情報セキュリティ予算は増加傾向だが6割は「年間予算無し」――IDC調査

IDC Japanは2017年度における国内企業の情報セキュリティ対策実態調査結果を発表した。情報セキュリティ投資は2016年度に続き2017年度も増加傾向だったが、6割の企業ではいまだに予算化されていないという。

公開 2017年04月27日 13時01分

著者

浦本康平

[TechTargetジャパン]

印刷する

2011年度～2017年度の情報セキュリティ関連投資の前年度と比較した増減率（出典：IDC Japan資料より）《クリックで拡大》

　IDC Japanは2017年4月25日、国内企業673社の情報セキュリティ対策の実態調査結果を発表した。調査実施は2017年1月。回答企業の規模は「3000人以上」が12.3％、「1000～2900人」が9.8%、「500～999人」が15.3％、「250～499人」が16.3％、「100～249人」が17.8％、「10～99人」が10.4％、「9人以下」が18.0％。同社は情報セキュリティ投資動向の他、情報セキュリティ被害状況、情報セキュリティ対策ツールの導入状況について報告している。本稿では主に情報セキュリティ投資動向と組織体制に関する結果について、かいつまんで紹介する。

併せて読みたいお薦め記事

「セキュリティ人材」の重要性

セキュリティ予算はどう使うべき？

情報セキュリティ投資額は増加傾向

IDC Japanの登坂恒夫氏

　調査対象企業における2016年度（各社の会計年度に基づく）の情報セキュリティ投資の増減率は、2015年度と比べ「増加している」と回答した企業が26.9％となり、「減少する」と回答した企業（10.6％）を上回った。2017年度の情報セキュリティ投資見込みについても、2016年度を上回ると回答した企業（32.1％）が「減少する」と回答した企業（10.1％）を上回り、全体として情報セキュリティ投資は増加傾向が続いている。

　セキュリティ投資を増やす企業が重点的に投資しようと計画している項目は「ユーザープロビジョニング（ユーザーアカウントの追加や削除に関する管理ツール）」「ネットワークセキュリティ」「認証システム」などが上位に挙がった。2015年度はモバイルセキュリティ（ウイルス対策）やモバイルデバイス管理、2016年度はウイルス対策や脆弱（ぜいじゃく）性管理が上位に挙がっており、年度ごとに上位に挙がるセキュリティ投資対象は異なる。「2017年度は企業がクラウドサービスに注目しつつあることから、ID管理や認証セキュリティなどのニーズが高まっているのではないか」と、IDC Japanのソフトウェア＆セキュリティリサーチマネージャーである登坂恒夫氏は分析する。

6割の企業は「情報セキュリティの決まった予算は無し」

　しかし、全体の約6割の企業がいまだに情報セキュリティへの投資を予算化しておらず、年間計画にも組み込んでいないのが現状だ。情報セキュリティ予算についての設問では「決められた予算はないが、必要と認められた時にセキュリティ投資を行う」（42.5％）、または「決められた予算はないが、コンプライアンス監査で指摘された部分に対してセキュリティ投資を行う」（17.8％）という回答が合算で過半数を占めた。セキュリティ投資動向の設問においても、57.8％の企業は「情報セキュリティ投資の増減はない」と回答している。情報セキュリティ投資の重点項目に関する設問でも、30.2％が「（投資計画をしているものは）ない」と回答しているのは、約6割の企業がセキュリティ投資の年間予算を持っていないことに関連していると考えられる。

　登坂氏は、いまだに情報セキュリティに決められた予算がなく、投資計画を持たない企業が少なくないという事実に、「戦略的なセキュリティ対策を実施するには予算化することが重要だ」（登坂氏）と警鐘を鳴らす。

セキュリティ対策を担当者任せにする企業が半数以上

　企業の経営層は情報セキュリティにどれほど関与しているのか。2017年1月調査と2016年1月調査を比較すると「CIO（最高情報責任者）もしくはCSO（最高セキュリティ責任者）を設置している」と回答した企業の割合が2.1ポイント増加し、経営者へ情報セキュリティに関する報告をしていない企業の割合が8.5ポイント減少した。

　しかしながら、半数以上の企業はセキュリティ対策をIT担当者やセキュリティ幹部に任せているのが現状で、経営層が直接セキュリティに関わっている割合は多くないようだ。情報セキュリティに関する幹部のリーダーシップに関する設問では「IT責任者にセキュリティの意思決定を任せ、経営陣は関与していない」と回答した企業の割合は、従業員規模が9人以下の企業が最も高く、1000人～2999人の企業が最も低かった。従業員規模が小さい企業ほど、経営陣が情報セキュリティに関与していない傾向が見られた。

セキュリティ対策ツール導入の壁は「予算」と「人材」

　情報セキュリティ導入時の課題で、筆頭に挙がったのは「予算（57.9％）」であった。次点は「導入効果の測定が困難（35.1％）」で、セキュリティ対策ツールの導入検討に当たっては投資対効果を求めている傾向がうかがえる。また、2016年度と比較して増加傾向が目立った項目として「専門技術者の人材不足」があり、近年のサイバー攻撃が高度化、複雑化していく中で、専門知識を有する人材が不足しているという問題点も浮かび上がった。

　登坂氏は次のような見解を述べた。「情報セキュリティ対策予算を年間計画に組み込んでおらず、戦略的なセキュリティ対策に取り組んでいない企業はいまだに減らない。適切なセキュリティ対策を見極めるためには、ビジネス戦略の方向性を考える際に、リスクやコストを考慮しながら投資計画を策定することが重要である」

印刷する