この調査からは、回答企業の21.1％がサイバー攻撃の痕跡を確認しており、昨年と比較して10.2％減少していることが分かった。しかし、自社が認識できていないサイバー攻撃による被害発生の可能性を21.9％が疑っていることから、継続的な対応が必要であることに変わりはありない。
また、サイバーセキュリティ対策領域における今後の投資先として「サイバーセキュリティ人材の育成（56.2％）」や、サイバーセキュリティ対策組織の陣容の規模の適切さについて「やや不足（46.2％）」「大いに不足（39.4％）」を合わせて85.6％が人材の不足を認識している。昨年に引き続き、セキュリティ人材の不足が企業の課題として浮かび上がった。
東京で開催される世界最大スポーツイベントを控え、政府が重要インフラ14分野を指定し、サイバー防衛対策に関する安全基準の指針を改定するなど、重要インフラに対するサイバーセキュリティ対策が注目されている。
IoTやAIなどのテクノロジーの普及、リモートワークの導入の拡大などにより、情報システムと制御システムの連携の機会が増えることで、制御システムを狙ったサイバー攻撃が増加している。しかし、制御システムセキュリティ対策が十分に実施できていると回答した企業は15％程度に止まり、改善が必要な状況が明らかになった。
「サイバーセキュリティサーベイ2019」の主な調査結果
・回答企業の21.1％が、過去1年間でサイバー攻撃あるいは不正侵入があったと回答（図1）
・不正侵入に気付いたきっかけは、「社員からの通報（34.3％）」「サイバーセキュリティ部門による監視（37.1％）」「委託先ITベンダーからの通報（17.1％）」と、9割近くが自組織内で不正侵入を検出しており、対策の効果が出ていると考えられる（図2）
・自社の対応が機能している一方、「発生していると思う（21.9％）」「わからない（39.5％）」と6割以上が見落としの可能性を認識している（図3）
・2019年度のサイバーセキュリティ対策への投資額は、2018年度に比べて「横ばい（57.9％）」、もしくは「増加（38.5％）」と回答した企業が96.4％に上り、全体として増加傾向であるが、投資額の規模については、「やや不足（46.5％）」「大いに不足（13.2％）」と、半数以上が不足を感じている
・今後取り組むサイバーセキュリティ対策の領域として、「セキュリティ監視の強化（52.1％）」「内部不正対策（50.5％）」「IoT/クラウド環境におけるセキュリティ対策（49.5％）」といった具体的な対策よりも、「サイバーセキュリティ人材の育成（56.2％）」を最優先課題として捉えている（図4）
（出典「サイバーセキュリティサーベイ2019」）
・サイバーセキュリティ対策組織の陣容（人数）の規模の適切さについて、「やや不足（46.2％）」「大いに不足（39.4％）」と85.6％が人手不足と回答している。こうした人手不足を背景に、対策領域として人材育成が最優先課題と考えられる
・外部の専門家によるサービスの活用については、契約していると回答した企業は25.6％に止まっている（図5）。契約しているインシデント対策に係る外部サービスの種類として、「マルウェア解析（75.7％）」「ネットワーク解析（58.1％）」「フォレンジック調査（51.4％）」と特定のインシデントや事後調査のために活用している傾向がある（図6）
・回答企業の3割以上が、制御システムを活用した事業に取り組んでいる（図7）
・制御システムのセキュリティ対策の実施については、各対策について十分にできていると回答している企業は15％に満たず、特にパッチ適用や脆弱性スキャンなどの脆弱性管理は9.0％、リアルタイムアラートや改ざん対策などの統合ログ管理は4.0％程度に止まる（図8）
■調査概要
- 調査期間：2019年5月30日～6月25日、8月21日～9月6日
- 調査方法：郵送によるアンケート票の送付・回収、Webによるアンケートの実施
- 調査対象：国内上場企業、および売上高400億円以上の未上場企業
- 有効回答数：313件
