EY調査、サイバーセキュリティ対策費膨らむも、企業の責任者は自社のサイバー防衛に自信を持てていない

・　自組織のサイバー対策は有効であると感じているのは5人に1人
・　年間セキュリティ支出は3,500万米ドル、侵害のコストの中央値は400万米ドルに達する見込み
・　76％が、インシデントの検知と対応に6カ月以上を要している

EYは、EY 2023 Global Cybersecurity Leadership Insights Study（EYグローバル・サイバーセキュリティ・リーダーシップ・インサイト調査2023）（以下、「本調査」）を発表しました。本調査によると、サイバー脅威の増加とともに関連のセキュリティ支出は増加傾向にあるものの、サイバーセキュリティリーダーは、自組織の防衛力の有効性の確保に苦心していることが明らかになりました。

世界中のサイバーセキュリティリーダー500名を対象に実施された本調査では、わずか5人に1人しか、自組織のセキュリティアプローチについて、「現在および将来のサイバーにおける脅威に対し有効である」と感じていません。また、半数の回答者がサイバーセキュリティ研修の有効性に懐疑的であり、IT部門以外での最善の対策に準拠するレベルに満足していると回答したのは、わずか36％です。

一方、2022年のサイバーインシデント件数は平均44件で、セキュリティ関連の投資コストが増加していると回答しています。チーフ・インフォメーション・セキュリティ・オフィサー（CISO）によると、サイバーセキュリティに関する支出は年間で平均3,500万米ドル、組織への侵害による被害額の中央値は、2023年に12％増の250万米ドルとなり、今後400万米ドルに達すると見込まれます。
このように多額の投資をおこなっているにもかかわらず、セキュリティインシデントの検知と対応に時間がかかり、回答企業の4分の3以上（76％）が、平均6カ月以上を要していると回答しています。

簡素化による防衛力の強化
本調査では、統計モデリングを⽤いて、⾮常に効果的なサイバーセキュリティ対策を講じている先駆的企業を特定し、このグループを「セキュアクリエイター（Secure Creators）」と名付けました。その「セキュアクリエイター」の70％が、先端技術を積極的に採用しており、人工知能（AI）・機械学習（ML）（62％）や、セキュリティにおけるオーケストレーションとオートメーションによるインシデント対応（SOAR）（52％）などの高度なソリューションから最大の価値を引き出すことに注力しています。こうしたソリューションは、サイバーセキュリティ・インシデントの的確な把握を可能にします。また、セキュアクリエイターは、自組織が利用するクラウドやビジネスパートナー、サプライチェーン内の取引先など複数のソースからの攻撃へ対応するための戦略を策定・実行しています。こうした企業の回答者は、サプライチェーンに起因するサイバーリスク（38％）や、知的財産保護などの関連リスク（38％）を非常に懸念していると回答する割合が他の領域との比較で2倍近く高い傾向があります。

さらに、もう一つ特筆すべきこととして、セキュアクリエイターは、サイバーセキュリティの考え方と研修を経営幹部から従業員にまで浸透させています。その結果として、このような組織のCISOは、自組織のサイバーセキュリティ・アプローチを「変革とイノベーション（56％）のスピードや、市場機会への迅速な対応能力（58％）、価値創造に注力する能力（63％）にポジティブな影響をもたらし得る」と評価しています。

EYストラテジー・アンド・コンサルティング株式会社　サイバーセキュリティリーダー　パートナー　松下直のコメント：
「多層防衛のための複数のセキュリティ対策ツールの導入により、人手によるインシデント検知と対応のオペレーションがより複雑になる傾向があります。サイバーリスクの軽減のために、サイバー攻撃の分析とインシデントの検知・対応の一連のオペレーションをセキュリティ対策の自動連係により簡素化することに今こそ取り組むべきです」

EYのグローバルおよびアジア・パシフィックのサイバーセキュリティ・コンサルティング・リーダーであるRichard Watsonのコメント：
「サイバーセキュリティに多くの時間と費用を費やしているにもかかわらず、CISOは、依然として脅威への備えは不十分であると感じています。地政学的不安定さや経済的不確実性の高まり、先端技術の急速な採用傾向などを踏まえると、こうした懸念は今後ますます深まることが予想されます。先端技術の普及は、インシデント件数の大幅な増加をもたらし、サイバー攻撃者が進化し続けることを示唆しています。
テクノロジーの観点からすると、組織のテクノロジーインフラが複雑化すればするほど、問題の兆候の把握や、迅速な対応が難しくなります。そのため、CISOは、新しいテクノロジーをいたずらに追加するのではなく、先端テクノロジーを取り込みつつも、既存のテクノロジーを統廃合して効果的なセキュリティ対策を推進することが重要です。組織はサプライチェーン内の企業と不可分かつデジタルに結びついているという現実を踏まえると、CISOは、既存の取引先を選別することでサプライチェーンの簡素化を推進し、サイバーセキュリティ要件が全取引先で確実に適用されるようにする必要があります。組織内のセキュリティ対策とプロセスの『規模と複雑性』そのものが、サイバーセキュリティ対策の有効性にとって最大の脅威となっています。組織全体にサイバーセキュリティの基本対策を大事にする文化を浸透させることが最も効果的な防衛策であると言えます」

EY 2023 Global Cybersecurity Leadership Insights Study （EYグローバル・サイバーセキュリティ・リーダーシップ・インサイト調査2023）について
2023年2月から3月にかけて、EYは、現在および将来のサイバー脅威に備えて企業がどのようなサイバーセキュリティ・アプローチを実践しているのかについての調査を実施しました。本調査は、アメリカ大陸、アジア太平洋、EMEIA（欧州、中東、インド、アフリカ）を含む25カ国、19の業界にわたる500人の経営幹部とサイバーセキュリティリーダーを対象にEYのプロフェッショナルチームによって行われました。回答者は、10億米ドル以上の売り上げがある企業に所属しています。日本からは全体の3％の15名が参加しました。

本調査の詳細は、以下をご覧ください。
https://www.ey.com/ja_jp/consulting/is-your-greatest-risk-the-complexity-of-your-cyber-strategy

※本ニュースリリースは、2023年10月2日（現地時間）にEYが発表したニュースリリースを翻訳したものです。英語の原文と翻訳内容に相違がある場合には原文が優先します。

英語版ニュースリリース:
Cyber leaders’ confidence in their organization’s defenses plummets, but costs mount | EY - Global

〈EYについて〉
EY | Building a better working world
EYは、「Building a better working world（より良い社会の構築を目指して）」をパーパスとしています。クライアント、人々、そして社会のために長期的価値を創出し、資本市場における信頼の構築に貢献します。
150カ国以上に展開するEYのチームは、データとテクノロジーの実現により信頼を提供し、クライアントの成長、変革および事業を支援します。
アシュアランス、コンサルティング、法務、ストラテジー、税務およびトランザクションの全サービスを通して、世界が直面する複雑な問題に対し優れた課題提起（better question）をすることで、新たな解決策を導きます。

EYとは、アーンスト・アンド・ヤング・グローバル・リミテッドのグローバルネットワークであり、単体、もしくは複数のメンバーファームを指し、各メンバーファームは法的に独立した組織です。アーンスト・アンド・ヤング・グローバル・リミテッドは、英国の保証有限責任会社であり、顧客サービスは提供していません。EYによる個人情報の取得・利用の方法や、データ保護に関する法令により個人情報の主体が有する権利については、ey.com/privacyをご確認ください。EYのメンバーファームは、現地の法令により禁止されている場合、法務サービスを提供することはありません。EYについて詳しくは、ey.comをご覧ください。
本ニュースリリースは、EYのグローバルネットワークのメンバーファームであるEYGM Limitedが発行したものです。同社は、英国の保証有限責任会社であり、顧客サービスは提供していません。

〈EYのコンサルティングサービスについて〉
EYのコンサルティングサービスは、人、テクノロジー、イノベーションの力でビジネスを変革し、より良い社会を構築していきます。私たちは、変革、すなわちトランスフォーメーションの領域で世界トップクラスのコンサルタントになることを目指しています。7万人を超えるEYのコンサルタントは、その多様性とスキルを生かして、人を中心に据え（humans@center）、迅速にテクノロジーを実用化し（technology@speed）、大規模にイノベーションを推進し（innovation@scale）、クライアントのトランスフォーメーションを支援します。これらの変革を推進することにより、人、クライアント、社会にとっての長期的価値を創造していきます。詳しくはey.com/ja_jp/consultingをご覧ください。