法人組織におけるセキュリティ実態調査 2018年版を発表

～情報漏えいなどの重大被害発生率は過去最高の42.3%に達する一方で、変わらない経営層のサイバーリスク認識～

2018年12月19日

トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長兼CEO：エバ・チェン、東証一部：4704　以下、トレンドマイクロ）は、日本国内の官公庁自治体および民間企業における情報セキュリティ対策の意思決定者および意思決定関与者を対象に、セキュリティインシデントによる被害とセキュリティ対策の実態を明らかにする調査「法人組織におけるセキュリティ実態調査 2018年版」を2018年9月に実施しました。調査結果は以下の通りです※1。
※1 調査結果のパーセンテージは、小数点以下第二位を四捨五入した数値です。

1.  重大被害発生率は過去最高の42.3%に達し、年間平均被害額は3年連続2億円超え

国内法人組織の42.3%が2017年の1年間にセキュリティインシデントに起因した重大被害を経験したことが明らかになりました。また、原因究明を目的とした調査費用や、改善策の導入、損害賠償といった様々な事後対応費用を含む年間被害額は、平均2億1,153万円となり過去3年連続で2億円を超える結果になりました。

経験したセキュリティインシデントによる重大被害の上位3位は昨年と同様の結果となり、「従業員・職員に関する個人情報漏えい」（16.2％）、「顧客に関する個人情報漏えい」（11.2％）、「業務提携先情報の漏えい」（8.7％）と続き、情報漏えいが法人組織において依然として大きな問題になっていることが分かりました（図1-A）。ビジネスメール詐欺による「経営幹部・上層部を装った金銭詐欺」は4.1%、「取引先を装った金銭被害」は3.7%を占め、いずれかの金銭被害に遭っているのは6.9%に上ることが明らかになりました。
さらに、セキュリティインシデントによる重大被害の経験割合を従業員規模別、地方別、業種別で分析したところ、データにばらつきは見られるものの、様々な規模、地域、業種において被害に遭っていることが分かりました（図1-B）。

年間被害額は前年の2億3,177万円と比較してみると2,024万円の減少にはなりましたが、過去3年連続で2億円を超えており、インシデント対応にかかるコストも高止まりの状況であることが明らかになりました（図2）。また年間被害額が1億円を超える法人組織は26.2%を占め、2017年の29.4%、2016年の25.3%と比較しても大きな変動は見られず、重大な被害に直面した際に法人組織が負担するコストが大きい状況であることが伺われます。

図1-A：2017年セキュリティインシデント経験割合　（n=1,455 複数回答）


図1-B：2017年セキュリティインシデント経験割合（従業員規模別・地方別・業種別）
（n=1,455 複数回答）

図2：重大被害を経験した組織での年間被害額

 

2. 変わらない「経営層のサイバーリスク認識」と「法規制への理解と対応」

サイバーセキュリティに関する問題を事業継続上、組織運営上のリスクとして経営層が「十分認識している」と回答したのは全体の31.4％に留まりました（図3）。過去2年間のデータと比較してみても、認識に大きな変化は見られないことが分かります。

また、近年サイバーセキュリティや個人情報保護に関連した様々な法規制が国内外で整備されていく中で、「その内容を理解した上でセキュリティ対策に十分に反映させている」と回答している割合も過去3年間の調査結果を通して、大きな変化が見られません（図4）。今年5月に施行されたEU一般データ保護規則（GDPR）に関しても、施行前の2017年調査結果（2017年6月実施）と比較しても施行後の2018年の調査結果（2018年9月実施）との大きな変化は見られず、対策が進んでいないことが明らかになりました。重大な被害に繋がるセキュリティインシデントを経験する法人組織の割合が増加傾向にある中で、変わらない経営層のリスク認識や進まない法規制への対応が、組織全体のリスク軽減やセキュリティレベル向上を妨げる要因の一つになっている可能性が伺われます。

図3：情報セキュリティに関する経営層のリスク認識※
※各回答は調査実施時点に基づきます

図4：法規制ガイドライン理解度・対策反映度※
※各回答は調査実施時点に基づきます
 

3. 増加傾向にある業種特有環境でのセキュリティインシデント発生率

2017年の1年間に通常の情報系ネットワークとは異なる業種特有の環境において、ウイルス感染や内部犯行などを含む様々なセキュリティインシデントが発生した法人組織の割合は平均は34.0%となり、過去3年間、継続して増加傾向になりました（図5）。業界別にみても、医療、金融、製造など様々な特有の環境においてセキュリティインシデント発生率が増加傾向にあることが分かりました。これまで業種特有の多くの環境はインターネットに接続されていないクローズド環境のためセキュリティリスクは低いと考えられていました。しかしこれまで以上にリスクが高くなってきていることがこの調査結果から伺え、クローズド環境の安全神話が崩れ、様々な業種の企業におけるIoTへの取り組みが進む中で、セキュリティ対策がこれまで以上に重要となることを改めて裏付ける結果と言えます。

図5：業種特有環境におけるセキュリティインシデント発生率

■調査概要
調査名：法人組織におけるセキュリティ実態調査 2018年版
実施時期：2018年9月22日～9月25日
回答者：法人組織における情報セキュリティ対策の意思決定者、およびに意思決定関与者
              計1,455人 （民間企業：1,132人、官公庁自治体：323人）
手法：インターネット調査

 

  • 本リリースは、2018年12月19日現在の情報をもとに作成されたものです。今後、価格の変更、仕様の変更、バージョンアップ等により、内容の全部もしくは一部に変更が生じる可能性があります。
  • TREND MICROは、トレンドマイクロ株式会社の登録商標です。各社の社名、製品名およびサービス名は、各社の商標または登録商標です。