JSSM ２３nd E-2-1

1

ＩＮＤＥＸ

1．セキュリティを取り巻く環境
1．セキュリティを取り巻く環境
2．調査概要2．調査概要3．調査結果3．調査結果4．調査結果からの考察
4．調査結果からの考察
2

1.セキュリティを取り巻く環境
情報セキュリティ大学院大学内田研究室では2003年より毎年継続して日本国内の情報セキュリティ調査を実施している。
米国の情報セキュリティのベンチマーク的な役割を果たすCSI（Computer Security
Institute）の調査とほぼ同様の項目の調査項目を設定し、日米比較を行う。

ただし、セキュリティを取り巻く環境が異なり単純に比較できない部分がある。

均質な社会
・ほぼ単一民族国家
・安全な社会（国別治安ランキング5位※１）
・社会が安全を保障するという考え方

多様性を持った社会
・典型的な多民族国家
・高い犯罪率（日本の約5.1倍：2005年※２）（国別治安ランキング97位※１）
・安全は自分で守るという考え方。

社会の変化やＩＴ化の加速等により日本の均質性は崩れつつある。
⇒情報セキュリティ分野ではこれが顕著になりつつあることをふまえて調査データを読み解いていきたい。
※１Global Peace Index 200８年調査結果 http://www.visionofhumanity.org/gpi/results/rankings/2008/※２外務省 海外安全ホームページ 安全対策基礎データより http://www.anzen.mofa.go.jp/info/info4_S.asp?id=22132．調査概要（調査対象）

2．調査概要調査対象

下記から選択した約9,000の組織に調査資料を送付

約5,000人の情報セキュリティ専門家に対して調査資料を送付。

会社四季報（上場企業，未上場企業）
教育機関（4年制大学）
自治体(県，政令指定都市，中核市)

対象者は，送付者側で抽出するのではなく，原則として自薦による匿名での回答を得る形で実施

匿名での回答を得る形で実施

2009年回答数644件※以降「国内調査」（年Ｊと表記）

2008年回答数522件※以降「CSI調査」（年Ｃと表記）

4

2．調査概要（国内設問構成）
2．調査概要国内調査設問の構成
1 貴組織・ご記入者について
2 情報セキュリティ予算について
3 情報セキュリティ監査について
4 情報セキュリティ教育について
5 情報セキュリティ対策について
6 情報セキュリティ事故（インシデント）の発生について
7 情報セキュリティ事故（インシデント）が発生した時の、組織の対応について⇒全37問、設問は金額記入を除き全て選択形式とした。

日米比較をおこなうために、質問項目をあわせ、さらに質問を追加した。
回答用紙は以下のＵＲＬからダウンロード可能
http://lab.iisec.ac.jp/~uchida_lab/enq/csi/2008/index.html
52．調査概要（回答組織規模）

2．調査概要回答組織の規模【 国内調査】

2009J

10,000～49,999人 3%
1,500～
9,999人

1%

7%

16%
3% 1%
16% 19%4%
25%
17% 16%16%

300～499人

外側：2009年 n=638
内側：2008年 n=721

1～99人

13%

1,000～
1,499人500～999人

50,000人
以上【 C2008C
SI調査】
50,000人以上 12%15%9%13% 20%
14%
26%
17%

10,000～49,999人

100～299人

28%
16%

母集団である会社四季報の分布とほぼ同等の分布

外側：2008年 n=516
内側：2007年 n=485

1,500～
9,999人

21%

1～99人
23%
100～499人

15%
14% 500～1,499人

自薦の情報セキュリティ専門家が回答していることから，専門組織を置いている大組織の回答が多かった

国内調査の方が調査対象を網羅していると考えられる。
6

2．調査概要（回答組織規模）

2．調査概要回答組織の規模
500人以上の組織の割合
2008C

40%

62%

1,500人以上の組織の割合

１７％

４８％
7

3.1情報ｾｷｭﾘﾃｨ予算について(1)3.1情報セキュリティ予算について
情報セキュリティ予算が情報システム予算に占める割合
情報セキュリティ予算の割合

10%

2009J
n=611
2009年国内
n=611
2008J
n=699
2008年国内
n=699
2008C
n=518
2008年CSI n=518
2007C
n=484
2007年CSI
n=484

9%
7%
5%

情報セキュリティ予算として独立して把握していない比率が高い
2009J: 32%

2%
1%

不明0%

5%

10%

15%

20%

25%

30%

35%
8

3.1情報ｾｷｭﾘﾃｨ予算について(2)3.1情報セキュリティ予算について

まだセキュリティ予算として独立した予算として把握していない比率が高い。

日本と比較しセキュリティ予算の割合が多い。

前回調査より情報システム予算のうちセキュリティ予算割合1%以上の比率が約2%増加している。

⇒情報システムのうち３～５%を情報セキュリティ予算としている組織の割合24%

情報セキュリティの重要性を組織が認識し、ある程度の予算確保をしたためと思われる。

米国では情報セキュリティ予算がITだけではなく法務から監査業務までを含んでいることを考慮すべき。

今後は国内組織も情報セキュリティをIT投資としてではなく、別投資として分け、組織構造も抜本的に改革していく必要があるものと思われる。
94.2ポリシーについて

3.2ポリシーについて
情報セキュリティポリシーを定めている割合【2009年国内】

2009J

10,00人500～1%
以上
非公式なポリシーを定めている 公式なポリ 9,999人
シーを定め 8%ている途中

11%

公式なポリシー
公式なポリシーを定めてを定めている
いる
61%

61%

n=636

1～499人
1～4,99人

13%
ポリシーはない

13%
1%
その他

【2008年CSI】

2008C

1%
公式なポリシーを定めている
途中

90%
90%
その他
17%
建設業

製造業
10%

非公式なポリシーを定めて
いる

12%

40%

卸売・ 13%20%
小売業
大学

ポリシーはない

18%

2% その他

公式なポリシー
公式なポリシーを定めてを定めている
いる
68%

61%
n=512

規模の小さい組織ほどポリシーが定められていない。

104.2ポリシーについて

3.2ポリシーについて
情報セキュリティポリシーを定めていない組織
ポリシーのない組織の割合

13%

1%

ポリシーを定める事なくセキュリティ対策を行っても効果が保証されない。
中小組織はセキュリティポリシーテンプレートの適用を実施すべき。

11

3.3投資効果算定について(1)

3.3投資効果算定について
情報セキュリティの投資効果の算定方法
2009J
2008J

n=610
n=706

2009年国内 n=610
国内にお2008年国内
n=706
いて投資
2008C n=408
2007C n=408
n=314
2008年CSI効果を算
2007年CSI n=314
定している 投資効果を算定している組織は極組織の割合(IRR,NPV,ROIの計)めて少ない

IRR
NPV
ROI

3%

93%

未実施
他
0%

20%

40%

60%

80%

100%
12

3.3投資効果算定について(2)3.3投資効果算定について投資対効果を算定している組織は非常に少ないが、一部の組織が情報セキュリティ投資効果の算定を米国での事例を参考に模索しはじめた。

情報セキュリティ投資効果の算出がもはやスタンダードになっている。

情報セキュリティ投資効果を算出する様々な手法を取り入れ、情報セキュリティ予算を確保すべき。
さらに投資家へその効果をアピールすることにより、企業価値を高めていく必要がある。
133.4保険

3.4保険
情報セキュリティ保険の加入割合
10%

34%
n=624

加入
90%

未加入

保険が個別セキュリティ事故に対応するものではなく、包括的な内容になっていて保険料が高い傾向がある。
この事からも、大規模法人が加入しているに留まっている。

加入
66%

未加入

情報セキュリティ保険が一般的になってきており、企業において情報セキュリティを検討する中で、保険が選択肢としてある。

保険は今後は個別セキュリティ事故に対応した製品も増えてくることが想定されることから、今後は国内組織においても加入を検討していくべきである。
14

3.5外部委託

3.5外部委託情報セキュリティ外部委託割合
外部委託割合81％～100％
61～80％
41～60％

2009J
2008C

21～40％
1～20％
０％
0102030

情報セキュリティ業務の専門性の必要性が増加し、外部に委託する企業が増えている可能性がある。

40506070（%)

専門性を考慮し、外部委託を開始した企業がある反面、情報セキュリティ業務を自社に戻す動きがあることも示している。

情報セキュリティ業務の外部委託については安全性の検証が不可欠であり、各組織が今後どのように確認していくのか考察が必要である。
⇒外部委託を行う事によってリスクが無くなる訳ではない、あくまでも業務の委託と考え、委託に伴うリスクも考慮し委託を行う事。
15

3.6教育(1)3.6教育
情報セキュリティ教育の実施割合
該当する調査項目なし

100
90
80
7060
50
4030
20
100

n=715

n=629

37%

38%

多くの組織で情報セキュリティ教育が実施されていない

実施していない

63%

62%

実施している重要視している教育内容ベスト3
1位：セキュリティポリシー（74%）
2位：ネットワークセキュリティ（57%）
3位：セキュリティマネジメント（47%）

２００７Ｊ
2008J

２００９Ｊ
2009J
16

3.6教育(2)3.6教育
該当する調査項目なし

・約4割の組織において情報セキュリティ教育が実施されていない。
・情報セキュリティ教育の実施割合は2008年とほとんど変化していない。

セキュリティを取り巻く環境は1年で大きく変化するが、変わらない（変えられない）組織の姿を見る事ができる。
情報セキュリティ教育なしに各種の施策を行っても効果は限定的となり、組織全体の情報セキュリティリスクの削減にはならない。
情報セキュリティ教育は、セキュリティ施策を行う上で組織が共通のベースを作り出す上で必須である。
173.7導入技術

3.7導入技術
導入技術上位5位の経年変化（2009Jを基準に上位5位）%
２００９Ｊ

ウィルス対策ソフト
ファイアーウォール
一般的なパスワード認証
アクセス制御スパイウェア対策ソフト
VPN
IDS

２００８Ｊ

２００８Ｃ

２００７Ｃ

順位 割合 順位 割合 順位 割合 順位 割合
198
199
197
198
291
292
294
297
381
378
1446
951
473
474
1350
856
560
654
480
480
654
555
385
384
1130
1123
569
569

前年と比較して国内での大きな変化なし。
日本では未だ一般的なパスワード認証に依存する比率が高い。

2008CではＶＰＮが３位、ＩＤＳが５位に入る。
比較的コストがかかるセキュリティ製品であっても効果が見込めれば導入が進む。
一般的なパスワード認証に代わる認証技術の導入が進んでいる。
(Smartcard 36% Biometrics23%)

米国の技術をウオッチし、効果が見込めるものを日本にも積極的に導入すべき。 18

3.8ｾｷｭﾘﾃｨ確保のための対策(1)3.8セキュリティ確保のための対策
情報セキュリティ確保のため、最も効果的だと思う対策

2009J
2008C

1. 内部セキュリティ監査
2．外部セキュリティ監査
3．内部ペネトレーションテスト
4．外部ペネトレーションテスト
5．脆弱性検査ソフト
6．メール監視ソフト
7．ウェッブ監視ソフト
8．自動監査ツール
9．その他
10．対策なし※5.脆弱性検査ｿﾌﾄと9.その他はＣＳＩ調査では項目なし

19

3.8ｾｷｭﾘﾃｨ確保のための対策(2)3.8セキュリティ確保のための対策

セキュリティ確保の対策として監査が上位に挙がっている。
↓監査が有効であるという認識が高まっていると推測される。

日本以上に監査を有効と考えている割合が高い。
（内部監査の割合が高いのは、組織内に専門家を有しているためと推測される。⇒内部監査は状況にフレキシブルに対応でき、またそれが出来る実力を組織が有している）

また、監査だけではなく、テスト、ツールを組み合わせてセキュリティを確保している事が推測される。
セキュリティ確保の対策としては、監査等の運用技術とテスト、およびセキュリティツールを組み合わせる事が望ましい
20

3.9監査3.9監査
監査を実施している組織の割合
国内における監査実施の割合
CSI調査では、内部監査・外部監査の実施状況のみを設問化していないため単純な比較はできないが、セキュリティ技術の評価を行うツールとして、49%が外部監査を、64%が内部監査を利用している
n=629

監査自体が情報セキュリティを確保する有効なツールであると認識されている。

48%の組織において情報セキュリティ監査を実施していない監査を行なう事により組織の現在の状況、情報セキュリティに対する数々の施策及び効果を客観的に示す事ができる。
21

3.10インシデント(1)3.10インシデント
インシデント発生率（2009Jを基準に上位5位）%
２００９Ｊ ２００８Ｊ ２００８Ｃ

ウィルス感染

順位 割合 順位 割合 順位 割合
150
160
160

発生していない

242

230

ノートＰＣの盗難

315

325

342

内部者のネット・アクセス乱用

410416244Ｄｏｓ攻撃5759621

n=714

n=633

--n=433

・国内ではインシデントの発生傾向は前回調査から変化していない。しかし、2位に「発生していない」が入っている事は、事象を把握しエスカレーションする仕組みがうまく機能していないため、発生を知らないという懸念がある。

的確に事象・インシデントを捉える仕組みの充実が必要。
22

3.10インシデント(2)3.10インシデント
発生したインシデント（事故）金額

回答のあったインシデントの総件数は732件（１組織複数回答あり）。

2008年ＣＳＩ報告書ではサマリのみ記載あり。

インシデント1件当たりの平均被害額は約４３万円。

インシデント1件当たりの平均被害額は3万5千ドル 。(日本円で約350万円※)

最大の金融詐欺で２億円の損害。

最大の金融詐欺で50万ドルの損害。
（日本円で約５千万円※）

情報資産の損失額（総計）が顕著に増加している。
2008計8千400万円
2009計 1億3千800万円※ 1$=¥100換算

国内においても高額の被害が発生している。被害のパターンを知り最適な対策を取る必要に迫られている。
23

3.10インシデント(3)3.10インシデント
内部的な対応 （2009Jを基準に上位5位）

%
２００９Ｊ

加害者を特定しようとした
ｾｷｭﾘﾃｨﾎｰﾙを塞ぐ為の暫定処置
ｾｷｭﾘﾃｨｿﾌﾄをｲﾝｽﾄｰﾙした
ｾｷｭﾘﾃｨﾊﾟｯﾁをｲﾝｽﾄｰﾙした
その他

２００８Ｊ

２００８Ｃ

順位 割合 順位 割合 順位 割合
131
133
160
229428254
329330
437
428
231
346
523
22-

米国の方がインシデントレスポンスの体制が確立されている。
国内においても早急に体制を整える必要がある。

外部組織への届出（2009Jを基準に上位5位）
２００９Ｊ

届出を行わなかった
警察
ＩＰＡ
その他
監督官庁
ＪＰＣＥＲＴ／ＣＣ%
２００８Ｊ

順位 割合 順位 割合
1691662222223847384757396362

該当する
調査項目なし国内の傾向は変わらない。届出の割合を高めるために、インシデント情報を共有する仕組みの強化が必要。

24

4.調査結果からの考察(1)4．調査結果からの考察
日米比較から見た国内の状況の考察①金融・保険業、教育機関の回答の減少①金融・保険業、教育機関の回答の減少
セキュリティの主体がアンケートを送付した企業本体では無く，関連セキュリティの主体がアンケートを送付した企業本体では無く，関連企業にアウトソースされているため回答されないケースがあったと考企業にアウトソースされているため回答されないケースがあったと考えられる。
えられる。
②回答の6割を占める中小組織では、セキュリティの専門役職者が②回答の6割を占める中小組織では、セキュリティの専門役職者がいない。
いない。 また、セキュリティ対応体制の整備も遅れている。
また、セキュリティ対応体制の整備も遅れている。
国内調査では，中小組織では情報セキュリティの専門役職である
国内調査では，中小組織では情報セキュリティの専門役職である
CSO，CISO不在の割合が高い。また、セキュリティ全般を専門とするCSO，CISO不在の割合が高い。また、セキュリティ全般を専門とする組織を設ける予算、人材が不足している事が読み取れる。
組織を設ける予算、人材が不足している事が読み取れる。
③セキュリティポリシーのない組織が13%あり、小規模組織での割合③セキュリティポリシーのない組織が13%あり、小規模組織での割合が高い。
が高い。
セキュリティポリシーは流用できる。ポリシーテンプレート等の活用をセキュリティポリシーは流用できる。ポリシーテンプレート等の活用を行いポリシーを定める事を提言したい。
行いポリシーを定める事を提言したい。
25

4.調査結果からの考察(2)4．調査結果からの考察④投資効果を計っている組織は僅かしかない。
④投資効果を計っている組織は僅かしかない。
セキュリティだけに無限に投資できる組織はない。今後ステークホル
セキュリティだけに無限に投資できる組織はない。今後ステークホル
ダーは、組織に対して情報セキュリティ投資効果の算定を求めるよう
ダーは、組織に対して情報セキュリティ投資効果の算定を求めるようになる。になる。
⑤約4割の組織が情報セキュリティ教育を実施していない。
⑤約4割の組織が情報セキュリティ教育を実施していない。
情報セキュリティ教育は組織にセキュリティに対する共通の認識を生
情報セキュリティ教育は組織にセキュリティに対する共通の認識を生む。セキュリティ施策の遂行には情報セキュリティ教育は必須である。
む。セキュリティ施策の遂行には情報セキュリティ教育は必須である。
⑥日本国内のセキュリティ状況は米国並みに悪化している。
⑥日本国内のセキュリティ状況は米国並みに悪化している。
セキュリティ状況の悪化に対して、対策・体制が追いついて行かない
セキュリティ状況の悪化に対して、対策・体制が追いついて行かない状況が読み取れる。セキュリティ状況をタイムリーに捉え、リスクに対状況が読み取れる。セキュリティ状況をタイムリーに捉え、リスクに対応した対策を取る必要がある。
応した対策を取る必要がある。

以上

26