日本の対策遅れが鮮明に

　情報処理推進機構（IPA）はこのほど、2004年のコンピュータ・ウイルスの被害および対策状況をまとめた。国内の企業・自治体だけでなく、米国、ドイツ、韓国、オーストラリア、台湾の5か国・地域に対しても日本と同様の調査を実施した。

　コンピュータ・ウイルスをはじめとした外部からの不正アクセス対策は、日本でも一般化している。だが、それでも今回の調査で、日本は海外諸国に比べ、情報セキュリティ対策が今だに遅れていることが明るみになった。

　たとえば、セキュリティパッチ（修正プログラム）の適用では、「適用している」との回答は、日本は74・6％とその他の調査対象に比べ最も低い。適用率トップの米国とは約20ポイントの差が出た。

　また、コンピュータ・ウイルス対策に関する社内体制の構築について、「専門部署（担当者）を設置している、または外部に委託している」とした回答は、日本は65・7％とこの調査でも海外5か国・地域に比べて数値は最も低い。トップの米国に比べ約30ポイントもの開きがある。

　調査を担当したIPAのセキュリティセンターでは、「セキュリティパッチの適用では、パッチの信頼性に疑問を感じ、敢えて適用しないケースもあるだろう。ただ、専門部署の設置状況は海外諸国に比べ歴然として低い。日本は情報セキュリティ対策への意識がまだまだ甘い」と嘆いている。

　IPAの今回の調査によると、日本の企業や自治体のなかでセキュリティ専門部署（担当者）を設置していると回答したのは、わずか22・6％。IPAでは、今回の調査結果のなかで、セキュリティレベル向上のための日本企業の社内体制の甘さを最も深刻に受け止めている。

　情報システム部やシステム管理者を社内に置くことは一般的になり、CIO（チーフ・インフォメーション・オフィサー）という役職も大企業では当たり前になりつつある。だが、セキュリティ専門部署や担当者を設置するケースはまだ少なく、CSO（チーフ・セキュリティ・オフィサー）も日本企業にとっては、まだまだ馴染みが薄い。

　セキュリティ製品・サービス市場が活気を帯びても、企業・団体内にそれを活用すべきセキュリティ専門部署や担当者を設置する動きは遅れているのだ。

　IT人材育成事業のグローバルナレッジネットワークの尾藤伸一社長は、こう話す。「自社の情報システムや社員のワークスタイルを把握し、最適なセキュリティ対策を立案できる人物が日本には極めて少ない。しっかりとポートフォリオを描ける人材育成が重要になる」。技術的レベルだけでなく、法律や社員のマネジメントまで施せる人材育成が重要なことを訴える。

　また、セキュリティコンサルティングサービスを強化するセキュリティベンダー、JNSの白井力代表取締役は、「企業内にセキュリティ担当者を置く以前に、ITベンダーに任せっきりで、自社にノウハウを蓄めようと考えている企業・団体が少ない」と現状を説明する。

　セキュリティ対策はどこまで厳しく管理するかで、施さなければならない対策は変わってくる。組織によって千差万別とも言える。それだけに、アウトソーシングでは各企業・団体に合った対策が行えないケースが多い。4月1日に「個人情報保護法」が完全施行され、情報を漏らす行為には罰則が適用される。セキュリティを経営戦略としてみる時代といいながら、セキュリティを専門で担当する人材の必要性がさらに高まるのは必至。日本はすでに海外諸国に大きな遅れをとっている。(木村剛士●取材／文)