拝啓時下ますますご清祥のこととお慶び申し上げます。情報セキュリティは今や企業・組織だけではなく、一般社会においても重要な課題であり、情報システムの安全性・信頼性を確保するための情報セキュリティ対策が非常に重要となっております。私ども情報セキュリティ大学院大学原田研究室（教授：原田要之助）では、情報セキュリティマネジメント等に関する研究を行っており、今年度の調査では、情報セキュリティマネジメントの取組み状況やリスク認識、支出動向等の調査を行い、社会における情報セキュリティマネジメントの現状について分析すると共に、課題を抽出したいと考えております。お忙しい中、大変恐縮ではございますが、本趣旨をご理解頂き可能な範囲で結構ですので、是非ともご回答頂きますようお願い申し上げます。敬具[調査について]本調査は、プライバシーマーク認証取得企業、ISMS認証取得企業、官公庁及び教育機関から4,500組織を選定し依頼しております。調査結果は統計的な処理を行い、貴社名・ご記入者名等の個別属性を公開することはありません。また、ご回答いただいた内容は本調査に関連するもの以外に利用することはありません。調査の分析結果は、12月上旬に本学のWebサイト上で公開する予定です。これまでの調査結果につきましては(http://lab.iisec.ac.jp/~harada_lab/survey.html)にて公開しております。 [質問回答方法]本用紙に回答をご記入のうえ、同封の封筒によりご返送ください。選択式設問のご回答は、該当する選択肢の番号を○で囲んでください。調査回答票は2017年8月31日(木曜日)までにご投函くださいますようお願い申し上げます。 [ご質問・お問合せ先]本アンケートに関するお問い合わせは、下記連絡先まで電子メール又はFAXでお願いします。情報セキュリティ大学院大学原田研究室原田研究室Webサイト(http://lab.iisec.ac.jp/~harada_lab/survey.html)電子メール:harada.survey2017@iisec.ac.jp FAX:045-410-0238
[第1章]　貴社の概要についてお伺いします

[Q3].
[Q4].貴社[単独]の直近期の売上高（○印はひとつだけ)政府・自治体・大学等は予算額、銀行は経常収益高、保険は収入保険料または正味保険料、証券は営業収入高。売上高はない（非営利団体）  4　3億円～5億円未満50億円～100億円未満10 500億円～1,000億円未満7 5 80 1億円未満5億円～10億円未満100億円～300億円未満1,000億円以上2 l l 1億円～3億円未満10億円～50億円未満300億円～500億円未満9 3 6 [Q5].貴社[単独]の直近の全従業員数（〇印はひとつだけ） 101～300人50人以下3 5 501～1,000人51～100人301～500人1,001～1,500人6 4 1,501～5,000人7 5,001～10,000人8 9 10,001～50,000人50,001人以上10 l 2 [Q6].貴社の会社種別及び規模（〇印はひとつだけ）
貴社ではプライバシーマーク(Pマーク)、ISMS、BCMSを認証取得していますか。 [Q7]. Pマーク認証取得l (複数選択可) 4　いずれも認証取得していない[Q8].貴社において情報セキュリティ監査を実施していますか。(複数選択可)認証の維持目的に実施しているl ３　実施していない
[第2章]情報セキュリティマネジメントの取組み状況についてお伺いします
[Q9].情報セキュリティに関するリスク分析・評価を最後に実施したのはいつですか。（〇印はひとつだけ） ※リスク分析評・価とは、保護すべき情報資産を明らかにし、それらに対するリスクを分析・評価すること。
[Q11]. リスク分析・評価を行う際の問題点について、最も近いものの番号にO印を付けてください。リスクの分析・評価を行っていな
[Q12].情報セキュリティポリシー (方針・対策基準)の策定・見直し状況についてお答えください。（〇印はひとつだけ）年に1回、定期的に実施している策定していない【→Q16～】 1 3策定後、一度も見直しを行っていない数年に一回、実施している2   [Q13].情報セキュリティポリシー (方針・対策基準)の策定・見直しの手続きを行っているはどの部門ですか。（○印はひとつだけ）
情報セキュリティポリシー (対策基準)についてお伺いします。以下の対策（管理策）項目の内、過去３年間に新規導入・見[Q14].
情報セキュリティに関する支出率についてお伺いします。売上(政府・自治体・大学の場合は予算)に対して情報セキュリティに関する「支出の割合」はどの程度ですか。例 売上 50億円、情報セキュリティに関する支出 5百万円の場合は 0.1％となりま※支出：セキュリティ関連システム開発、運用、ライセンス等外部への支出総計す。） 17–1.前期の実績はいかがでしたか。（○印はひとつだけ） 0.01％未満3 l 0.01％以上、0.05％未満2 4
また、組織全体の売上（予算）について前期から今期にかけての動向(17–4)を教えて支出の傾向(17–2と3)をお答えください。
[Q18]. 以下に挙げた情報セキュリティに関するガイドラインについて、どの程度認知しているか、最も近いものの番号にORを付け

[第3章]個人情報保護法の改正についてお伺いします
保有個人データ*の保有件数についてお答えください。(○印はひとつだけ) [Q19]. ※保有個人データ:開示等および第三者への提供の停止を行うことのできる権限を有する個人データ5,000件以下わからない| 2   5,001件～50,000件   | 3   50,001件以上1 4

[第4章]情報セキュリティガバナンス体制に関してお伺いします
本章において、「情報システム部門」とは、会社の情報システムの企画、開発、運用、委託を行っている部門をいい、兼務を含みます。 「ITセキュリティ」とは、サイバーリスクに対するネットワークなどの技術的対策やウイルス対策ソフトなどのセキュリティ製品の導入・運用などをいいます。 [Q22].社長を補佐して、会社としての情報セキュリティの責任を負っている責任者(以下、情報セキュリティ責任者といいます)の職
[Q23].情報セキュリティ責任者に最も期待する役割をお答えください。(〇印はひとつだけ)情報セキュリティに関する投資やリスクの受容(リスクを受け入れるかどうか)等に関する経営判断1経営者との意思疎通(経営者がわかる視点、言葉での説明により、判断や理解を促す) 2 ITセキュリティの技術対策の導入判断や推進(セキュリティ製品、サイバーセキュリティ対策など) 3情報セキュリティや内部統制の推進(全社規程整備や全組織への徹底、社員教育など) 4個人情報保護法などの法令順守徹底5インシデント発生時の対応の指揮や指示(大規模な情報漏洩やサイバー攻撃への対応の陣頭指揮) 6組織内での情報セキュリティに関する調整役(部門間の調整や説明、コミュニケーション) 7その他（ 8 [Q24].
[Q25]. 情報セキュリティ上の要請と、情報システム上の要請が対立するとき(例えば、運用上の困難、ITコストの上昇、効率性の低下など）の対応についてお答えください。
[Q26].情報セキュリティ部門と情報システム部門の関係についてお答えください。 26-1情報セキュリティ部門と情報システム部門とは独立してあるべきだと考えるかどうかをお答えください。（○印はひとつだけ） 3　どちらともいえない・わからないはい2いいえ4　その他[ l

[第5章] Webアプリケーションセキュリティ管理の状況に関してお伺いします
本章において、アプリケーションとはウェプアプリケーションやモバイルアプリ等を指します。 ※アプリケーションセキュリティとは、ウェブベージの改さん、重要情報の搾取、サービス拒否等の攻撃からこれらのアプリケーションを守ることを指します。 ※ ※セキュアコーディングとは、アプリケーション開発の際に、脆弱性をもたないようにプログラミングすることです。 [Q27]. Webアプリケーションセキュリティの管理に当たって、貴社の主な役割として最も当てはまるものはどれですか。
[Q28]. Webアプリケーションセキュリティ対策を適用しているものを選択してください。（複数選択可）公開用Webアプリケーションクラウドサービスプロバイダが管理する商用アプリケーション5 l外部委託先によって開発されたカスタムアプリケーション既存のWebアプリケーション2 6
3 4 8
[Q30].   貴社で使用しているWebアプリケーションで危険性の高い情報漏えい又はクロスサイトスクリプティングなどの脆弱性が発見された場合、実施するセキュリティ対策と、対策又は修正に要する平均時間をお答えください。
[Q31]. 危険性の高い情報漏えい又はクロスサイトスクリプティングなどの脆弱性のあるWebアプリケーションのリスクを減らすために、
脆弱性発見時のレポートの手順と修正手順がありますか。（○印はひとつだけ） [Q33].あろ2　ないl 3　不明・わからない
[第6章]人工知能技術に関してお伺いします
本章において意味する人工知能(以下AI)技術とはコールセンター業務や記事の作成など企業で活用しているものとし、スマートフォンやバソコンに標準搭載されているものや翻訳サイト等に導入されているものを除きます。 [Q34].   貴社のAI技術の導入状況について最も近いものを選択してください。（○印はひとつだけ）導入し積極的に活用している2　導入してないが導入予定３　導入予定なし、または不明l
[Q36]. 1 2 3 [Q37]. l 2
以下に挙げる状況が発生した場合を想定して、各質問にご回答ください。自社Webサイトの改ざん:自社Webサイトが不正に改ざんされていることを発見した。状況1ランサムウェアへの感染:自分の PC がコンピュータウィルスに感染した。全てのファイルが暗号化され操作不能と状況2なり、画面には「身代金」を要求するメッセージが表示されている。状況3ソーシャルエンジニアリング:警察を名乗る男から「貴社のメールサーバーがハッカーに乗っ取られているので、セキュリティ担当者の氏名と連絡先を教えてほしい」と要請された。（電話の相手が本物か確認できない）
[Q41].各状況を想定した訓練を実施したことはありますか？ （各項目の1～4で〇印はひとつだけ）

[第8章]情報セキュリティ人材に関する状況についてお伺いします
[Q42].自社の情報セキュリティインシデント(ウイルス感染、不正アクセス等)に関わる以下の業務の担当者の有無について教えてく
[Q43].情報セキュリティ担当者を育成するためのキャリアパスはありますか？ （〇印はひとつだけ）ある（将来的なセキュリティパスとしてCISOなどのセキュリティ責任者の役職にするなど） l決めていない2不明・わからない3 4その他[ [Q44].情報セキュリティ業務の担当者に必要と考えるスキル(知識・ノウハウ)は何ですか。（複数選択可）

[第9章]その他

[Q47].本アンケートに対する忌憚のないご意見をお聞かせください。また、関心のある情報セキュリティ関連の出来事や用語について、ご記入ください。 (下欄に自由にご記入ください)