事後対応型のセキュリティ戦略がCISOに重大な課題をもたらす

F5の最新調査で、確立されたITセキュリティ戦略を持つ企業はわずか51%であることが判明

シンガポール発 — 本日、Singapore International Cyber Weekにおいて、F5 Networks（NASDAQ：FFIV）は、絶えず変化する今日の脅威環境を背景に、CISOの役割の変化と、世界各地の組織が採用しているITセキュリティへのアプローチに関する包括的なレポートを発表しました。このレポートでは、ITセキュリティの優先度が高まるにつれて、企業内でCISOの影響力が増している一方、多くの組織のセキュリティ戦略は依然として事後対応が中心で、ビジネス機能との整合もまだ取れていないことが明らかになりました。

Ponemon Instituteが実施した本調査の結果は、米国、英国、ドイツ、ブラジル、メキシコ、インド、中国の7か国にある184社の上級ITセキュリティ担当者へのインタビューに基づいています。

「この調査から、今日の厳しい環境下でCISOがどのように職務を遂行しているかについて、独自の視点が得られます」と、F5の最高情報セキュリティ責任者であるMike Convertinoは述べています。「CISOがセキュリティ部門を主導する方法や、社内で担うリーダーシップの役割において、前進していることは明らかです。しかし、多くの組織では、資産を十分に保護し、高度化・頻発する攻撃を防ぐために必要な、戦略的かつプロアクティブな役割をITセキュリティがまだ果たせていません」

主な調査結果

• CISOの責任が拡大 – CISOが組織の経営幹部に及ぼす影響力の程度にはばらつきがあるものの、大半のCISOは自社のサイバーセキュリティリスクの管理に影響力を持ち、その影響力は拡大しています。回答者の68%は、ITセキュリティ関連のあらゆる支出についてCISOが最終決定権を持つと回答しています。一方、やや少ない64%は、組織内のセキュリティ関連のあらゆる支出に対してCISOが直接的な影響力と権限を持つと回答しています。また、回答者の87%は、ITセキュリティ予算が大幅に増加した（18%）、ある程度増加した（29%）、または変わっていない（40%）と回答しています。
  
• ビジネス部門との連携不足 – 全社を網羅するITセキュリティ戦略は、依然としてほとんど存在しません。回答者の58%がITセキュリティは独立した機能であると答え、セキュリティが他のビジネスチームと統合されていると答えたのはわずか22%でした。また、45%がセキュリティ部門の責任範囲が明確に定義されていないと回答しています。回答者の75%は、ビジネス機能との統合不足により、部門間の縄張り意識やサイロ化がITセキュリティの戦術と戦略に大きな影響（36%）または一定の影響（39%）を及ぼしていると回答しています。
  
• セキュリティをビジネス上の優先事項と認識するのは事後対応的 – 回答者の60%は、自社がセキュリティをビジネス上の優先事項と見なしていると考えています。しかし、自社にITセキュリティ戦略があると回答したのはわずか51%で、そのうち、その戦略が他の経営幹部によってレビュー、承認、支持されていると回答したのは43%にとどまりました。調査結果によると、セキュリティプログラムの変更は主に事後対応として行われており、他の上級幹部の関心を最も集める2つの事象は、重大なデータ侵害（45%）とサイバーセキュリティ上のエクスプロイト（43%）です。
  
• 危機を契機に経営幹部への影響力が高まる – 回答者の65%は、CISOが経営幹部と直接コミュニケーションを取っていると答えていますが、組織に対するあらゆる脅威について戦略的に議論することはほとんどありません。また、セキュリティインシデントに関する経営幹部とのコミュニケーションも限定的であり、46%は重大なデータ侵害とサイバー攻撃のみをCEOと取締役会に報告していると回答した一方、すべてのデータ侵害を報告しているのはわずか19%でした。
  
• AIは人員確保の課題を解決する可能性 – ITセキュリティ人材の不足は、引き続きCISOにとって大きな懸念となっています。今後2年間で、ITセキュリティ担当者の平均人数はフルタイム換算で19人から32人に増加する見込みですが、半数近く（42%）が現在の人員では不十分だと感じています。58%が、適格なセキュリティ人材の採用は困難だと回答しており、最大の課題として、適格な候補者の特定と採用（56%）、市場水準の給与を提示できないこと（48%）を挙げています。こうした課題を受け、企業は別の解決策を模索しています。回答者の半数（50%）は、機械学習と人工知能によって人員不足に対処できると考えており、70%は、2年後にはこれらのテクノロジーがITセキュリティ機能にとって重要になると考えています。

F5について

F5（NASDAQ: FFIV）は、世界最大級の企業、サービスプロバイダー、政府機関、消費者向けブランドのアプリケーションを、より高速、スマート、かつセキュアにします。F5は、速度と制御性を損なうことなく、組織が選択したアプリケーションインフラストラクチャを導入できるクラウドおよびセキュリティソリューションを提供します。詳しくは、f5.comをご覧ください。また、Twitterで@f5networksをフォローするか、LinkedInおよびFacebookにアクセスすると、F5、パートナー、テクノロジーに関する詳細情報をご確認いただけます。

F5は、米国およびその他の国におけるF5 Networks, Inc.の商標またはサービスマークです。その他、本文に記載されているすべての製品名および会社名は、それぞれの所有者の商標である場合があります。

###

本プレスリリースには、将来の事象または将来の財務実績に関する、リスクおよび不確実性を伴う将来予想に関する記述が含まれる場合があります。このような記述は、「may（可能性がある）」、「will（見込みである）」、「should（見込まれる）」、「expects（予想する）」、「plans（計画する）」、「anticipates（見込む）」、「believes（考える）」、「estimates（推定する）」、「predicts（予測する）」、「potential（可能性）」もしくは「continue（継続する）」などの用語、これらの否定形、またはこれらに類する用語によって識別できます。これらの記述は予測にすぎず、実際の結果は、当社がSECに提出した書類に記載された要因を含むさまざまな要因により、これらの記述で予想された結果と大きく異なる可能性があります。