大学院大学
原田研究室
1

アンケート調査概要
 アンケート実施期間
2018年8月1日〜8月31日（2010年より毎年実施 9回目）
 アンケート対象
4500組織の情報セキュリティ関係者
日本国内のプライバシーマーク（以下「Pマーク」という）取得企業，
ISMS認証取得企業，ISO 9001認証取得企業，CSMS認証取得企業，官公庁，教育機関（以下「組織」という）など
 調査方法 : 郵送による
 回答状況 : 402件（送付総数(4233件)に対して9.5％）
 回答の未記入及び択一問題における重複回答等の無効回答は，無回答として計上2

情報セキュリティ調査について
調査項目
1章
2章
3章
4章
5章
6章
7章
8章
9章
10章

概要（回答者の基本データ等）
情報セキュリティマネジメントの取り組み
情報セキュリティ対応体制・人材に関する状況
制御システムにおける情報セキュリティに関する課題
匿名加工情報情報セキュリティマネジメントの「例外措置」
職場での人工知能(AI)や自律型ロボットの導入
グループ企業における情報セキュリティポリシーについて
EU一般データ保護規則(GDPR)への対応
過去の事例・事故の認知度

設問は，Q1～Q51まで（フリーコメントを含む）

3

第１章
概要（回答者の基本データ等）
調査概要：
回答者の所属，業種，組織の規模，
従業員数 等4

第１章 概要（回答者の基本データ等）
設問１ 回答者の所属（N=402）
1% 1%
2% 2%

1% 0%

0%

0%

3%
3%

4%

28%

7%

21%
27%

情報セキュリティ担当部門
情報システム管理部門
総務部門
社長室又は役員室
事業/営業部門
その他
企画部門
情報システム開発部門
コンプライアンス担当部門
リスク管理担当部門
経理部門
人事部門
監査部門
法務部門
無回答（0件）

所属部門は「情報セキュリティ担当部門」「情報システム管理部門」、「総務部門」の順に多かった。
5

第１章 概要（回答者の基本データ等）
設問２ 回答者の役職（N=402）
2% 1% 0%

3%
5%

28%
14%

15%
17%

一般社員
係長・主任
会長・社長・取締役
部長
課長
専門職
その他
事業部長
執行役・執行役員
無回答（1件）15%

回答者は「一般社員」が最も多く（昨年度と同様）、「係長・主任」、「会長・社長・取締役」と続く
6

第１章 概要（回答者の基本データ等）
設問３ 回答組織の業種（N=402）
1%

1%

2%

0% 0%0% 0%
0% 0%0%
0%
1%

0%

情報通信業
公務（政府・自治体）
大学

2%

サービス業
3%

製造業
その他

6%

卸売業、小売業

38%6%

学術研究、専門・技術サービス業

建設業
金融業、保険業
運輸業、郵便業
教育、学習支援業

13%

生活関連サービス業、娯楽業
医療、福祉
不動産業、物品賃貸業
複合サービス事業（郵便局、協同組合）

24%

農業、林業、漁業、鉱業
電気・ガス・熱供給・水道業
宿泊業、飲食サービス業
無回答（0件）「情報通信業」が38%と4割近くを占めている（昨年と同様）
7

第１章 概要（回答者の基本データ等）
設問４ 年間売上高（N=402）
1%
3%

3%

10億円～50億円未満

5%

1億円～3億円未満

21%

売上高はない（非営利団体）

7%

1,000億円以上

5億円～10億円未満
8%

50億円～100億円未満

100億円～300億円未満

14%
8%

3億円～5億円未満
300億円～500億円未満
500億円～1,000億円未満

9%

11%

10%

1億円未満

無回答（5件）

売上高10億円～50億円の組織が最も多い。
また、売上高50億円以下の組織で54%を占めている。
8

第１章 概要（回答者の基本データ等）
設問５ 従業員数（N=402）
0% 0%

5%

3%

5%

25%
9%

9%

20%

9%

15%

50人以下
101～300人
51～100人
301～500人
501～1,000人
1,501～5,000人
5,001～10,000人
1,001～1,500人
10,001～50,000人
50,001人以上
無回答（1件）

従業員数50人以下の組織が最も多い。
また、従業員300人以下の組織で60%を占めている。
9

第１章 概要（回答者の基本データ等）
設問６ 組織の種別及び規模（N=402）
民間企業

4%

3%

民間企業
政府・自治体・大学

38%

無回答（15件）

55%

その他

民間企業55%、政府・自治体・大学38%となっている。
中小企業が民間企業の85%を占めている。
10

第１章 概要（回答者の基本データ等）
設問７ プライバシーマーク、ISMSまたはCSMS、BCMSの取得状況（N=402）
0%

Pマーク認証取得PマークとISMSまたはCSMS認証取得

13%

PマークとISMSまたはCSMSとBCMS認証取得

38%

ISMSまたはCSMS認証取得

26%

ISMSまたはCSMSとBCMS認証取得
BCMS認証取得

いずれも取得していない
0%
0%

23%

0%

無回答（1件）39%の組織がPマークを、49%の組織がISMSを取得している。
また、26%の組織がPマークとISMSの両方を取得している。
※複数選択の回答を択一回答になるように処理。

11

第１章 概要（回答者の基本データ等）
設問８ 情報セキュリティ監査の実施状況（N=402）
1%9%認証の維持目的に実施している

16%

認証の維持目的以外に実施している

46%
実施していない
両方の目的で実施

28%

無回答（2件）46%の組織が認証の維持目的、28%の組織が認証の維持目的以外、9%の組織が両方の目的で情報セキュリティ監査を実施している。
※複数選択の回答を択一回答になるように処理。

12

第１章 概要（回答者の基本データ等）
回答者の業種、年間売上高、従業員数等の基本データは昨年度と比較して大きな変化はなく、概ね同様な傾向となっている。
調査結果：
 情報通信業が回答者の4割近くを占めている。
 売上高10億円から50億円の組織が21%と最も多い。
 従業員数50人以下の組織が25%と最も多い。
また、従業員数300人未満の組織が60%を占めている。
 民間企業55%、政府・自治体・大学38%となっている。また、民間企業の85%が中小企業が占めている。
 39%の組織がPマークを、49%の組織がISMSを取得している。
また、23%の組織がPマークとISMSの両方を取得しており、昨年と同様である。
13

第2章
情報セキュリティマネジメントの
取り組み
調査概要：
リスク分析の実施状況，情報セキュリティポリ
シーの策定・見直し状況，支出動向 等
14

第2章 情報セキュリティマネジメントの取り組み状況
設問9．情報セキュリティに関するリスク分析を最後に実施した時期（N=402）
2%

0%

6%
7%

半年未満

43%

半年以上1年未満
実施していない18%

1年以上2年未満
3年以上

24%

2年以上3年未満
無回答（1件）67%（271）の組織が、1年以内にリスク分析を実施している。
一方、18％（70）の組織はリスク分析を実施していない。
15

第2章 情報セキュリティマネジメントの取り組み状況
設問10．リスク分析の実施理由（複数回答）（N=332）※設問9で「情報セキュリティリスク分析は実施してない」以外を回答した組織を対象
200 (60%)

ISMSまたはCSMSやPマークへの対応

110 (33%)

情報資産の棚卸

80 (24%)

新たな脅威への対応

66 (20%)

内部規程の改訂

35 (11%)

法律・条令の改正
社内組織の改編

29 (9%)

自社の情報セキュリティ事故発生

28 (8%)

他社の情報セキュリティ事故発生

26 (8%)
17 (5%)

業務内容の変更
その他

11 (3%)ISMSまたはCSMSの規格変更のため

11 (3%)

71 (21%)

無回答（72件）
0

50

100

150

200

250

ISMSまたはCSMSやPマークへの対応がリスク分析を実施した332組織中200で60% である。情報資産の棚卸、新たな脅威への対応と続いている。
16

第2章 情報セキュリティマネジメントの取り組み状況
設問11．リスク分析を行う際の問題点（N=402）
30%

実施方法が分かる人材が不足している

37%

14%

通常の業務に比べ、優先度が低い

42%

21%

収益に直結しない
部分的な対応に留まってしまう

10%必要となる組織内情報の収集が難しい

10%

関係部門の協力が得られない 5%

どちらかと言えばそう思う

22%

27%

31%

17%

36%

10%

20%

17%

8%

18%

12%

17%

13%

17%

15%

17%

18%

38%

実施方法が変わって、対応できない 2% 9%

そう思う

19%

32%

上司（経営層等）の理解がない 5% 12%

0%

11% 6%

25%

17%

34%

32%

17%

41%

30%

17%

30%

40%

50%

どちらかと言えばそう思わない

60%

70%

80%

そう思わない90% 100%
無回答

注： ＜そう思う＋どちらかと言えばそう思う＞の多い順に表示

人材の不足を感じる（67%）、通常業務に比べ、優先度が低い（56%）、
収益に直結しない（53%）の順である。上司（経営層等）の理解がないは17%
実施方法が変わって対応できないは11%と低かった。
17

第2章 情報セキュリティマネジメントの取り組み状況
設問12．情報セキュリティポリシー（方針・対策基準）の策定と見直し状況（N=402）
0%5%

年に1回、定期的に実施している

10%

数年に一回、実施している

47%
策定後、一度も見直しを行っていない
策定していない38%

無回答（1件）85%の組織が毎年ないし数年に一度見直しを実施している。一方、10%が策定後見直しておらず、20組織（5%）はポリシーを策定していない。
18

第2章 情報セキュリティマネジメントの取り組み状況
設問13．情報セキュリティポリシー（方針・対策基準）の策定・見直しを行う部門（N=402）
1% 0%

情報システム部門・情報セキュリティ部門が策定・見直しをしている

5%
4%

委員会組織で見直し、代表者が手続きを行っている

12%

経営層（取締役以上）が策定・見直しをしている

49%

情報システム部門・情報セキュリティ部門「以外」の部
門が策定・見直しをしている
その他

29%

情報セキュリティポリシーはない
無回答（22件）「情報システム部門・情報セキュリティ部門」が49%「委員会組織」が29%で、ポリシーの策定・見直しを実施している。19

第2章 情報セキュリティマネジメントの取り組み状況
設問14．過去3年間で見直した情報セキュリティポリシーの管理策（複数回答）（N=401）※設問 12で「情報セキュリティポリシーはない」以外を選択した組織を対象見直した管理策は、「運用セキュリティ」、「資産管理」の順で30%を超えて多い。
20
次いで「情報セキュリティのための内部組織」の管理策が多い

第2章 情報セキュリティマネジメントの取り組み状況
設問15．情報セキュリティ管理策を新規導入・見直しした理由（複数回答）（N=401)※設問 12で「情報セキュリティポリシーはない」以外を選択した組織を対象
ISMSまたはCSMSやPマークの認証取得・更新

136 (34%)106 (26%)
98 (24%)98 (24%)88 (22%)71 (18%)52 (13%)42 (10%)38 (9%)
26 (6%)
25 (6%)
18 (4%)
9 (2%)
26 (6%)
48 (12%)

監査等の指摘事項の対応
情報セキュリティ事件・事故の増大

モバイル端末（スマートフォン、携帯）利用拡大
個人情報保護法改正への対応
クラウド・コンピューティング（業務システム等）の利用拡大

その他法律・規制への対応
事業継続計画（BCP/BCM）と緊急時対応
プライバシーマークの規格JISQ15001改正への対応
効率化（ツール導入等）したので変えた
第三者が提供するサービス（開発・運用業務）拡大

過去3年間は対策（管理策）の見直しがない
GDPR（EU一般データ保護規則）への対応
その他
無回答（50件）

0

20

40

60

80

100

120

140

160

「 ISMSまたはCSMSやPマーク取得・更新」が136組織の34%と昨年同様最も多かった。「GDPRへの対応」はわずか9組織の2%であった。
21

第2章 情報セキュリティマネジメントの取り組み状況
設問16．情報セキュリティ対策推進上の難しさを感じたのは？（N=402）
52%
48%
45%
35%
43%
33%
31%
35%
37%
32%
31%
26%
28%
17%
32%
19%
28%

実施する人材を確保すること
効果を測定すること
実施する技術・ノウハウを獲得すること
従業員の作業負担増を防ぐこと
費用対効果を説明すること
利便性の低下を防ぐこと
業務効率の低下を防ぐこと推進する組織が、内部から評価を得ること重要性を組織に浸透させること予算を確保すること
情報セキュリティのルールを従業員に順守させること
組織の情報セキュリティレベルを把握すること推進する組織体制を整備・運営すること
従業員に情報セキュリティ教育を実施すること経営層に必要性を説得すること
0%
難しい

注：

どちらかといえば難しい

10%

20%

30%

0%
31%
11% 3%1%
0%35%
13% 3%2%
0%0%35%
16% 2%
0%44%
15% 3%2%
36%
15% 4%2%1%
1%
4%2%
43%
17%
0%
4%2%
43%
19%
1%
5% 2%
38%
18%
1%
8% 0%
33%
21%
1%
6% 2%
36%
22%
1%
8% 0%
37%
23%
1%
5%0%
38%
30%
1%
7% 1%
35%
28%
1%
15% 0%
35%
1%
17%
1%
34%

40%

どちらかといえば難しくない

50%

60%

難しくない

70%

80%

わからない

90% 100%
無回答＜難しい・どちらかと言えば難しい＞の多い順に表示「実施人材を確保」、「効果測定」、「実施する技術・ノウハウを獲得すること」等が80％超で22多い。逆に、「経営層に必要性を説得」、「従業員教育を実施」等は少ない。

第2章 情報セキュリティマネジメントの取り組み状況
設問17．売上（政府・自治体・大学等は予算）に対する情報セキュリティに関する支出の傾向（N=402）

いずれも「ほぼ横ばい」が50%以上を占めた。 「著しく増加と増加」計が「全売上（予算）動向」で27％になった。
23

第2章 情報セキュリティマネジメントの取り組み状況
設問18．情報セキュリティ政策（ガイドライン）の認知度 （N=402）

注： ＜内容理解している、読んだことが有る＞の多い順に表示

理解している・読んだことがある計で「情報セキュリティ管理基準」が236(59%)、「サイバーセキュリティ経営ガイドライン」が175(43%)と認知度が半24数近くあるが、逆に制御・IoT向けのガイドライン等の認知度は低い。

第2章 情報セキュリティマネジメントの取り組み状況
調査結果：＜リスク分析＞
 67%の組織が1年以内にリスク分析を実施し、定着傾向にある。
 認証審査への対応がきっかけである状況（60%）は変わらない。
 問題点は、「実施方法が分かる人材の不足」（67%）が最も多い。
＜情報セキュリティポリシーの策定と見直し＞
 毎年ないし数年に一度、セキュリティポリシーの見直しを実施する組織（85%）が最も多い。見直しは情報システム部門・情報セキュリティ部門(49%）、次いで委員会組織(29%）が担当している。
 見直した管理策項目は「運用セキュリティ（含むマルウエア対策等）」（31%）など具体的な項目が多くなった。見直し理由は、「ISMSやPマー
クの取得・更新」 の認証対応が昨年同様最も多かった。
 対策推進上の難しさは、「実施人材確保」、「効果を測定」が多く、「経営層に必要性を説得」、「従業員教育を実施」は半数以上が25
課題としていない。

第2章 情報セキュリティマネジメントの取り組み状況
調査結果：＜情報セキュリティに関する支出＞
 いずれも「ほぼ横ばい」が50%以上を占めた。 「著しく増加と増加」計が「全売上（予算）動向」で27％になった。
＜情報セキュリティ政策（ガイドライン）の認知度＞
 理解している・読んだことがある計で「情報セキュリティ管理基準」が236(59%)、「サイバーセキュリティ経営ガイドライン」が175(43%)と認知度が半数近くあるが、逆に制御・IoT向けのガイドライン等の認知度は低くかった。

26

第3章
情報セキュリティ対応体制・人材に
関する状況
調査概要：
情報セキュリティ対策に関わる人材の有無、橋渡し人材の必要性など
27

第3章 情報セキュリティ対応体制・人材に関する状況
設問19 自組織のセキュリティ対策に関わる人材の有無（N=402）
セキュリティ教育や啓発など、リテラシー向上ができる人材システム構築・製品開発においてセキュリ
ティの機能をどのように織り込むかを考えることができる人材
標的型攻撃などのサイバー攻撃に対処（指揮命令）ができる人材
コンピュータやネットワークに関する高度な知識や技術を持つ人材（いわゆるホワ
イトハッカー）
コンピュータウイルスの分析やフォレンジッ
ク調査ができる人材 情報セキュリティインシデントに関わる技術者は、組織の中において、専任に従事しているより、ほかの業務との兼務することが多い。
 ホワイトハッカーやフォレンジック調査などができる高度技術者人材が不足している。外部委託もふくめて確保が難しい

28

第3章 情報セキュリティ対応体制・人材に関する状況
設問20 自組織の非IT部門でも必要と思うセキュリティ人材について（N=402）※本設問における「非IT部門」とは、会社の情報システムの企画・開発・運用・委託といった業務を主として実施していない部門（事業部門、営業部門、製造現場など）のことをいいます。

セキュリティ教育や啓発など、リテラシー向上ができる人材システム構築・製品開発においてセキュリ
ティの機能をどのように織り込むかを考えることができる人材
標的型攻撃などのサイバー攻撃に対処（指揮命令）ができる人材
コンピュータやネットワークに関する高度な知識や技術を持つ人材（いわゆるホワ
イトハッカー）

コンピュータウイルスの分析やフォレンジッ
ク調査ができる人材 非IT部門においても、セキュリティ教育・啓発できる人材や、セキュリ
ティを自部門にどのように織り込むかを考えることができる人材を必要としていることが分かった。

29

第3章 情報セキュリティ対応体制・人材に関する状況
設問21 自組織のセキュリティ人材育成を行うための仕組み作りについて（N=402）

 非IT部門が自ら考えてセキュリティ対策ができるようにしたいと考えている組織が47%で最も多い。
30

第3章 情報セキュリティ対応体制・人材に関する状況
設問22 自組織の情報キュリティ対策における橋渡し人材の必要性（N=402）※本設問における「橋渡し人材」とは、情報セキュリティに関する知識を有し、経営層や非IT部門など会社の幅広いに部門を対象として、サイバーセキュリティ方策の企画、立案、教育などのサポートができる人材のことをいいます。

 橋渡し人材を必要としている組織が62%と多いことが分かったが、不明・分からないと回答している組織も22%あり、「橋渡し人材」のより明確な定義が必要と考える。
31

第3章 情報セキュリティ対応体制・人材に関する状況
設問23 橋渡し人材に一番期待する役割（N=248：設問22で「必要」と答えた方）

 「セキュリティに関する専門的な事項を現場業務に当てはめて説明できるスキル」が39%で最も多いが、「セキュリティに関する情報（知識、ノウハウ）の提供」35%、「セキュリティ対策の企画、立案、対策実行」24%と続いており、現32場が求める橋渡し人材のニーズも分かれていると考えられる。

第3章 情報セキュリティ対応体制・人材に関する状況
設問24 自組織のセキュリティ人材に対するインセンティブの有無（N=402）

 「特になし」が75%最も多く、多くの企業・組織においてインセンティブは一般的ではないことが分かった。
33

第3章 情報セキュリティ対応体制・人材に関する状況
調査結果：
 自組織の情報セキュリティ対策に関わる人材は、組織の中において、専任に従事しているより、他の業務と兼務することが多い。また、ホワイトハッカーやフォレンジック調査などができる高度技術者人材が不足している。外部委託もふくめて確保が難しい。
 非IT部門においても、セキュリティ教育・啓発や、セキュリティを自部門にどのように織り込むかを考えることができる人材を必要としていることが分かった。
 自組織のセキュリティ人材育成を行うための仕組み作りについては、セキュリ
ティ専門者に非IT部門の業務を学ばせるよりも、非IT部門が自ら考えてセキュリティ対策ができるようにしたいと考えている組織が47%で最も多い。

 橋渡し人材を必要としている組織が62%あり、必要性が高いことが分かった
が、現場が求める橋渡し人材のニーズは一つではなく、(1)専門的な事項を現場業務に当てはめて説明できるスキル、(2)知識・ノウハウの提供、(3)企画、立案、対策実行、の３つに分かれる結果となった
 セキュリティ人材に関するインセンティブは、「特になし」が75%最も多く、多くの
34
企業・組織においてインセンティブは一般的ではないことが分かった。

第４章
制御システムにおける情報セキュリティに関する課題
調査概要：
制御システムにおけるセキュリティ管理
状況、セキュリティ課題等
35

第４章 制御システムにおける情報セキュリティに関する課題
設問２５ 制御システムの分野(N=215)※
2% 1% 1% 0% 0% 0%

政府・行政サービス2%

情報通信（電気通信・放送等）

2%

2%

教育

5%

金融（銀行・証券・保険）

30%

物流
加工組立製造（機械、自動車、半導体、電気機器、電線、デバイス）

5%

印刷

5%

電力
医療

5%

防災設備・ビル管理
その他

14%

クレジット

24%

鉄鋼製造
鉄道
化学（材料・薬品）
食品製造※「制御システムを持っていない」の回答(187)以外を集計「政府行政サービス」が30%で最も多く、「情報通信（電気通信・放送等」が36
24%と次いで多かった。

第４章 制御システムにおける情報セキュリティに関する課題
設問２６ 制御システムのRASIS重要性（N=213）
信頼性(安定して可動するための故障への耐久度合い

65%

28%

7% 0%

71%

20%

8% 1%

機密性（情報漏えいの起りにくさの度合い）

保全性(情報の完全性を保つ度合い（情報改竄対策など）)

55%

35%

9% 1%

保守性（障害復旧、ﾒﾝﾃﾅﾝｽの容易さの度合い）

53%

38%

10% 0%

可用性（稼働率を高める度合い（冗長構成など））

50%0%

とても重視する

ある程度重視する

20%

どちらともいえない

37%
40%

60%

12% 1%
80%

100%

あまり重視しないまたは重視しない「とても重視する」を最も選んだのは機密性であるが、「とても重視する」と「あ37る程度重視する」計では信頼性が最も高い。

第４章 制御システムにおける情報セキュリティに関する課題
設問２７ 制御システムの管理状況（N=213）
管理システムへアクセスにおいて誰がどのような操作をおこなったか管理できる仕組みがあり、管理権限をもつ従
業員を限定している

62%

26%

図面や仕様書について施錠等で適切な管理、廃棄を実
施している

62%

24% 2%6%6%

図面や仕様書（データ含む）の社内閲覧、配布等の公開範囲について業務上必要な範囲に定めている

64%

20% 2%6%7%

定期的にログ監視（アクセスログ・イベントログ等）を実施
している
制御システムのセキュリティポリシーを定め、定期的に見直しを行っている

54%

45%

2%
5%6%

29%

4%4%8%

24% 6%

15% 10%0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

実施している

一部のみ実施している

未実施だが実施の計画がある

実施していない

不明・わからない実施対策で最も高かったのは「管理システムへのアクセス管理の仕組みがあり、管理権限を限定している」の88%で、「制御システムのセキュリティポリ
シーを定め、定期的に見直しを行っている」が最も低い69%であった。 38

第４章 制御システムにおける情報セキュリティに関する課題
設問２８ 制御システムにおける委託先のセキュリティマネジメント（N=212）
委託先企業間で秘密保持契約を結び、従業員による情報取り扱い関して徹底させている

63%

委託先企業間で制御システムのセキュリティポリシーを共有
し遵守を徹底させている

51%

委託先企業間でオフィス、機器室への入室管理を徹底している

再委託先（孫受け、購買先）で制御システムのセキュリティポ
リシーを共有し遵守を徹底させている

13%

22%

2% 13%

12%

14%

2% 12%

14%57%

再委託先（孫受け、購買先）で秘密保持契約を結び、従業員による情報取り扱い関して徹底させている
委託先企業間で製作、運用しているインストール媒体やテス
トプログラムについても強固なルールを徹底している

13% 2% 9%

50%

35%

43%

15%

26%

17%

2% 13%

20%

3%

18%

19%

2%

19%

19%

0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

実施している

一部のみ実施している

未実施だが実施の計画がある

実施していない

不明・わからない

実施している対策で最も高かったのは「委託先企業間で秘密保持契約を結
び、情報取扱を徹底させている」の76%で、「委託先企業間で制御システムの39
セキュリティポリシーを共有し遵守させている」が次いで多い73%であった。

第４章 制御システムにおける情報セキュリティに関する課題
設問２９ 制御システムのセキュリティ対策を困難とさせている課題(N=195)

困難となる課題で最も高かったのは「セキュリティ技術を持つ人材が不足している」の48%で、「OSのセキュリティパッチ適用やネットワーク機器のファー
40
ムウェア更新が難しい」が次いで多い31%であった。

第４章 制御システムにおける情報セキュリティに関する課題
調査結果：
 RASISの重要度で、「とても重視する」を最も選んだのは機密性であるが、「とても重視する」と「ある程度重視する」計では信頼性が最も高い。
 セキュリティ対策の実施状況で最も高かったのは「管理システムへのア
クセス管理の仕組みがあり、管理権限を限定している」の88%で、「制御システムのセキュリティポリシーを定め、定期的に見直しを行っている」
が最も低い69%であった。
 委託先のセキュリティマネジメントで、最も高かったのは「委託先企業間で秘密保持契約を結び、情報取扱を徹底させている」の76%で、「委託先企業間で制御システムのセキュリティポリシーを共有し遵守させている」
が次いで多い73%であった。
 対策を困難とさせている課題で最も高かったのは「セキュリティ技術を持つ人材が不足している」の53%で、「OSのセキュリティパッチ適用やネット
ワーク機器のファームウェア更新が難しい」が次いで多い34%であった。
41

第5章
匿名加工情報の取扱い
調査概要：
匿名加工情報の利活用状況、利活用している
データ等
42

第5章 匿名加工情報の取扱い
設問30 匿名加工情報の作成・利用をおこなっているか（N=402）
匿名加工情報を作成していない、かつ提供を受けていない4%

匿名加工情報を作成していないが、将来、利用を検討している
匿名加工情報を作成して、自社内で利用をしている（但し、第三者提供はしていない）

19%

匿名加工情報を作成して、第三者提供及び自社内で利用している

1%
2%

5%

57%

匿名加工情報を作成して、第三者提供をしている（但し、自社内で利用はしていない）
匿名加工情報を作成していないが、提供を受けて利用している

6%
6%

不明・わからない
無回答（17）

 「作成していない、かつ提供を受けていない」が57％
 「将来利用を検討している」が6％、「現在作成もしくは提供を受けている」は14％であり、合わせると20%43
 「不明・分からない」が19%

第5章 匿名加工情報の取扱い
設問31 作成・利用している匿名加工情報（N=56 ※Q30で匿名加工情報利用の回答母数のみ抽出）
人材斡旋情報（職歴・スキル等）

12 (21%)
11 (20%)10 (18%)

健康情報
医療情報（既往歴等）

6 (11%)

介護情報

4 (7%)
4 (7%)
4 (7%)
3 (5%)
3 (5%)
2 (4%)
1 (2%)
1 (2%)
0 (0%)
0 (0%)

金融関連の情報

インターネット閲覧履歴
購買履歴
資格検定情報保険関連の情報
電力・ガス・水道の使用履歴

クレジットカード関連の情報
公共交通機関乗降履歴
テレビ視聴履歴
移動履歴

17 (30%)

その他
0

2

4

6

8

10

12

14

16

18

 人材斡旋情報（職歴・スキル等）が12件と最も多く、次に医療情報（既往歴等）が11件、介護情報が10件
 その他として、学籍情報、授業履歴、成績情報、研究データ、住所、特44
定個人情報、履歴書、セミナー来場者情報、応対履歴等がある

第5章 匿名加工情報の取扱い
設問32 匿名加工情報作成時に感じる阻害要因、普及が進まない阻害要因（N=402）
130 (32%)

匿名加工情報の利活用の事例が少ない

117 (29%)

自社にてデータ加工に関する専門知識を有する人材がいない・不足している
自社にて取扱いのルール・規程が整備されていない

104 (26%)

匿名加工情報及び加工方法等情報の漏えいリスク

104 (26%)
84 (21%)

匿名加工情報の再識別リスク

80 (20%)

自社の保有する個人データに係るニーズ／ユースケースが不明

59 (15%)

個人情報保護法に準拠する具体的な加工方法がわからない

39 (10%)

顧客からのクレーム／レピュテーションリスク

33 (8%)

認定個人情報保護団体や業界団体等において取扱いのルールが整備されていない
個人データを管理しているシステムの制限（利用ネットワーク、データフォーマット、アクセス制御、運用方法等）から対応が難しい

19 (5%)
15 (4%)

匿名加工情報に対応した良質で廉価な市販のパッケージソフトが少ない

21 (5%)

その他

61 (15%)

無回答（61件）

0

20

40

60

80

100

120

140

 1位は「匿名加工情報の利活用の事例が少ない」、2位は「自社にてデータ加工に関する専門知識を有する人材がいない・不足している」
その他としては、「必要がない」「予定がない」等である。

45

第5章 匿名加工情報の取扱い設問33 匿名加工情報の普及にあたり重要と思うもの（N=402）
個人情報保護法における加工基準の明確化

37%

認定個人情報保護団体や業界団体等における取扱いルールの整備

28%

28%

6% 2%

31%

16%

11%

9% 3%

18%

11%

5%

20%

11%

匿名加工情報の取扱いの監査の実施

23%

31%

匿名加工情報の作成している事業者や提供を希望している事業者の情報

23%

27%

11%

7%

20%

11%

匿名加工情報の認証制度

22%

28%

12%

6%

21%

11%

22%

11%

匿名加工情報の流通のためのマーケットプレイスやプラットフォーム

14%

27%

11%

19%

6%

匿名加工情報を利活用する企業に対する補助金や優遇税制等のインセンティブ

7%

16%

22%

20%

23%

11%

個人情報を提供する本人へのポイント付与等のインセンティブ

7%

15%

25%

19%

23%

11%

0%
重要と思う

どちらかといえば重要と思う

10%

20%

どちらかといえば重要と思わない

30%

40%

50%

重要と思わない

60%
わからない

70%

80%

90%

100%

無回答

 「重要と思う」・「どちらかと言えば重要と思う」の多い順で、1位は「個人情報保護法における加工基準の明確化」、2位は「認定個人情報保46
護団体や業界団体等における取扱いルールの整備」である。

第5章 匿名加工情報の取扱い
調査結果：
 匿名加工情報の利活用について、「作成していない、かつ提供を受けていない」が57％。「将来利用を検討している」が6％、「現在作成もしくは提供を受けている」は14％であり、合わせると20%、「不明・分からない」が19%。
 作成・利用の対象情報は、人材斡旋情報（職歴・スキル等）が12件と最も多く、次に医療情報（既往歴等）が11件、介護情報が10件。その他として、学籍情報、授業履
歴、成績情報、研究データ、住所、特定個人情報、履歴書、セミナー来場者情報、応対履歴等がある。
 利活用の阻害要因としては、1位は「匿名加工情報の利活用の事例が少ない」、2位は「自社にてデータ加工に関する専門知識を有する人材がいない・不足している」、3位は「自社にて取扱いのルール・規程が整備されていない」・「匿名加工情報
及び加工方法等情報の漏えいリスク」である。その他としては、「必要がない」「予定がない」等がある。

 今後の普及にあたり重要なのは、1位は「個人情報保護法における加工基準の明確化」、2位は「認定個人情報保護団体や業界団体等における取扱いルールの整備」である。
47

第6章
情報セキュリティマネジメントの「例外措置」
調査概要：例外措置の有無、策定部門の傾向、現場でのカスタマイズ程度、見直し頻度、具体的な管理策での通常規定／例外措置の策定傾向
48

第6章 情報セキュリティマネジメントの「例外措置」
設問３４．情報セキュリティに関わる内部規定全般においての「例外規定」の有無(N=402)
5%

0%
3%
20%

11%

30%

31%

内部規定に全て明記している
内部規定に一部明記している
内部規定には明記していない
わからない・知らない
答えたくないその他
無回答（12件）

 例外措置の策定が内部規定に記載されている割合はされていない割合より21ポイント高い。
49

第6章 情報セキュリティマネジメントの「例外措置」
設問３５．例外規定は、全体で統一された内部規定のみか、現場組織ごとにも規定されているか(N=402)
1%

10%

統一管理基準のみ
現場組織ごと

12%

統一管理基準と現場組織の両方
44%

どちらもない17%

わからない・知らない
その他
11%

5%

無回答（39件）

例外措置の策定は統一基準のみで策定・措置されている組織が４割を超え、現場組織での策定は１割程度にとどまる
50

第6章 情報セキュリティマネジメントの「例外措置」
設問３６．例外規定を策定するにあたり、規程の策定と管理の事務処理をする主体
部門(N=402)
情報セキュリティ担当部門
情報システム管理部門
総務部門
社長室又は役員室
企画部門
コンプライアンス担当部門
リスク管理担当部門
情報システム開発部門
法務部門
人事部門
事業/営業部門
監査部門
経理部門
その他
無回答（60件）

174 (43.3%)
88 (21.9%)77 (19.2%)

37 (9.2%)
19 (4.7%)
18 (4.5%)
15 (3.7%)
14 (3.5%)
11 (2.7%)
10 (2.5%)
8 (2.0%)6 (1.5%)5 (1.2%)19 (4.7%)
60 (14.9%)
0

50

100

150

200

策定する組織は主に情報システム系を取り扱い部門で占める。
51

第6章 情報セキュリティマネジメントの「例外措置」
設問３７．例外規定の見直し頻度(N=402)

19%

48%

9%
3%
1%
3%

随時
～1年ごと
～2年ごと
～3年ごと
3年～ごと
その他
無回答（78件）

17%

例外措置の見直し頻度は、特に定期的に実施しておらず、案件が発生し実施した後に見直している組織が多い
52

第6章 情報セキュリティマネジメントの「例外措置」
設問３８．具体的な業務上の事象における例外措置の策定の有無(N=402, ※1はN=349)
可搬型メディア（USBメモリ、SDカード等）を利用する
※1

42%

25%

私物可搬型デバイス（スマホ・タブレット等）を利用する

1%

2%

15% 2% 8%

12% 6% 6%

19%

11%

38%

11%

個人で利用しているメールに社内メールを転送する

21% 1%10% 6% 7%

44%

11%

外部業者への特権IDを付与する

18% 1%7% 7% 11%

45%

11%

16% 1%6% 9% 7%

49%

12%

第三者認証のない外部クラウドを利用する
0%（通常規定に策定）（例外規定に策定）（例外規定がない）

通常規定に明記し通常措置としている
例外措置を明記し例外措置をしている
規定に記載なく一時的措置をとったことがある
無回答

20%

40%

60%

80%

100%

例外措置から変更し通常規定に明記した例外措置を明記しているが例外措置をしたことがない
規定に記載なく例外措置をしたこともない

通常規定も含め例外規定を策定して措置している項目には「可搬型メディア
53の利用」が目立っている

第6章 情報セキュリティマネジメントの「例外措置」
設問３９．具体的な業務上の事象における通常規定か例外措置への選択(N=402)
68%

プログラム保守のための外部からの一時的アクセス

個人で利用しているクラウドサービス（Dropbox等）の
利用

23%

59%

34%

9%
7%

非日本国内法準拠のクラウドの利用

44%

44%

12%

サポート切れのOSやソフトウエアの継続使用

43%

49%

8%

自社が管理していないソフトウエアの使用

38%

54%

7%

24%

外部インターネットの使用
0%
策定案１（通常規定）

策定案２（例外措置）

10%

67%
20%

30%

40%

50%

60%

9%
70%

80%

90% 100%

無回答

個々の具体的な管理策において、通常規定が多いもの、例外措置が多いもの、あるいは双方均衡しているものなど、特徴が表れている。 54

第6章 情報セキュリティマネジメントの「例外措置」
調査結果：
 例外措置の策定が内部規定に記載されている割合はされていない割合
より21ポイント高い。
 例外措置の策定は統一基準のみで策定・措置されている組織が４割を超え、現場組織での策定は１割程度にとどまる。
 例外措置を策定する部門は主に情報システム系を取扱う部門で占める。
 例外措置の見直し頻度は、特に定期的に実施しておらず、案件が発生し実施した後に見直している組織が多い。
 通常規定も含め例外規定を策定して措置している項目には「可搬型メディアの利用」が目立っている。
 具体的に通常規定例、例外措置例で選択してもらうと、通常規定で措置するもの、例外措置をとるもの、あるいは双方均衡しているものなど、個々の具体的な管理策において特徴が表れている。
55

第7章
職場での人工知能(AI)や自律型ロボットの導入調査概要：
AI 技術の導入状況，導入した際の利点，導入した際のリスク，導入理由56

第7章 職場での人工知能(AI)や自律型ロボットの導入
設問４０ AIや自律型ロボットの導入状況（N=402）
1%
5%
15%

導入し積極的に活用している
導入してないが導入予定
導入予定なし、または不明

79%

無回答（4件）「導入予定がない，または不明」と回答したものが79％と圧倒的に多く，実際にはまだ導入している組織は少ない
57

第7章 職場での人工知能(AI)や自律型ロボットの導入
設問４１ AIや自律型ロボットを業務で導入した際の利点（複数回答，N=402）
仕事の自動化・効率化

241 (60%)

人件費の削減139 (35%)

新たなサービスの提案・開発

101 (25%)

他企業との差別化又は業務連携

47 (12%)

利点はない

33 (8%)わからない

77 (19%)

無回答（14件）

14 (3%)
0

50

100

150

200

250

300

「仕事の自動化・効率化」 60%（241件）と回答が最も多く、次いで「人件費の削減」 35%（139件）、「新たなサービスの提案・開発」25%(101件)が多い
58

第7章 職場での人工知能(AI)や自律型ロボットの導入
設問４２ AIや自律型ロボットを業務や他企業との提携で導入した際のリスク（複数回答，N=402）
AI・ロボットに学習させるために様々な情報を提供する作業負荷

183 (46%)

AI・ロボットによる企業秘密の流出

98 (24%)

AI・ロボットが人間を指導・育成することによる人材の質の低下

50 (12%)

AI・ロボットによる法律違反

49 (12%)導入したAI・ロボットの著作権等の権利問題

36 (9%)

顧客減少による収入減やクレーム対応等への業務負荷

23 (6%)

リスクはない8 (2%)

よくわからない122 (30%)

その他

14 (3%)

無回答（20件）

20 (5%)
0

20

40

60

80

100

120

140

160

180

200

具体的なリスクとしては「学習させるために様々な情報を提供する作業負荷」
46%（183件）と最も多く、次いで「企業秘密の流出」24%（98件）が最も多かった。一方、「よくわからない」と回答したものも30%(122件)と多かった。 59

第7章 職場での人工知能(AI)や自律型ロボットの導入
設問４３ AIや自律型ロボットを業務に導入することについて（N=402）
2% 5%

業務全般で積極的に活用すべき

11%

活用すべきだが一部の業務に限られる
法律や制度等に準拠できなければ、活用すべきではない

23%

業務全般でまだ活用すべきでは
ない

36%
10%

よくわからないその他

13%

無回答（20件）「業務全般で積極的に活用すべき」「活用すべきだが一部に限る」を合わせ、全体の半数近くに及ぶ。
一方、「法律や制度で制限すべき」「活用すべきではない」を合わせた回答
60
23％、よくわからない（23％）との回答もある程度占める。

第7章 職場での人工知能(AI)や自律型ロボットの導入
調査結果：
 AIや自律型ロボットの導入状況については，「導入予定がない，または不明」と回答したものが79％と圧倒的に多く，実際にはまだ導入している組織は少ない。
 AIや自律型ロボットを導入した利点としては，「仕事の自動化・効率化」 と回答が最も多く，次いで「人件費の削減」「新たなサービスの提案・開発」 が多い。
 AIや自律型ロボット導入への具体的なリスクとしては「学習させるために様々な情報を提供する作業負荷」と最も多く、次いで「企業秘密の流出」）が多い。
 AIや自律型ロボット導入へのリスクについて，「よくわからない」と回答したものも30%(122件)と多かった。
 AIや自律型ロボットを活用すべきと回答したものが全体の半数近くに及ぶ一方、活用すべきではないとの回答も23％とある程度占める。また、よくわからないとの回答23％もあり、AI活用への理解がまだ低いこともわかった。
61

第8章
グループ企業における情報セキュリティポリシーについて
調査概要：
グループ企業におけるセキュリティポリシーの整備状況、ポリシー整備・遵守の課題
62

第8章 グループ企業における情報セキュリティ
ポリシーの整備・遵守設問４４ グループ企業間のネットワーク接続状況（N=187）
9%
8%
31%

全グループ企業のPCがWANで接続されている。
一部のグループ企業のPCがWANで接続されている。
各社別々のネットワークを使っており、接続されていない。
わからない。

29%
その他

23%

グループ企業において、PC環境をWANで接続している企業は、「全グループ
企業を接続している」、「一部グループ企業を接続している」を合わせると、
6354%となっている。

第8章 グループ企業における情報セキュリティ
ポリシーの整備・遵守
設問４５ グループ企業のセキュリティポリシー整備状況（N=176）
全グループ企業に、親会社と共通のポリシーを適用している。

8%

全グループ企業に、親会社のポリシーを一部変更して適用している。

7%
4%
38%

一部のグループ企業に、親会社と共通のポリシーを適用している。
一部のグループ企業に、親会社のポリシーを一部変更して適用している。
共通のポリシーはなく、各社個別のポリシーを作成している。

21%

情報セキュリティポリシーは特に定めていな
い。
わからない

5%

6%

11%
その他

何らかの形で親会社と共通のポリシーを適用している組織が、60%に上っている。
64

第8章 グループ企業における情報セキュリティ
ポリシーの整備・遵守設問４６ グループ企業のセキュリティポリシー遵守状況の確認方法（N=172）
全グループ企業に、共通の評価基準で、親会社の監査担当部門などによる確認を定期的に実施している。

8%

全グループ企業に、親会社の評価基準を一部変更して、親会社の監査担当部門などによる確認を定期的に実施している。

11%
31%

一部のグループ企業に、共通の評価基準で、親会社の監査担当部門などによる確認を定期的に実施している。
一部のグループ企業に、親会社の評価基準を一部変更して、親会社の監査担当部門などによる確認を定期的に実施している。

7%

各社で、共通の評価基準による自己点検を定期的に実施している。
各社で、各自で作成した評価基準による自己点検を定期的に実施して
いる。

16%

9%

親会社のセキュリティ担当部門などによる確認や、自己点検は実施して
いない。
わからない

9%

5%

4%
その他

親会社の監査担当部門などによる確認を定期的に実施している組織が約半数の49%となっている。また共通の基準で自己点検を実施している組織
65を合わせると約6割となる。

第8章 グループ企業における情報セキュリティ
ポリシーの整備・遵守設問４７ グループ企業全体でセキュリティポリシー遵守を徹底する上での難しさ①グループ企業にポリシーを守るよう働きかける親会社の立場（N=93）
グループ企業の遵守状況の監査を行える人材を確保すること

32%

40%

10% 10% 9%

グループ企業にセキュリティ教育を行える人材を確保すること

33%

37%

13%

9% 9%

グループ全体に推進する組織が、内部から評価を得ること

32%

35%

13%

11% 9%

グループ企業のまとめ役になれる人材を確保すること

30%

35%

16%

10% 9%

グループ企業全体に適用できる共通ポリシーを策定すること

23%

26%

25%

19%

8%

子会社の管理職・従業員に必要性を理解してもらうこと

20%

27%

27%

18%

8%

子会社の経営層に必要性を理解してもらうこと

16%
0%

難しい

どちらかといえば難しい

15%
20%

どちらかといえば難しくない

35%
40%

難しくない

25%
60%

80%

9%
100%

わからない

親会社の立場では、必要性を理解してもらうことや、共通ポリシーを策定する
ことよりも、人材の確保と、内部から評価を得ることの方が「難しい」、「どちら66かといえば難しい」と 回答している割合が高く、いずれも65%を超えている。

第8章 グループ企業における情報セキュリティ
ポリシーの整備・遵守設問４７ グループ企業全体でセキュリティポリシー遵守を徹底する上での難しさ②ポリシーを守る子会社の立場（N=74）
自社でポリシー周知徹底、点検を行える人材を確保すること

29%

親会社と同じポリシーに準拠するための予算を確保すること

35%

親会社と同じポリシーに合わせること（業務特性上困難 など）

11%0%

どちらかといえば難しい

29%

18%

26%

19%
20%

どちらかといえば難しくない

6% 6%

5%

29%

37%

23%

自社の経営層に必要性を理解してもらうこと

24%

27%

11%

自社の管理職・従業員に必要性を理解してもらうこと

24%

18%

26%

自社の特性に応じてセキュリティポリシーを適正に変更すること

難しい

34%

32%
40%

60%

難しくない

わからない

18%
8% 10%

13% 10%

27%

6%

31%

6%

80%

100%

子会社の立場でも、人材の確保が「難しい」、「どちらかといえば難しい」と回答している組織が多く、63%に及ぶ。次いで、予算の確保、親会社とポリシー67を合わせること、適正に変更することが難しいがそれぞれ約半数ある。

第8章 グループ企業における情報セキュリティ
ポリシーの整備・遵守調査結果：
 グループ企業のPC環境をWANで接続している企業は、「全グループ企業を接続している」、「一部グループ企業を接続している」を合わせると、54%であった。
 グループ企業で情報セキュリティポリシーを共通化している企業も、「親会社と共通のポリシーを適用している」、「親会社のポリシーを一部変更して適用している」、「一部のグループ企業に親会社と共通のポリシーを適用している」を合わせると、60%に及ぶ。
 共通の基準を用いて、親会社の監査担当部門による監査や、自己点検を行っている企業も合わせると約6割である。
 親会社の立場では、人材の確保と、情報セキュリティを推進する組織が内部から評価を得ることが「難しい」、「どちらかといえば難しい」と回答している割合が高く、いずれの項目でも65%を超えている。
 子会社の立場でも、人材の確保が「難しい」、「どちらかといえば難しい」と回答している組織が多く、約6割に及ぶ。次いで、予算の確保、親会社とポリシーを合わせる
こと、親会社のポリシーを適正に変更することが難しいとの回答が約半数ある。
68

第9章
EU一般データ保護規則(GDPR)
への対応
調査概要：
GDPRに対する認知度、また対応状況等
69

第9章 EU一般データ保護規則(GDPR)への対応状況
設問48．GDPRに関する事項の認知度（複数回答）（N=402)
159 (40%)

削除権（忘れられる権利）

146 (36%)

制裁金（最高で2000万ユーロまたは全世界年間売上高4%）

95 (24%)

データ侵害の場合の監督機関への72時間以内の通知

79 (20%)

データポータビリティの権利

64 (16%)

十分性認定（日本は2018年中に取得見込み）59 (15%)

異議を述べる権利

40 (10%)BCR（拘束的企業準則）
プロファイリングを含む自動処理に基づく決定に服さない権利

37 (9%)

SCC（標準契約条項）

36 (9%)

データ影響評価

34 (8%)
164 (41%)

無回答
0

50

100

150

200

「削除権」が最も多く40%、次に「制裁金」が36%と多い。
「無回答」が402組織のうち41%であった。
70

第9章 EU一般データ保護規則(GDPR)への対応状況
設問49．GDPRへの対応状況（N=402）「未実施」が38%と最も多く、次に「対応不要」が35%であった。
「対応済み」・「対応中」・「対応を検討中」を合わせて15%であった。71

第9章 EU一般データ保護規則(GDPR)への対応状況
調査結果：＜GDPRに関する事項の認知度＞
 「削除権」が最も多く40%、次に「制裁金」が36%と多い。
 「無回答」が402組織の41%であった。
＜GDPRへの対応状況＞
 未実施（153組織）が38%と最も多く、次に対応不要（142組織）が35%と多い。
 対応済み（14組織）・対応中（11組織）・対応を検討中（33組織）を合わせて15%であった。

72

第10章
その他 過去の事例・事故
の認知度
調査概要：
2018年6月までに起きた主要な情報セキュリ
ティに関する事件・事故についての組織の認知度73

第10章 過去の事例・事故・用語の認知度
設問50 出来事（事例・事故の認知度） （複数回答，N=402）
企業（Amazon、楽天、JCB）をかたる利用者を狙ったフィッ
シング攻撃が発生

342 (85%)290 (72%)

総務省「パスワードの定期的な変更は不要」と方針転換
Facebookの個人情報がアクセス可能状態にあった問題

270 (67%)

NTT、海賊版サイト「漫画村」などのブロッキングを決定

259 (64%)

日本年金機構職員が窃盗容疑で逮捕 - 個人情報持ち出し米Yahoo!で、不正アクセスにより最終的に30億人分以上のユーザー個人情報が漏えいしていたことが判明

258 (64%)
255 (63%)
246 (61%)

仮想通貨発掘マルウエアが急増
0

50

100

150

200

250

300

350

400

[１～７位]企業を語る利用者を狙ったフィッシング攻撃が発生が85%で最も認知度が高かった。
他に総務省「パスワードの定期的な変更は不要」と方向転換も72%と認知度が高い。
74

第10章 過去の事例・事故・用語の認知度
設問50 出来事（事例・事故の認知度） （複数回答，N=402）
2017年12月20日 日本航空 ビジネスメール詐欺にだまされ3億8000万円余被害

221 (55%)
202 (50%)

Wi-Fi暗号化規格（WPA2）でKRACKと呼ばれる新しい脆弱性が発見される

159 (40%)

2017年8月25日 Googleの経路情報設定ミスで日本の通信インフラが混乱
2017年12月5日 長野県の高校生がSNSのフィッシングサイトを開設し不正アクセス容疑で逮捕される145 (36%)120 (30%)

IoT機器に感染するマルウエアMiraiの亜種「Satori」(別名Okiru)の感染が拡大

108 (27%)2018年4月20日「システム監査基準」及び「システム管理基準」が改訂

101 (25%)

Uber社、約60万人の運転手の個人情報が2016年に窃取されていたことを公表
GoogleのChromeウェブストアに偽の広告ブロッカー、約2000万人がダウンロード

95 (24%)

Windows10にプレインストールされていたパスワード管理ソフト「Keeper」に情報漏えいの脆弱性が発見される

91 (23%)

macOSで誰でも管理者権限取得可能な脆弱性が発見される

87 (22%)61 (15%)

IoTデバイスを標的とするIoTroop(Reaper)が100万以上の組織で感染
無回答（16件）

16 (4%)
0

50

100

150

200

250

[8～18位]IoTデバイスを標的とするIoTroop(Reaper)が100万以上の組織で感染などの事例の75
認知度が最も低く、システム監査基準、管理基準の改定も比較的低い。

第10章 過去の事例・事故・用語の認知度

調査結果：
過去の事例、事故 企業を語る利用者を狙ったフィッシング攻撃が発生が85%で最も認知度が高かった。他に総務省「パスワードの定期的な変更は不要」と方向転換も72%と認知度が高い。
 IoTデバイスを標的とするIoTroop(Reaper)が100万以上の組織で感染などの事例の認知度が最も低く、システム監査
基準、管理基準の改定も比較的低い。

76

まとめ
• 今回の単純集計とその分析結果から，日本の組織の情報セキュリティの現状をより深く把握することが出来た。
• 2018年における日本の情報セキュリティの断面であり，今後の調査や研究活動の参考となる。
• さらにいくつかの章については，今後詳細な分析を進め，学会研究会等で発表する予定。
• 本研究が，実務担当者の理解と対策を進める一助になればと考える。

77

謝辞

本アンケート調査を実施するにあたり，アンケートへの回
答にご協力を頂きました企業や団体，組織の皆さまに感謝いたしますアンケートの封入，データ入力に多大なご協力を頂きました神奈川県立みどり養護学校新栄分教室
神奈川県立麻生養護学校 元石川分教室
他1校の皆さまに感謝いたします
情報セキュリティ大学院大学
原田研究室 一同78