約6割の企業ではセキュリティ予算は決められておらず投資額は前年度並
2019年度（会計年）の情報セキュリティ投資（新規導入／既存強化）を増加する企業は、エンドポイント対策、Webセキュリティ、ネットワークの順で多いことが判明した。また、約6割の企業では、セキュリティ予算は決められておらず、投資額は前年度と変わらないと回答している。
さらに、2020年に開催される東京オリンピック／パラリンピックに向けたセキュリティ対策状況について尋ねたところ、「実施した（8.9％）」「これから実施する計画がある（18.1％）」となり、対策項目は、ウイルス対策、メッセージセキュリティ、Webセキュリティの順で、既存対策を強化する企業が多い結果だった。
今回の調査では、新たにCSIRTおよびSOCの設置状況について尋ねた。3,000人以上の企業ではいずれも50％近くの設置状況であり、セキュリティ体制の強化が従業員数に比例する傾向が見られた。
懸念するセキュリティ脅威と、セキュリティ導入の際の課題については、リスクゼロにすることが難しい「未知のマルウェアやゼロデイ攻撃」で59.4％、「部内者の人的ミスによるインシデント」で54.6％の企業が脅威と回答している。
セキュリティ導入の際の課題は、「予算の確保」「導入効果の測定が困難」と回答した企業が多く、投資対効果を経営層から求められるため、課題として顕在化している企業が多いとIDCは考える。
セキュリティ被害に遭った企業は微減したが、一件当たりの被害額は増加傾向
過去1年間でセキュリティ被害に遭った企業は、全体の14.2％で前回（2018年1月）とほぼ同じだったが、ランサムウェア感染の被害は前年よりも2ポイント減少し、約8％の企業が被害を受けている。
重大なセキュリティ被害に遭った企業は25.2％で、前回調査の26.7％から微減、さらに復旧や賠償金などにかかった費用は、500万円未満、500～1,000万以上と回答した企業はそれぞれ37.3％（1.8ポイント増）、15.8％（5.7ポイント増）だった。このことから、一件当たりの被害額は増加傾向であると考えられる。
SaaS型クラウドアプリケーション対策は23.5％、IaaS／PaaS等の仮想OSのセキュリティ対策は23.4％の導入状況となっており、インフラやアプリケーションのクラウド移行が進み、利用の可視化やデータ保護対策としてクラウドのセキュリティ対策製品の導入が高まってきている。
また、サイバーレジリエンス向上のため、エンドポイントでの不審な挙動の検出と調査をおこなうツールとして、EDR（Endpoint Detection and Response）製品、MDR（Managed Detection and Response）サービスの利用は23.4％と堅調だった。
統合管理を行うオーケストレーション製品やサービス（13.3％）、AIや機械学習を用いた自動化（10.3％）は、インシデントレスポンスの迅速化とセキュリティ人材が不足している企業からの期待もあり、今後の成長が見込まれる。
EU圏でビジネスを行っている企業ではGDPR対策が進む
施行から1年が経過したEU 一般データ保護規則（GDPR）について、GDPRを知っている企業は、EU圏でビジネスを行っている企業では85.5％と認知度は高く、既に対策済みの企業は47.3％、計画が具体的にあると回答した企業を含めると約85％であり、施行前の前回調査と比較し、約38ポイント増加している。
EU GDPRに対する重点的投資項目では、EU圏でビジネスを行っている企業は、アプリケーションの特定（57.4％）、データの評価と分類（50.4％）において半数を超えており、ビジネスを行っていない企業とのポイント差が大きい結果となっている。
一方で、EU圏でビジネスを行っていない企業では、社内教育（38.4％）を重点項目とする企業が最も多い結果となっている。重大な課題は、RTBF（Right To Be Forgotten：忘れられる権利）／削除する権利が、EU圏でビジネスを行っている企業では最も多く50.4％、行っていない企業28.9％と差異が21.5ポイントと最大の項目だった。
今回の発表は、IDCが発行した「2019年 国内情報セキュリティユーザー調査：企業における対策の現状」にその詳細が報告されている。レポートでは、2019年4月12日～19日に実施した情報セキュリティ対策の導入実態調査の結果に基づき、国内企業（官公庁を含む）の情報セキュリティ対策の導入実態と今後の方向性について分析を行っている。
調査内容には、情報セキュリティ投資、情報セキュリティ対策導入状況、情報セキュリティサービスの利用状況、個人情報保護法や情報漏洩対策に代表されるコンプライアンス強化への企業の取り組みなどが含まれる。
