アシュアードは7月28日、従業員数1000名以上の大手企業の情シス部門300人を対象に行なった「取引先企業のセキュリティ評価」に関する実態調査の結果を公開した。
調査の結果、大手企業の半数以上で取引先企業を起因とした深刻なセキュリティ被害が発生しており、取引先を含めたトータルのセキュリティ管理強化が喫緊の課題であることが浮き彫りになった。調査結果の概要は以下のとおり。
●取引先企業に対するセキュリティ上の不安
「とても不安を感じる」「やや不安を感じる」と回答した企業は合わせて73%に達し、多くの企業が取引先企業のセキュリティに懸念を抱いていた。
実際、64％の企業で取引先企業を起因とした情報漏えい、もしくは漏えいの可能性があった事例が発生している。最も多かったのは「取引先企業のシステムにおいてマルウェア感染（ランサムウェア含む）が発生した」（26.3%）で、「取引先企業のシステム経由で自社のシステムにおけるサイバー攻撃やマルウェア感染が発生した」（25.3%）が続く。
また、業務停止や遅延などの影響が発生した事例も55.3%の企業で発生している。特に「取引先企業のシステムにおいてマルウェア感染（ランサムウェア含む）が発生し、システム停止に伴う自社の業務停止や遅延等の影響が発生した」が29.7%と最も多く挙げられた。
●取引先企業のセキュリティ評価の実施状況
「新規契約時・契約後も定期的に行っている」企業は73.3%に上り、「新規契約時のみ行っている」企業も含めると85.6％でセキュリティ評価を実施していた。
取引先企業に起因するセキュリティ被害が多発している状況を受け、リスク管理体制の強化または見直しの動きが活発化しており、「直近で管理体制を強化した」企業は27.3%、「管理体制を強化していく予定」の企業は44.7%と、合わせて72%の企業が強化に前向き。一方で、「何をしたらいいのか分からない」と回答した企業も11.0%存在する。
セキュリティ評価を実施する理由として最も多かったのは「セキュリティリスクを低減／回避するため」（72.4%）。次いで「社内規定として定められているから」（60.7%）、「顧客からの信頼を保つため」（52.9%）が上位を占め、ビジネス継続性や企業評判の保護も重要な動機となっている。
●セキュリティ評価にセキュリティチェックシートの活用状況
71.2%が「自社でセキュリティチェックシートを作成して取引先企業に回答を貰う」対応をしており、最も主流な方法であることが分かる。
セキュリティ評価対応に関しては9割以上の企業が課題を抱えており、具体的には「評価項目の網羅性／最新性（審査に必要な情報に抜け漏れがないか）」と「外部環境の変化（インシデント／業界基準・ガイドラインの制定等）に応じた定期的な評価項目の更新が困難」がともに47.1%で最も多く挙げられた。
その他、「取得できる情報が限定的」（37.4%）、「適切に（正しく）評価出来ているか不安」（32.7%）、「評価する基準が曖昧、属人的になっている」（28.4%）といった課題も顕著。
セキュリティ評価に課題を感じている企業のうち、「解決したいと思うし、対策を行う予定がある」（35.2%）「解決したいと思うし、対策を行うか検討している」（44.2%）と、合わせて79.4%の企業が課題解決に強い意欲を示しており、今後の改善が期待される。
関連リンク