国際会議で開催した「グローバル情報セキュリティ調査2016(日本版)結果報告および新会社設立の記者発表会」での発表資料です。国際会議の開催に合わせて発表しました。本調査は、世界最大級のプロフェッショナルサービスネットワークであるPwCが、CIOおよびCSOとともに経営層を対象に実施した、情報セキュリティや最新のサイバーセキュリティに関する世界規模のオンライン調査です。本調査の結果、世界の多くの企業は、自社がサイバー攻撃を受けることを前提にして、インシデントの検知やレスポンスを重視した最新のセキュリティフレームワークを採用しているのに対して、日本企業では平時のマネジメントシステムに重点を置いたISO27001に偏重している傾向があることが分かりました。脅威や脆弱性など、サイバーリスク情報の外部共有を行っている日本企業の割合は3割程度にとどまり、世界全体の半分に満たないことが明らかになりました。以下、世界全体と日本企業の結果を比較した内容をまとめています。)サイバーセキュリティフレームワークやSANS20クリティカルコントロール、ISFグッドプラクティス標準などがそれぞれ3割前後採用されているのに対し、日本企業はISO27001以外のフレームワークをほとんど活用していないことが分かりました【図1】。日本企業ではサイバーリスク情報の外部共有が進んでいない世界全体では、組織間の共助を目的としたサイバーリスク情報の共有や相互連携が実施されていますが、日本企業における組織間の情報共有の実施割合は、世界全体の半分以下でした【図2】。日本企業が外部組織との情報共有を行わない理由として、約4割が「情報共有の枠組みの整備、標準化ができていない」と回答しています。Intelligence(脅威情報や脆弱性情報など)を活用している企業はインシデントによる業務停止を軽減できているさまざまなセキュリティ対策のうち、セキュリティインシデントによる業務停止時間を短くするのに最も効果的だったのは、「脅威情報サブスクリプション(セキュリティ脅威と解析情報の定期購読サービス)」でした。SIEM(ログ相関分析システム)などのツール導入なども効果はありますが、導入している場合としていない場合との差が比較的小さいことが分かりました【図3】。日本企業が採用するセキュリティフレームワークは、平時のマネジメントシステム(ISMS)を重視したISO27000シリーズに偏重する傾向があります。昨今の洗練されたサイバー攻撃を考慮すると、インシデントが起こる前提に立った態勢を構築することが必要です。今後、日本企業はサイバーレジリエンス強化のため、自社のビジネス特性に合わせて、必要に応じて複数のフレームワークを組み合わせ、セキュリティ戦略の策定、ガバナンス態勢の強化、プロセス構築、技術的対策の適用を進める必要があると当社は考えています。外部組織との情報共有サイバーリスクに関する情報を外部組織と共有している企業は、実用的な情報が得られたとしてメリットを感じています。情報共有を行っている日本企業の割合は、世界全体の半数未満にとどまっているのが現状です。日本企業のセキュリティ向上のためには、ISAC(情報共有分析機関)のような業界横断的なプラットフォームや規則を整え、さらに企業内の情報共有を効果的なものとするための態勢を整備する必要があると考えます。Intelligenceを厳選して収集し、自社の対応態勢構築や防御に活用することで、インシデントの影響を最小化できるメリットがあります。Intelligenceによって、過去や現在のサイバー攻撃の状況を定期的に分析し、将来のサイバー攻撃を予測することで、プロアクティブなインシデント対応態勢の構築が可能となると考えています。グローバルの主な調査結果グローバルの主な調査結果はhttp://www.pwc.com/gx/en/issues/cyber-security/information-security-survey.htmlで公開しています。セキュリティリーダーのレポート先と求められる能力CISO(最高情報セキュリティ責任者)などのセキュリティリーダーのレポート先として、CEO(36%)、CIO(25%)、取締役会(23%)が、回答の上位を占めています。セキュリティリーダーには、役員・取締役とのコミュニケーション能力や経営リスクとしての管理能力などの能力が求められています。IoT・制御システムを狙った攻撃が激増IoT機器・制御システムを標的としたサイバー攻撃を受けたと回答した企業は、昨年と比較して激増しています。回答企業の66%がIoTに関するセキュリティ戦略を策定済みもしくは整備中です。回答企業の59%がサイバーセキュリティ保険に加入しており、年々加入率が増加しています。今後インシデント被害がますます増加すると保険料高騰の可能性も考えられます。ITおよび情報セキュリティ役員。うち日本の回答は286人。Inc.の登録商標です。以上プライスウォーターハウスクーパース株式会社についてプライスウォーターハウスクーパース株式会社は、ディールアドバイザリーとコンサルティングを提供する国内最大規模のコンサルティングファームです。M&Aや事業再生・再編の専門家であるディールアドバイザリー部門と経営戦略の策定から実行まで総合的に取り組むコンサルティング部門が連携し、クライアントにとって最適なソリューションを提供しています。世界157カ国、195,000人以上のスタッフを有するPwC(PricewaterhouseCoopers)のネットワークを生かし、国内約1,500名のプロフェッショナルが企業の経営課題の解決を支援しています。詳細はこちらPwCについてPwCは、世界157カ国に及ぶグローバルネットワークに195,000人以上のスタッフを有し、高品質な監査、税務、アドバイザリーサービスの提供を通じて、企業・団体や個人の価値創造を支援しています。詳細はwww.pwc.comをご覧ください。Japanは、グローバル情報セキュリティ調査2017(日本版)の結果を発表しました。関連サービスサイバーセキュリティ&プライバシーPwCのサイバーセキュリティ&プライバシーサービスでは、セキュリティアセスメント、セキュリティコンサルティング、インシデントレスポンス、セキュリティマネジメントの4種類のサービスを一気通貫で行い、サイバー攻撃に関するリスクから組織の重要な資産を保護するための対策やビジネスの推進を支援します。特定商取引法に基づく表示サイト運営者についてサイトマップ。