IDC調査でみる、日本のセキュリティが“未熟”な理由（1/2 ページ）

IDCが実施した調査結果よれば、日本企業の情報セキュリティへの取り組みは米国企業より遅れているというという。分析から日米の違いにどのような点がみられるのだろうか。

　IT専門調査会社のIDC Japanは10月19日、国内ユーザー企業（非ITサービス業）を対象に実施した情報セキュリティの成熟度調査の分析結果を発表した。日本企業のセキュリティへの取り組みは米国企業に比べて遅れているといい、その原因や推進策などを解説した。

　同社は、2016年から企業のIT利用状況を成熟度で示す調査分析をスタート。これまでクラウドやモバイル、IoT（モノのインターネット）、ビッグデータ分析などをテーマに分析結果を公表している。今回は情報セキュリティの取り組みを5段階の成熟度で示し、日本と米国の比較結果も公表している。

　調査は2016年7月に、従業員500人以上の企業で情報セキュリティ業務に関係しているIT関連部門の課長職以上を対象にWebでアンケートを行い、日本では200社、米国では150社が回答した。アンケート結果について「ビジョン」「リスク管理」「組織／人材マネジメント」「運用プロセス」「セキュリティテクノロジー」の5つの特性を指標に用いて成熟度を算出した。5つの特性および成熟度の内容は以下の通り。

日本企業のセキュリティは未熟？

　調査結果によると、日本企業の情報セキュリティの成熟度は、「限定的導入（ステージ2）」が36.0％で最も多く、回答企業の大半が「標準基盤化（ステージ3）」以下の段階にとどまっていることが分かった。

国内における情報セキュリティの成熟度ステージの分布（出典：IDC Japan）

　調査を担当したソフトウェア＆セキュリティグループ リサーチマネージャーの登坂恒夫氏によると、こうした企業ではセキュリティ対策がサイバー攻撃などの外部脅威やコンプライアンスへの対応に終始しているという。

　成熟度を特性別にみると、「ビジョン」と「リスク管理」ではステージ2とステージ3に位置する企業の割合がほぼ同じだった。「組織／人材マネジメント」と「運用プロセス」ではステージ2に位置する企業が最も多い状況だった。

5つの特性別にみた成熟度ステージの分布（出典：IDC Japan）

　これについて登坂氏は、「ビジョンとリスク管理、組織／人材マネジメントと運用プロセスはそれぞれ関係性が深く、ビジョンとリスク管理への取り組みが十分ではないために、その先にある組織／人材マネジメントと運用プロセスへの取り組みも進んでいない」と指摘する。

　成熟度の日米比較の結果は、ステージ1〜2に位置する企業は日本の方が多く、ステージ3〜5に位置する企業は米国の方が多かった。登坂氏によると、ステージ3までとステージ4〜5ステージでは、特にリスク管理に対する積極性が大きく影響しているという。日米ともステージ4〜5に位置する企業がステージ3までに位置する企業に比べて少ないものの、その差は日本の方が大きいという。

成熟度ステージ分布の日米比較（出典：IDC Japan）

　こうした成熟度は、IDCが開発した「IDC MaturityScape」というフレームワークをもとに、グローバルでの相対評価によって算出しているという。そのため、今回の調査では「日本の情報セキュリティが米国に比べて未熟」という評価になっている。