過半数の企業が、ネットワークやパソコンのセキュリティ対策、個人情報保護法対策を終えた。今後の焦点は、従業員教育や事業継続計画の策定・実施など、全社的なマネジメントの強化に移りそうだ。


　NRIセキュアテクノロジーズでは2002年度から毎年、企業を対象に情報セキュリティに関するアンケート調査を実施している。5回目となる今回は、従業員300人以上の企業（東証1部・2部上場企業および非上場企業）と、東証1部・2部上場の従業員300人未満の企業を中心とする3001社にアンケートを郵送し、449社から回答を得た。調査の実施期間は2006年5月15日から31日、有効回答率は15.0％である。

　回答企業の業種分布は、製造業が最も多くほぼ半数を占める。以下「建設・土木・不動産」（12.9％）、「医療・福祉・教育・研究機関・その他のサービス」（8.5％）、「商社・流通・卸」（7.6％）が続く。回答者の所属部門は「システム管理・運用」が55.2％と最も多く、「システム開発・設計」が26.5％、「経営企画・事業開発」が6.2％などとなっている。本稿では2006年5月の調査結果から、興味深いトピックをいくつか紹介する。

セキュリティポリシーの策定進む

図1●情報セキュリティポリシーの策定状況
[画像のクリックで拡大表示]
　情報セキュリティポリシーを策定する企業は、着実に増えている（図1）。「既に策定している」と回答した企業の割合は、2005年度調査の32.5％から44.1％に増えた。昨年の調査時点で、セキュリティポリシーを「現在策定を進めている」または「策定を検討中」と回答した企業は3割強あった。主にこれらの企業が「既に策定している」グループに加わった結果とみられる。

　セキュリティポリシーを既に策定済みの企業の割合は、2002年度から2005年度までの3回の調査では3割前後で推移していたが、2006年度になってようやく増加の兆しが見え始めた。一方、「現在のところ策定していない」と回答した企業の割合は2002年度から減少し続けており、セキュリティポリシーの必要性について認識が高まっていることは確かだろう。

　また、セキュリティ対策に取り組む目的や方針を、選択肢から選んでもらったところ、上位3項目の順番は2005年度と変わらなかった。具体的には、「リスクマネジメントの一環として取り組んでいる」（77.4％）、「セキュリティ関連の事故がブランドイメージや業績に与える影響を避けるため」（57.5％）、「社会的責任を果たすために取り組む必要があるため」（50.4％）である。

　図は掲載していないが、この結果を業種別に分析したところ、業種による差が大きかった項目は「社会的責任を果たすために取り組む必要がある」と「顧客に提供する製品やサービスで一定レベルのクオリティを確保するため」だった。前者を最も多く選択した業種は小売業で、63.2％に達している。また後者を最も多く選択したのは、「通信・情報処理・メディア・コンサルティング」の43.3％。このほかの業種は5.3～25.0％となっている。


■村主 俊彦（すぐり としひこ）
2001年NRIセキュアテクノロジーズ入社。情報セキュリティにかかわる調査およびコンサルティングに一貫して従事している。