トレンドマイクロは、日本国内の従業員規模1,000名以上の法人組織に所属する情報セキュリティ担当者253人を対象に「法人組織のセキュリティ成熟度調査」を実施し、その調査結果を発表した。調査結果は以下の通り。
約6割がセキュリティインシデントによる被害を経験、年間平均被害額は約3億2850万円
今回の調査によれば、回答者の62.1%（157人）がセキュリティインシデントに起因する被害を経験したという。また、被害額の見当が付かない回答者を除いた年間平均被害額は約3億2850万円にも上った。なお全回答者（253人）の四分の一以上（25.3％、64人）に、1億円以上の被害が発生していることも判明している。
もっとも、調査対象者が従業員規模1,000名以上の法人組織であるため、セキュリティインシデントが発生した際の被害額が大きくなった可能性を同社は指摘している。
また、ビジネスサプライチェーンが増加するにつれ、一つのセキュリティインシデントが関係組織のビジネスにも影響し、被害金額が膨れ上がることが懸念されている。そのため自組織だけでなく関係組織のセキュリティポリシーの見直しなど、サプライチェーン全体のセキュリティ施策を見直していくことを同社は推奨している。
セキュリティインシデント発生時の「復旧」に着目した見直しを
調査では、法人組織のセキュリティ成熟度を評価するため、NIST Cyber Security Framework（CSF）が示す識別・防御・検知・対応・復旧の5つの機能毎に、自組織のセキュリティ成熟度を0~4の5段階で評価する質問を行った。結果として、いずれかのセキュリティ機能が大きく高い／低いといった顕著な傾向は見られなかったという。しかし、相対的に見ると「対応」が最も高く、「復旧」が最も低くなっている。
一方で、今後強化する予定のセキュリティ管理策を尋ねる質問では、「復旧」に関するセキュリティ管理策を強化したいとした回答者は45.8%（116人）と半数以下となった。最も高かった「防御」に関するセキュリティ管理策を強化したいと回答した割合（64.8%、164人）と比べると、19.0ポイントもの差が生まれている。
「識別」のセキュリティ成熟度の平均点が相対的に低いことも踏まえると、多くの国内法人組織の環境ではアタックサーフェスが急増し、かつ資産やリスクを識別して適切な策を検討する事前予防のセキュリティ管理策が急務になっていることが想定されるという。その結果、事後対処、特に「復旧」の強化まで十分なリソースを回せていないことが考えられると同社は指摘している。
「事後対処」に焦点をあてたガイドラインを参考
調査の半数を超える52.6%の回答者（133人）が、自組織のセキュリティ対策の見直しの際に参考とするガイドラインにISMS（ISO/IEC 27001、27002）を選択。
ISO/IEC27001、27002は、ISO（国際標準化機構）が定めたISMS（情報セキュリティマネジメントシステム）を構築するための要求事項をまとめた国際規格であり、国内でも多くの組織が参考にしていることが本調査の結果でも明らかになっている。
また、調査の回答者の40.3％（102人）がCSFを、32.4%（82人）がNIST SP 800-171を選択しているとのことだ。
【関連記事】
・脅威の兆候や不審な振る舞いユーザの資産アクセスを動的制御 トレンドマイクロが新ソリューションを発表
・トレンドマイクロ、22年上半期サイバーセキュリティレポート公開 サプライチェーンリスクが国内で顕著に
・電力などのICS環境利用組織に深刻なサイバー被害、約9割が事業活動に影響 トレンドマイクロが発表
