AIU保険調べ／脅威を感じる経営者が多数

AIU保険が企業の経営者200人を対象に行った調査によると、コンプライアンスや自然災害、外部からのサイバー攻撃、情報漏えい、為替変動など事業を取り巻くリスク因子のうち「情報漏えいに関するリスク」に脅威を感じる経営者の割合が全体の8割（81.0％）にものぼり、外部からのサイバー攻撃のリスク（67.5％）とあわせて「情報セキュリティ」に関する意識が強いことが浮き彫りとなった（グラフ1）。また同調査からは従業員数100－299人規模の企業や海外展開している企業において、情報セキュリティ対策が不十分な状況であることが見てとれた。

グラフ1

この調査は「情報漏洩リスクに対する意識」を明らかにすることを目的として、資本金5,000万円以上、従業員100人以上の日本国内在住の経営者および役員を対象に、2012年12月21～23日にインターネットを通じて行ったもの。回答者が勤務する企業のうち73.5％は株式未・非上場で、所在地は東京都が51.0％、大阪府10.0％、神奈川県6.5％、兵庫県5.5％、愛知県5.0％などとなっている。

■リスク因子それぞれの脅威度

事業を取り巻くリスク因子のそれぞれについて、どの程度脅威を感じているのか。情報漏えいに関するリスクは「非常に脅威」が30.5％、「脅威」が50.5％で、脅威と感じている経営者は8割を超えた。法務法令・コンプライアンス（「非常に脅威」と「脅威」を合わせて77.0％）、自然災害（同70.5％）を上回る結果だった。また、同じ情報セキュリティ領域である外部からのサイバー攻撃に関するリスクも「非常に脅威」と感じる経営者が18.5％、「脅威」が49.0％で上位だった。

■情報漏えいの要因

調査では、特に従業員数1000人以上の企業において、情報漏えいの原因としてサイバー攻撃を挙げる割合が多い結果となった。「情報漏えいの最も大きな要因として認識しているものとして、最も当てはまるものは何か」という質問に対して、全体の回答では「管理の不備（定期的な状況把握フローやルールのマンネリ化）」（33.5％）、「従業員の不正行為」（22.0％）、「外部攻撃（サイバー攻撃）」（11.0％）が多かったが、従業員数100－299人の企業では「従業員の不正行為」（30.3％）を認識している割合が多いのに対し、1000人以上の企業では「外部攻撃（サイバー攻撃）」（19.6％）と「管理の不備（定期的な状況把握フローやルールのマンネリ化）」（42.9％）が多かった（グラフ2）。

グラフ2

■不十分な対策

対策の状況はどうか。情報漏えいのリスク対策に絞って見ると、「あまり対策を取っていないと思う」「まったく対策を取っていないと思う」「わからない」という回答の合計が全体の3割近かった（27％）（グラフ3）。　　

グラフ3

従業員数100－299人の企業に注目すると、対策不十分と思われる回答が3割を超えている（35.5％）。「あらゆる情報漏えいリスクについて対策を取っていると思う」と回答した割合は従業員数1,000人以上の企業が多かったがそれでも2割程度（23.2％）である。

また情報漏えいの原因としてサイバー攻撃を挙げる経営者が少なからずいるという結果をこの調査は得ているが、その対策はというと不十分な企業も全体の３割近くあるようだ。（グラフ4）

グラフ4

■サイバー攻撃対策

サイバー攻撃の対策として具体的にはどんなことを行っているのだろうか。「サイバー攻撃対策の現状（具体策）」（サイバー攻撃対策を取っている会社：ｎ＝127、複数回答）の回答は割合の多い順から、セキュリティポリシーおよび対策の定期的な更新（70.9％）、定期的なサーバーモニタリング調査（40.9％）、従業員教育の徹底（社内啓発セミナーやガイドライン策定など）（39.4％）、外部へのアウトソース（技術提供及び実務支援）（30.7％）、弁護士や危機管理コンサルタントなど各種専門家（知識提供者）との連携（26.0％）、保険への加入（18.9％）、セキュリティ専門人材の採用（14.2％）、具体的対策は社内専任者に一任しており詳細は把握していない（3.1％）という結果となっている。

そしてサイバー攻撃被害を想定した対策費用は平均で約1億2000万円だという。従業員数が多いほど高く、1000人以上の企業では約3億4000万円、100人から300人規模の企業と比較すると、約10倍の差がある。

海外拠点の情報セキュリティ対策

中国の反日暴動やアルジェリア人質事件など海外展開している企業に関する事件が最近相次いでおり、海外拠点のリスク対策への関心が一層高まっているが、この調査では情報セキュリティに関する不備がうかがえた。

海外拠点を持つ企業の経営者（62人）のうち、情報漏えいに関して「非常に脅威」と「脅威」をあわせ92.9％が脅威と感じており、（グラフ5）その最も大きな要因として「外部攻撃（サイバー攻撃）」も認識していながら、海外拠点がサイバー攻撃を受ける可能性を想定して対策を取っている経営者は約20％と低いのだ。想定はしていたが対策は取れていない、あるいは検討中（38.7％）、想定はしておらず対策は取っていない（30.6％）が多く、約70％は対策が取れていない、という心配な結果となっている（グラフ6）。

グラフ5

グラフ6

■私物の情報端末の利用

情報セキュリティおいては、私物の情報端末を使用することは情報流出のリスクになりかねないが、調査ではこの点も質問している。「自社従業員の私物情報端末（ＰＣ、スマートフォンなど）の業務利用（業務資料の閲覧・加工）について、最もあてはまるもの」は、個人の裁量に任せている（規制していない）が29.5％で最も多いという結果だった。利用範囲を定めたマニュアルやシステムを整備して利用している（21.0%）、マニュアルや通達等で完全に禁止している（18.5%）というのが一定の割合あるが、システム上、完全に利用できないように制限している（19.0%）のは２割程度にとどまっている。私物情報端末の利用も情報セキュリティの課題の１つといえる。