IDC Japanは2015年4月22日、国内ユーザー企業の情報セキュリティ対策実態調査の結果を発表。これに関する記者説明会を開催した。同調査は2015年1月に実施され、592社から有効回答を得ている。

調査を担当したIDC Japan リサーチマネージャーの登坂恒夫氏はまず、国内ユーザー企業の情報セキュリティ投資動向について解説した。

登坂氏によると、情報セキュリティへの投資は2008年のリーマン・ショック以降、マイナストレンドにあったが、標的型攻撃による被害が次々明らかになった2011年からプラスに転換。このトレンドは今回の調査でも変わっておらず、情報セキュリティ投資を「増やす」と回答した企業の数が、「減らす」と回答した企業の数を上回った。具体的には、「増やす」と回答した企業が21.0％、「減らす」が9.2％、「増減なし」が69.8％だった。

情報セキュリティ関連投資の増減比較

特に情報セキュリティ投資に積極的なのは、従業員3000人以上のいわゆる大企業。「増やす」企業は37.6％で、「減らす」より25.8ポイント多かった。その一方、10～99人の企業では「減らす」が「増やす」を上回っている。

では、企業はどこに重点的に投資していこうと考えているのか。調査時期が1月ということもあり、全体では「投資を計画しているものはない」（38.5％）との回答が多くなっているが、セキュリティ投資を増やす企業に絞ってみると、「モバイルセキュリティ（ウイルス対策）」（26.3％）、「モバイルデバイス管理」（21.2％）と、モバイル関連を重点投資項目と考えている企業が多いことが分かった。

2015年度セキュリティ投資の投資重点項目

POSサーバーやATMなどに攻撃対象が拡大

次に登坂氏は、2014年1年間のセキュリティ被害状況について説明した。

昨年の調査結果からの変化の1つとして挙げられたのは、セキュリティ被害を受けた資産だ。「ファイルサーバー」や「Webアプリケーションサーバー」「データベースサーバー」の被害が増えている。

また、「POSサーバー」と「ATMやキオスク端末など専用端末」の被害も増えており、登坂氏は「攻撃対象となる資産が拡大している」と指摘した。

セキュリティ被害を受けた資産

セキュリティ被害の発見方法に関しては、「社員からの報告」と「顧客やパートナーからの通報もしくは連絡」が減少した一方、「第三者からの通報」が増加した点に、登坂氏は着目。第三者からの通報で発見するケースでは、すでに被害がかなり拡大している可能性が大きく、セキュリティインシデントの状況がより深刻化・重大化してから発見される傾向がみられると解説した。

セキュリティ被害の発見方法

その結果として、セキュリティ被害を発見してから収束するまでの時間も昨年より長期化していることが分かった。

被害を発見してから収束するまでの時間