情報セキュリティにかかわる意識調査

求められる教育体制の整備と充実

企業の経営者層、一般ビジネスマンともに情報セキュリティーにかかわる教育の重要性は認識しつつも、必ずしも十分な対応ができていないことが、日刊工業新聞社がＮＴＴレゾナントと共同で実施した情報セキュリティーに関する意識調査から明らかになった。

この調査は個人情報保護法の施行から6ヶ月経過するのを機に、改めて情報セキュリティー対策にかかわる企業側の対応の実態を浮き彫りにし、その課題を明確にするのが狙い。また情報漏洩の最大の要因とされる人の問題にスポットを当て、一般ビジネスマンを対象に業務遂行における情報セキュリティー上の問題点も調べた。

調査は企業編とビジネスマン編で構成し、企業編では大企業および中堅・中小企業の経営者層1029人から、ビジネスマン編では20―50歳代の就労者1095人からそれぞれ回答を得た。

同法施行後も、企業側からの機密（個人）情報漏洩など情報セキュリティー上のトラブルは後を絶たないが、今回の調査では経営者層の89．0％がないと回答。ただ対策については、31．5％が必ずしも十分ではないとしている。

一般ビジネスマンの42．2％も、自社の情報セキュリティー対策は十分でないと回答していることからも、社内ルールや教育体制などについて再度、点検する必要がありそうだ。

■トラブル発生は大企業に集中■

企業編では、まず4月の同法施行後に情報セキュリティー上のトラブルが生じたことがあるかどうかを聞いた。1029人中で「ある」と回答したのは36人（3．5％）。916人（89.0％）が「ない」と答えた。ただ企有効回答数の中で、中小企業の経営者層の占める比率が高かったためこうした結果になったと推測される。事実、企業の規模別でみると「ある」と回答した経営者層のほとんどが大企業に集中した。

絶対数は少ないものの、トラブルが発生したことがあると回答した経営者層に、どのような問題が生じたのか聞いた（複数回答）ところ、最も多かったのが「個人（機密）情報の漏洩・紛失」（58．3％）。続いて「ウイルス・ワームの感染」（38．9％）、「スパムメールによる被害」（36．1％）だった。

問題が生じた際にどのような対策を講じたかについては、有効回答数27人（複数回答）中で「社内に対策組織を設け、セキュリティー監査を実施した」が最も多く37．0％。ほかに「機密情報管理の厳格化」（33．3％）や「データアクセス権限のより厳格化」（29．6％）が上位を占めた。

問題なのは「特に対策は講じなかった」が、母数が少ないとはいえ18.5％もあったこと。トラブルの度合いによってのことだと思われるが、やはり情報セキュリティー対策は経営者層がどのようなスタンスで取り組むかがポイントになるだけに、より厳格な対応が求められる。

■約15％が法律施行後に対策投資増額■

こうした情勢を踏まえ、自社の情報セキュリティー対策のレベルを5段階評価で聞いた。有効回答数1029人中、ほぼ半数を占めたのが「通常レベル」で446人（43．3％）「問題ない」と「足りている」を回答したのは合わせて191人（18．6％）で、通常レベルを加えると過半数以上が必要とされる対策を講じているといえる。

では必要とされる対策で、重点を置く項目を挙げるとすれば何があるか。通常レベル以上を回答した経営者層（637人、複数回答）に聞いたところ、トップは「従業員の教育」で66．3％。現在の個人情報漏洩などのトラブルが、システム面での脆弱性よりも人に起因するケースが多いとの指摘を裏付けした格好だ。続いて「情報システムや管理体制の強化」（58．7％）「情報端末の外部持ち出し禁止」（44．4％）、「機密情報管理の厳格化」（41．6％）が上位を占めている。

また情報セキュリティー対策にかかわる投資を、同法施行後に増やしたかどうかについては、有効回答数1029人中812人（78．9％）が現状維持と回答したが、14．9％の153人が増やしたと答えた。この増やしたと回答した経営者層に、どの領域に重点的に投資（今後の予定を含む、複数回答）したかを聞いたところ、最も多かったのが「従業員の教育・研修」で66．7％。次いで「基本ソフト・アプリケーションの堅牢化」（49．7％）、「メール・ウェブフィルタリング」（32．7％）などの順となっている。

■中堅クラスへの教育が不十分■

企業編で浮き彫りになった情報セキュリティーにかかわる従業員の教育の重要性に関し、ビジネスマン編でも同様の結果が出た。勤務先の情報セキュリティー対策について、有効回答数1095人中十分ではないと回答した462人に聞いたところ、「情報セキュリティーにかかわる教育体制が出来ていない」が53．7％と最も多かった。

また実際に教育を受けたことがあるかどうかについては、1095人中で「ある」と回答したのが58．0％、「ない」と回答したのが42.0％とかなり拮抗した。特に「ない」と答えたビジネスマンを年齢別にみると、30―50代に集中。企業の中核となるべき層への教育が十分になされていない実態が浮かび上がった。

一方で「ある」と答えたビジネスマンにその頻度を聞いたところ、「1度しか受けたことがない／定期的に受けていない」が51．5％と過半数を占めた。教育の定着と効果が期待できる目安とみられる「3ヶ月に1回」あるいは「月に1回」、さらに「週1回」としたのは合算で22．2％にとどまり、実際に教育を実施している企業でもまだまだ十分でないことが明らかになった。

情報セキュリティー対策を講じていく上で、ビジネスマンが組織やシステム的なものよりも「従業員個々のセキュリティーリテラシーの向上」（1095人中647人、59．1％）を最も重要なポイントとして選択したことからも、企業側は早急に教育体制の整備と充実を図る必要があるといえよう。