経済産業省が2015年12月に「サイバーセキュリティ経営ガイドライン」を策定したことも背景に、情報セキュリティが重要な経営課題の1つであるという認識は、着実に浸透しているようだ。

IDC Japanは今年1月に企業の情報セキュリティ責任者や担当者を対象にWebアンケートを実施。国内企業673社の情報セキュリティ対策の実態調査結果を4月25日に発表したが、これによると、CIOもしくはCSOを設置している企業の割合は46.4％と、昨年調査から2.1ポイント上昇した。

また、経営者に対して、社内の情報セキュリティに関する報告を定期的に行っている企業の割合も昨年調査より増加。「経営層も含めて、情報セキュリティの重要性が認識されつつある」とIDC Japanの登坂恒夫氏は語った。

CIO/CSOの設置状況と、経営者への報告状況

日本企業に欠けているセキュリティ投資の戦略とはいえ、経営者が情報セキュリティへの関与を強めているかというと話は別だ。「情報セキュリティの責任者に任せている企業が多く、その傾向は変わらない。特に、企業規模が小さい企業ほど、経営者の責任が抜け落ち、情報セキュリティ責任者任せになっている」という。

こうした経営者のリーダーシップの欠如の結果として起こっていることの1つのが、「場当たり的」なセキュリティ投資だ。6割の企業で、決められたセキュリティ予算がないことが同調査から分かった。

また、セキュリティ投資の「増減なし」という企業は6割近くにのぼっているが、登坂氏によると日本は「増減なし」の企業の割合が海外と比べて突出して多いという。「予算を明確に決めていないから、予算の変更も考えていない」のである。

セキュリティの予算化状況

このため、計画的・戦略的なセキュリティ投資を行えていないのが、多くの日本企業の現状である。実際、そうした企業は、ファイアウォールなど従来型のセキュリティ対策への投資を継続する傾向が強いという。

登坂氏は、セキュリティ投資を予算化し、事業へのリスクやコスト効果を考慮したセキュリティ投資の戦略を策定すべきと提言した。