組織体制と情報セキュリティ投資動向
「サイバーセキュリティ対策は経営課題」という考えは大企業ほど浸透しつつあるものの、十分とは言いがたいようだ。CIO（Chierf Information Officer）またはCSO（Chief Safety Officer）を「設置している」と答えた企業は2016年 44.3％から2017年 46.4％にわずかながら増加した。
IDC Japanリサーチマネージャー
ソフトウェア＆セキュリティ 登坂恒夫
経営者への社内情報セキュリティに関する報告について「報告していない」は2016年 19.3％から2017年 10.8％へ、「セキュリティ被害があったとき」は2016年 25％から2017年 22.6％へと減少した。これ以外は定期的に報告しているとの回答で、頻度に幅はあるものの割合が51.4％から62.9％へと上昇している。
全体で約半数の企業（経営陣）がセキュリティに関してIT責任者やセキュリティ幹部に任せており、従業員規模が小さいほど経営陣が関わっていない割合が高くなる傾向が見られた。
情報セキュリティ予算で見ると、「決められた予算はないが、必要と認められた時にセキュリティ投資を行う」が42.5％、「決められた予算はないが、コンプライアンス監査で指摘された部分に対してセキュリティ投資を行う」が17.8％で、合わせると60.3％が「決められた予算がない」ことになる。また投資を計画している項目についての質問では「投資計画をしているものはない」が最も多く30.2％。
情報セキュリティ投資の増減で見ると「増加」の割合は年々増えている。「増減なし」は2011年の75.8％から年々減少し、2017年では57.8％まで落ちている。とはいえ、世界で比較すると「増減なし」で6割近くあるのはむしろ珍しく、海外では予算はより顕著に増加傾向にある。
図：2011年度（会計年）～2017年度（会計年）の情報セキュリティ関連投資の前年度と比較した増減率
出所：http://www.idcjapan.co.jp/Press/Current/20170425Apr.html
セキュリティ投資を増やす企業で見ると、投資の重点項目のトップ3は「ユーザープロビジョニング」（22％）、「ネットワークセキュリティ」（20％）、「認証システム」（19.5％）。登坂氏によるとクラウドなど新しい基盤導入に関係するものが多いという。なお近年では2015年はモバイルセキュリティ、2016年は標的型攻撃が警戒されたせいかウィルス対策や脆弱性管理に関するものが上位を占めていた。
