2017年情報セキュリティアンケート調査結果2017年12月30日情報セキュリティ大学院大学原田研究室ロアンケート実施期間2017年7月22日～10月31日(2010年より毎年実施8回目)ロアンケート対象4500組織の情報セキュリティ関係者日本国内のプライバシーマーク（以下「Pマーク」という）取得企業，ISMS認証取得企業，官公庁，教育機関（以下「組織」という）などロアンケート内容:情報セキュリティマネジメントの取組み状況,個人情報保護法の改正影響，情報セキュリティガバナンス体制, Webアプリケーションセキュリティ管理の状況，人工知能技術,緊急時対応の実効性，情報セキュリティ人材に関して調査　他口調査方法：郵送による口回答状況：429件（送付総数に対して9.1%）
調查項目1章概要 (回答者の基本データ等) 2章情報セキュリティマネジメントの取り組み3章個人情報保護法の改正による影響
Webアプリケーションセキュリティ管理の状況6章組織における人工知能(AI)技術の導入7章緊急時対応の実効性8章情報セキュリティ人材に関する状況9章その他過去の事例・事故・用語の認知度第1章
調査結果：口回答者の業種,年間売上高,従業員数等の基本データは昨年度と比較して大きな変化はなく,概ね同様な傾向となっている▷ 情報通信業が回答者の4割を占めている▷ 売上高10億円から50億円の組織が22％と最も多い▷ 従業員数50人以下の組織が28%と最も多い▷ また,従業員数300人未満の組織が64%を占めている▷ 民間企業61%,政府・自治体・大学34%となっているまた,民間企業の74%が中小企業が占めている▷ 41%の組織がPマークを, 47%の組織がISMSを取得している▷ また, 23%の組織がPマークとISMSの両方を取得している
設問1 回答者の所属(N=429) ■情報システム管理部門■総務部門■情報セキュリティ担当部門■社長室又は役員室=その他■情報システム開発部門■事業/営業部門■経理部門▪企画部門■人事部門■リスク管理担当部門■監査部門=コンプライアンス担当部門■法務部門■無回答(5件)所属部門は「情報システム管理部門」,「総務部門」, 「情報セキュリティ担当部門」の順に多かった
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問2 回答者の役職(N=429) ■一般社員■係長・主任■会長・社長・取締役▪課長■部長■その他■専門職■執行役・執行役員■事業部長■無回答(4件)回答者は「一般社員」が最も多く(昨年度と同様), 「祭長・主任」,「会長・社長・取締役」と続く
設問3 回答組織の業種(N=429) ■情報通信業■公務(政府・自治体) ■大学■サービス業■製造業■学術研究、専門・技術サービス業■卸売業、小売業=その他■建設業■金融業、保険業■医療、福祉■運輸業、郵便業■教育、学習支援業■不動産業、物品賃貸業■農業、林業、漁業、鉱業■電気･ガス･熱供給･水道業■宿泊業、飲食サービス業■生活関連サービス業、娯楽業■複合サービス事業(郵便局、協同組合) ■無回答(2件) 「情報通信業」は昨年と同様で41%と4割を占めている7
育報セキュリティ大学院大学設問4年間売上高(N=429) ■ 1,000億円以上■ 500億円～1,000億円未満■ 300億円～500億円未満= 100億円～300億円未満■ 50億円～100億円未満= 10億円～50億円未満■ 5億円～10億円未満■ 3億円～5億円未満= 1億円～3億円未満■1億円未満◾売上高はない（非営利団体） ■無回答(11件)院上高! 10億円～50億円」の組織が22%で最も多いまた,売上高50億円未満の組織で71%を占めている
青報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問5 従業員数(N=429) ■ 50人以下■51～100人■ 101～300人■ 301～500人= 501～1,000人= 1,001～1,500人= 1,501～5,000人■ 5,001 ～ 10,000人= 10,001～50,000人■ 50,001人以上=無回答(0件)従業員数「50人以下」の組織が28％で最も多いまた,従業員300人以下の組織で64%を占めている
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問6組織の種別及び規模(N=429) ■民間企業=その他民間企業3% 2% 10% 38% 7% = [中小企業]卸売業であり、資本金1億円以下または従業員100人以下■ [中小企業]小売業であり、資本金5千万円以下または従業員50人以下= [中小企業]情報処理業以外のサービス業であり、資本金5千万円以下または従業員100人以下■ [中小企業]上記以外で資本金3億円以下または従業員300人以下■上記以外の企業(中堅・大企業) 3% 4% 8% 3% 16% ■政府・自治体・大学■無回答(3件) ■市区町村であり、人口30万人以上■市区町村であり、人口10万人以上30万人以下=市区町村であり、人口10万人未満■上記以外の政府・自治体等■大学「民間企業」61%,「政府・自治体・大学」34%となっている民間企業の中,中小企業が58%を占めている
青報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問7 プライバシーマーク, ISMS, BCMSの取得状況(N=429) ■ ISMS認証取得■ PマークとISMS認証取得■ Pマーク認証取得≡いずれも取得していない■ PマークとBCMS認証取得■ PマークとISMSとBCMS認証取得■無回答(5件) 47%の組織がISMSを, 41%の組織がPマークを取得しているまた, 23％の組織がPマークとISMSの両方を取得している※複数選択の回答を択一回答になるように処理
報セキュリティ大学院大学T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問8情報セキュリティ監査の実施状況(N=429) ■認証の維持目的に実施している■認証の維持目的以外に実施している■両方の目的で実施■実施していない■無回答(8件) 45%の組織が認証の雑持目的, 21%の組織が認証の雑持目的以外, 13%の組織が両方の目的で情報セキュリティ酷査を実施している※複数選択の回答を択一回答になるように処理第2章情報セキュリティマネジメントの取り組み
調査結果(1/2)：
口リスク分析
▷ 67%の組織が1年以内にリスク分析を実施し,定着傾向にある>>認証審査への対応がきっかけである状況(69%)は変わらない▷問題点は,「実施方法が分かる人材の不足」(66%)が最も多い
ロ情報セキュリティポリシーの策定と見直し
▷毎年ないし数年に一度,セキュリティポリシーの見直しを実施する組織(84%)が最も多い。見直しは情報システム部門・情報セキュリティ部門(43%),次いで委員会組織(30%)が担当している▷ 見直した管理策項目は「運用セキュリティ(含むマルウエア対策等)」(39%)など具体的な項目が多くなった.  　見直し理由は,「ISMSやPマークの取得・更新」の認証対応が多いが,今年は｢個人情報保護法改正の対応｣, ｢事件･事故対応」が多くなった▷対策推進上の難しさは,「実施人材確保」,「効果を測定」が多い
調査結果(2/2)：口情報セキュリティに関する支出▷ 情報セキュリティに関する支出は,売上や予算の0.1%未満(51%)が多い認識していない組織(21%)も多い▷ 情報セキュリティ支出は「前期と今期の比較」,「今後の変化」,「組織の全売上(予算)動向」のいずれも「ほぼ横ばい」が約50%から60%であった▷ 「著しく増加と増加」計が「前期と今期比較」と「全売上（予算）動向」で22%超になった
ロ情報セキュリティ政策(ガイドライン)の認知度
> 「情報セキュリティ管理基準,監査基準」が上位だが50%前後である逆に「監査企業台帳」や「対策ビデオ」等は20%以下で認知されていない
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問9情報セキュリティに関するリスク分析を最後に実施した時期(N=429) ■半年未満■半年以上1年未満■ 1年以上2年未満■ 2年以上3年未満■ 3年以上■実施していない【→Q11へ】 ■無回答(1件) 67% (284)の組織が，1年以内にリスク分析を実施している一方, 18% (78)の組織はリスク分析を実施していない
設問10リスク分析の実施理由(複数回答, N=351) ※設問9で｢情報セキュリティリスク分析は実施してない｣以外を回答した組織を対象ISMSやPマークへの対応情報資産の棚卸内部規程の改訂新たな脅威への対応法律・条令の改正社内組織の改編自社の情報セキュリティ事故発生他社の情報セキュリティ事故発生業務内容の変更ISMSの規格が変更になったためその他(会社の合併や事業の再編等の理由) 8 (2%)無回答(3件) 3 (1%) 0 50 100 150
300 「ISMSやPマークへの対応」が243件(69%),「情報資産の棚卸」が109件(31%),「内部規程の改訂」81件と,「新たな脅威への対応」が65件で続いて(, Va 17 243 (69%)
設問11リスク分析を行う際の問題点(N=429)実施方法が分かる人材が不足している通常の業務に比べ、優先度が低い収益に直結しない部分的な対応に留まってしまう必要となる組織内情報の収集が難しい関係部門の協力が得られない上司(経営層等)の理解がない実施方法が変わって、対応できない1 ◾そう思う　　◾どちらかと言えばそう思う　　◾どちらかと言えばそう思わない　　◾そう思わない■無回答
注:  ＜そう思う＋どちらかと言えばそう思う＞の多い順に表示
人材の不足を感じる(66%),「通常業務に比べ,優先度が便い」 (53%),収益に直結しない(52%)の順である,部分的な対応に留まるは44%と高く, 18東施万法が変わって対応できない」は11%と低かった
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問12情報セキュリティポリシー(方針・対策基準)の策定と見直し状況(N=429) ■年に1回、定期的に実施している■数年に一回、実施している■策定後、一度も見直しを行っていない■策定していない【→Q16へ】 ■無回答(0件) 84%の組織が毎年ないし数年に一度見直しを実施している一方, 9%が筑定後見直しておらず, 29組織(7%)はポリシーを筑定していない
設問13 情報セキュリティポリシー(方針・対策基準)の策定・見直しを行う部門(N=429) ■情報システム部門・情報セキュリティ部門が策定・見直しをしている■委員会組織で見直し、代表者が手続きを行っている=経営層(取締役以上)が策定・見直しをしている=情報システム部門・情報セキュリティ部門「以外」の部門が策定･見直しをしている■その他=情報セキュリティポリシーはない■無回答(30件) “情報システム部門・情報セキュリティ部門”が43%, “委員会組織”が30%で,ポリシーの策定・見直しを実施している
情報セキュリティ大学院大学
設問14 過去3年間で見直した情報セキュリティポリシーの管理策(複数回答, N=400)
※設問12で｢情報セキュリティポリシーはない｣以外を選択した組織を対象運用セキュリティ(操作手順・変更・能力の管理、マルウエア対策、・セキュリティ方針（経営層の方向性表明)とレビュー資産管理(情報分類等(取外し可能媒体を含む))情報セキュリティのための内部組織（職務の分離等）モバイル機器及びテレワーキング(方針と対策)アクセス制御方針と利用者(特権を含む)アクセスの管理セキュリティ・インシデント管理（弱点報告、対応、証拠収集を含む）物理的・環境的セキュリティ(境界・入退管理、装置、クリアデスク・ク・ログ取得及び監視(イベントの記録とその保護、定期レビュー)人的資源のセキュリティ(雇用開始から教育、雇用の終了迄)通信(ネットワークにおける情報保護と情報の転送)の管理事業継続管理の情報セキュリティの側面(評価及び冗長性を含む)システム及び業務ソフト(情報、ソースコード等)のアクセス制御暗号による対策(利用方針策定、鍵管理)運用ソフトウェア導入管理と技術的脆弱性管理順守(法的及び契約上の要求事項、知的財産、PII等の記録保護)とシステムの取得、開発及び変更保守（外部委託、テストを含む）情報システム監査(実施影響の合意等)利用者に秘密認証情報保護の責任を持たせる供給者（第三者サービスの監視・レビューを含む）の情報アクセス無回答(37件)見直した管理教は, “連邦セキュリティ”, “セキュリティ方針とレビュー”の順で多い“ログ取得及び蘇視”等の管理機が100件を与えている21
情報セキュリティ大学院大学設問15情報セキュリティ管理策を新規導入・見直しした理由（複数回答, N=400） ※設問12で｢情報セキュリティポリシーはない(29件)｣以外を選択した組織を対象ISMSやPマークの認証取得・更新180 (45%)個人情報保護法改正への対応情報セキュリティ事件・事故の増大モバイル端末(スマートフォン、携帯)利用拡大クラウド・コンピューティング（業務システム等）の利用・監査等の指摘事項の対応その他法律・規制への対応事業継続計画(BCP/BCM)と緊急時対応効率化(ツール導入等)したので変えた第三者が提供するサービス(開発・運用業務)拡大過去3年間は対策(管理策)の見直しがないその他無回答(21件) 200 20 120 140 0 160 180 40 60 80 100 「ISMSやPマーク取得・更新」が徒歩通り多いが、今年は「個人情報保護法改正への対応」,「事件・事故の増大」が多かった22
設問16情報セキュリティ対策推進上の難しさを感じたのは？(N=429)実施する人材を確保すること効果を測定すること従業員の作業負担増を防ぐこと実施する技術・ノウハウを獲得すること費用対効果を説明すること業務効率の低下を防ぐこと利便性の低下を防ぐこと重要性を組織に浸透させること推進する組織が、内部から評価を得ること情報セキュリティのルールを従業員に順守させること予算を確保すること推進する組織体制を整備・運営すること組織の情報セキュリティレベルを把握すること従業員に情報セキュリティ教育を実施すること経営層に必要性を説得すること=難しい注： ＜難しい・どちらかと言えば難しい＞の多い順に表示「東施人材を確保」,「効果測定」,「作業負担増を防ぐ」等が80%超で多い「格當層に必要性を説得」,「從業員教育を実施」等は少ない
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問17-1 売上(政府・自治体・大学等は予算)に対する情報セキュリティに関する支出(注)の割合（N=429） ■ 0.01％未満=0.01%以上、0.05%未満=0.05%以上、0.1%未満=0.1%以上、0.5%未満■ 0.5％以上=認識していない■無回答(15件)注:セキュリティ関連システム開発,運用,ライセンス等外部への支出総計情報セキュリティ支出は,克上・予算の0.1%表満が51%であった.最多は, 「0.01％未満」で23％ (98件)，また，「影闘していない」が21％ (89件)あった
設問17−2 売上(政府・自治体・大学等は予算)に対する情報セキュリティに関する支出の傾向(N=429) 7% 100%いずれも「長良徴はい」が50％から60％を占めた「碧しく増加と増加」計が官期と今期比較」と「金売上（予算）動向」で22%超になった
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S I
情報セキュリティ管理基準(経済産業省)情報セキュリティ監査基準(経済産業省)地方公共団体における情報セキュリティポリシーに関するガイドライン(総務省)サイバーセキュリティ経営ガイドライン(経済産業省)情報セキュリティハンドブック(内閣サイバーセキュリティセンター)サイバーセキュリティ戦略(閣議決定)情報セキュリティガバナンス導入ガイダンス(経済産業省) @policeセキュリティポータルサイト(警察庁) loTセキュリティガイドライン(総務省)情報セキュリティ対策ビデオ(警察庁)情報セキュリティ監査企業台帳(経済産業省) ■読んだことはあるが内容を覚えていない=内容を理解している注:  ＜内容理解している,読んだことが有る＞の多い順に表示「情報セキュリティ管理基準,監査基準」が上位だが50%前後である___第3章
調査結果：
ロ保有個人データの保有件数
▷保有件数｢ 5,000件以下｣が最も多く40%であり, 「5,001件～50,000件｣が21%, 「50,001件以上」が25%であった▷「わからない」が8%であった口改正個人情報保護法への理解度▷「十分理解している」「およそ理解している」の合計では「個人識別符号」が最も多く, 72%であった▷「外国にある第三者への提供」は最も少なく, 40%であった▷「十分理解している」のみでは「特例の廃止」が最も多く，39％であった口実施した施策> 「個人情報保護方針・規定類の見直し」（53%），「従業員教育」（39%）が多い▷「外国にある第三者への提供の見直し」（1％）が最も少ない▷ 「特に施策は実施していない」は21％であった
青報セキュリティ大学院大学S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問19保有個人データの保有件数(N=429) ≡ 5,000件以下■ 5,001件～50,000件■ 50,001件以上=わからない■無回答(24件)保有件数15,000件以下」が40%で最も多く,「5,001件～50,000件」が21%, l 50,001件以上」が25%であり,「わからない」は8%であった
設問20改正個人情報保護法への理解度(N=429)個人識別符号5,000人特例の廃止磨名加工情報要配慮個人情報第三者提供に係る記録等の義務個人データの消去努力義務第三者提供のオプトアウトに対する規制個人データベース等盗用罪外国にある第三者への提供■十分理解している■およそ理解している| ■知っているがあまり理解していない■知らない■無回答「十分理解している」およそ理解している」の合計では「個人識別符号」が72%で最も多く,「外国にある第三者への提供」は40%で最も少なかった, 30 「十分理解している」のみでは「特例の廃止」が39%で最も多かった
S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問21 個人情報保護法改正に対する対応のため実施した施策(複数回答, N=429)個人情報保護方針,規程類の見直し227(52.9%)従業者教育の実施リスク分析・評価の実施特に施策は実施していない個人情報の取扱いフローの見直し保有する個人情報の棚卸し社内管理体制の構築・見直し新たな物理的安全管理措置の導入委託先管理についての見直し個人情報保護方針,規程類の新規作成新たな技術的安全管理措置の導入外国にある第三者への提供の見直しその他無回答(18件) 0 50 100 150 200 250 「個人情報保護方針・規定額の見直し」(53%)，「従業員教育」(39%)が多い「外国にある第三者への提供の見面し」(1%)が最も少ない
調査結果：口情報セキュリティ責任者は,役員・部長クラスなど上位職が担当情報セキュリティ内部統制,投資やリスク受容の経営判断を期待口情報セキュリティ専任部署があるのは15%とまだ少数派情報システム部門が担当は20%で牽制に懸念もロ情報システム部門に情報セキュリティを実施してもらうには,「経営者のリーダーシップ」が重要口情報セキュリティ部門が情報システム部門から独立すべきかどうかは「わからない」が最多回答(44%)独立させない理由(分けているのは非効率との意見: 139件)と独立させる理由(使命が違う,情報システムへの牽制: 96件)が, 1位, 2位を占める
報セキュリティ大学院大学ITUTE of INFORMATION SECURITY設問22情報セキュリティ責任者の職位(N=429) ■役員クラス（CISO） ■部長クラス=課長クラス=社長の他にはいない■その他■無回答(8件)長度半数(47%)が「役員クラス」, 23%が「部長クラス」でおり,上位職が情報セキュリティ責任者となっている一方,その他には,一般社員にも11%おる
青報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I設問23情報セキュリティ責任者に最も期待する役割(複数回答, N=429)情報セキュリティや内部統制の推進113(26.3%)投資やリスクの受容の経営判断ITセキュリティの技術対策の導入判断や推進経営者との意思疎通インシデント発生時の対応の指揮や指示個人情報保護法などの法令順守徹底組織内での情報セキュリティに関する調整役その他無回答(43件) 0 20 40 60 80 100 120 「情報セキュリティや内部統制の推進」（113件）や「投資やリスク受容の経営判断」(78件)を望む回答が多い
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問24情報セキュリティ責任者の専任・兼任と兼任の場合の主務(N=429)その他(記述57件)
■情報システム■総務■情報セキュリティ■内部統制■リスクマネジメント■人事■法務■その他■無回答(24件) 「情報セキュリティ」専任は63件(15%)で第3位,乗務の場合の主務は,「情報システム」が87件(20%),「総務」が77件(18%),その他では,経営系,管無終が多い36
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問25-1情報システム上の要請との対立時の判断部門(N=429)その他(記述27件)委員会・事務局20件■経営者■情報セキュリティ部門■情報システム部門■その他(他部門、委員会等) ≡いない･決まっていない■無回答(14件)過半数(52%)が「経営者」が判断している回答が最も多く, 「情報セキュリティ部門」が朝鮮は15%, 「情報システム部門」が判断は14%であった37
IN S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問25–2  ITセキュリティ実行部門への説得に必要なこと（複数回答, N=429） 191(44.5%) ITセキュリティの知識・知見があること187(43.6%)情報システムの事情に通じているITセキュリティ実行部門が判断無回答(17件) 17(4%) 0 50 100 150 200 250 「経営者の指示」（191件）とIITセキュリティの知識・知見があること」（187件）が実施部門の説得に必要が多く,「予算を持っていること」は案外少ない
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問26-1情報セキュリティ部門は情報システム部門から独立すべきか(N=429) =どちらともいえない・わからない■いいえ■はい■その他■無回答(14件)情報セキュリティ部門は独立すべきかについてはわからないが44%で最多,津方すべずは22%を占め、 30%が情報システムが衝衝すべきとの意見である39
T報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問26-2 情報セキュリティは独立すべきか否か,の理由(複数回答, N=429)分けているのは非効率使命が違う、情報システムへの牽制情報システムも幅広く事業視点がある専門性が違う部門間の連携で十分社内への行政力サイバーセキュリティは別であるわからないその他無回答(27件) 0 20 40 60 80 100 120 140 160 「分けているのは非称率」(139件)が最多で, 「使命が違う,情報システムへの華制」(96件)が2位である139(32.4%)第5章Webアプリケーションセキュリティ管理の状況
管理の状況調査結果：口調査対象の35％の組織は,アプリケーションのセキュリティ管理を外部に委託している口組織では“攻撃を受けたことがない”回答が最も多い,マルウェアによる攻撃の認知度が最も多い口開発段階の活動は“開発者向けのセキュアコーディング教育を実施”, “脅威の評価”を行っている口運用段階の活動は“ISMSなどの認証取得”, “ツールによる脆弱性診断”を行っている回答が最も多いロアプリケーションセキュリティのリスク管理ができない理由として“専門知識の不足”と思われている口脆弱性発見時のレポートの手順がある組織は22％である第5章Webアプリケーションセキュリティ管理の状況設問27 Webアプリケーションセキュリティの管理の組織の役割(N=429)情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y ■外部委託して実施◾️Webアプリケーション開発運営両方= Webアプリケーション運営= Webアプリケーション開発■実施していない■不明・わからない■無回答(14件) 35%の組織は,アプリケーションのセキュリティ管理を外部に委託している
管理の状況6報セキュリティ大学院大学設問28セキュリティ対策を適用しているWebアプリケーション（複数回答, N=429）公開用Webアプリケーションクラウドサービスプロバイダが管理する商用アプリケー…外部委託先によって開発されたカスタムアプリケーション既存のWebアプリケーション社内で管理する商用アプリケーションサードパーティのオープンソースアプリケーション不明・わからないその他無回答(28件) 200 160 180
172(40.1%)
管理の状況情報セキュリティ大学院大学設問29攻撃と被害に対する認知度(N=429)マルウェアによる情報漏  7% Webアプリケーションの脆弱3%性7% OS/ミドルウェアの脆弱性2%
7%その他/攻撃手法不明7% 100% ■攻撃を受け被害が出た■攻撃を受けたか分からない“政策を受けたことがない”回答が最も多い,マルウエアによる政策の裁判度が一番高い回答である
管理の状況報セキュリティ大学院大学設問30セキュリティ対策と対処の平均所与時間(N=429)アプリケーションの機能を無効にするサードパーティのオープンソースソフトウェアをアップグレードする任意のソースコードパッチで修正する運営環境でネットワークアーキテクチャ、その他の保護メカニズムで対応する脆弱性診断を実施するWAFのルール設定/バーチャルパッチを適用する次期システム導入を検討・導入するSecure SDLC(開発手順)の実践を通して根本的な原因を修正する
■1年以内■対応しない
旅弱性が発見された場合に, “アプリケーションの機能装無効にする”という日答が最も多くその場合1日以内対応できることが25%おる
管理の状況青報セキュリティ大学院大学設問31開発面の脆弱性のあるWebアプリケーションのリスク対策（複数回答, N=429）開発段階のツールによる脆弱性診断開発者向けのセキュアコーディング教育の実施脅威の評価セキュアコーディングガイドを提供Secureライブラリ導入Secure SDLC(開発手順)の導入無回答(137件) 137(31.9%)
160講演教者の活動は「講演教者のツールによる旅頭性診断」講演者向けのセキュアコーディング教育を実施」「脅威の野価」を行っている
管理の状況青報セキュリティ大学院大学N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問31運用面の脆弱性のあるWebアプリケーションのリスク対策(複数回答, N=429) ISMSなどの認証取得ツールによる脆弱性診断専門家による脆弱性診断監査又はコンプライアンス遵守活動WAF /バーチャルパッチの導入SOC運営又は委託運用段階のソースコードレベルの脆弱性検査その他無回答(112件)運用契階の活動は，「ISMSなどの認証取得」, 「ツールによる脆弱性診断」「専門家による脆弱性診断」を行っている
管理の状況報セキュリティ大学院大学T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問32 Webアプリケーションのセキュリティのリスク管理されてない理由(複数回答, N=429)独自の専門知識の不足不十分な予算効果的なテストツールの欠如セキュリティ教育の欠如短い開発スケジュール組織が高い優先順位で考慮していない開発チームと運営チームとの連携が難しい不明・わからない無回答(65件)
160管理ができない理由として専用知識の不足」(148件)と回答が最も多人, 「十分な子集」(89件)，「苑県的なテストツールの火如」(68件)の出展が率49はどんないな148(34.5%)
管理の状況設問33脆弱性発見時の報告の手順の有無(N=429) ■ある◾ない=不明・わからない■無回答(94件)旅頭性鈴見時のレポートの手順がある組織は22%である
調査結果：ロAI技術の導入状況については，導入予定がないもしくは不明と回答したものが圧倒的に多く，実際にはまだ導入している組織は少ない.口AI技術を導入した利点としては，業務の自動化・効率化への回答が突出して多かったが，よくわからないとした回答も多いことから，AIの特徴がまだ明らかでない実態がわかる．口AI技術の導入の具体的なリスクとしては，企業秘密の流出などの回答が多かったが，よくわからないと回答したものが圧倒的に多かった.口AI技術の導入について，活用すべきとの回答よりも，よくわからないとの回答が上回り，AIに関する理解がまだ低いことが明らかになった.
設問34  AI技術の導入状況(N=429) ■導入し積極的に活用している■導入してないが導入予定▪導入予定なし、または不明=無回答(10件) 「導入予定がない，または不明」と回答したものが84%と正倒的に多く，実際にはまだ導入している組織は少ない
報セキュリティ大学院大学設問35  AI技術を業務で導入した際の利点(複数回答, N=429)業務の自動化・効率化207(48.3%)新たなサービスの提案・開発人件費の削減新事業への展開他企業との提携・差別化セキュリティの強化利点はないよくわからないその他無回答(27件) 27(6.3%) 0 50 100
200 250 「葉務の自動化・効率化」（207件）と回答が最も多く、次いで「新たなサースの提案・開発」（132件）「人件費の削減」（97件）が多い第6章組織におけるAI技術の導入育報セキュリティ大学院大学N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問36   AI技術を業務や他企業との提携で導入した際のリスク(複数回答, N=429) AIによる企業秘密の流出人材育成著作権などの権利問題AIの学習への情報提供AIによる法律違反顧客の減少やクレームリスクはないよくわからない185(43.1%)その他無回答(30件) 0 20
180 200 「よくわからない」と回答したものが185件と圧倒的に多かった具体的なリスクとしては「企業秘密の流出」(98件)が最も多かった
報セキュリティ大学院大学設問37  AI技術を業務に導入理由(N=429) =業務全般で積極的に活用すべき■活用すべきだが一部に限る■法律や制度である程度制限すべき=まだAI技術を活用すべきではない=よくわからない■その他■無回答(30件) 「芸務全般で積極的に活用すべき」活用すべきだが一部に限る」を合わせ,全体の42%あり、「法律や制度でおる程度制限すべき」「まだAI技術を活用すべきではない」を合わせた回答16%で，AIを活用していく考えが多いよくわからない(34%)との回答も多いことからAI活用への理解がまだ使い6第7章緊急時対応の実効性調査結果：ロ自社Webサイトの改ざん▷自社Webサイトが不正に改ざんされていることを発見したロランサムウェアへの感染▷自分のPCがコンピュータウィルスに感染した全てのファイルが暗号化され操作不能となり,画面には「身代金」を要求するメッセージが表示されているロソーシャルエンジニアリング▷警察を名乗る男から｢貴社のメールサーバーがハッカーに乗っ取られているので,セキュリティ担当者の氏名と連絡先を教えてほしい」と要請された（電話の相手が本物か確認できない）
設問38各状況を想定した／適用可能な文書(手順書等)は策定状況(N=429) ■策定している■不明・わからない   ■無回答■策定していない53%組織が，「ランサムウェアへの感染」に適用可能な文書を発定している「ソーシャルエンジニアリング」でも34％以上の組織が文書を策定している
6報セキュリティ大学院大学設問39  緊急時対応の連絡先(N=429)ランサムウェアへの感染自社Webサイトの改ざんソーシャルエンジニアリング■知っており、すぐに連絡できる■文書に記載していない■不明･記載しているかわからない■無回答「ランサムウェアへの感染」,「自社Webサイトの改ざん」に関して,約8割以上の組織で連絡体制が構築されている. 「ソーシャルエンジニアリング」につい60ても、67%の組織で連絡伝制が課變されている
1報セキュリティ大学院大学S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問40各状況を想定した教育・研修を実施(N=429) ■実施したことがある　■類似事例なら実施したことがある| ■実施したことは無い　■不明・わからない　■無回答「ランサムウェアへの感染」については，57%の組織が教育・研修を実施している. 「自社Webサイトの改ぎん」, 「ソーシャルエンジニアリング」についても61 38%の組織で教育・研修を実施している
N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問41各状況を想定した訓練を実施状況(N=429)ランサムウェアへの感染自社Webサイトの改ざんソーシャルエンジニアリング■実施したことがある■類似事例なら実施したことがある|≡実施したことは無い ■不明・わからない ■無回答ランサムウェアへの感染でも24%の組織しか凱練を実施していていない
調査結果：口情報セキュリティ技術者の有無▷技術者は,組織の中において,「専任」に従事しているより,ほかの業務との兼務することが多い技術者の必要性は認識していても,予算／人の確保が困難な状況であった
口技術者育成ためのキャリアパス
▷「決めていない」が74%で最も多く,「不明・わからない」の回答と合わせ92%を占めていたキャリアパスの必要性について認識が低い状況であった
ロ必要と考えるスキル（知識・ノウハウ）
▷ 「情報セキュリティマネジメントに関する知識(ISMS等)」が最も多く, "知識"の必要性を意識した回答が上位であったが最も多く, "知識"の必要性を意識した回答が上位であった
青報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問42情報セキュリティインシデントに関わる業務の担当者(N=429)インシデント対応の全体を管理し、指揮命令できる技術者セキュリティ教育や啓発など、リテラシー向上を行うことができる技術者セキュリティポリシーやセキュリティ設計などが正しく実装されているかを評価、確認できる技術者ウイルスの解析やフォレンジック調査などができる技術者■専任者がいる■兼務者がいる■不要と考えている■不明・分からない
■外部に委託している■必要だが予算/人がいない■無回答「インシデント対応の全体を管理し,指揮命令ができる技術者」は専任または観務者が多く,「ウイルスの解析やフォレンジック調査などができ65る長師者專任表を長張統者長少ない
情報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問43情報セキュリティ担当者を育成するためのキャリアパス(N=429) ■決めていない■不明・わからない■ある（CISOなどのセキュリティ責任者） ■その他■無回答(12件) 「決めていない」が74%で最も多く,「不明・わからない」の回答と合わせ92%を占めている
T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問44情報セキュリティ業務の担当者に必要なスキル(複数回答, N=429)情報セキュリティマネジメントに関する知識コンピュータ・ネットワークの脅威に関する知識インターネット、ネットワークに関する知識情報システムに関する知識・ノウハウ問題解決能力判断力コミュニケーション能力・調整力行動力・リーダーシップ能力情報セキュリティインシデント対応の実践経験法律・社会制度関連の知識・ノウハウ組織の制度・業務関連の知識・ノウハウマネジメント力・時間管理能力その他無回答(9件) 0 100 200 300 400必要なスキルとして情報セキュリティマネジメントコンピュータ・ネットワークの箸威,インターネット・ネットワークに関する知識の順である第9章その他過去の事例・事故・用語の認知度
調査結果：口過去の事例、事故▷アンケート調査前に猛威を振るったランサムウェア「WannaCry」が１位。約９割の組織で「知っている」と回答。 ▷海外の出来事については、世界的には大規模で大被害を被った事件でも、認知度は低かった。 ▷個人情報流出やスマートフォンのロック解除といった、個人情報やプライバシーに関する事件・事故が、上位にランクイン。
口用語
▷今回は「匿名加工情報」が認知度第１位(５５％) ▷ 「ディープラーニング」（前回は「機械学習」は9位)が2位となる▷前回は認知度7位だった「WAF(Web Application Firewall)」も3位(45%)となる。 ▷ 過去の事件、事故では「ランサムウエアWannaCry」の事件が1位であったが、その原因である「SMB V1の脆弱性」については、認知度69は今一つ。認知度12位（12％）となる。
青報セキュリティ大学院大学I N S T I T U T E  o f  I N F O R M A T I O N  S E C U R I T Y設問49 出来事(事例・事故の認知度) (複数回答, N=429)ランサムウェア「WannaCry」世界的規模で感染拡大JTB、メールによる標的型攻撃で、マルウェア感染、個人情報793万件… FBIが米Appleに対して、捜査のためiPhoneのロック解除を要請国際的ハッカー集団「アノニマス」による日本への攻撃県立高校情報システムへの不正アクセスで17歳の少年が逮捕繰り返すYahooからの情報漏えい(10億人以上の個人情報漏えい）ポケモンGO偽アプリ出回る防衛省と自衛隊の情報基盤へのサイバー攻撃IoT機器を乗っ取り、DDoS攻撃を引き起こすマルウェア「Mirai」流行偽造銀聯(ぎんれん)カードATM不正引き出し事件IPA新設国家資格「情報処理安全確保支援士」の初回申請受付を開始大手百貨店店員や銀行協会職員を装い、キャッシュカードをだまし…米民主党全国委員会(Democratic National Committee, DNC)から…金融通信メッセージングサービスSWIFTがサイバー犯罪者の標的に英Tesco  Bankがオンライン犯罪攻撃の対象となり、2万口座から預… 33 (8%)無回答(18件) 17 (4%) 0 100 200 300 400 0 100 200 300 400テンサムウェアWannaCryが1位。海外の出来事は、大規模でも認知度が低い結果に。 70
曜名加工情報が1位。出来車では1位のWannaCry、しかし原因であるSMB v1の硫酸性の栽類展は中粒に。 71