日本プルーフポイントは、「2023 Voice of the CISO（CISO意識調査レポート）」の日本語版を発表した。
同レポートは、世界の最高情報セキュリティ責任者（CISO）が直面している主要な課題と期待、CISOの優先事項を調査したもの。調査対象は、16ヵ国の様々な業種にわたる従業員200人以上の組織における合計1,600人のCISO。調査対象国は、アメリカ、カナダ、イギリス、フランス、ドイツ、イタリア、スペイン、スウェーデン、オランダ、UAE、サウジアラビア、オーストラリア、日本、シンガポール、韓国、ブラジルから、それぞれ100人を対象に実施したという。日本における主な調査結果は、以下のとおり。
パンデミックの初期と同様の懸念が再来し、CISOは昨年よりも準備不足を感じている
日本におけるCISOの65％（世界平均：68％）は、今後1年間で重大なサイバー攻撃を受けるリスクを感じており、2022年の38％、2021年の63％に比べ、より高いリスクを感じているとのこと。また、自社は標的型サイバー攻撃に対処する準備ができていないと考えている日本のCISOは71％（世界平均：61％）で、2022年の62％、2021年の64％と比べて増加しているという（図1）。
［画像クリックで拡大表示］
機密情報の損失は、従業員の離職によって悪化
日本におけるCISOの75％（世界平均：63％）は、過去1年間に機密情報の重大な損失に対処しなければならなかったと回答。そのうちの88％（世界平均：82％）は、従業員が組織を去ったことが損失につながったことに同意しているという。このような損失が起こっているにもかかわらず、日本におけるCISOの71％（世界平均：60％）は、組織内のデータは適切に保護されていると考えているとした。
メール詐欺が最も重要な脅威の首位に
日本のCISOが懸念している脅威の種類にも変化がみられ、最新の調査ではメール詐欺（ビジネスメール詐欺：BECを含む）がトップ。続いて、ランサムウェア攻撃、サプライチェーン攻撃が続いた。昨年は内部脅威がトップで、次にスミッシング／ビッシング攻撃、ランサムウェア攻撃となった。世界のCISOおける認識は、メール詐欺が昨年の4位からトップに浮上し、内部脅威、クラウドアカウント侵害、DDoS攻撃が僅差で続いたという。
ランサムウェア攻撃に備えるためにサイバー保険への加入が進む
日本においてもランサムウェアによる損害を抑えるべく、サイバー保険への加入が進んでおり、68％（世界平均：61％）が、ランサムウェア攻撃を受けた場合、損失額を補償するためにサイバー保険に請求すると述べている。
サプライチェーン攻撃のリスクに対する優先順位が高まっている
日本におけるCISOの78％（世界平均：64％）は、サプライチェーン攻撃のリスクを軽減するために適切な制御を導入していると回答しており、昨年の59％から大幅に増加。これらの保護対策は現時点では十分なものと認識されている一方で、CISOの65％（世界平均：58％）は低迷する経済状況が組織のサイバーセキュリティ予算に悪影響を及ぼしていると回答している。そのため、今後CISOはリソースの不足をより強く感じることになるかもしれないという（図2）。
「人」のリスクは再び顕著な懸念事項に
より多くの日本におけるCISOが、ヒューマンエラーを組織にとって最大のサイバー脆弱性であるとみなし、2021年は65％、2022年は46％と大幅に減少したものの、今年の調査では70％（世界平均：60％）となった。同時に、従業員が組織を守る役割を理解していると考える日本のCISOは75％（世界平均：61％）で、2021年の71％、2022年の61％と比べ上昇していることから、強固なセキュリティ文化構築のために奮闘していることがわかるとしている。
CISOと取締役会は緊密に連携
日本におけるCISOの80％（世界平均：62％）は、サイバーセキュリティの問題に関して、ボードメンバーが自分たちと同じ目線に立っていると考えているとのこと。これは、2021年の65％、2022年の52％から大幅に増加している。
高まるCISOへのプレッシャーで、その業務はますます持続不可能に
日本におけるCISOの75％（世界平均：61％）は、自身の役割に対する期待が過剰であると感じており、2022年の53％から大幅に増加。「ニューノーマル」の時代に移ったことも理由の一つとされている一方で、CISOの仕事に関する憤りとして、71％（世界平均：62％）が個人責任への懸念、67％（世界平均：60％）が過去1年間に燃え尽き症候群を経験したと回答しているという。
【関連記事】
・日本のランサムウェア身代金支払い率は世界最低レベルを更新中 プルーフポイントが年次レポートを発表
・日経225企業の約7割「なりすましメール詐欺」に有効な対策が未実施 プルーフポイントが調査結果を発表
・プルーフポイント、2023年のサイバーセキュリティ7大予想を発表
