次に、2019年度のサイバーセキュリティ対策への投資額について聞いた。2018年度と比べて「横ばい」が57.9％、「増加」が38.5％で、全体として増加傾向にある。その半面、投資額の規模については半数以上が不足を感じていた。具体的には、「やや不足」と回答した割合が46.5％、「大いに不足」が13.2％だった。

　一方、今後取り組むサイバーセキュリティ対策の領域では、人材育成が最優先課題だと分かった。「セキュリティ監視の強化」（52.1％、複数選択）や、「内部不正対策」（50.5％）、「IoT／クラウド環境におけるセキュリティ対策」（49.5％）といった具体的な対策を抑えて、「サイバーセキュリティ人材の育成」（56.2％）を挙げた企業が最も多かった（図4）。サイバーセキュリティ対策組織の人数について、46.2％が「やや不足」、39.4％が「大いに不足」と回答したことからも裏付けられる。

図4　今後より積極的に取り組みたいと考えているサイバーセキュリティ対策領域（出典：KPMGコンサルティング,EMCジャパン RSA）

　ただし、自社組織の人手不足を感じているものの、外部の専門家によるサービスを活用している企業は少なく、契約していると回答した企業は25.6％だった。契約しているサービスの種類で最も多かったのは「マルウェア解析」で75.7％（複数選択）。次いで、「ネットワーク解析」が58.1％、「フォレンジック調査」が51.4％、脅威インテリジェンスが29.7％だった。特定のインシデントや事後調査のために活用している傾向があった。

　今回の調査の対象企業のうち、31.9％が制御システムやプラント、工場での事業に取り組んでいた。そうした制御システムのセキュリティ対策について、十分にできていると回答した企業は多くない結果となった。

　例えば、無線ネットワークの対策が十分にできていると回答した割合は11.0％。パッチ適用や脆弱（ぜいじゃく）性スキャンなどの脆弱性管理は9.0％。リアルタイムアラートや改ざん対策などの統合ログ管理は4.0％だったという（図5）。

図5　制御システムセキュリティ対策の実施状況（出典：KPMGコンサルティング,EMCジャパン RSA）

　なお、本調査は2019年5月30日～6月25日と8月21日～9月6日の期間で、郵送およびWebによるアンケートを基に実施した。