「2020年度サイバーセキュリティ経営ガイドライン実践のためのプラクティスの在り方に関する調査」報告書

• カテゴリー1は、「金融、保険業」での割合が最も高く25.0%。「卸売業、小売業」「情報通信業」においても比較的高い傾向。（「IT依存度」：高い）
• カテゴリー2と3は、ともに「製造業」の割合が最も高い。（「IT依存度」：中程度）
• カテゴリー4は、「サービス業（他に分類されないもの）」の割合が最も高く26.9%。（「IT依存度」：低い）

図1：業種ごとのカテゴリー分類状況

(1)プラクティス集を利活用する目的（または、今後利活用する目的として想定されるもの）＜複数選択＞

• カテゴリー1：「管理体制の構築やPDCAサイクルの実施等の、通常時の体制強化を念頭においたサイバーセキュリティ対策の検討に活用するため」の割合が最も高く44.1%。
• カテゴリー2と3は、「サイバーセキュリティ対策のうち、対策が遅れている（対策の必要性が新たに生じた）テーマに関する「はじめの一歩」として、具体的な対策を確認・検討するため」が最も高い。
• カテゴリー4では「セキュリティ対策で始めにすべきことの理解」が最も高く40.7%、プラクティス集の当初の目的に適った活用がされていることがわかる。

図2：プラクティス集を活用する目的（同P34）

(2)構成・内容についての要望

• カテゴリー1、2、3は、「企業の状況や課題に応じた利用方法、参照すべきプラクティスについて、具体的に解説する」のニーズが最も高い。
• カテゴリー4では、「サイバー攻撃が経営課題である理由を具体的に解説する」のニーズが最も高く26.9%、他のカテゴリーと異なる傾向。

図3：構成・内容についての要望（同P35）

• 体制構築が一定程度進んだ企業を念頭にした場合、実践的な対策内容を確認したいというニーズが想定されるが、現状の第2章および第3章はそのニーズには十分対応できておらず、第3章を中心とした実践的な対策内容の充実化と、プラクティス集全体を通じた「対策が必要な理由」が伝わるような構成・内容とする工夫が求められる。
• 企業が現実に直面している課題とその対処方法について、理解しやすいように構成や内容面を工夫して取扱う必要がある。また、テレワーク・クラウド利用・DXなど最近のトレンドとなっているテーマについても、一定程度、対策内容の議論・標準化が進んで段階において、テーマとしての取扱いを検討することが求められる。
• 可視化ツール^(*3)とプラクティス集を連携することで、可視化ツールでの診断結果と、その診断結果に対応するプラクティスを、一連の流れで確認できれば有効である。また、Webコンテンツとして、診断結果の業種比較がオンラインで参照できるとよい。

• 基本的なサイバーセキュリティ体制の構築が既に図られた組織である。
• DXやテレワークの推進等、ITやセキュリティに関連する新たな取組みに際し、更なる体制強化の必要性を強く認識している。
• 一定の対策は行っており経験値もあるが、より具体性の高いテーマを取り扱う、第3章「セキュリティ担当者の悩みと取組みのプラクティス」のニーズが高いと想定される。

• 企業像①とほぼ同じだが、体制強化よりも、遅れているテーマや新たに生じたテーマに関する「はじめの一歩」として具体的な対策の必要性を感じている。
• 可視化ツールで自社の状況を把握するとともに、対策を補強するプラクティスをレコメンドする機能は有効に活用されると考えられる。

• これからサイバーセキュリティ体制を構築する組織である。
• サイバーセキュリティ対策を何から始めればよいかわからないという悩みを抱えている。
• 体制構築の「はじめの一歩」として、プラクティス集の第2章「サイバーセキュリティ経営ガイドライン実践のプラクティス」全体を読み込み、必要な対策の全体像を把握する。
• 次に可視化ツールで自社の課題から優先的に取組むべきポイントを把握し、対策に取り込む。

• 株式会社NTTデータ経営研究所