「不正アクセス行為対策等の実態調査」を読む（１）

最近、警察庁が発表した２００５年版の 「不正アクセス行為対策等の実態調査」の調査報告書をきちんと読みました。この報告書は警察庁のサイバー犯罪対策のページからダウンロードすることができます（本文にリンクあり）。この報告書が公表されたのが今年の４月１４日なので、いまさら感はありますが報告書に記述されている調査結果の中から私が興味深いと思ったものをピックアップしてみたいと思います。ちなみに、調査対象は全国の企業（東証一部上場・二部上場企業、店頭公開企業を対象）、情報通信関連（電気通信事業者を対象）、医療関係（病床数１００床以上の病院を対象）、教育関連（国立・私立大（短大を含む）を対象）、行政サービス機関（都道府県、特別区、政令指定都市、市町村を対象）から２５００件を無作為に抽出したそうです。アンケートの回収状況は６０６件（２４．２％）です。

「情報セキュリティ対策を非常に感じている」　８２．８％
「ある程度感じている」という回答を含めると、９９．１％の団体が情報セキュリティ対策の必要性を感じていると回答しています。まあ、当たり前ですね。

「情報セキュリティ対策の目的は個人情報保護のため」　８４．３％
この後、「社会的責任を果たすため」７１．８％、「ブランドイメージ、業績への影響」６０．１％、「リスクマネジメントの一環として」５９．７％と続きます。

「情報システム運用管理者が情報セキュリティ担当を兼務している」　６９．１％
「運用担当とセキュリティ担当が別」２４．９％、「セキュリティ担当はいない」１０．９％、「専任」９．６％とのことです。セキュリティの観念からすると運用担当とセキュリティ担当は分けたほうが良いのですが、なかなかそうもいかないようです。

「セキュリティポリシーは策定してある」　５９．４％
「策定中」１５．２％、「策定予定」２０．１％を含めると９４．７％になります。思っていたより高いですね。

「セキュリティ実施手順書を定めている」　４２．９％
「作成中」２５．２％、「検討中」１７．０％を含めると８５．１％となります。セキュリティポリシーだけ作っても、実施手順を作らないとあまり意味がないような気がしますので、実施手順のほうも作成していただきたいものです。

「脆弱性調査を実施している」　１８．８％
予想通り低いのですが、「エネルギー」（４４．４％）、「情報通信」（３５．０％）、「金融」（２８．３％）の業種は比較的高いです。

「セキュリティ監査をすでに実施している」　２６．０％
「内部監査」１８．６％、「外部監査」７．４％、また「実施していないが必要性を感じる」４５．７％となっています。実施していない理由には「知識・ノウハウがない」６２．５％、「予算がない」３５．９％、「手間がかかる」２７．２％となっています。確かに、監査を実施するのは大変なことではありますが、PDCAサイクルのCheckという非常に重要な部分ですから、頑張って実施する必要があると思います。それが、継続的なセキュリティレベルの向上には必要なのです。

「セキュリティ監査の実施は１年ごと」　５３．８％
「特に決まっていない」２３．９％、「半年ごと」１６．３％と続きます。監査は定期的に実施するから意味があると思うのですが・・・。

「情報セキュリティ教育を実施している」　４５．９％
「実施していないが必要性を感じる」４１．６％、「実施を予定している」９．９％と続きます。情報セキュリティ教育は数あるセキュリティ対策の中でも非常に重要度の高いものですので、ぜひ実施をしていただきたいと思います。ただ、「セキュリティ教育の対象者は正社員・職員」７４．３％に対して、「派遣社員」３９．６％となっています。正社員・派遣社員を問わずにセキュリティ教育というものは必要だと思うのですが（むしろ派遣さんのほうにこそセキュリティ教育が必要である場合もあると思うのですが）、派遣社員にはお金をつぎ込めないということでしょうか。

「情報セキュリティ教育の実施内容は個人情報の保護・管理」　８６．７％
この後には「情報セキュリティポリシー」７１．９％、「情報へのアクセス管理」６７．２％、「機密情報の保護・管理」６６．９％、「ウイルス・ワーム対策」６３．６％と続きます。特に情報セキュリティポリシーは策定しただけでは意味がなく従業員が理解してこそ意味があるものなので、必ず教育メニューに組み込む必要があると思います。

「情報セキュリティ教育は年に１回実施する」　４０．８％
「年に数回」２６．３％、「採用・異動時など」１１．８％と続きます。どのような内容でも、教育というのは定期的に実施してこそ意味がありますよね。

長くなってしまいましたので、「続く！」ということで。

＜参考資料＞
不正アクセス行為対策等の実態調査　警察庁