最新セキュリティマネジメント（第16回） 「情報セキュリティ白書2022」に学ぶ（後編）

リスクマネジメント 働き方改革

公開日：2022.09.22

　独立行政法人情報処理推進機構（IPA）では、情報セキュリティに関する国内外の政策や脅威の動向、インシデントの発生、被害状況などをまとめた「情報セキュリティ白書」を2008年から毎年発行している。2022年版は7月15日に発行された。先月の前編では第1章の「情報セキュリティインシデント・脆弱性の現状と対策」を中心に紹介したが、今回は情報セキュリティ政策の変化や企業におけるセキュリティ対策の状況などについてのトピックスを紹介する。

情報セキュリティ政策を活用する

　IPAが発行した「情報セキュリティ白書2022」の第2章は「情報セキュリティを支える基盤の動向」というタイトルで、幅広い情報が網羅されている。ここでは一般企業にとって参考になる情報について取り上げる。

　最初の「国内の情報セキュリティ政策の状況」では、政府が推進する情報セキュリティ政策の状況について解説されている。政府は経済社会のデジタル化やDX推進の動きに併せてサイバーセキュリティ確保に向けた取り組みを同時に推進する「DX with Cybersecurity」が重要だとしている。

　現在、経済産業省のもとでIPAがさまざまな施策に取り組んでいるが、基本となるのが2019年4月に策定された「サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）」である。CPSFを軸に「サイバーセキュリティ経営ガイドライン」「中小企業の情報セキュリティガイドライン」など、さまざまな支援ツールが提供されている。

　これらのツールの中には、サイバーセキュリティ経営を実践するためのプラクティス集や実践をサポートする事例の検索ツール、サイバーセキュリティ経営を可視化するツールなどが記載されており、具体的な対策を進める上でも活用できるだろう。

　また、中小企業が利用しやすいセキュリティ対策サービスを「サイバーセキュリティお助け隊」として認定する取り組みも紹介されている。一定の基準に従ってIPAが認定したマークの使用権を付与するもので、サービスを選ぶ際の参考になる。

　さらに、近年不足しているセキュリティ人材を育成する取り組みとして、以前も取り上げた若年層向けのセキュリティ・キャンプや産業サイバーセキュリティセンターにおける中核人材育成プログラムや情報セキュリティマネジメント試験、情報処理安全確保支援士が紹介されている。自社のセキュリティ人材の育成目標に組み込むのもよいだろう。

脅威は認識しつつも具体的対策は遅れている

　第2章で最も参考になるのが「企業等における対策状況」だろう。最初に日本と海外、米国とオーストラリアの企業の比較が紹介されている。日本は中長期の対策を立てている企業の割合が約半数で、関連子会社やパートナー、委託先のセキュリティ対策状況を把握している割合も低く、情報セキュリティ戦略を統括するCISOの設置も進んでいないという問題がある。

　次にサイバーセキュリティへの対策状況の傾向が解説されている。前述したサイバーセキュリティ経営を可視化するツールの回答の平均値からは、組織全体の対応方針のポイントは高いが、見直し体制が構築されておらず、被害に備えた復旧体制やサプライチェーン全体の対策状況の把握、情報共有には手が回っていない実態が浮き彫りになった。

　中小企業における情報セキュリティの現状についてはさらに詳細なデータが掲載されている。約8割の企業がコンピューターウイルスや不正アクセスを脅威と認識しているが、重要なシステム・データのバックアップを実施しているのは35.7%に過ぎず、特に実施していない企業が30.0%となっている。

　また、販売先・仕入先との契約締結時における情報セキュリティに関する条項・取引上の義務や要請については63.2%の企業が「義務・要請はない」と回答している。情報セキュリティの脅威を認識しているものの、十分な対策がとられておらず、販売先や仕入先からの義務や要請も行われていないのが現状で、セキュリティの確保が望まれるとしている。

　さらに「情報セキュリティ白書」の第3章では個別テーマとして「制御システムの情報セキュリティ」「IoTの情報セキュリティ」「クラウドの情報セキュリティ」などが取り上げられている。これらのセキュリティ対策が必要な企業にとっては大いに参考になるはずなので、目を通してみてはいかがだろうか。

執筆＝高橋 秀典

【TP】

あわせて読みたい記事

「リスクマネジメント」カテゴリーから探す

連載バックナンバー

最新セキュリティマネジメント

もっと見る

カテゴリー　一覧