思索｜事業会社にとってセキュリティとは何なのか(2/3) - 検証編 -
はじめに
前回は仮説として、事業会社にとってセキュリティとは散らかったHowの集合ではないか、もしそうならこのような課題があるのではないかということを述べてきた。
実際、一定以上の会社であれば基本的にリスク管理表やセキュリティリスク管理表のようなもの自体は存在するはずである。しかし、それが現実に血の通った経営方針として現場と連動しているかというと疑念が残るというのが個人的な推測だ。このあたりは統計などの客観的な根拠によって実際はどっちが多いなどとも分かりにくいところなのではないかと思う。
それでも少しでも客観的な情報を集め、その内容を確認していく。
KPMG「サイバーセキュリティサーベイ2026」
1つ目がKPMGが日本経済新聞社と共同で実施した「サイバーセキュリティサーベイ2026」である。一部抜粋する。
レポート（pdf）はこちら
https://assets.kpmg.com/content/dam/kpmgsites/jp/pdf/2026/jp-cybersecurity-survey-2026.pdf
調査概要
まずpdfの4ページだ。調査への回答を行なった会社の数が424である。発送数が4035、回収率が10.5%なので、比較的セキュリティを重視している寄りのサンプルとなっている可能性がある。また、対象者は経営者ではなく、国内上場企業のサイバーセキュリティ責任者・担当者となっている。業種ごとのサンプル数に関して、製造業は約165社だが、他は数十社程度となる。売上500億円以上 53.4%ということで、零細・小規模企業ばかりが対象となっているというよりは、ある程度大きな企業群が調査対象となっていると考えられる。
サイバーセキュリティ予算の状況
サイバーセキュリティ予算は依然として不足感が強いものの、IT予算に占める投資比率は上昇しており、重要性の認識は高まりつつあります。一方で、投資判断はインシデント発生後の事後対応型に偏りがちで、中期的なセキュリティ計画が未整備な企業も多く見られます。
Webページの「2．サイバーセキュリティ管理態勢」のところだ。IT投資に対するサイバーセキュリティ投資の比率に正解はないので、あくまで比率が上がってきているという以上でも以下でもないかなと思う。ただ、本文の方に書かれている、「投資判断はインシデント発生後の事後対応型に偏りがちで、中期的なセキュリティ計画が未整備な企業も多く見られます。」の部分については、リスク管理の内容が計画や事前の対策に十分反映されていないことを示唆しているようにも読み取れる。レポートには「サイバーセキュリティの中期計画を策定していない割合は前回調査（49.2%）より若干減りましたが、引き続き44.4%と高い水準にとどまっています。」と記載がある。
サイバーセキュリティ推進組織の人員
また、サイバーセキュリティ推進組織については人材不足が深刻化しており、組織自体を設置していない企業も約4割にのぼっています。高度化するサイバー攻撃に対応するためには、計画・予算・人材を一体として整備していくことが引き続き重要な課題となっています。
同様にWebページの「2．サイバーセキュリティ管理態勢」のところだ。1~2999人までの組織ではサイバーセキュリティ推進組織は設置していないの割合が最も高く、3000~9999人では人員数が1~4人の割合が最大、1万人以上では5~9人と1~4人の割合が同率で最大となっている。
個人的な推測だが、セキュリティ人材不足というより、セキュリティのポジション自体がそもそも少ないという可能性はないだろうか。つまり、社内や市場に適正なセキュリティ人材がいたとして、そこにコストを投じるのかどうかというところにも一つの壁があるのではないか。
日本の上場企業、その中でも一定水準以上の規模のものを多く母数に取った今回の調査において、サイバーセキュリティの計画や、人員の不足などに関してセキュリティ責任者・担当者レベルでの課題感があることがわかった。個人的にはこれらの課題に通ずるボトルネックは、経営層とセキュリティ責任者・担当者間の理解や意識のギャップ、言い換えると繰り返し述べている経営レベルでのリスク管理が現場と接続して機能していないことではないかと思う。
PwC「Digital Trust Insights 2025」
2つ目はPwCの「Digital Trust Insights 2025：CxOとCISOの連携が、複雑化するデジタル法規制によって生じるギャップを埋める」である。こちらも一部抜粋する。
レポート（pdf）はこちら
https://www.pwc.com/jp/ja/knowledge/thoughtleadership/2025/assets/pdf/digital-trust-insights2025.pdf
調査対象
2025年度は、77カ国・7地域のビジネス・テクノロジー・セキュリティなどの分野の経営層4,042名を対象に実施しました。
今回は調査対象がグローバルかつ、経営層となっている。
概要
1. サイバーセキュリティレジリエンスの実装におけるギャップ
サイバーセキュリティリスクの懸念は高まっているものの、調査対象の全項目について、サイバーセキュリティレジリエンスに向けた対応が全社的に実行されていると回答したCxOは、全体の2％に過ぎません。
2. サイバーリスクに対する準備態勢のギャップ
クラウド環境のリスクや第三者によるデータ漏洩などは、組織のサイバーセキュリティ上で最大の懸念事項です。しかし、組織においては、これらに対する取り組みが最も遅れていると認識されています。
3. CISOの参画に関するギャップ
戦略的な計画の策定、取締役への報告、テクノロジーの導入管理に、CISOがかなりの程度参画していると回答したCxOは、全体の半数を下回っています。
4. 規制遵守に関する自信のギャップ
AI、レジリエンス、重要インフラに係る規制をどの程度まで遵守できるかについて、CEOとCISO/CSOとの間で、自社の能力に寄せる自信に格差が認められます。
5. サイバーセキュリティリスクの計測におけるギャップ
CxOは、サイバーセキュリティリスクの計測が重要であること認識しています。しかし、このような計測を効果的に行っているのは全体の半分を下回り、さらに、財務上の影響について相当程度に把握できているのは、全体の15％に過ぎません。
概要だけでも、経営レベルのリスク管理とその実行とのギャップが示唆されている。
レポート抜粋
まずはpdfの6ページ目である。
ここでは、デジタル法規制によって企業に課される義務と、各部門・役職との関係の一例が整理されている。取締役会やCEOは法規制への対応を経営課題として企業戦略に組み込み、各部門の対応状況を管理・監督する。CISOは新興法規制と自社への影響を把握し、組織内の準拠や技術的対応を促進する役割として描かれている。一方、本レポートの後半では、CISOに対してセキュリティ戦略の計画・実行の監督、経営戦略の策定、ステークホルダーへの説明など、より広い役割が期待されると説明されている。この図だけからCISOを単なる実行責任者と位置付けることはできないが、取締役会、CEO、CFO、CLO・CRO・CCO、CISOの間でセキュリティに関する役割と権限をどのように分担するかは、組織ごとに整理が必要な論点であると考えられる。
次にpdfの10, 11ページ目だ。
1つ目はセキュリティ部門において、サイバーリスクや規制動向・対策に関するインサイトをCEO・取締役会によく提供していると答えた割合がグローバル56%に対し、日本は38%と低めの値であったことが述べられている。2つ目はCISOの取締役会への報告やサイバー投資に関するCFOとの計画策定への関与割合がグローバルと比較して日本は低いという情報である。これらが経営層のセキュリティ課題の認識不足によるものなのかはこれだけではわからないが、その要素もあり、セキュリティ部門の経営視点が弱いという要素もあるかもしれない。
最後にpdfの13, 14ページ目だ。
CISOの経営参画を促進するため、地位向上（それに見合った権限の付与）が必要という趣旨の内容である。また、CISOに期待されるのはセキュリティ専門家として計画実行の監督、法規制遵守に向けた対外対応、組織内対応の監督、インシデント対応の指揮を行い、経営層として経営戦略の策定、セキュリティ組織・ポリシーの確立、関係者への説明を行うことである。
CISOの職務範囲
1つ目のKPMGのレポートも同様だが、コンサルティング会社が公表するレポートには、自社の問題意識やサービス領域が反映されている可能性がある。そのため、調査対象や設問、回答者の属性を踏まえて結果を読む必要がある。一方、CISOに期待される役割に対して権限や経営への参画機会が不足するという課題は、今回確認した複数の資料で共通して示されている。その原因はCISOのカバーすべき職務範囲が広すぎることにあるのではないかと思う。
セキュリティ領域でキャリアを積んできた人が、必ずしも経営、財務、事業戦略、組織運営などの経験を十分に持っているとは限らない。一方、経営者として十分な経験を持つ人が、セキュリティに関する幅広い専門領域を深く理解しているとも限らない。これは個人の資質というより、それぞれの専門性を一人のCISOに同時に求める職務設計の難しさではないかと思う。
CISOの職務範囲がセキュリティ専門家と経営層を兼ねるのは広すぎるというなら、他の役員はどうなんだという反論が可能だろう。それに対して自分が説明したいのは、「セキュリティ専門家」という概念の広大さである。一言で結論だけ言うと、セキュリティ専門家として、セキュリティのありとあらゆる領域で専門家を名乗れる者はほぼ存在していないのではないかと思う。これは説明がかなり長くなるので、次回のテーマとして取り上げる。
IPA「企業のCISO等やセキュリティ対策推進に関する実態調査」など
最後にIPAや経済産業省の資料をまとめて見ていく。IPAは日本の経済産業省が所管の独立行政法人のため、よりフラットに調査内容を見やすいのではないかと思う。（とはいえ前述の2つのコンサルのレポートも内容が良いと思ったので今回取り上げさせていただいた。）今回も抜粋しながら内容を見ていく。
レポート（pdf）はこちら
https://www.ipa.go.jp/archive/files/000081199.pdf
概要
調査名
「企業のCISO等やセキュリティ対策推進に関する実態調査」
調査期間
2019年7月～2020年2月
インタビュー調査の対象である有識者
グローバルIT企業のCISO
セキュリティ関連の業界団体幹部
複数企業における補佐官の経験者
インタビュー調査の対象である企業
先進的なサイバーセキュリティ対策に取り組む国内企業7社
アンケート調査の方法・対象
ウェブアンケート調査及びアンケート調査票
従業員数301人以上かつCISO等を任命している日本企業におけるCISO等、情報システム／セキュリティ／リスク管理担当部門の責任者や、その補佐役等
内容
日本企業のCISO等の経営・事業的役割に関する動向や、企業のセキュリティ対策の取組み状況を把握する
調査期間が2019年7月～2020年2月、対象は一定規模以上の組織のCISOなどと読み取れる。
要点
(1) 現在、CISO等に求められる役割は、「経営層との橋渡し」が最も多く（45.5%）、以下、「セキュリティ対策の推進（45.3%）」「セキュリティ目標・計画・予算の策定・評価（29.2%）」が続く。また、今後はこれらの役割に加え、「セキュリティ人材の育成・確保（31.8%）」が特に重要視されている。
(2) また、セキュリティ対策を推進する上での課題認識としては「経営層のリスク感度が低い（9.7%）」、「経営層にITやセキュリティの重要性を理解してもらえない（9.4%）」であり、経営層のセキュリティに対する全般的なリスク認識は高まっている一方、「リスクの見える化が困難／不十分（45.7%）」が最多であった。
(3）さらに、ITが事業に必要不可欠で、CISO等がいる組織において、セキュリティリスクの分析を行っていない（16.5%）、またはリスク分析を行っていてもその結果を事業リスク評価に役立てていない割合は30.7%であり、事業リスク評価につなげられていない組織が半数近く存在する。
pdfに詳細があるが、おおよそこの3点を拾えば今回の検証には十分そうである。「CISOは経営へ関与すべきだが、経営層のリスクやIT、セキュリティへの認識に差異があり、リスクの見える化が不十分、CISOなどはいるがセキュリティリスクが事業リスクに紐づいていない組織が半数近く」というのが調査結果として得られているようだ。少し古いデータではあるが、このような課題感は現在でも一定以上残っているのではないだろうか。
サイバーセキュリティ経営ガイドライン Ver3.0
それに関連するのが以下の経産省が公開している「サイバーセキュリティ経営ガイドライン Ver3.0（令和5年3月24日公開）」だ。
https://www.meti.go.jp/policy/netsecurity/mng_guide.html
https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf
経営者が認識すべき3原則
経営者は、以下の3原則を認識し、対策を進めることが重要である。
1. 経営者は、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることが必要
2. サイバーセキュリティ確保に関する責務を全うするには、自社のみならず、国内外の拠点、ビジネスパートナーや委託先等、サプライチェーン全体にわたるサイバーセキュリティ対策への目配りが必要
3. 平時及び緊急時のいずれにおいても、効果的なサイバーセキュリティ対策を実施するためには、関係者との積極的なコミュニケーションが必要
特に1がわかりやすく、これを原則として明記する必要があるのが現状を示唆しているのではないかと思う。
2024年度 中小企業における情報セキュリティ対策に関する実態調査
次に2024年に中小企業を対象に行われた調査を見ていく。
概要
本調査では、全国の中小企業4191社を対象にウェブアンケートを行い、情報セキュリティ対策への取り組みや被害の状況、対策実施における課題、取引先を含む情報セキュリティ対策の状況などを調査しました。前回公表した速報版（2025年2月14日）（注釈）では、サプライチェーン全体でのサイバーセキュリティの不備が、取引先にも深刻な影響を及ぼしていることを報告しました。今回公表する資料では、「2024年度中小企業等実態調査」全体の報告書を取りまとめるとともに、中小企業が実際に行っている対策や効果が見られた対策のポイントを報告します。
今回報告のポイント
1. OSやウイルス対策ソフトの最新化を実施している企業は約7割
2. 情報セキュリティ対策実施によりサイバーインシデント被害が低減した
3. 1割強の企業が取引先から情報セキュリティ対策の要請を受けている
4. セキュリティ体制を整備している企業の約6割が、取引につながった
5. 第三者認証を取得している企業の約7割が、取引につながった
興味深いのは、3で1割強の企業だけが取引先から情報セキュリティ対策の要請を受けているというところだ。これは2027年3月ごろの運用開始が想定されているSCS評価制度の普及によって状況が大きく変わってくるかもしれない。そして4, 5では「取引先からセキュリティ対策の要請を受けた経験がある企業」のうち、セキュリティ体制の整備や第三者認証が取引につながったとしている企業が6-7割となっている。
デジタルトランスフォーメーション調査2025 の分析
最後に、興味深いのが経産省・IPAの「デジタルトランスフォーメーション調査2025 の分析」だ。
https://www.meti.go.jp/policy/it_policy/investment/keiei_meigara/dx-bunseki_2025.pdf
概要
デジタルトランスフォーメーション調査2025
• DX銘柄2025の調査概要は以下の通り。
– アンケート回答企業=311社
名称
デジタルトランスフォーメーション調査2025
略称
DX調査2025
調査対象
東京証券取引所の国内上場会社 約3,800社
（プライム、スタンダード、グロース）
調査実施期間（回答受付期間）
2024年 12月 2日（月） 回答受付開始
2024年 12月 23日（月） 18時受付終了
調査方法(WEB受付)
調査項目（選択式と記述式）に回答。
回答結果を下記のサイトから提出。
DX推進ポータル：https://dx-portal.ipa.go.jp
今回の調査対象は東京証券取引所の国内上場会社約3,800社で、回答した311社を「銘柄企業」「注目企業」「上記以外認定済企業」「その他」に分けている。DX銘柄などに実際に選定されている会社は以下で確認できる。
https://www.meti.go.jp/press/2025/04/20250411002/20250411002.html
これはDXに関する調査の中に、セキュリティに関する質問も含まれているという構成である。今回、調査対象の会社はわかるのだが、回答者が経営層なのか、IT部門の代表や担当者などなのかは分からなかった。
まずpdfの12ページ目だ。
全体的な回答傾向だが、全体的に高いスコアとなっている。また、経営ビジョン、DX戦略、組織づくりなど他の項目と比較してセキュリティだけが低いスコアとなっているわけではなく、DXという範囲ではセキュリティがボトルネックになっている印象ではない。
セキュリティに関するいくつかの質問に対する回答状況を確認しよう。pdfの30, 32, 33, 34ページ目の関連が特に強い。
全体的な傾向として、DX銘柄企業、注目企業、認定済企業、その他の順でスコアに差が出ていることが分かる。DX銘柄企業、注目企業の差はQ32, Q38で確認できる。注目企業、認定済企業の差と認定済企業、その他の差はほぼ全ての設問で確認できる。特に認定済企業、その他の差は非常に大きい。認定済企業以上の企業が全ての設問で50%以上の割合で「できている」と回答している一方、その他の企業ではほぼ全ての設問で50%以上の割合で「できている」を選べていない。銘柄企業31社・注目企業19社の母数の小ささや、自己評価に基づく回答であり、回答企業に選択バイアスがあり得ることに注意は必要だが、この結果は興味深く感じた。
まとめ
前回は個人的な仮説として、事業会社では、経営レイヤーにおけるセキュリティ戦略やリスク管理が現場の営みに十分連動せず、個々の管理策が先行する状況が生じやすいのではないかと述べた。
今回はその仮説を公開資料と照らし合わせるため、関連情報を確認した。
はじめにKPMGのレポートでは、日本の上場企業、その中でも一定水準以上の規模のものを多く母数に取った調査において、サイバーセキュリティの計画や、人員の不足などに関してセキュリティ責任者・担当者レベルでの課題感があることがわかった。
次にPwCのレポートでは、サイバーセキュリティレジリエンスの実装、サイバーリスクに対する準備態勢、CISOの参画、規制遵守に関する自信、サイバーセキュリティリスクの計測に関する課題感が説明された。
最後によりフラットと思われるIPA・経産省の資料でも、概ね同じ傾向が確認できたが、DX銘柄企業、注目企業、認定済企業、その他の企業におけるセキュリティのリスク分析・評価・体制・監査状況・訓練状況などには差があり、特に認定を受けていないその他の企業で低いスコアだった。
今回確認した資料は、この仮説を直接検証するために設計されたものではない。しかし、複数の調査において、計画、人員、リスクの可視化、事業リスクとの接続などに関する課題が確認され、仮説と整合する傾向が見られた。
そしてこの課題のボトルネックとして、経営とセキュリティ部門を接続するCISOというポジションの困難さがあるのではないかと考えた。次回は、CISOがなぜ困難なのか、どうすればその困難さが解消するのかについて説明し、「事業会社にとってセキュリティとは何なのか」シリーズを一旦閉じたいと思う。
#サイバーセキュリティ #セキュリティ経営 #リスクマネジメント #CISO #情報セキュリティ #DX #セキュリティ調査
いいなと思ったら応援しよう！
この記事は noteマネー にピックアップされました
