欧米企業のセキュリティ意識 - 賢いセキュリティ対策 Part3

社内優先度の低さに悩みながらも
新技術を積極導入へ

厳しい経済状況のなか、欧米企業はセキュリティにどう取り組んでいるのか。 フォレスター・リサーチが実施した調査結果から、欧米企業におけるセキュリティの現状や課題を探る。

本稿は米国フォレスター・リサーチ発行の記事「The State Of Enterprise IT Security:2008 To 2009 Business Data Services North America And Europe」を翻訳、編集して掲載しています。

フォレスター・リサーチは2008年第3四半期に、「北米および欧州企業のセキュリティ調査」を実施。従業員数が1000人以上の欧米企業942社を対象に、セキュリティ予算や課題、主要なセキュリティ技術・サービスの導入状況などを聞いた。本パートでは、調査で明らかになった知見の一部を報告する。

新たな対策への投資は増加傾向

欧米企業は2008年、人件費を含むセキュリティ予算全体の平均17.7％を新たなセキュリティ対策に割いた（図3-1）。2009年には、この割合は18.5％へと上昇する見込みである。

図3-1　2008年のセキュリティ予算の内訳と2009年の見通し（N=727）。
新規案件への投資意欲が上昇傾向にある

各種セキュリティ対策の重要度を聞く設問では、全体の90％に上る企業がデータセキュリティを「非常に重要」または「重要」と回答した（図3-2）。このほか、企業の86％がアプリケーションセキュリティ、84％が事業継続性／障害復旧を「非常に重要」または「重要」と考えていることが分かった。一方、脅威対策や法令順守を重要と考える企業は、それぞれ81％と80％にとどまった。

図3-2　今後12カ月における各種セキュリティ対策の重要度（N=942）。回答企業の7割近くがデータ・セキュリティを最重要視している（図をクリックで拡大）

セキュリティ対策の実施を困難にする障壁については、全体の70％が「ほかの案件に比べてセキュリティ対策の優先度が低いこと」、67％が「セキュリティ以外の雑多な業務に追われていること」を挙げた（図3-3）。このほか、予算や人員、スキルの不足もセキュリティ対策の壁になっている。

図3-3　セキュリティ対策の障壁（N=942）　悩みの種は社内における優先順位の低さ（図をクリックで拡大）

こうした課題を解決する策として、企業はマネージドサービス利用に期待を寄せている。マネージドサービスを「すでに導入済み」と答えた企業が最も多かった領域は、メールやWebコンテンツのフィルタリング（38％）だった（図3-4）。一方，今後12カ月では脆弱性対策とホスト上のイベントログ監視・管理にマネージドサービスを利用する動きが活発化しそうだ。

図3-4　マネージドサービスの利用状況（N=493）　脆弱性評価サービスの利用が広がる（図をクリックで拡大）

組織間ID連携に注目集まる

次に、具体的なセキュリティ技術の導入状況を見ていこう。IAM（ID and Access Management：ID・アクセス管理）技術の利用が広がっている。シングルサインオンについては、企業の21％が12カ月以内に「試験的あるいは正式に導入する」と回答した（図3-5）。このほか、12カ月以内にプロビジョニング（ユーザーアカウントの自動管理）技術を導入する予定と答えた企業は19％。フェデレーション（組織間ID連携）技術をすでに導入済みの企業は全体の13％にとどまるものの、15％の企業が12カ月以内にこの技術を導入予定であり、今後の成長率は高そうだ。

図3-5　ID・アクセス管理（IAM）技術の導入予定（N=942）　プロビジョニングやフェデレーションへの需要が伸びつつある（図をクリックで拡大）

2009年は、クライアントPCにおけるデータ保護技術に投資を振り向ける動きが活発化する。全体の22％に上る企業が、ディスクやデスクトップの暗号化を今後12カ月以内に試験的あるいは正式に導入する予定である（図3-6）。このほか、20％の企業はファイル暗号化、18％はエンドポイントコントロール（クライアントPCのセキュリティ状況を確認した上でネットワーク接続する技術）、16％はクライアントPCからの情報漏えいを防止する技術を12カ月以内に導入するとしている。

図3-6　クライアント・セキュリティ技術への関心や取り組み（N=942）　22％の企業がディスク暗号化ツールを導入予定（図をクリックで拡大）

続いて、回答企業の47％が「非常に重要」と認識しているアプリケーション・セキュリティへの取り組み状況である。現状では、アプリケーションファイアウォール（53％）やテストおよびスキャンツール（45％）といった製品を導入するケースが多い（図3-7）。これに対して、ペネトレーションテストやセキュリティアーキテクチャコンサルティングといったサービスを利用している企業は全体の3割程度にとどまる。しかし、今後12カ月の導入計画を見ると、製品とサービスの間にほとんど差はない。

図3-7　アプリケーション・セキュリティへの関心や取り組み（N=942）　外部のコンサルティング・サービス利用も視野に（図をクリックで拡大）

データセキュリティ分野においては、「メールの暗号化」（45％）と「ネットワークストレージの暗号化」（41％）の導入率が高かった（図3-8）。一方、今後12カ月に導入予定では、「情報漏えい対策」の21％。これに、アプリケーション暗号化プラットフォームと暗号鍵管理ソリューションを挙げる企業がそれぞれ19％と続く。

図3-8　データ・セキュリティ技術への関心や取り組み（N=942）　回答企業の半数近くがメール暗号化を実施済み（図をクリックで拡大）

以上、「北米および欧州企業のセキュリティ調査」の主な結果をまとめた。なお、すべての調査項目や質問内容を当社のWebサイト（www.forrester.com/itleaders）で閲覧・ダウンロードできる。ぜひ利用していただきたい。