サイバーセキュリティ
サーベイ

2022

ご挨拶
2020年に新型コロナウイルス感染症（COVID-19）のパンデ

さまざまな問題を提起することになったCOVID-19は、サイ

これまでリモートワークは限定的な働き方として整備されてそれが企業や組織の施策・計画に対してどのように影響したミックが起きたことにより、我々の働き方は一変しました。
きましたが、国や都道府県による外出自粛要請等により、
リモートワークは広く普及しはじめています。

リモートワークやコミュニケーションツールの利用が浸透するなかで、サイバー攻撃は新たな局面を迎えており、二重脅

バーセキュリティにおいても大きな影響を与えています。
のかを知るために、本調査では新しい取組みとして、NISTのサイバーセキュリティフレームワーク（CSF）を意識した設問を構成して分析しました。

今年で5回目となる「サイバーセキュリティサーベイ」は、迫型ランサムウェアなどによる被害がさらに拡がりを見せて

KPMGコンサルティングとKPMG FAS が、デジタル化に新たなリスクが生み出されています。

目的として、調査を実施したものです。

います。働き方の変化がサイバー攻撃をより複雑化させ、本調査によると、在宅勤務を少なからず導入している企業は全体の約75%を占めている一方で、リモートワークに関するサイバーセキュリティの対策方針を策定している企業は半分に満たない状況です。

このような情勢において「ゼロトラスト」という考え方が提おけるサイバーセキュリティ推進のための有益な情報提供を
本調査が少しでも皆さまのお役に立つことができれば幸いです。

最後になりましたが、本調査の実施にあたり、ご回答にご協
力いただいた多くの皆さまに心から御礼申し上げます。

唱されています。ゼロトラストとは、社内外すべてを「信用2022年1月

できない領域」としてセキュリティ対策を行うことです。

リモートワークによって働く場所（ワークプレイス）がオフィ

スのみにとどまらず、社外と社内の区別が曖昧になっていることから、従前のセキュリティ対策で見られた、いわゆる「境界」で防御するという考え方が破綻しようとしています。

KPMGコンサルティング株式会社

執行役員パートナー

田口篤株式会社 KPMG FAS

パートナー

上原 豊史

© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サイバーセキュリティサーベイ2022

CONTENTS

テーマ

P.1
P.3

調査概要

P.4

Executive Summary

サイバー
セキュリティ

01
P.7

サイバーセキュリティ対策への年間投資額
サイバーセキュリティの責任者・担当者
情報セキュリティ人材
COLUMN

セキュリティ業務・要員配置の最適化

サイバーセキュリティ対策の継続
業務委託先の管理

サイバーセキュリティ対策の実施状況

今後の投資を要するサイバーセキュリティ対策領域
COLUMN

ご挨拶

ゼロトラストセキュリティの現実解

サイバー攻撃の発生状況と攻撃の種類

テーマ

02

P.28

リモートワーク
セキュリティ

在宅勤務の割合とリモートワークにおけるサイバーセキュリティ対策方針

在宅勤務で利用するPC等の端末と業務システムへのアクセス方法
在宅勤務で利用するPC等の端末にて講じられている
セキュリティ対策
在宅勤務におけるセキュリティ面での問題として特に関心が高いもの
COLUMN

リモートワーク環境のセキュリティリスク

サイバーインシデントの被害状況
サイバーインシデントの対応時間
SOCの導入状況

脆弱性診断やペネトレーションテストの実施状況
サイバー脅威動向の情報収集・共有

テーマ

03

P.34

制御システムセキュリティ

制御システムに関する事業への取組み
COLUMN

スマートファクトリー化で懸念される
サイバーセキュリティリスク

制御システムへのサイバー攻撃実態

制御システムセキュリティの予算と統括管理
COLUMN

サプライチェーンに対するサイバーセキュリティ監査

制御システムセキュリティ対策方針の整備
制御システムのセキュリティアセスメント
制御システムのセキュリティ監視制御システムセキュリティ対策が進んでいない原因
制御システムセキュリティ対策の実施状況
COLUMN

工場におけるゼロ・トラストアーキテクチャとは？

CSIRTの設置

サイバー攻撃対策の訓練・演習

サイバーインシデントに備えた具体的な準備や対策

インシデント対応を支援するための外部サービス契約状況
COLUMN

二重脅迫型ランサムウェアへの対応© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サイバーセキュリティサーベイ2022

2

調査概要

回答企業の属性
従業員数（連結）

名称

企業のサイバーセキュリティに関する調査

対象

国内上場企業、および売上高400億円以上の未上場企業のサイバーセキュリティ責任者

調査期間

2021年6月1日～7月31日

調査方法

郵送によるアンケート票の送付・回収、
ウェブによるアンケートの回収

発送数3,960件

有効回答数

285 件（回収率 7.2%）

1 ～4 9 9人

27.7%

1 , 0 0 0～ 2,9 99人

19.3%

3 , 0 0 0～ 4,9 99人

6.3%

5 , 0 0 0～ 9,9 99人

9.8%

5 0 0 ～99 9人

業種

19.3%

1 万 人 以上

17.6%

製造

38.3%

建 設 ・ 不 動産

11.9%

流通
金融

通 信 ・ I T ・ メ ディア
運 輸 ・ イ ン フラ
製 薬 ・ 医療

旅 行 ・ レ ジ ャ ー ・ 飲食
その他

12.6%
11.2%
10.2%
4.2%
2.1%
1.8%
7.7%

売上高（2020年度連結）
5 0 0 億 円 未満

46.0%

1 , 0 0 0億 ～3 ,000 億円 未満

16.1%

5 0 0 億 ～ 1,0 00億 円未満

3 , 0 0 0億 ～5 ,000 億円 未満
5 , 0 0 0億 ～1 兆円 未満
1 兆 円 以上

3

サイバーセキュリティサーベイ2022

14.0%
8.1%
6.0%
9.8%

（n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Executive Summary
テーマ

サイバーセキュリティ

01

30.5%

の企業が

サイバーインシデントや不正侵入の痕跡を発見

回答企業の30.5%がサイバーインシデントや不正侵入の痕跡を発見しており、サイバー攻撃が対岸の火事ではなくなってきています。一方、予算不足（65.6%）や情報セキュリティ人材不足（79.0%）が原因で、サイバーセキュリティ対策の導入がなかなか進まず、日々、高度化・複雑化し続けるサイバー攻撃への対応に苦慮している様子がうかがえます。

65.6%

の企業が

サイバーセキュリティ対策への予算不足

79.0%

情報セキュリティ人材不足

とても過剰 0.0%

発生した
ことがない

過去1年間にサイバーインシデントや不正な侵入を受けた痕跡

大いに不足

やや過剰 0.0%

やや過剰
0.6%

14.7%

発生した
ことがある

不足 65.6%

サイバーセキュリティ対策への予算額

35.8%

適切

34.4%

とても過剰 0.0%
適切

20.4%

大いに不足

30.5%

サイバーセキュリティの組織の陣容（人数）規模

不足 79.0%

やや不足

50.9%

69.5%

の企業が

やや不足

43.2%
（n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

（n=285）（n=285）
サイバーセキュリティサーベイ2022

4

Executive Summary
テーマ

サイバーセキュリティ

01

NISTのサイバーセキュリティフレームワーク（CSF）の5つの機能に沿って、回答の傾向を整理しました。

識別

防御

検知

対応

復旧

回答企業の57.9%がサイバーセ

回答企業の注目領域は、高度な回答企業の約半数（54.4%）が回答企業の 34.4%が CS IRT（サ回答企業の42.5%が復旧手順を

び対応計画の策定を、60.7%が（積極的に導入を検討35.4%、を導入していません。防御系の障害などに対処するための組織

キュリティ対策の現状分析およセ キ ュリ ティ 監 査 を定 期 的 に
実 施 し て お らず 、 サイ バー セ
キュリティ管理にお けるPDCA
サイクルにおいて計画（P la n）と監査（ Check ）に改善の余地があります。

また、52.7%が業務委託先へのセキュリティ対策の要請を未実

施または未把握でした。近年、エンドポイントセキュリティ対策

導入済み55.1%）と 、クラウド

セキュリティ対 策（ 同 35.1% 、26.7%）です。リモートワークの浸透とクラウドサービス利用の拡大により、境界型セキュリティ
からゼロトラストセキュリティへの転換が喫緊の課題になっていると考えられます。

サプライチェーンの脆弱性を突

SOC（Security Operation Center）
セキュリティ対策製品の導入状

況と比較して、ユーザー／エン
ティティの行動分析（UEBAなど、10.9%）の導入率が低く、セキュリティ監視機能の高度化の余地が見込まれます。

イバー攻撃による情報漏えいや準備しており、32.6%がメディア

やチ ー ム） を 設置 して お り、ています。復旧対応については、

47.4% が 初 動 対 応 手 順 を 準 備しています。しかし、セキュリ

ティ運用の自動化（SOARなど、8.1%）の導入率は低くなっています。セキュリティ運用の自動化は 、 情報 セ キュ リテ ィ 人材
不足 へ の対 応 とし て、 今 後の浸透が期待される領域です。

への連絡や広報の手順を準備し51.7%が約1週間程度で対応が完了していますが、数日間遮断した場合の業務継続の対応をあら
かじめ定めている企業は約23%にとどまっています。

復旧手順に加えて、事業継続や業 務 継 続の 対 応計 画 の策 定 が求められています。

いて侵入するサイバー攻撃が発生しているため、委託先・提携

先等のサプライチェーンを含めたサイバーセキュリティ管理の
仕組みづくりが必要です。

5

サイバーセキュリティサーベイ2022© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

テーマ

02

リモートワークセキュリティ

CO VID-19によるリモートワークを中心とした働き方の変化によって、回答企業のうち75.1%が在宅勤務を少なからず導入しています。また、50.5%が従業員による内部不正を懸念しており、在宅勤務率が高いほど、内部不正を懸念する企業が多い傾向が見られました。過半数の企業でハードディスクの暗号化、US B接続の制限・禁止、モバイルデバ

イス管理（MDM）によるスマートフォン等のリモート消去など、端末からの物理的な情

テーマ

03

制御システムセキュリティ

日本の製造業が抱える課題の解決策として、スマートファクトリーへの取組みはます

ます加速しています。一方、工場のスマート化によるサイバー攻撃のリスク増大への懸念もあり、制御システムセキュリティ対策の導入について苦慮する企業も増えています。方針の策定や具体的な対策の導入が求められています。

報漏えいへの対策が講じられている一方で、メール・ウェブ・クラウド経由の情報漏えい対策（DLP）は17.3%にとどまり、あまり普及していない状況が見受けられます。
90～100%
0～10%

75.1%

3.2%

24.9%

50～90%

25.6%

が在宅勤務を少なからず導入

在宅勤務の割合

制御システムセキュリティ
対策方針は策定
していない

47.6%

19.8%

制御システムセキュリティ対策方針を単体で取りまとめた規程がある

制御システムセキュリティ対策方針
の整備状況

32.6%
10～50%

46.3%

単体で取りまとめた規程はないが、他の社内規程に
制御システムセキュリティ対策方針を含めて記載している（n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

（n=86）
サイバーセキュリティサーベイ2022

6サイバーセキュリティ

サ イ バ ー セ キュリテ ィ

サイバーセキュリティ対策への年間投資額

識別

防御

検知

対応

復旧

2021年度のサイバーセキュリティ対策への投資額は、2020年度に比べて横ばい、もしくは増加と答えた企業が96.9%に上り、全体としては増加傾向にあります。しかし、IT予算におけるサイバーセキュリティ対策予算の比率が10%未満の企業は62.1%

で、65.6%の企業が投資額が十分ではないと回答しています。

2021年度と2020年度の投資額比較

IT予算におけるサイバーセキュリティ対策予算

サイバーセキュリティ対策への投資額は増加傾向

4.6%

5割以上
2割以上
5割未満
増加

ほぼ
横ばい

減少

2割以上
5割未満
5割以上

20%以上

2.8%

10～20%未満

15.1%

5～10%未満

26.3%
26.3%

65.6%が投資額の不足を感じている

過剰

24.5%

59.7%
2割未満

62.1%がIT予算の10%未満

8.1%

2割未満

2021年度の投資規模

1.4%

1～5%未満

28.1%
28.1%

1%未満

7.7%
7.7%

わからない

62.1%

© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

やや過剰

0.0%

34.4%

やや不足
不足

20.0%

（n=285）

0.0%

適切

1.4%

0.3%

とても過剰

大いに不足

50.9%

65.6%

14.7%

（n=285）（n=285）
サイバーセキュリティサーベイ2022

8

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

サイバーセキュリティの責任者・担当者

識別

防御

検知

対応

復旧

回答企業の58.6%が最高情報セキュリティ責任者（CISO）もしくはサイバーセキュリティの責任者を設置し、76.1%がサイバーセキュリティ対策の担当者を設置しています。

前回（2019年）の調査と比較して、責任者の設置は2.0%増加、担当者の設置は21.3%増加しています。

サイバーセキュリティの担当者の設置

CISOもしくはサイバーセキュリティの責任者の設置

C I SO もしくはサイバーセキュリティの責任者を置いている58.6%（56.6%）

情報システム部門

サ イ バ ー セ キ ュ リテ ィ
責任者

設置予定はない
17.9%（39.1%）

今後、設置予定（6.1%）

76.1%

10.8%

リスク管理部門

4.2%

法務・コンプラ
イアンス部門

4.2%

その他

35.9%

サ イ バ ー セ キ ュ リテ ィ
担当者

22.1%

（20.5%）

従業員、委 託先等の実施者

取締役、社長など

4.5%（4.8%）

サイバーセキュリティの担当者を設置

6.0%

44.9%

情報セキュリティ
管理部門

置いていない独立した専任部署を設置している

各部門の担当者が兼任する委員会組織を設置している

49.5%（29.5%）

情報システム部門の配下に設置している

41.4%（43.1%）（n=285）9※ （ ）内%は2019年度数値。
2019年は0.3%が無回答

サイバーセキュリティサーベイ2022（n=313）※ （ ）内%は2019年度数値（n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

情報セキュリティ人材

識別

防御

検知

対応

復旧

サイバーセキュリティ対策のための体制はあるものの、79.0%の企業が人材不足と回答しています。

前回（2019年）調査と比較して6.6%の改善が見られるものの、依然として情報セキュリティ人材不足の状況が続いています。

サイバーセキュリティ対策組織の陣容（人数）規模

79.0%が人材不足を感じている

とても過剰

過剰

0.0%

（0.0%）

やや過剰

0.6%（0.3%）

適切

不足

20.4%

（14.1%）

やや不足

大いに不足

43.2%

35.8%

（39.4%）（46.2%）

79.0%（85.6%）※ （ ）内%は2019年度数値。2019年は0.4%が無回答 （n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サイバーセキュリティサーベイ2022

10

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

CO

L U M N

セキュリティ業務・要員配置の最適化
情報セキュリティ人材の不足が続くなか、限られたリソースで最大限の成果を発揮するためには、選択と集中が欠かせない。

セキュリティグランドデザインを描き、その実現に求められるサービス（＝業務）を定義。これらを、将来的にコアコンピタンス

として伸ばしていくコアサービスと、積極的にアウトソースしていくノンコアサービスに仕分け、コアサービスは社内人材の活用を、ノンコアサービスはアウトソースの活用を検討することが考えられる。
グランドデザイン策定

要件定義

導入

経営戦略

IT

IT戦略

・・・

ITグランドデザイン

内外環境
コアサービス

セキュリティ
ポリシー

セキュリティ

法規制

サイバー脅威動向

11

セキュリティ
グランドデザインの検討

サイバーセキュリティサーベイ2022

ゼロ
トラスト

コスト
効率化

コンセプト

セキュリティ関連
サービス定義（企画・開発・運用等）

コア・ノンコア
サービスの仕分け

業務プロセス
定義

業務フロー
作成

スキル定義
（社内人材
のマッチング）

育成・配置・
採用・評価

ノンコアサービス
RFP策定（サービス定義・
SLA）

ベンダー選定自動化の検討

自動化の導入© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

サイバーセキュリティ対策の継続

識別

防御

検知

対応

復旧

サイバーセキュリティ対策の現状分析および対応計画の策定（Pla n）で57.9%、監査（Check）で60.7%の企業が「不定期に実施」もしくは「実施していない」と回答しており、サイバーセキュリティ管理におけるPDCAサイクルに改善の余地があります。

サイバーセキュリティ対策の現状分析および対応計画の策定（Plan）

サイバーセキュリティ対策状況に関する監査の実施（Check）

33.0%が不定期に実施し、24.9%が実施していない

年に1回以上実施している

数年に1回以上実施している

23.9%が不定期に実施し、36.8%が実施していない

29.8%

年に1回以上実施している

6.3%

数年に1回以上実施している

Do(D)
12.3%

Plan(P)
不定期で実施している

33.0%

Check(C)

33.0%
33.0%

23.9%

不定期で実施している

36.8%

実施していない23.9%

Action(A)

実施していない

24.9%
24.9%

（n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

36.8%（n=285）

サイバーセキュリティサーベイ2022

12

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

業務委託先の管理

識別

防御

検知

対応

復旧

未把握を含めると、52.7%の企業が業務委託先へのセキュリティ対策を要請できていません。

委託先におけるセキュリティ対策状況の確認方法は、76.3%が調査票（紙、Excel、P DF等）を使用している一方、サード
パーティリスク評価サービスを利用している企業は4.4%にとどまり、GRC（ガバナンス・リスク・コンプライアンス）のツールは使用されていません。

業務委託先に対するセキュリティ対策の取組みの要請状況

業務委託先におけるセキュリティ対策状況の確認方法

29.8%があまり要請しておらず、15.1%が未要請、7.8%が把握していない

76.3%が調査票を、4.4%が外部サービスを利用、
GRCツールは使用されていない

すべての委託先に要請

11.2%

調査票（紙、Excel、PDF等）

76.3%

ある程度重要な委託先には要請

36.1%

委託先の監査31.1%

あまり要請していない

29.8%

29.8%

確認していない10.4%

まったく要請していない

15.1%

15.1%

わからない

5.9%

わからない

7.8%

7.8%

サードパーティリスク
評価サービスGRC（ガバナンス・リスク・
コンプライアンス）ツール（n=285）13

サイバーセキュリティサーベイ2022

76.3%

4.4%
4.4%

0.0%
（複数選択可／n=135）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

サイバーセキュリティ対策の実施状況

識別

防御

検知

対応

復旧

ネットワークセキュリティ、ウェブセキュリティ、メールセキュリティなど、従来からある対策に比べて、ユーザー／エンティティの行動分析（UEBA）、セキュリティ運用の自動化（SOAR）など新しい領域の対策が進んでいない傾向が見られます。

サイバーセキュリティ対策の実施状況

UEBA、SOARなどの新しい領域に取り組んでいる企業は1割程度となっている
ネットワークセキュリティ対策（FW／IDS／IPS／DoS対策など）

メールセキュリティ対策（メールフィルタリング／標的型メール対策など）
資産管理（資産台帳管理／ネットワーク可視化など）

ウェブセキュリティ対策（ウェブフィルタリング／プロキシなど）
ID管理

特権ID管理データ持ち出し対策（USB接続制御などの持ち出し制限）
モバイルデバイスの保護（MDM／リモートワイプなど）
通信データの暗号化、通信元の真正性検証

脆弱性管理（自動パッチ適用／脆弱性スキャンなど）

高度なエンドポイントセキュリティ対策（EPP／EDRなど）

ウェブサイトやインターネット公開システムの保護（改ざん検知など）

データ保護対策（データの暗号化）

データ持ち出し対策（シンクライアントなどのデータを端末に保存しない対策）
統合ログ管理（リアルタイムアラート／相関分析など）

クラウドセキュリティ対策（IDaaS／CASB／CSPM（Cloud Security Posture Management）など）
データ保護対策（DLPなどの流出対策ツール）

マイクロセグメンテーション（SDP（Software Defined Perimeter）など）
ユーザー／エンティティの行動分析（UEBAなど）
セキュリティ運用の自動化（SOARなど）十分できている

ある程度できている

21.4%
25.6%

65.3%
57.2%

12.6%

67.4%

25.3%

53.7%

16.5%

61.1%

15.4%

52.3%

20.0%

43.5%

14.7%

48.4%

9.1%

51.6%

11.2%

44.9%

16.5%

38.6%

9.1%

38.3%

7.4%

39.3%

8.1%

28.8%

7.0%

28.4%

3.9%
4.2%

22.8%
17.5%

2.8%

16.8%

2.1%

8.8%

2.5%

© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

（n=285）

5.6%
サイバーセキュリティサーベイ2022

14

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

今後の投資を要するサイバーセキュリティ対策領域

識別

防御

検知

対応

復旧

約35%の企業が高度なエンドポイントセキュリティ対策やクラウドセキュリティ対策を急務ととらえています。

72.6%の企業が、サイバーセキュリティ対策に取り組むうえでの課題として、サイバーセキュリティ人材の不足を問題視しています。

今後、より積極的に取り組みたいと考えているサイバーセキュリティ対策領域

サイバーセキュリティ対策に取り組むうえでの課題

高度なエンドポイントセキュリティ対策、クラウドセキュリティ対策が最優先の課題となっている
高度なエンドポイントセキュリティ対策（EPP／EDRなど）

クラウドセキュリティ対策（IDaaS／CASB／CSPM（Cloud Security Posture Management）など）
サイバーセキュリティ人材の育成

ネットワークセキュリティ対策（FW／IDS／IPS／DoS対策など）
資産管理（資産台帳管理／ネットワーク可視化など）

メールセキュリティ対策（メールフィルタリング／標的型メール対策など）
内部不正対策インシデント対応体制（CSIRT）の強化
セキュリティ監視体制（SOC）の強化

データ保護対策（DLP等の流出対策ツール）

統合ログ管理（リアルタイムアラート／相関分析など）データ持ち出し対策（シンクライアントなどのデータを端末に保存しない対策）
事業継続管理ID管理

特権ID管理サイバーセキュリティ経営体制の構築

Webセキュリティ対策（Webフィルタリング／プロキシなど）
脆弱性管理（自動パッチ適用／脆弱性スキャンなど）
セキュリティ運用の自動化（SOARなど）

データ保護対策（データの暗号化）

データ持ち出し対策（USB接続制御などの持ち出し制限）
ユーザー／エンティティの行動分析（UEBAなど）
脆弱性診断やペネトレーションテスト

外部委託先管理制御システム環境におけるセキュリティ対策

マイクロセグメンテーション（SDP（Software Defined Perimeter）など）
モバイルデバイスの保護（MDM／リモートワイプなど）
通信データの暗号化、通信元の真正性検証

プライバシー情報の保護

Webサイトやインターネット公開システムの保護（改ざん検知など）
その他

特にない

15

サイバーセキュリティサーベイ2022

35.4%
35.1%
30.2%
24.9%
21.4%
19.6%
18.9%
18.2%
16.5%
15.8%
15.1%
13.7%
13.3%
12.3%
11.9%
11.2%
10.9%
10.9%
10.5%
10.2%
9.8%
9.1%
9.1%
8.8%
8.1%
7.4%
7.0%
6.7%
4.2%
2.5%
1.1%
0.7%

（複数選択5つまで可／n=285）

サイバーセキュリティ人材の不足が課題となっている
知見のある実務担当者が
足りない

72.6%
72.6%

従業員の意識が低い

49.1%

投資対効果がわからない

44.9%

どれだけ投資すべきか
わからない

38.2%

サイバー攻撃の進化に追いつけない34.0%

対策のための予算を確保できない28.4%

経営層の理解が乏しい

28.4%

その他

3.2%

特にない

2.5%
（ 複数選択可／n= 285）

© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

CO

L U M N

ゼロトラストセキュリティの現実解
リモートワークの浸透とクラウドサービス利用の拡大により、境界型セキュリティからゼロ

トラストセキュリティへの転換が必要となってきているが、導入が進んでいない対策も多い。

原則は多層防御（Defense in Depth）



ネットワークだけでなく、認証・認可、監視等の対策を多層で取り込むことで、



増大する運用管理を効率的に回す仕組みの構築と運用が課題

防御・検知のポイントを増やすことが肝要

セキュリティ対策の原則は多層防御（Defense in Depth）にあることは
変わりはない。エンドポイントでの対策が鍵。

防御策や検知策の運用管理の煩雑化による障壁でつまずくことが多い。
自動化やアウトソースの利用が解決策として浮上。

マイクロセグメンテーション に始まるネットワ ークアーキテクチャ の見直しから、認証・認

プロキシ によ るボトルネックを回避するためにローカルブレイクアウトを検討する組織がト」におけるセキュリティの維持に必要。

管理（SD-WAN）、端末やマルチクラウドの統合監視などの障壁を乗り越えられずにいる

可の仕組み、データ保護、監 視といった多層で の防御・検知の仕組 みの整備が「ゼロト ラス
通信内容に基づく防御 ・検知策 はTLS／SSL等によ る暗号化 通信の増 大に伴い 効果が薄 れてきているため、エンドポイン トやサービスエン ド（サーバやクラウ ド等）での対策の増 強が求められる（プロキシによる暗号通信の復号はボトルネックとなりやすい）。
考慮点

デバイス
I D ・ユーザー
アプリケーション
通信
データ
監視・ログ

ゼロトラストセキュリティの考え方• デバイスは内部に限らず、どこにでも存在する• デバイスの認証を常に実施する• すべてのデバイスの保護を徹底する• 内部・外部を問わずID・ユーザーを必ず検証する• ユーザーIDを多要素認証で検証する• 内部・外部を問わずアプリケーションへのアクセスを制限し、不正操作を監視する• 内部の通信も厳 密に制限する• 内部・外部を問わず、送信元の検証、通信の真正性を確保する• 情報資産はクラウドなどの外部にも存在する• データが改ざんされないように保護する• データが漏えいしないように保護する• 内部・外部を問わず脅威に対する監視・ログ分析
によって可視化する• セキュリティ対応を自動化する

セキュリティ対策例増えている実感あり。しかし 、必要な回線帯域の見極めや、ローカルブレイクアウトの統合組織が多く見受けられる。

セキュリティアーキテクチャ全体を見直すにあたっては、システム ・ネットワークの利用実態の把握、クラウドとオンプレミスのバランスを考慮したグランドデザインの策定、最適なコストでの製品選定など、企業特性に合わせた姿を描く必要がある。

• EDR・EPP
• MDM

顧

客

• IAM
• PAM
• CASB• 標的型メール対策• マイクロセグメンテーション• SDP（Software Defined Perimeter）• 通信の認証、暗号化• データの暗号化• DLP• CASB• SIEM・UEBA• SOAR© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

クラウド
サービス

Web
AP I

ネット
ワーク
ハブ
エンド
ユーザ―

電子
メール

データ
ベース

ファイル
サーバ

I DaaS

クラウド
プロキシ

セキュリ
ティ監視

AD

機密

ハブ＆スポーク型クラウドネットワーク

自宅から

オフィスから オペレータ

オン
プレミス

サイバーセキュリティサーベイ2022

16

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

サイバー攻撃の発生状況と攻撃の種類

識別

防御

検知

対応

復旧

30.5%の企業において、サイバー攻撃の痕跡が確認されています。

被害を受けた攻撃としては、ランサムウェアがトップで26.4%の企業が被害を受けています。

サイバーインシデントや不正な侵入の痕跡

サイバー攻撃による被害

30.5%がサイバーインシデントや不正な侵入の痕跡を確認している

26.4%でランサムウェアによる実被害が発生している

ランサムウェア
発生した
ことがある

不正侵入の痕跡を確認

発生した
ことがない

30.5%

30.5%

ウェブサービスへの不正ログインや情報窃取

25.3%
20.7%
20.7%

フィッシング詐欺

19.5%

DDoS（サービス妨害）攻撃

19.5%

標的型攻撃

18.4%

ソーシャルエンジニアリング

クラウドサービスに対する攻撃（n=285）

サイバーセキュリティサーベイ2022

ウェブサイトの改ざん

不正送金などを指示するビジネスメール詐欺

69.5%

17

マルウェア

26.4%

17.2%
17.2%
17.2%

内部不正による情報漏えい

16.1%

IoTデバイスに対する攻撃

13.8%

その他

8.0%
（複数選択可 ／n=87）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

サイバーインシデントの被害状況

識別

防御

検知

対応

復旧

サイバーインシデントにより、｢自社に経済的な損失が発生した｣、｢自社の業務やシステムが著しく遅延・中断した｣という回答が多く、企業のビジネスに実害を及ぼしている様子がうかがえます。また、損失費用が発生した企業における損失合計額
としては、100万～1,000万円未満が最も多いものの、1億円以上の損失被害も発生しています。

サイバーインシデントの被害状況

合計損失額

約3割で経済的な損失やシステム遅延・中断が発生している
自社に経済的な損失が発生した

28.7%

自社の業務やシステムが著しく遅延・中断した

28.7%

社員の個人情報が漏えいした

8.0%

自社の評判が傷ついた

6.9%

システムが踏み台として第三者への攻撃に使われた

6.9%

顧客や取引先に間違った情報を提供し混乱させた

6.9%

自社の機密情報が漏えいした

5.7%

顧客や取引先の個人情報が漏えいした

5.7%

顧客や取引先に経済的な損失が発生した

サイバーインシデントにより経済的な損失が発生しているわからない

1億～10億円未満
1.2%

11.6%

1,000万～
1億円未満
14.9%

サイバーインシデントにより経済的な損失が発生

被害なし
35.6%

52.8%

100万～
1,000万円未満

4.6%

顧客や取引先の機密情報が漏えいした

1.1%

その他

25.3%

26.4%

（複数選択可／n=87）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

100万円未満
10.3%（n=87）

サイバーセキュリティサーベイ2022

18

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

サイバーインシデントの対応時間

識別

防御

検知

対応

復旧

サイバーインシデントに対する初動対応は、54.0%が数時間程度と回答していますが、一方で3日以上かかったと回答した企業も少なくありません。また、復旧対応については、51.7%が1週間程度で対応が完了していますが、数週間以上、場合によっては3ヵ月以上かかるケースも見られます。

初動対応にかかった時間

復旧までにかかった時間

54.0%が初動対応を数時間程度で実施している

51.7%が1週間程度で復旧している

数時間程度

1～2日程度

3日以上

1週間程度

54.0%

29.9%

16.1%

51.7%

54.0%

（n=87）

19

サイバーセキュリティサーベイ2022

51.7%

数週間～1ヵ月程度

32.2%

2
ヵ
月
程
度

3
ヵ
月
以
上

6.9% 9.2%（n=87）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

識別

SOCの導入状況

防御

検知

対応

復旧

回答企業のうち、45.6%がSOC（Security Operation Center ）を導入しており、そのうち40.3%が外部のSO Cサービスを利用しています。監視している攻撃としては、不審なウェブサイトへのアクセス・閲覧やインターネットからの攻撃性の高いアクセス、DoS ／DDoS 攻撃といった従前からよく見られる監視対象が並びます。クラウドサービスに対する監視は少数にとどまっています。

SOCで検知しているセキュリティイベント

SOC導入状況

クラウドサービスに対する監視は少数にとどまる

45.6%がSOCを導入し、40.3%が外部SOCを利用

不審なウェブサイトへのアクセス・閲覧

自社でSOCを構築し運用
5.3%

インターネットからの攻撃性の高いアクセス
インターネットからのDoS／DDoS攻撃

アンチウイルス製品によるマルウェアの検知・駆除

インターネットからの偵察行為（ポートスキャンなど）

SOCを導入SOCを導入
していない

45.6%

外部のSOC
サービスを
利用※
40.3%

54.4%

68.5%
65.4%
62.3%
59.2%
55.4%

マルウェアが添付されたメールの受信

54.6%

EDR製品によるマルウェアの挙動

52.3%

禁止している拡張子を持つファイルのダウンロード

33.1%

サーバに対する不正ログイン

31.5%

USBデバイスの接続、USBデバイスへのファイルコピー

26.2%

Windowsが生成したイベントログ上での不正な活動

20.8%

クラウドサービスに対する不正アクセス

19.2%

内部からインターネットへのファイルの持ち出し
特権アカウントに対する権限昇格※ 自社のSOCと外部のSOCサービスの併用を含む（n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

クラウドサービスのコンフィグレーション異常
その他

18.5%
17.7%
7.7%
5.4%

（複数選択可 ／n=130）

サイバーセキュリティサーベイ2022

20

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

脆弱性診断やペネトレーションテストの実施状況

識別

防御

検知

対応

復旧

回答企業のうち、65.6%が脆弱性診断やペネトレーションテストを実施していると回答しています。

脆弱性診断やペネトレーションテストの実施状況

65.6%が脆弱性診断やペネトレーションテストを実施している

その他
1.4%
定期的に実施
実施した
ことがない
33.0%

脆弱性診断や
ペネトレーションテストを
実施

27.0%

65.6%

不定期に実施38.6%（n=285）21

サイバーセキュリティサーベイ2022© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

サイバー脅威動向の情報収集・共有

識別

防御

検知

対応

復旧

大半の企業が、何らかの社外リソースを活用して情報収集をしています。回答企業のうち23.2%は、ISAC（Information Sharing and Analysis Center）等の情報共有コミュニティを活用して他社と攻撃情報を共有しています。

サイバー脅威動向を収集するための活動

23.2%がISAC等の情報共有コミュニティを活用して他社と攻撃情報を共有している

日常業務の一環としてオープンソースの情報（ウェブサイト／ニュースなど）を収集している

71.6%

政府機関や非営利団体からの情報配信を受けている

41.1%

業界内の情報共有コミュニティ（ISACなど）に加入している

23.2%

民間事業者による有償サービスの提供を受けている

17.2%

何もしていない

9.5%

その他

4.9%

23.2%

（複数選択可 ／n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サイバーセキュリティサーベイ2022

22

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

識別

CSIRTの設置

防御

検知

対応

復旧

回答企業のうち、34.4%がCS IRT（サイバー攻撃による情報漏えいや障害などに対処するための組織やチーム）を設置しており、そのうち75.5%ではCSIRTが機能していると回答しています。CS IRTの対象範囲に含まれるシステムとしては、自社の共通基盤や事業部門が構築したシステムが多い一方、設置済み企業の28.6%が海外の子会社や関連会社のシステムも含んでいます。

CSIRT設置状況

CSIRTは機能しているか

設置済み企業の75.5%が機能していると回答

34.4%がCSIRTを設置している

設置予定はなく、
今後検討もしない
19.2%
設置済み

34.4%
今後設置予定6.7%

39.7%（n=285）23

十分に機能している21.4%

やや機能している設置済み企業の28.6%が海外の子会社や関連会社のシステムも対象に含む

自社の共通基盤（OA環境）

96.9%

54.1%
54.1%

自社の事業部門が構築したシステム

66.3%

どちらとも
言えない

15.3%

国内の子会社や関連会社のシステム

59.2%

あまり
機能していない8.2%

海外の子会社や関連会社のシステム

28.6%

まったく
機能していない

1.0%

21.4%

75.5%

34.4%

CSIRT設置済み

今後設置に
ついて検討

CSIRTの対象範囲

サイバーセキュリティサーベイ2022（n=98）

28.6%（複数選択可／n=98）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

サイバー攻撃対策の訓練・演習

識別

防御

検知

対応

復旧

訓練・演習を「十分できている」と回答する企業は少なく、特にレッドチーム演習（セキュリティ専門家で構成する攻撃チームが攻撃を仕掛け、攻撃される企業のセキュリティ対策状況を検証）はほとんど実施されていません。

サイバー攻撃対策の訓練・演習の実施状況

46.3%が標的型攻撃訓練を実施しているが、レッドチーム演習の実施はわずか4.9%にとどまる
十分できている
標的型攻撃（ランサムウェア含む）

情報漏えいの発生

インシデント発生時の組織対応（経営報告・広報など）

12.6%

33.7%

46.3%

4.9%

25.6%

30.5%

5.3%

24.6%

29.9%

役員・幹部を狙ったビジネスメール詐欺

4.2%

サービス拒否攻撃／ウェブサイト改ざん

4.6%

レッドチーム演習

ある程度できている

23.2%

20.0%

1.4%
3.5%

© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

27.4%

24.6%

4.9%

サイバーセキュリティサーベイ2022（n=285）24

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィ

サイバーインシデントに備えた具体的な準備や対策

識別

防御

検知

対応

復旧

サイバーインシデントに対して、具体的な準備や対策を「十分できている」と回答する企業は少ないものの、「ある程度できている」とする企業も合わせると、47.4%が初動対応手順を準備しています。また、約23%が数日間遮断した場合の対応を
あらかじめ定めています。

サイバーインシデントへの備え

47.4%が初動対応手順を、約23%が数日間遮断した場合の手順を準備している

初動対応手順（ネットワーク遮断／データ・システム保全など）
委託先ITベンダーとの連携手順
復旧手順

遮断する際の判断基準や意思決定の手順の策定
警察・監督官庁・業界団体への連絡手順

復旧までの暫定対応手順（一時的機能停止／代替システム利用など）
顧客・取引先への連絡手順

再発防止のための恒久的対策の検討
メディアへの連絡や広報の手順
外部専門機関への調査依頼手順

フォレンジック解析手順（ログ解析／マルウェア解析など）

数日間遮断した場合の、事業の継続・縮退のための手段の確保
数日間遮断した場合の、事業上の影響範囲や損害規模の把握

25

サイバーセキュリティサーベイ2022

十分できている

ある程度できている

6.7%

40.7%

47.4%

9.1%

37.2%

46.3%

3.5%

39.0%

42.5%

6.0%

34.7%

40.7%

8.8%

29.5%

38.3%

1.8%

34.7%

6.0%

29.1%

3.9%

28.8%

36.5%
35.1%
32.7%

5.6%

27.0%

32.6%

6.3%

25.3%

31.6%

4.9%

22.1%

27.0%

3.2%

19.7%

22.9%

3.2%

19.3%

22.5%

（n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サ イ バ ー セ キュリテ ィ

インシデント対応を支援するための外部サービス契約状況

識別

防御

検知

対応

復旧

回答企業の51.2%がインシデント対応を支援するための外部サービスを契約していません。
また、3割弱がログ分析やマルウェア解析の外部サービスを利用しています。

インシデント対応支援の外部サービス契約状況

51.2%が外部サービスを契約していない

ログ分析

28.4%

マルウェア解析28.1%

対応方針や再発防止策に対する助言

23.5%

デジタルフォレンジック

15.8%

その他

契約していない4.2%

サイバー保険

ワンタイムで状況に応じて契約
インシデント時駆けつけ

等

51.2%

51.2%

（複数選択可／n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サイバーセキュリティサーベイ2022

26

テーマ01

テーマ01

サ イ バ ー セ キュリテ ィC

L U M NO

二重脅迫型ランサムウェアへの対応
業務上重要なデータを暗号化するだけでなく、これらのデータを窃取して外部に公開することで身代金の回収率を高める犯行パターン

である「二重脅迫型ランサムウェア」の被害が急増している。ランサムウェアへの対応については、各国において法令や規制が制定されており、その動きについては注視しておくことが重要である。これらの規制等を踏まえて、各国で発生したランサムウェア被害への対応方針を定めておくことが喫緊の課題となっている。

犯行グループとの戦略的な交渉のための行動指針

I

被害企業の顧客、従業員および関係者の安全確保

 犯行グループとの通信によって被害企業やすべての関係者への二次攻撃のリスクが発生しないようにする。

 交渉人の素性（所属組織や経歴等）がわからないようにする。

II

データ主体のリスクの最小化 プライバ シーデー タの公開リスクを軽減すべく、対象とな るデータ 主体（個人）と危険にさらされているデータを特定するため、取り得る対応を検討する。

 犯行グループによるデー
タの公開に対する被害を軽減するためのあらゆる努力を図る。

27

サイバーセキュリティサーベイ2022

III

漏えいデータ等の事実確認

 漏えいの 可能性の ある
データサンプルを入手して、犯行グループの犯行
声明の内容を検証する。

 確認された事実をもとに、被害企業が効果的なインシデント レスポン スを実施できるように調整を図る。

IV

証拠収集機会の最大化

 法的な手 続きを 円滑に 行うため、 犯行グ ループ とのコミュ ニケー ション を
通じ て 、 情報 ／ 証拠 を入手する。
• 犯行グループの正体• 物理的な所在地• 通信手段• 口座や資金の流れ

V

法令遵守の徹底と重要な意思決定 被害企業は、交渉プロセスにおいてすべての法律
および規 制を遵守 する必要がある。

 交渉人は 重要な戦 略や意思決定については被害企業に確認しながら進めていく。

© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

リモートワークセキュリティテーマ02

リモートワークセキュリティ

在宅勤務の割合とリモートワークにおけるサイバーセキュリティ対策方針
回答企業の75.1%が何らかの形で在宅勤務を導入している一方で、リモートワークにおけるサイバーセキュリティの対策方針を策定している企業は47.7%と半分に満たない状況です。既存の事業継続計画の流用を含めると、在宅勤務率の高い企業

ほど対策方針を明確にしている割合が高く、在宅勤務率90～100%の企業の88.8%が対策方針を策定している、もしくは既存の事業継続計画を流用していると回答しています。
在宅勤務の割合

リモートワークにおけるサイバーセキュリティの対策方針の策定状況

75.1%が在宅勤務を導入している

在宅勤務の割合

90～100%
3.2%
0～10%
24.9%

47.7%がリモートワークにおけるサイバーセキュリティの対策方針を策定している。在宅勤務の割合が高いほど、対策方針が明確に示されている
リモートワークにおけるサイバーセキュリティの対策方 針（セキュリティポリシー・
ガイドライン等）を策定してい る

全体

47.7%

90～100%44.4%

50～90%

54.8%

10～50%

43.9%

47.7%

既存の事業継続計画を流用している
31.3%

79.0%

50～90%
25.6%

在宅勤務を導入

88.8%

44.4%

75.1%

26.0%

80.8%

10～50%
46.3%（n=285）29

サイバーセキュリティサーベイ2022

33.3%

77.2%
（n=214）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

リモートワークセキュリティ

在宅勤務で利用するPC等の端末と業務システムへのアクセス方法
回答企業の72.4%が貸与端末のみ在宅勤務での利用を許可しています。一方27.6%は何らかの形で私物端末の業務利用（BY OD）を許可しています。業務システムへのアクセス方法は、84.1%がVPN（V irtua l Pr ivate Net work ）接続を利用しています。その他のアクセス方法としてキャリア閉域網を利用しているという回答が複数寄せられました。

在宅勤務で利用するPC等の端末

業務システムへのアクセス方法

72.4%が貸与端末のみ利用許可している

84.1%がVPNを利用している貸与したPC等の端末のみ利用を許可している

72.4%

VPN接続

84.1%

一部BYODを許可している

22.4%

クラウドプロキシ接続

16.8%

5.2%

その他

13.6%

全面的に
BYODを許可している

72.4%（n=285）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

84.1%

キャリア閉域網

仮想デスクトップ

リモートデスクトップ

等（複数選択可／n=214）

サイバーセキュリティサーベイ2022

30

テーマ02

テーマ02

リモートワークセキュリティ

在宅勤務で利用するPC等の端末にて講じられているセキュリティ対策
回答企業の半数以上がハードディスクの暗号化、USB接続の制限・禁止、モバイルデバイス管理（MDM）によるスマートフォ

ン等のリモート消去を導入しています。一方で、メール・ウェブ・クラウド経由の情報漏えい対策（DLP ）は17.3%でした。

このことから、端末からの物理的な情報漏えい対策が講じられている反面、ネットワーク経由における対策はあまり普及していない様子がうかがえます。

在宅勤務用端末のセキュリティ対策導入状況

半数以上が物理的な漏えい対策を導入している31

ハードディスクの暗号化

68.7%

USB接続の制限・禁止

60.3%

MDMによるスマートフォン等のリモー ト消去

53.7%

操作ログの取得と監視、ユーザー／エンティティ の行動分 析（UEBAなど）

45.3%

多要素認証

41.1%

プリンタ設定の制限・禁止

32.7%

メール・ウェブ・クラウド経由の情報漏えい対策 （DLP）

17.3%

スクリーンキャプチャの制限・禁止

9.8%

スクリーンへの透かし

4.7%

その他

8.9%

サイバーセキュリティサーベイ2022（複数選択可／n=214）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

リモートワークセキュリティ

在宅勤務におけるセキュリティ面での問題として特に関心が高いもの
回答企業の50.5%が従業員等による内部不正を懸念しています。在宅勤務率が高いほど、内部不正に対して危機感を持つ企業が多く見られます。一方、マルウェア感染やフィッシング詐欺、端末のセキュリティパッチ適用や紛失・盗難は、在宅勤務率が低いほど問題点として挙げる企業が多い傾向にあります。

在宅勤務におけるセキュリティ面での問題

50.5%が従業員等による内部不正を懸念している
従業員等による内部不正

全体（在宅勤務率）90- 100%
50- 90%
10- 50%

50.5%
66.7%
52.1%
48.5%

マルウェア感染やフィッシング詐欺

全体（在宅勤務率）90- 100%
50- 90%
10- 50%

49.1%
33.3%
46.6%
51.5%

►

VPNのシステム障害やキャパシティ不足

全体（在宅勤務率）90- 100%
50- 90%
10- 50%

39.3%
22.2%
43.8%
37.9%

►

PC等の端末の紛失・盗難

全体（在宅勤務率）90- 100%
50- 90%
10- 50%

38.3%
33.3%
37.0%
39.4%

PC等の端末のセキュリティパッチ適用

全体（在宅勤務率）90- 100%
50- 90%
10- 50%

33.2%
22.2%
35.6%
32.6%

クラウドサービスやコミュニケーションツールの停止

全体（在宅勤務率）90- 100%
50- 90%
10- 50%

28.0%
33.3%
24.7%
29.5%

その他

全体
（在宅勤務率）90- 100%
50- 90%
10- 50%

►

►

►

►

2.3%
0.0%
0.0%
3.8%

© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

公衆WiFiのセキュリティ
シャドーITの管理

インターネットブレイクアウト時のSaaS設定・ID認証
在宅用PCを乗っ取った不正侵入、
不正アクセス等（複数選択3つまで可／n=214）
サイバーセキュリティサーベイ2022

32

テーマ02

テーマ02

リモートワークセキュリティCO

L U M N

リモートワーク環境のセキュリティリスク
リモートワーク環境においては、社内環境だけでなく、クラウド等の社外環境やPC・スマートフォンなどのエンドポイントへの攻撃も想定され、対応が求められる。

第三者

エンドポイントの脅威

クラウド環境の脅威• 脆弱性を突いた攻撃• 安全性の低い通信方式• なりすまし等• HW／OSの改造• 有害サイト・アプリ利用• ソーシャルエンジニアリング• デバイスの紛失／盗難等

不注意な従業員

リモートワーク端末

社内環境
の脅威

クラウドサービス• マルウェアの横感染• 不正な侵入行為
等

企業内ネットワーク
認証サーバ

社内OA

公衆回線 or VPN

Solution

Solution
許可されていないクラウドの利用制限

BY O Dの許可判断
プライベート利用の制限

端末33

持ち出しP Cのセキュリティ対策
端末からの情報漏えい対策

サイバーセキュリティサーベイ2022

Solution

クラウド

利用するクラウドのセキュリティ強化
本人認証の厳密化

不正侵入への対策

社外からのアクセス制御

社内環境

ネットワークの増強

セキュリティ監視・運用の強化© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

制御システムセキュリティテーマ03制御システムセキュリティ

制御システムに関する事業への取組み
回答企業の約3割が、工場・プラントにおける制御システムに関する事業に取り組んでいます。そのなかで海外工場が存在する企業において、統制管理ができていないとの回答は68.7%に達しており、前回（2019年）の調査と同じ傾向が見られます。

制御システムに関する事業に取り組んでいる企業（回答企業の業種別内訳）

海外工場の統制管理の状況

海外工場の統制管理は前回調査時から進んでいない

産業用
機器製造
8.3%

鉄鋼・
金属製造
6.9%

食品・
飲料製造
9.7%

今回

その他の
製造業

前回

68.7%

海外の工場は統制管理していない

68.7%

海外の一部の工場を統制管理している

17.9%

海外の工場すべてを統制管理している

13.4%

62.5%

30.6%

輸送用
機器製造

25.0%

11.1%

電子機器、
電子部品製造石油・化学・
繊維等製造
18.1%

15.3%

（n=86）

35

サイバーセキュリティサーベイ2022

12.5%（n=86）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

制御システムセキュリティCO

L U M N

スマートファクトリー化で懸念されるサイバーセキュリティリスク
スマートファクトリーは、ドイツが提唱したIndustry 4.0で謳われた技術コンセプトであり、ビッグデー

多岐にわたるためサイバー攻撃の標的になりやすく、かつさまざまなデバイスがネットワークに接続する

コストの最適化を主眼としている。日本においても、Society 5.0で提唱する概念として取り上げられて懸念しているものの、スマート化された工場におけるリスクをどのように評価し、どのようなセキュリ

タ、ロボット、A I による生産や流通工程のオートメーション化、データ利活用による生産コストや流通ために、被害を受けた場合は操業に直接的なインパクトを与える。多くの企業において、サイバー攻撃をおり、停滞した日本の製造業が抱える技術継承、生産性向上などの課題解決策として注目され、各企業でティ対策を導入するかが課題となっている。

取組みが加速している。

課題解決のアプローチとしては、スマートファクトリー化の目的（品質の安定化、生産リソースの低減、

スマートファクトリー化が進んだ工場では、さまざまなデバイスをネットワークに接続し、蓄積したデー製品の開発・設計の自動化など）と、最新テクノロジー（A I 、クラウド、I o T 、ロボティクスなど）のタを分析することでクラウド、A I 、ロボットなどの最新テクノロジーを活用する。従来の工場と比較し活用事例を組み合せてスマートファクトリーの工場モデルを作成し、そのモデルごとにリスクとセキュリて、ERP、SCMなど情報系との通信、クラウド、リモートなど外部との通信等、ネットワークの接続がティ対策を検討するアプローチがある。工場モデル化により海外も含めた工場展開も期待できる。

• SCM• ERP／MRP（エンタープライズ）• データウェアハウス

• 故障予測• 生産予測分析• データウェアハウス

ネットワーク機器

ネットワーク機器

外部回線

外部回線

ERP／MRP（ローカル）ITインフラPLM

生産・開発
シミュレータ

機械学習
システム

情報系LAN

コンピュータ
設計支援（CAD）

プランニング

OA端末

オフィスLAN

倉庫管理システム
（WMS）

L4
OA系

関係会社・協力会社LAN

ネットワーク機器

製造実行
システム（MES）

RFID管理システム

L3ネットワーク

コントローラ

制御

入出庫
実績データ

実績
データ

RFID

自動倉庫

RFID

RFID

入力

L3ネットワーク

ソフトウェア開発システム

制御用端末

L3ネットワーク

IFユニット

製造装置

センサー

製造装置

センサー

制御ネットワーク

製造装置

センサー

製造装置

センサー

L3.5
ネットワーク境界

FA端末

L3ネットワーク

IoT
GW

L4.5
ネットワーク境界

OA端末

ネットワーク機器
モニタリングL5
外部サービス

作業情報データ 進捗実績データ

センサー群

作業情報
データ収集

© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

作業指示
入力

L3
FA系

ソフトウェア
開発用端末
監視制御システム

制御LAN

監視端末

制御装置

ユーティリティ

L2-L1
FA系

発電 受配電 排水・整水 etc.

サイバーセキュリティサーベイ2022

36

テーマ03

テーマ03制御システムセキュリティ

制御システムへのサイバー攻撃実態
制御システムへの攻撃は、従来から存在するマルウェア感染したリムーバブルメディアからの感染拡大に加えて、悪意のある
第三者からの電子メール（フィッシング）による攻撃が多くなっています。これは海外も同じ傾向であり、工場・プラントの物理的なセキュリティ対策だけでは防ぐことが困難になってきていることがわかります。また、攻撃経路がわからないというユーザーが多いことも大きな課題です。

過去に発生した制御システムに関するセキュリティ事象（未然に防がれたものを含む）の攻撃経路・場所

マルウェア感染したリムーバブルメディアと、電子メール（フィッシング）による攻撃が多い
マルウェア感染したリムーバブルメディア

21.3%
24.5%

電子メール

16.9%
22.6%

不正なプログラムが組み込まれたソフトウェア・ハードウェア

5.6%
10.7%

マルウェア感染したモバイルデバイス

3.4%
6.9%

改ざんされた第三者ウェブサイトへの誘導

3.4%
8.2%

組織のウェブサイトへの不正アクセス
無線ネットワークへの侵入

日本

2.2%
4.4%
1.1%
3.1%

その他

3.4%
7.5%

わからない

42.7%
12.1%

出所：海外は「(CS)2 AI-KPMG Control System Cyber Security Annual Report 2020」の調査データをもとに分析
https://assets.kpm g/c ont ent /dam /k pm g/xx /pdf/2020/10/k pmg-c ontrol -sy stem-cy ber-s ec urity -a nnual-r eport.pdf

37

サイバーセキュリティサーベイ2022

海外（日本：複数選択可／n=86）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

制御システムセキュリティ

制御システムセキュリティの予算と統括管理
制御システムのセキュリティに関する予算部門については、制御システム（OT）部門の関与が58.2%と半数以上を占めています。統括部門については、情報システム（IT）部門の関与が36.0%ですが、32.6%が「統括部門がない」、または「わからない」と回答しています。また、業務の委託先に対してセキュリティ対策を要請できている企業は、わずか17.5％です。

制御システムの統括部門と予算部門業務の委託先に対するセキュリティ対策の取組みの要請状況

予算はOT部門、統括はIT部門が関与していることが多い

IT部門が該当
予算部門

統括部門

12.8%

15.1%

IT

委託先に対してセキュリティ対策を要請できていない

IT部門とOT部門が該当

該当部門
はない

わからない

44.2%

14.0%

19.8%

9.2%

OT

IT/OT

OT部門が該当

31.4%

20.9%

22.1%

10.5%

IT/OT

すべての委託先に要請

4.7%

ある程度
重要な委託先に要請

12.8%

あまり要請していない

18.6%

まったく要請していない

22.1%

わからない

41.8%

（n=86）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

（n=86）

サイバーセキュリティサーベイ2022

38

テーマ03

テーマ03制御システムセキュリティCO

L U M N

サプライチェーンに対するサイバーセキュリティ監査
DXに代表されるテクノロジーの進化、脱炭素社会を目指した水素・再生可能エネルギーインフラの整備などの外部環境や、
グローバルに張り巡らされたサプライチェーン構造の複雑さにより、企業経営の難易度は飛躍的に高まっている。サプライチェーンの拡がりにおいてサイバーセキュリティは大きな課題であり、セキュリティレベルが低い取引先がサイバー攻撃を受けると、サプライチェーン全体に影響を及ぼす可能性がある。エネルギー業界においてはサプライチェーンのサイバーセキュリ
ティ監査の取組みが加速しており、NIST CSFをベースとしたサイバーセキュリティ監査が取引先に求められている。

S ACS -002 Thir d P arty Cybersecurity S tandard
NIS T CSF機能NIS T CSFカテゴリー

コントロール

情報資産の管理要件

Asset Management (AM)1

Governance (GV)

3

Risk Assessment (RA)2

Risk Management Strategy (RM)

1

Access Control (AC)19

Awareness and Training (AT)3

Data Security (DS)20

Information Protection Processes and Procedures (IP)13

情報保護のプロセスと手順

Protective Technology (PT)10

FW・IPSなどの境界防御や物理的な保護

検検知
知Anomalies and Events (AE)2

不正なイベントの監視

Continuous Monitoring (CM)

6

応
対対応

Communications (CO)4

Mitigation (MI)

2

識識別
別

御
防防御

サイバーセキュリティに関する方針や体制

リスクアセスメントのペネトレーションテスト
サイバーセキュリティリスク評価

システム・ネットワークおよび物理的なアクセス制御

サイバーセキュリティに係る従業員への通知、トレーニング

データの保護アカウント、デバイス、アクセスなどの継続的なモニタリング
インシデント管理

脆弱性対応、DDoS攻撃に対する軽減策
出所：「SACS-002 Third Party Cybersecurity Standard」をもとにKPMGが資料作成

https://www.aramco.c om /-/m edia /dow nl oa ds /wor king-with-us/ccc /sa cs -002-t hir d-party -c ybers ec urity -sta ndar d.pdf?l a=en& has h=BF094FB8D 0E C073102DED 6F6BCAB5B7879B1D2BB

39

サイバーセキュリティサーベイ2022© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

制御システムセキュリティ

制御システムセキュリティ対策方針の整備
47.6%が制御システムセキュリティに係る対策方針が整備できていない状況ですが、前回（2019年）調査の60.0%と比べると、改善傾向にあります。なお、海外においては制御システムセキュリティ対策方針を整備するため、NIS T CS F等のサイバー

セキュリティのフレームワーク・ガイドラインが参照されています。

制御システムセキュリティ対策方針の整備状況

海外で参照される制御システムセキュリティフレームワーク

制御システムセキュリティ対策方針を整備する企業が増えている
今回

制御システムセキュリティ対策方針を単体で取りまとめた規程がある

単体で取りまとめた規程はないが、他の社内規程に制御システム
セキュリティ対策方針を含めて記載している

制御システムセキュリティ対策方針は策定していない

前回

NIST CSF

71.1%

CIS Top 20 critical security controls

44.1%

IEC 62443

38.8%

ISO 27000

34.2%

COBIT

12.5%

その他

29.7%

19.8%
13.0%

32.6%
27.0%

47.6%
60.0%

（n=86）

出所：海外は「(CS) 2 AI-KPMG Control System Cyber Security Annual Report 2020」をもとに集計

https://assets.kpm g/c ont ent /dam /k pm g/xx /pdf/2020/10/k pmg-c ontrol -sy stem-cy ber-s ec urity -a nnual-r eport.pdf© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

サイバーセキュリティサーベイ2022

40

テーマ03

テーマ03制御システムセキュリティ

制御システムのセキュリティアセスメント
日本では制御システムに対するセキュリティアセスメントは浸透しておらず、39.5％が実施していない状況です。一方、海外では52.9％が少なくとも年に1回以上実施していると回答しています。海外と比べると、日本はセキュリティアセスメントの実施において大きく遅れていると言えるでしょう。

制御システムに対するセキュリティアセスメントの実施状況

海外と比べてセキュリティアセスメントの実施は大きく遅れている
半年に1回以上

2.3%

年1回

7.0%

2年に1回

2年に1回以下の頻度

日本

20.0%

32.9%
1.2%
10.3%
10.5%
4.5%

セキュリティインシデントに対応して実施

11.6%

実施していない

39.5%

わからない

27.9%

5.8%

6.5%

20.0%
出所：海外は「(CS) 2 AI-KPMG Control System Cyber Security Annual Report 2020」をもとに集計

https://assets.kpm g/c ont ent /dam /k pm g/xx /pdf/2020/10/k pmg-c ontrol -sy stem-cy ber-s ec urity -a nnual-r eport.pdf

41

サイバーセキュリティサーベイ2022

海外（日本：複数選択可／n=86）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

制御システムセキュリティ

制御システムのセキュリティ監視
日本では、制御システムのセキュリティ監視を実施している企業はわずか9.3％にとどまり、また計画されていない企業が47.7％と、ほとんど実施されていない状況です。一方、海外では監視を実施している企業は30.3%に上り、パイロットや実施予定も含めると9割近くとなっており、日本と海外とでは大きく開きがあります。

制御システムのセキュリティ監視

日本では制御システムのセキュリティ監視が遅れている
監視している

12ヵ月以内に実施予定

24ヵ月以内に実施予定

パイロットプロジェクトにて実施

日本

9.3%
30.3%

海外

5.8%
17.4%
7.0%
10.3%
3.5%
31.0%

監視は計画されていない

47.7%

その他

1.2%

わからない

25.5%

11.0%

－
－

出所：海外は「(CS) 2 AI-KPMG Control System Cyber Security Annual Report 2020」をもとに集計

https://assets.kpm g/c ont ent /dam /k pm g/xx /pdf/2020/10/k pmg-c ontrol -sy stem-cy ber-s ec urity -a nnual-r eport.pdf© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

（日本：複数選択可／n=86）

サイバーセキュリティサーベイ2022

42

テーマ03

テーマ03制御システムセキュリティ

制御システムセキュリティ対策が進んでいない原因
制御システムセキュリティ対策が進んでいない原因としては、知見・人的リソースの不足、主管組織の欠如であることがうかがえます。こうした状況においても、50％の企業が制御システムのセキュリティ教育・訓練を実施できておらず、企業にとってセキュリティ人材の確保・育成は大きな課題です。

制御システムセキュリティ対策が進んでいない原因

制御システムのセキュリティ教育・訓練の実施状況

知見・人的リソースの不足、主管組織が曖昧であることが主な原因となっている
知見のある実務担当者が足りない対策を主管する組織がはっきりしていない
人的リソースが不足している
従業員の意識が低いシステムを止められないため対策を実装できない
ベンダー保証外になるため対策を実装できない対策の必要性を感じていない

サイバーセキュリティ脅威の情報が不足している対策のための予算を確保できない

複雑な制御システム・ネットワーク
有効なソリューションがないその他

43

サイバーセキュリティサーベイ2022

18.8%
14.9%
13.7%
10.2%
7.8%

制御システムのセキュリティ教育・訓練は実施できていない

情報システムのセキュリティ教育・訓練とは別に実施している14.3%

情報システムのセキュリティ教育・訓練の一部として実施している

13.1%

制御システムのセキュリティ教育・訓練は実施していない

50.0%

わからない

22.6%

7.5%
6.7%
6.3%
4.3%
4.3%
2.4%
3.1%
（複数選択可／n=86）（n=86）© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

制御システムセキュリティ

制御システムセキュリティ対策の実施状況
制御システムのセキュリティ対策は、ネットワーク対策に重点が置かれている傾向が見られますが、これは制御システムの設備機器そのものに対策を実施することが難しいことが要因の1つと考えられます。今後の課題としては、設備機器の脆弱性管理や統合ログといったセキュリティ運用面の対策が挙げられます。

制御システムセキュリティ対策の実施状況

脆弱性管理、統合ログ管理などのセキュリティ運用面の対策が遅れている
無線ネットワーク対策

十分できている

ある程度できている

11.6%

39.5%

ネットワークセキュリティ対策

9.3%

持ち込み機器対策

10.5%

29.1%

エンドポイントセキュリティ対策

9.3%

30.2%

資産管理

9.3%

29.1%

リモートアクセス制御

11.6%

アカウント管理

9.3%

脆弱性管理

5.8%

統合ログ管理

40.7%

22.1%

14.0%

7.0%

3.5% 4.7%© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

（n=86）

サイバーセキュリティサーベイ2022

44

テーマ03

テーマ03制御システムセキュリティCO

L U M N

工場におけるゼロ・トラストアーキテクチャとは？
昨今IT環境においてゼロ・トラストアーキテクチャの導入が検討されているが、従来の制御システムは大規模かつ平坦なネットワークとして実装されていることが多く、ネットワーク境界対策も不十分だったため、容易に侵入可能な状態になっていた。
また、工場ネットワーク内部の設備機器は古いものが多くエンドポイントのセキュリティ対策が難しいため、物理的な保護に頼らざるを得ない。そのため、工場においてはゼロトラストと他の標準ベースのアプローチ（例：IEC 62443 Zones and Conduits）を組み合せることで、工場のセキュリティ強化を図っていくべきである。

業務端末

1
外部

リモートワーク環境

関連会社・取引先

他拠点・工場1
2
ゼロトラストのアプローチ

業務システム 3

ITインフラ
ID認証プロキシ／
共通認証ID基盤

L4
情報系システム・メール・ウェブ 等PDM
CAD/CAM

ERP/SCM
生産管理システム

4

3
1

業務端末

拠点・工場
情報系ネットワーク
4

境界型
セキュリティ
との組合せ
アプローチ

L3～L1
制御系システム・ゲートウェイサーバ
・ヒストリアン 等
DMZ

エンジニアリング
端末

5
HMI
6

制御系ネットワーク
生産設備

45

サイバーセキュリティサーベイ2022

認証・認可の強化
システムのクラウド化
・ITインフラや設計・開発（PDM）、
ERP／SCM等の業務システムの移行
クラウドセキュリティ
・SIG、CASB 等

4MES

制御情報系ネットワーク
5

2

エンドポイントセキュリティ
・EDR ・DLP ・MDM ・SOC監視

境界型セキュリティ
・FW ・SOC監視 ・DMZ
エンドポイントセキュリティ
・MDM
・IDS等による監視
・マイクロセグメンテーション

6© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of
independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

発行元
KPMGコンサルティング株式会社
株式会社 KPMG F AS
お問合せ先KPMGコンサルティング株式会社
T：03 - 3548 - 5111

E ：kc@jp.kpmg.com

home.kpmg/jp/cyber-security

文中の社名、商品名等は各社の 商標ま たは登 録商 標であ る場合 があ ります 。本文 中で は、 Copyright、 TM 、Rマーク 等は省 略し ていま す。

ここに 記載 され てい る情報 はあ くま で一 般的 なも のであ り、 特定 の個 人や 組織が 置か れて いる 状況 に対応 する もの では あり ません 。私 たち は、 的確 な情報 を
タイム リー に提 供す るよう 努め てお りま すが 、情 報を受 け取 られ た時 点お よびそ れ以 降に おい ての 正確さ は保 証の 限り では ありま せん 。何 らか の行 動を取 られる場 合は 、こ こに ある情 報の みを 根拠 とせ ず、プ ロフ ェッ ショ ナル が特 定の状 況を 綿密 に調 査し た上で 提案 する 適切 なア ドバイ スを もと にご 判断 くださ い。
© 2022 KPMG Consulting Co., Ltd., a company established under the Japan Companies Act and a member firm of the KPMG global organization of independent
member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved. 22-1001
The KPMG name and logo are trademarks used under license by the independent member firms of the KPMG global organization.