NRIセキュアテクノロジーズ（NRIセキュア）は、2021年秋に「企業における情報セキュリティ実態調査2021」^※を実施しました。この調査は、日本、アメリカ、オーストラリアの情報システム・情報セキュリティ担当者を対象としたもので、2002年の開始以来19回目となります。調査結果とそこから導いた望ましいセキュリティ対策、3つの「eXtend（拡張）」について、NRIセキュアの名部井康博に聞きました。

ゼロトラストセキュリティを実現するソリューションの導入で日本企業は遅れている

調査の目的は、日本、アメリカ、オーストラリアの企業における情報セキュリティに対する取り組みを明らかにすること、そして、アメリカやオーストラリアの企業から学べることは何かを明らかにすることです。
DXの取り組み状況に関する設問では、「コーポレートITとビジネスITに取り組んでいる」「コーポレートITのDXに取り組んでいる」「ビジネスITのDXに取り組んでいる」「DXの検討を進めている」と回答した企業を合わせると、日本で73.3%、アメリカで94.7%、オーストラリアでは95.6%にのぼりました。コーポレートITの面では、昨今のリモートワーク推進による社内システムの見直しの影響があると思われます。また、ビジネスITの面では、クラウドやビッグデータ等のビジネスを加速させる新しいITの推進が関係していると考えられます。
テレワーク環境に関する今後の構想や見通しについては、3か国とも70%を超える企業が今後もテレワーク環境を継続する考えであることがわかりました。中でも、テレワークとオフィス出社を組み合わせるハイブリッド型に移行する予定と回答した企業が最も多く、日本においては50%ほどとなりました。
一方で、テレワークを含むDX推進に欠かせないゼロトラストセキュリティの導入は、日本ではまだ進んでいないことも明らかになりました。

DX時代にふさわしいセキュリティ対策が遅れる原因の1つはCISOの不在

新規セキュリティ対策の投資額をみると、前年度より予算が増加している企業は、アメリカ、オーストラリアでは50％以上だったのに対し、日本では30％未満でした。
DXには、新しいセキュリティリスクが伴います。既存のセキュリティの延長、例えば境界防御型モデルを強化していっても、やがて限界が来ます。
日本でセキュリティ投資額が伸びない理由の1つは、CISO（Chief Information Security Officer：最高情報セキュリティ責任者）の設置が少ないことが関係していると思われます。事実、アメリカとオーストラリアでは90%前後の企業がCISOを設置しているのに対し、日本では40%程度にとどまっています。
CISOを設置したいと考えても、適切な人材がいないケースも考えられます。しかし、アメリカ、オーストラリアでは社外の有識者を採用する、あるいは他の業務と兼任する形でCISOを設置しているといった回答が多く見受けられます。
つまり、外部のリソースを活用する、もしくはセキュリティ部門以外の人材を登用して、その人物に対してセキュリティの再教育を行うといった方法が重要になってきます。
日本においても、DX時代にふさわしいセキュリティを確保するために、CISOの設置が求められると言えます。

広がるビジネス、広がるセキュリティに対応するための3つの「eXtend」

調査で明らかになった日本企業の現状は、DXの検討は進んでいるものの、それにふさわしい新規セキュリティソリューションの導入が遅れており、アンバランスさが際立ちます。
標的型攻撃を含むサイバー攻撃の脅威が数多く存在する中、DXの取り組みによりビジネス環境が拡大することは、セキュリティが守るべき範囲が拡大することを意味します。
こうした現状に対応するためのポイントは3つの「eXtend」です。

1つめの「eXtend」は、最高責任者「CxO」の拡張です。
DXを進める上では、データや情報技術の活用を推進するデジタル戦略、その戦略を実現するIT戦略、これらを安全に運用するセキュリティ戦略の3つが大切です。この3つの要素のバランスをとるためには、それぞれの最高責任者である「CxO」を立て、彼らの連携のもとにDXを推進することが重要です
2つめの「eXtend」は、戦略における視野の拡張です。
局所にフォーカスして部分最適に陥るのではなくて、全体に目を向け全体最適な戦略にシフトすることが求められます。サプライチェーンを例に挙げると、これまで自社のセキュリティ、重要拠点のセキュリティにフォーカスして部分最適な戦略を立てていたところから、セキュリティ戦略のスコープ前提をサプライチェーンリスク全体に広げて、時代の要請や脅威動向を踏まえて全体最適な戦略を立てていくことが求められます。
3つめの「eXtend」は、拡張の阻害要因を解消することです。
これは、既存で培ってきたセキュリティ戦略や対策の習慣・惰性をアンラーニングすることを意味します。DXの取り組みを進めると、新しいリスクが次々に発生します。それに対して、現状を是として継ぎ足し的にセキュリティを追加していくだけでは、最終的に非効率な環境ができあがってしまいます。
古くなったセキュリティを手放し、自動化・省力化されたセキュリティ対策など、DX時代にふさわしいセキュリティ対策にアップデートする積極的なマインドや挑戦が、今後いっそう求められます。

• 有効回答数：日本 1,616社、アメリカ 511社、オーストラリア 526社