CISO設置企業は半数以下、セキュリティ人材のキャリアパスと体制整備が課題

　NRIセキュアテクノロジーズは2月16日、「企業における情報セキュリティ実態調査2015」の結果を公表した。企業の情報セキュリティ担当者などを対象に毎年調査しているもので、今回で14回目となる。近年、セキュリティ人材不足が指摘されているが、同調査でも、半数以上の企業がセキュリティ人材を管轄する“最高情報セキュリティ責任者（CISO）”が未設置であることが明らかになった。

　東証の1部と2部上場企業、JASDAQやマザーズ、地方の上場企業と未上場企業で従業員数が多い企業3000社の情報システム、情報セキュリティ担当者を対象に調査した。2015年9月4日～10月16日に郵送とウェブでアンケート。回答者数は665社（22.2％）。

NRIセキュアテクノロジーズ ストラテジーコンサルティング部セキュリティコンサルタント 森茉莉香氏

　調査分析を担当した同社ストラテジーコンサルティング部セキュリティコンサルタント森茉莉香氏は、「情報セキュリティ関連投資は増加傾向にあり、情報セキュリティ人材不足は緩やかだが改善されている。しかし、半数以上の企業がCISOを設置していないなど根本的な問題は解決していない」と解説する。

　「情報セキュリティ関連投資額が昨年度と比較し増加した」と回答した企業は34.3％で、2年前の26.1％から8.2ポイント上昇した。一方、情報セキュリティに従事する人材の充足状況については、「不足している／どちらかといえば不足している」と回答した企業が82.1％で、2年前の84.5％から2.4ポイントしか改善されていない。

　また、情報セキュリティを統括する人材の設置状況については、最高情報責任者（CIO）を設置している企業が59.5％、CISOを設置している企業が45.9％、最高リスク責任者（CRO）を設置している企業が40.0％だった。

セキュリティを統括する人材の配置については、半数以上の企業がCISOを未設置だという（NRIセキュア提供）

　セキュリティ人材を自社で育成する課題として詳らかになったのは、自社での育成に必要な制度や仕組みが未整備であることだ。セキュリティ人材を自社で育成するとした企業に対し、その課題を聞いたところ、1位がキャリアパス不足（72.4％）、2位が研修コース不足（46.9％）で、以下、モチベーション維持の体制未整備（33.6％）、必要なスキルが不明（33.6％）、予算不足（31.5％）と続いた。

　この結果について森氏は、「そもそもCISOが不在の組織では、セキュリティ人材のキャリアパスを考えられない。情報セキュリティ全体を管理し、セキュリティに関する業務を横串で見られることがあるべき姿だが、組織的にも整備されていないのが現状だ」と指摘した。

課題は従業員教育と標的型攻撃

　セキュリティ対策では、従業員の教育や標的型攻撃対策を重視する姿勢が浮き彫りになった。過去1年間で発生したセキュリティの事件や事故の内容について聞いたところ、1位がメールなどの誤送信（37.1％）、2位が情報機器などの紛失と置き忘れ（33.7％）だった。また、被害件数が急増している標的型メールは17.3％だった。

過去1年間に起きた事件事故の多くはメールの誤配信やデバイスの紛失などのヒューマンエラーだが、サイバー攻撃による事件事故も上位に挙げられている（NRIセキュア提供）