Embed Size (px)
Citation preview
1
情報セキュリティ対策ベンチマーク ver.4.4
2015 年 10 月 27 日
情報セキュリティ対策ベンチマークでは、Webページ上の質問に答えることで、組織の情報セ
キュリティへの取組状況を自己診断することができます。診断においては、スコア＊１（点数）によ
る評価と他社との比較ができます。他社との比較では、レーダーチ
ャートによる比較や散布図による自社の位置の確認ができます。こ
れらの比較の基礎となるのは、本システムで実際に診断を行った
企業の診断データです。
診断結果では、次の項目が表示されます。
【診断結果の表示】
1. トータルスコアの分布と自社の位置を散布図で表示
• 散布図は、全体と企業規模別の2種類を表示
• 散布図中の自社の位置は最新の位置と過去2回分までの比較が可能
2. レーダーチャートによるスコアの比較は4種類を表示
• 情報セキュリティリスク指標に応じたグループ別のスコアの比較
• 企業規模別によるスコアの比較
• 業種別によるスコアの比較能
• 自組織の最新のスコアと過去2回分までのスコアの比較
3. トータルスコアの度数分布状況と偏差値を表示
4. 診断結果を資料として活用可能（PDF＊２で保存・印刷）
5. スコア一覧の表示（PDF）
6. 推奨される取り組みの表示
*1) スコア
情報セキュリティ対策の実施状況に関する評価項目27問へ5段階で回答すると、スコア（点数）
が計算されます。各評価項目は最高5点(最低1点)、トータルスコアは最高135点(最低27点)で
す。
*2) PDF
PDF(Portable Document Format)とは、Adobe Systems社によって開発された、電子文書のた
めのグローバルスタンダードなドキュメントフォーマットです。このフォーマットのファイルを参照す
るには、専用のアプリケーションやブラウザのアドオン等が必要ですが、Adobe Systems社からも
無償ツールのAdobe Readerが提供されており、参照だけでなく保存や印刷を行うこともできます。
2
1. 情報セキュリティ対策ベンチマーク利用状況
2008年4月にリリースした、情報セキュリティ対策ベンチマークバージョン3.1 より、診断の基礎
データについては、情報セキュリティを巡る環境変化やレベルの変化を勘案し、最新2年分の登
録利用されたデータ（ログインＩＤを発行したデータ：統計情報としての利用許諾をいただいたデー
タ）を適用することとし、基礎データの入れ替えを毎年行うようになりました。
表1-1および図１-1に、情報セキュリティ対策ベンチマークの利用件数（診断数）を示します。
2015年9月30日現在、利用件数は延べ3万2千件を超え、診断の基礎データとして提供された
データ(現時点で統計に利用できるデータ)の件数は、10,578件＊３となっています。
表１-1 情報セキュリティ対策ベンチマークの利用件数
年度 一時利用＊4 登録利用＊5 再診断＊6 再入力＊7 利用合計
平成 17 年度 1149 550 1699
平成 18 年度 3234 2547 5781
平成 19 年度 2045 1570 534 326 4475
平成 20 年度 1717 931 779 270 3697
平成 21 年度 1164 780 514 376 2834
平成 22 年度 1238 849 675 197 2959
平成 23 年度 725 535 514 213 1987
平成 24 年度 849 594 392 306 2141
平成 25 年度 789 575 510 157 2031 平成 26 年度 1778 837 427 147 3189
平成 27 年度
(9 月 30 日まで) 734 438 241 46 1489
累計 15422 16860 32282
*3) 現時点で統計に利用できるデータの件数は9,637件
2005年度からの登録利用＊５で登録された診断データは表1-1に示すように15,422件ありますが、これらのデ
ータには再診断・再入力による同一利用者の重複診断データが存在します。診断の基礎データとして使用する
データは同一利用者の分を除外しているため10,578件となります。
*4) 一時利用
情報セキュリティ対策ベンチマークシステムにおいてログインＩＤの登録なしに、一時的にセキュリティ診断を
利用したものです。この利用（おためし利用と位置付けている）により作成されたデータは統計情報には利用し
ていません。
*5) 登録利用
情報セキュリティ対策ベンチマークシステムにおいてログインＩＤの登録を行い、登録データの再利用ができ
るセキュリティ診断を利用したものです。この利用により作成(登録)されたデータは、ＩＰＡが作成する統計情報
およびセキュリティ診断の基礎データとして利用されます。
*6) 再診断
情報セキュリティ対策ベンチマークシステムにおいてログインＩＤの登録を行った登録データで再度セキュリテ
ィ診断を利用したものです。
*7) 再入力
情報セキュリティ対策ベンチマークシステムにおいてログインＩＤの登録を行った登録データを変更(再入力)
することで再度セキュリティ診断を利用したものです。
3
図1-1 情報セキュリティ対策ベンチマークの利用件数（診断数）の推移
2013年6月20日リリースの情報セキュリティ対策ベンチマークバージョン4.2 (以下Ver.4.2)では、
2011/4/1～2013/5/31に提供された診断データ 1,403件 を基礎データとして用いていましたが、
2014年9月にリリースする情報セキュリティ対策ベンチマークバージョン4.3 (以下Ver.4.3)では、
2010/4/1～2014/9/30に提供された診断データ 3,056件 を基礎データとして用いました。さらに、
2014年9月にリリースする情報セキュリティ対策ベンチマークバージョン4.4 (以下Ver.4.4)では、
2010/4/1～2015/9/30に提供された診断データ 3,999件 を基礎データとして用います。
この基礎データを用いる理由を、図1-2を用いて説明します。
4
図1-2 Ver.4.2以前の基礎データとVer.4.3およびVer.4.4基礎データの27項目のスコア平均値比較
図1-2にVer.3.3、Ver3.4、Ver.4.1、Ver.4.2、Ver.4.3およびVer.4.4の基礎データにおける27項目
(ver.3.4以前は25項目)のスコア平均値を示します。
図1-2をみると、Ver.3.3の基礎データを除き、ほぼ一定の水準を示すものに判断でできます。
この状況はVer.4.2の統計情報を作成する際にも見受けられた傾向ですが、Ver.4.2の運用後も
大きな変化はなく、スコアの向上が停滞しているように思われます。
図1-2にはVer.4.3基礎データおよびVer.4.4基礎データも示していますが、ほぼ同じ水準となっ
ています。これは、Ver.4.3での利用者の水準がほとんど変化していないことを示しています。
このような状況では、利用者の診断結果を示す場合でも基礎となるデータの母数が大きいこと
が有効と判断されます。つまり、診断のための基礎データに関しては母数が多いほうが、精度が
向上すると考えられます。このため、Ver.4.4へのバージョンアップでも、Ver.4.3へのバージョンア
ップと同様に、2010年4月1日以降の登録データ（利用者に統計情報として利用許諾を得たデー
タ）を基礎データにすることに決定しました。
ただし、2010/4/1～2011/5/30までの診断データ(および、それ以降の再診断データ)について
はVer.3.4で追加された2項目(リスクアセスメントおよびバックアップの項目)のスコア値がありませ
んが、2011/5/31以降の診断データを解析し、追加2項目以外のスコア値の平均値と追加2項目
の平均値から推定(単純換算)されるスコア値をもって基礎データとしました。これらの値は今後精
度向上されていくものと考えています。
5
図2-1 トータルスコアとリスク指標による基礎データの散布図
（ GIII=965件、GII=1,195件、GI=1,839件 ）
以下に、ver.4.4 の診断の基礎データとなる 3,999件 のデータの情報セキュリティ指針＊9によ
るグループ＊9別、企業規模別、業種別の各平均値と望まれる水準＊9の値を示します。
*9) 情報セキュリティ指針(グループ)および望まれる水準
情報セキュリティ指針(グループ)および望まれる水準については、付録 「参考情報 ： 情報セキュリティ指標
と望まれる水準について」を参照されたい。
2. グループ別平均値と望まれる水準
情報セキュリティ対策ベンチマークでは、診断企業は情報セキュリティリスク指標の値の高い
順に、
• グループⅠ（GI：高水準のセキュリティレベルが要求される層）
• グループⅡ（GII：相応の水準のセキュリティレベルが望まれる層）
• グループⅢ（GIII：情報セキュリティ対策が喫緊の課題でない層）
の3つのグループのいずれかに分類されます。ベンチマークによる診断利用者は、そのグループ
別の診断項目スコア平均値や望まれる水準と、自社の対策状況の比較ができます。
図2-1～図2-5に各グループがどのような状況（データの集まり）なのか、グループごとのトータ
ルスコアとリスク指標による基礎データの散布図およびトータルスコアの度数分布図を示します。
6
図2-2 グループI（GI）のトータルスコア度数分布 （1,839件）
図2-3 グループII（GII）のトータルスコア度数分布 (1,195件)
7
図2-4 グループIII（GIII）のトータルスコア度数分布 (965件)
図2-5 基礎データ全体のトータルスコア度数分布 (3,999件)
8
表2-1 グループ別 27項目のスコア平均値と望まれる水準 （n=3,999）
Ver.4.4の診断の基礎データ 3,999件 のグループ別平均値と望まれる水準の値を表2-1に、視
覚的に理解しやすくするために平均値の折れ線グラフを図2-6に示します。
大
項
目
設問 連
番
平均値 望まれる水準
GI GII GIII GI GII GIII
問
1
(1) 管理規程 1 3.461 3.300 3.208 4.303 4.169 4.150 (2) リスクアセスメント 2 3.208 3.044 3.032 4.158 4.038 4.083 (3) 推進体制 3 3.479 3.305 3.212 4.294 4.167 4.140 (4) 資産分類 4 3.130 3.009 2.962 4.137 4.030 4.080 (5) 情報の工程毎安全対策 5 3.254 3.038 3.078 4.211 4.035 4.103 (6) 業務委託契約 6 3.552 3.336 3.287 4.278 4.124 4.160 (7) 従業者との契約 7 3.639 3.481 3.463 4.347 4.162 4.250 (8) 従業者への教育 8 3.327 3.208 3.132 4.292 4.121 4.147
問
2
(1) 建物等のセキュリティ 9 3.548 3.382 3.298 4.343 4.202 4.137 (2) 第三者アクセス 10 3.341 3.181 3.161 4.225 4.066 4.103 (3) 機器の設置 11 3.388 3.269 3.201 4.192 4.104 4.090 (4) 書類・媒体の管理 12 3.455 3.289 3.284 4.261 4.189 4.157
問
3
(1) 実稼働環境 13 3.438 3.354 3.233 4.239 4.124 4.130 (2) システム運用 14 3.436 3.304 3.236 4.285 4.184 4.103 (3) バックアップ 15 3.436 3.337 3.288 4.227 4.136 4.137 (4) 不正プログラム対策 16 3.873 3.813 3.727 4.421 4.341 4.280 (5) 脆弱性対策 17 3.529 3.441 3.369 4.290 4.222 4.197 (6) 通信ネットワーク保護策 18 3.557 3.437 3.324 4.292 4.227 4.163 (7) 媒体の紛失・盗難対策 19 3.397 3.292 3.248 4.257 4.197 4.173
問
4
(1) データへのアクセス 20 3.618 3.547 3.453 4.301 4.265 4.170 (2) 業務アプリへのアクセス 21 3.595 3.521 3.424 4.245 4.184 4.163 (3) ネットワークのアクセス制御 22 3.675 3.560 3.428 4.327 4.250 4.170 (4) 開発時のセキュリティ 23 3.262 3.163 3.032 4.123 4.038 4.040 (5) ソフトウェアの管理 24 3.181 3.076 3.042 4.116 4.066 4.033
問
5
(1) 障害対策 25 3.420 3.240 3.174 4.204 4.073 4.050 (2) 事故対応手続き 26 3.291 3.123 3.050 4.224 4.093 4.063 (3) 事業継続 27 3.005 2.832 2.880 4.002 3.833 3.937
注1：GＩ=グループＩ、GＩＩ=グループＩＩ、GＩＩＩ=グループＩＩＩ
注2：各グループの件数 GＩ=1,839件、GＩＩ=1,195件、GＩＩＩ=965件
9
図2-6 グループ別 27項目のスコア平均値
図2-6を見る限りグループ毎のスコアの平均値のバラツキ(傾向)にはあまり違いがないようで
す。また、グループ間でのスコアの平均値は、情報セキュリティ指標に即した値を示しているよう
です。ただし、診断項目によっては情報セキュリティ指標に依存しません。
そういった意味では、情報セキュリティ指標によるグループ分けは診断の基準にはならないと
いうことになりますが、最近のセキュリティ事情（誰でもがサーバー攻撃にターゲットになりうるよ
うな事情）がそうさせているのかもしれません。
10
表3-1 グループ別 27項目のスコア平均値と望まれる水準
従業員数300名以下の企業（中小企業） （n=2,415）
3. 企業規模別平均値と望まれる水準
診断結果には、企業規模別のスコアの比較がレーダーチャートにより表示されます。診断企業
は、従業員数300名を超える企業（大企業）と、300名以下の企業（中小企業）に分類され、さらに、
企業規模別に情報セキュリティリスク指標に応じたグループ分けがなされます。
バージョン4.4 の診断の基礎データ3,994件の診断データを企業規模別グループ別に分けた各
平均値と望まれる水準の値を表3と表4に、視覚的に理解しやすくするために平均値の折れ線グ
ラフを図3-1と図3-3に示します。
大
項
目
設問 連
番
平均値 望まれる水準
GI GII GIII GI GII GIII
問
1
(1) 管理規程 1 3.309 3.235 3.181 4.183 4.157 4.152 (2) リスクアセスメント 2 3.102 3.046 3.050 4.106 4.101 4.081 (3) 推進体制 3 3.330 3.203 3.183 4.177 4.152 4.142 (4) 資産分類 4 2.970 2.972 2.991 3.991 4.086 4.081 (5) 情報の工程毎安全対策 5 3.146 3.019 3.105 4.129 4.081 4.109 (6) 業務委託契約 6 3.489 3.258 3.258 4.211 4.136 4.190 (7) 従業者との契約 7 3.558 3.482 3.452 4.283 4.212 4.246 (8) 従業者への教育 8 3.192 3.186 3.124 4.186 4.126 4.137
問
2
(1) 建物等のセキュリティ 9 3.449 3.347 3.267 4.249 4.227 4.161 (2) 第三者アクセス 10 3.211 3.179 3.158 4.143 4.121 4.166 (3) 機器の設置 11 3.264 3.156 3.155 4.097 4.091 4.114 (4) 書類・媒体の管理 12 3.373 3.263 3.312 4.171 4.187 4.185
問
3
(1) 実稼働環境 13 3.344 3.264 3.193 4.186 4.121 4.137 (2) システム運用 14 3.324 3.247 3.189 4.206 4.177 4.095 (3) バックアップ 15 3.342 3.294 3.271 4.166 4.152 4.161 (4) 不正プログラム対策 16 3.840 3.772 3.711 4.354 4.369 4.322 (5) 脆弱性対策 17 3.456 3.443 3.395 4.214 4.222 4.213 (6) 通信ネットワーク保護策 18 3.454 3.357 3.275 4.226 4.263 4.180 (7) 媒体の紛失・盗難対策 19 3.270 3.178 3.249 4.126 4.177 4.180
問
4
(1) データへのアクセス 20 3.532 3.492 3.415 4.217 4.268 4.194 (2) 業務アプリへのアクセス 21 3.512 3.458 3.378 4.197 4.177 4.190 (3) ネットワークのアクセス制御 22 3.603 3.465 3.356 4.254 4.268 4.194 (4) 開発時のセキュリティ 23 3.173 3.134 3.050 4.040 4.091 4.071 (5) ソフトウェアの管理 24 3.096 3.060 3.059 4.057 4.141 4.066
問
5
(1) 障害対策 25 3.358 3.232 3.172 4.097 4.096 4.057 (2) 事故対応手続き 26 3.177 3.068 3.046 4.126 4.091 4.066 (3) 事業継続 27 2.935 2.874 2.923 3.871 3.909 3.962
注1：GI=グループI、GII=グループII、GIII=グループIII
注2：各グループのデータ件数 GI=1,055件、GII=681件、GIII=679件
11
図3-1 従業員数300名以下の企業（中小企業）の27項目のスコア平均値
図3-1を見ると、従業員数が300名以下の企業(中小企業)においては情報セキュリティ指標に
よるグループ分けはほぼ意味を持たないようです。要求されるレベルそのものが意識されていな
い、つまり、『情報セキュリティ対策について十分に検討あるいは考慮されていない』ということが
考えられます。
12
図3-2 中小企業のトータルスコアとリスク指標による基礎データの散布図
GＩＩＩ=679件、GＩＩ=681件、GＩ=1,055件
13
表3-2 グループ別 27項目のスコア平均値と望まれる水準
従業員数300名を超える企業（大企業） （n=1,584）
大
項
目
設問 連
番
平均値 望まれる水準
GI GII GIII GI GII GIII
問
1
(1) 管理規程 1 3.666 3.385 3.273 4.432 4.204 4.141 (2) リスクアセスメント 2 3.351 3.041 2.990 4.224 4.012 4.054 (3) 推進体制 3 3.679 3.440 3.283 4.412 4.259 4.120 (4) 資産分類 4 3.346 3.058 2.892 4.280 4.049 3.978 (5) 情報の工程毎安全対策 5 3.399 3.064 3.014 4.244 4.019 4.022 (6) 業務委託契約 6 3.638 3.440 3.357 4.340 4.136 4.087 (7) 従業者との契約 7 3.749 3.481 3.490 4.404 4.136 4.185 (8) 従業者への教育 8 3.508 3.235 3.150 4.396 4.160 4.152
問
2
(1) 建物等のセキュリティ 9 3.680 3.428 3.374 4.408 4.241 4.130 (2) 第三者アクセス 10 3.515 3.183 3.168 4.284 4.074 4.000 (3) 機器の設置 11 3.554 3.418 3.311 4.264 4.185 4.022 (4) 書類・媒体の管理 12 3.565 3.323 3.217 4.324 4.222 4.065
問
3
(1) 実稼働環境 13 3.564 3.473 3.329 4.276 4.160 4.098 (2) システム運用 14 3.585 3.379 3.350 4.348 4.241 4.098 (3) バックアップ 15 3.563 3.395 3.329 4.284 4.173 4.076 (4) 不正プログラム対策 16 3.917 3.866 3.766 4.476 4.352 4.174 (5) 脆弱性対策 17 3.628 3.438 3.308 4.356 4.247 4.163 (6) 通信ネットワーク保護策 18 3.695 3.543 3.441 4.368 4.241 4.120 (7) 媒体の紛失・盗難対策 19 3.569 3.444 3.245 4.392 4.284 4.152
問
4
(1) データへのアクセス 20 3.735 3.621 3.542 4.380 4.284 4.087 (2) 業務アプリへのアクセス 21 3.707 3.605 3.531 4.276 4.235 4.098 (3) ネットワークのアクセス制御 22 3.772 3.685 3.598 4.388 4.259 4.109 (4) 開発時のセキュリティ 23 3.380 3.202 2.990 4.196 4.025 3.935 (5) ソフトウェアの管理 24 3.295 3.097 3.003 4.148 4.000 3.935
問
5
(1) 障害対策 25 3.504 3.251 3.178 4.272 4.086 3.989 (2) 事故対応手続き 26 3.445 3.196 3.059 4.300 4.160 4.043 (3) 事業継続 27 3.099 2.776 2.776 4.064 3.759 3.783
注1：GI=グループI、GII=グループII、GIII=グループIII
注2：各グループのデータ件数 GI=784件、GII=514件、GIII=286件
14
図3-3 従業員数300名を超える企業（大企業）の27項目のスコア平均値
図3-1と図3-3を比較すると、図3-1の中小企業と違い図3-3の大企業では、情報セキュリティリ
スク指標によるグループ分けがそのままグラフに表れているようです。これは、大企業において
は情報セキュリティ対策の実施が十分に浸透していることを意味していると思われます。要求さ
れる水準が高い企業ほどセキュリティ対策の水準も高いと考えることができます。
そういう意味では、図3-1で示されるように、中小企業全体として情報セキュリティ対策の実施
が遅れていると考えることができそうです。
15
図3-4 大企業のトータルスコアとリスク指標による基礎データの散布図
GＩＩＩ=286件、GＩＩ=514件、GＩ=784件
16
図4 業種別基礎データ数の比率
4. 業種別平均値と望まれる水準
情報セキュリティ対策ベンチマークの業種分類は、総務省の「日本標準産業分類」をベースと
しています。業種の選択肢は24種類ですが、業種によっては、診断データ件数が少ないものがあ
るため、診断結果の業種別スコア比較では、次の11業種グループで比較をしています（括弧の中
の数字はそれぞれの業種での基礎データの数を示しています）。
これら11業種グループの各平均値と望まれる水準を表とレーダーチャートで示し、さらにトータ
ルスコアの度数分布図で示します。
(1) その他（農林漁業鉱業含む）（692件）
(2) 建設業（167件）
(3) 製造業（748件）
(4) 電力・ガス・熱供給業・水道業・運輸業（127件）
(5) 情報サービス業（1,407件）
(6) 通信業、放送業、ISP・ASP、出版業・新聞業（113件）
(7) 卸売・小売業（339件）
(8) 金融・保険業（116件）
(9) 不動産業、飲食・宿泊業（80件）
(10) 医療・福祉、教育・学習支援業（118件）
(11) 政府機関・地方自治体・公益法人（92件）
※ 以下の表に参考情報として掲載しているトータルスコアの標準偏差は、基礎データにお
けるトータルスコアのバラツキを示す値です
17
表4-1 業種別 27項目のスコア平均値と望まれる水準 (1)
その他（農林漁業鉱業含む） （n=692）
(1) その他（農林漁業鉱業含む）
大項目 設問 連番 その他（農林漁業鉱業含む）
平均値 望まれる水準
問 1
(1) 管理規程 1 3.172 (3.154) 4.124 (2) リスクアセスメント 2 2.938 (2.922) 3.986 (3) 推進体制 3 3.217 (3.239) 4.051 (4) 資産分類 4 2.824 (2.792) 3.922 (5) 情報の工程毎安全対策 5 2.965 (2.937) 3.986 (6) 業務委託契約 6 3.318 (3.345) 4.083 (7) 従業者との契約 7 3.357 (3.304) 4.101 (8) 従業者への教育 8 2.999 (2.996) 3.995
問 2
(1) 建物等のセキュリティ 9 3.293 (3.250) 4.161 (2) 第三者アクセス 10 2.997 (2.892) 3.995 (3) 機器の設置 11 3.113 (3.082) 4.051 (4) 書類・媒体の管理 12 3.178 (3.156) 4.041
問 3
(1) 実稼働環境 13 3.176 (3.161) 4.060 (2) システム運用 14 3.207 (3.204) 4.157 (3) バックアップ 15 3.217 (3.199) 4.074 (4) 不正プログラム対策 16 3.736 (3.722) 4.318 (5) 脆弱性対策 17 3.319 (3.293) 4.171 (6) 通信ネットワーク保護策 18 3.305 (3.295) 4.226 (7) 媒体の紛失・盗難対策 19 3.143 (3.121) 4.120
問 4
(1) データへのアクセス 20 3.402 (3.371) 4.175 (2) 業務アプリへのアクセス 21 3.361 (3.338) 4.129 (3) ネットワークのアクセス制御 22 3.436 (3.403) 4.221 (4) 開発時のセキュリティ 23 3.006 (2.976) 3.982 (5) ソフトウェアの管理 24 3.017 (2.967) 4.005
問 5
(1) 障害対策 25 3.249 (3.199) 4.051 (2) 事故対応手続き 26 3.045 (2.994) 4.051 (3) 事業継続 27 2.816 (2.733) 3.857
備考 トータルスコア（整数に切り上げ） 86/135 (85/135)
110/135
トータルスコアの標準偏差 22.995 (22.707)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
18
図4-1-1 業種別 27項目のスコア平均値と望まれる水準 (1)
その他（農林漁業鉱業含む） （n=692）
図4-1-2 業種別 トータルスコア度数分布 (1)
その他（農林漁業鉱業含む） （n=692）
19
図4-1-3 業種別 企業規模比率 (1)
その他（農林漁業鉱業含む） （n=692）
図4-1-4 業種別 セキュリティリスク指標グループ比率 (1)
その他（農林漁業鉱業含む） （n=692）
※ 参考までに、業種グループ『その他(農林漁鉱業含む) 』については、表現上「農林漁鉱
業含む」としていますが、この業種グループに含まれる主な業種は、登録された診断デー
タから判断して、おおよそ以下の通りです。
協同組合、共済組合、連合会といった複合サービス業
警備関連のサービス業
ビルメンテナンスや機器等の修理サービス業
20
表4-2 業種別 27項目のスコア平均値と望まれる水準 (2)
建設業 （n=167）
(2) 建設業
大項目 設問 連番 建設業
平均値 望まれる水準
問 1
(1) 管理規程 1 3.102 (3.210) 4.148 (2) リスクアセスメント 2 2.832 (2.935) 3.833 (3) 推進体制 3 3.126 (3.282) 4.185 (4) 資産分類 4 2.814 (2.976) 4.019 (5) 情報の工程毎安全対策 5 2.814 (2.879) 4.000 (6) 業務委託契約 6 3.126 (3.250) 4.167 (7) 従業者との契約 7 3.335 (3.444) 4.241 (8) 従業者への教育 8 3.042 (3.185) 4.130
問 2
(1) 建物等のセキュリティ 9 3.246 (3.371) 4.185 (2) 第三者アクセス 10 2.898 (3.000) 3.870 (3) 機器の設置 11 3.132 (3.226) 4.000 (4) 書類・媒体の管理 12 3.162 (3.282) 4.167
問 3
(1) 実稼働環境 13 3.168 (3.339) 4.204 (2) システム運用 14 3.150 (3.266) 4.241 (3) バックアップ 15 3.114 (3.258) 4.148 (4) 不正プログラム対策 16 3.844 (3.919) 4.463 (5) 脆弱性対策 17 3.293 (3.363) 4.204 (6) 通信ネットワーク保護策 18 3.371 (3.556) 4.407 (7) 媒体の紛失・盗難対策 19 3.060 (3.226) 4.222
問 4
(1) データへのアクセス 20 3.461 (3.613) 4.426 (2) 業務アプリへのアクセス 21 3.425 (3.597) 4.222 (3) ネットワークのアクセス制御 22 3.503 (3.661) 4.296 (4) 開発時のセキュリティ 23 3.024 (3.177) 4.130 (5) ソフトウェアの管理 24 2.976 (3.145) 4.093
問 5
(1) 障害対策 25 3.120 (3.218) 4.111 (2) 事故対応手続き 26 2.892 (2.984) 4.037 (3) 事業継続 27 2.665 (2.685) 3.685
備考
トータルスコア（整数に切り上げ） 85/135 (88/135) 112/135
トータルスコアの標準偏差 25.017 (22.671)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
21
図4-2-1 業種別 27項目のスコア平均値と望まれる水準 (2)
建築業 （n=167）
図4-2-2 業種別 トータルスコア度数分布 (2)
建築業 （n=167）
22
図4-2-3 業種別 企業規模比率 (2)
建築業 （n=167）
図4-2-4 業種別 セキュリティリスク指標グループ比率 (2)
建築業 （n=167）
23
表4-3 業種別 27項目のスコア平均値と望まれる水準 (3)
製造業 （n=748）
(3) 製造業
大項目 設問 連番
製造業
平均値 望まれる水準
問 1
(1) 管理規程 1 3.100 (3.140) 4.038 (2) リスクアセスメント 2 2.749 (2.755) 3.726 (3) 推進体制 3 3.130 (3.160) 4.103 (4) 資産分類 4 2.746 (2.744) 3.782 (5) 情報の工程毎安全対策 5 2.761 (2.778) 3.778 (6) 業務委託契約 6 3.134 (3.184) 3.923 (7) 従業者との契約 7 3.279 (3.285) 4.060 (8) 従業者への教育 8 2.880 (2.910) 3.957
問 2
(1) 建物等のセキュリティ 9 3.122 (3.116) 4.047 (2) 第三者アクセス 10 2.952 (2.946) 3.859 (3) 機器の設置 11 3.131 (3.134) 4.026 (4) 書類・媒体の管理 12 3.053 (3.054) 4.043
問 3
(1) 実稼働環境 13 3.201 (3.204) 3.987 (2) システム運用 14 3.112 (3.116) 4.009 (3) バックアップ 15 3.186 (3.183) 3.974 (4) 不正プログラム対策 16 3.733 (3.742) 4.256 (5) 脆弱性対策 17 3.269 (3.289) 4.056 (6) 通信ネットワーク保護策 18 3.254 (3.277) 4.038 (7) 媒体の紛失・盗難対策 19 3.104 (3.117) 4.064
問 4
(1) データへのアクセス 20 3.412 (3.411) 4.145 (2) 業務アプリへのアクセス 21 3.349 (3.333) 4.013 (3) ネットワークのアクセス制御 22 3.443 (3.458) 4.171 (4) 開発時のセキュリティ 23 2.944 (2.971) 3.816 (5) ソフトウェアの管理 24 2.840 (2.852) 3.744
問 5
(1) 障害対策 25 3.032 (3.033) 3.885 (2) 事故対応手続き 26 2.854 (2.878) 3.927 (3) 事業継続 27 2.505 (2.507) 3.303
備考
トータルスコア（整数に切り上げ） 83/135 (84/135) 107/135
トータルスコアの標準偏差 22.138 (21.102)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
24
図4-3-1 業種別 27項目のスコア平均値と望まれる水準 (3)
製造業 （n=748）
図4-3-2 業種別 トータルスコア度数分布 (3)
製造業 （n=748）
25
図4-3-3 業種別 企業規模比率 (3)
製造業 （n=748）
図4-3-4 業種別 セキュリティリスク指標グループ比率 (3)
製造業 （n=748）
26
表4-4 業種別 27項目のスコア平均値と望まれる水準 (4)
電力・ガス・熱供給業・水道業・運輸業 （n=127）
(4) 電力・ガス・熱供給業・水道業・運輸業
大項目 設問 連番
電力・ガス・熱供給業・
水道業・運輸業
平均値 望まれる水準
問 1
(1) 管理規程 1 3.102 (3.143) 4.051 (2) リスクアセスメント 2 2.976 (3.066) 3.897 (3) 推進体制 3 3.173 (3.275) 4.026 (4) 資産分類 4 2.819 (2.879) 3.872 (5) 情報の工程毎安全対策 5 2.780 (2.857) 3.641 (6) 業務委託契約 6 3.244 (3.341) 3.974 (7) 従業者との契約 7 3.181 (3.220) 3.897 (8) 従業者への教育 8 3.008 (3.088) 3.897
問 2
(1) 建物等のセキュリティ 9 3.197 (3.286) 3.923 (2) 第三者アクセス 10 2.890 (2.978) 3.872 (3) 機器の設置 11 3.008 (2.989) 4.000 (4) 書類・媒体の管理 12 2.937 (2.978) 3.949
問 3
(1) 実稼働環境 13 3.165 (3.297) 4.000 (2) システム運用 14 3.252 (3.418) 4.000 (3) バックアップ 15 3.016 (3.022) 3.974 (4) 不正プログラム対策 16 3.654 (3.769) 4.205 (5) 脆弱性対策 17 3.173 (3.275) 4.026 (6) 通信ネットワーク保護策 18 3.268 (3.319) 4.026 (7) 媒体の紛失・盗難対策 19 2.764 (2.791) 3.795
問 4
(1) データへのアクセス 20 3.299 (3.407) 4.000 (2) 業務アプリへのアクセス 21 3.378 (3.451) 3.923 (3) ネットワークのアクセス制御 22 3.378 (3.396) 4.077 (4) 開発時のセキュリティ 23 2.976 (3.066) 3.821 (5) ソフトウェアの管理 24 2.961 (3.066) 3.821
問 5
(1) 障害対策 25 3.126 (3.088) 3.872 (2) 事故対応手続き 26 2.921 (2.901) 3.821 (3) 事業継続 27 2.772 (2.637) 3.615
備考
トータルスコア（整数に切り上げ） 83/135 (85/135) 106/135
トータルスコアの標準偏差 20.224 (19.599)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
27
図4-4-1 業種別 27項目のスコア平均値と望まれる水準 (4)
電力・ガス・熱供給業・水道業・運輸業 （n=127）
図4-4-2 業種別 トータルスコア度数分布 (4)
電力・ガス・熱供給業・水道業・運輸業 （n=127）
28
図4-4-3 業種別 企業規模比率 (4)
電力・ガス・熱供給業・水道業・運輸業 （n=127）
図4-4-4 業種別 セキュリティリスク指標グループ比率 (4)
電力・ガス・熱供給業・水道業・運輸業 （n=127）
29
表4-5 業種別 27項目のスコア平均値と望まれる水準 (5)
情報サービス業 （n=1,407）
(5) 情報サービス業
大項目 設問 連番 情報サービス業
平均値 望まれる水準
問 1
(1) 管理規程 1 3.830 (3.829) 4.493 (2) リスクアセスメント 2 3.652 (3.636) 4.339 (3) 推進体制 3 3.812 (3.816) 4.473 (4) 資産分類 4 3.593 (3.584) 4.350 (5) 情報の工程毎安全対策 5 3.711 (3.714) 4.395 (6) 業務委託契約 6 3.852 (3.877) 4.485 (7) 従業者との契約 7 3.984 (3.990) 4.591 (8) 従業者への教育 8 3.846 (3.837) 4.529
問 2
(1) 建物等のセキュリティ 9 3.876 (3.867) 4.510 (2) 第三者アクセス 10 3.771 (3.776) 4.401 (3) 機器の設置 11 3.667 (3.660) 4.275 (4) 書類・媒体の管理 12 3.842 (3.839) 4.471
問 3
(1) 実稼働環境 13 3.726 (3.727) 4.378 (2) システム運用 14 3.719 (3.706) 4.389 (3) バックアップ 15 3.734 (3.749) 4.384 (4) 不正プログラム対策 16 4.035 (4.056) 4.633 (5) 脆弱性対策 17 3.808 (3.810) 4.468 (6) 通信ネットワーク保護策 18 3.802 (3.798) 4.445 (7) 媒体の紛失・盗難対策 19 3.808 (3.792) 4.462
問 4
(1) データへのアクセス 20 3.874 (3.883) 4.471 (2) 業務アプリへのアクセス 21 3.834 (3.834) 4.392 (3) ネットワークのアクセス制御 22 3.879 (3.878) 4.485 (4) 開発時のセキュリティ 23 3.564 (3.559) 4.227 (5) ソフトウェアの管理 24 3.494 (3.488) 4.213
問 5
(1) 障害対策 25 3.618 (3.609) 4.269 (2) 事故対応手続き 26 3.662 (3.646) 4.353 (3) 事業継続 27 3.318 (3.281) 4.095
備考 トータルスコア（整数に切り上げ） 101/135 (101/135)
119/135 トータルスコアの標準偏差 18.171 (18.768)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
30
図4-5-1 業種別 27項目のスコア平均値と望まれる水準 (5)
情報サービス業 （n=1,407）
図4-5-2 業種別 トータルスコア度数分布 (5)
情報サービス業 （n=1,407）
31
図4-5-3 業種別 企業規模比率 (5)
情報サービス業 （n=1,407）
図4-5-4 業種別 セキュリティリスク指標グループ比率 (5)
情報サービス業 （n=1,407）
32
表4-6 業種別 27項目のスコア平均値と望まれる水準 (6)
通信業、放送業、ISP・ASP、出版業・新聞業 （n=113）
(6) 通信業、放送業、ISP・ASP、出版業・新聞業
大項目 設問 連番
通信業、放送業、ISP・ASP、
出版業・新聞業
平均値 望まれる水準
問 1
(1) 管理規程 1 3.230 (3.202) 4.167 (2) リスクアセスメント 2 3.212 (3.202) 4.222 (3) 推進体制 3 3.265 (3.202) 4.167 (4) 資産分類 4 3.212 (3.179) 4.167 (5) 情報の工程毎安全対策 5 3.319 (3.381) 4.222 (6) 業務委託契約 6 3.460 (3.536) 4.139 (7) 従業者との契約 7 3.593 (3.619) 4.333 (8) 従業者への教育 8 3.265 (3.190) 4.194
問 2
(1) 建物等のセキュリティ 9 3.619 (3.500) 4.333 (2) 第三者アクセス 10 3.504 (3.405) 4.250 (3) 機器の設置 11 3.363 (3.333) 4.250 (4) 書類・媒体の管理 12 3.531 (3.548) 4.250
問 3
(1) 実稼働環境 13 3.407 (3.429) 4.250 (2) システム運用 14 3.416 (3.452) 4.306 (3) バックアップ 15 3.425 (3.512) 4.222 (4) 不正プログラム対策 16 3.823 (3.810) 4.361 (5) 脆弱性対策 17 3.522 (3.500) 4.306 (6) 通信ネットワーク保護策 18 3.336 (3.345) 4.250 (7) 媒体の紛失・盗難対策 19 3.327 (3.298) 4.139
問 4
(1) データへのアクセス 20 3.646 (3.714) 4.250 (2) 業務アプリへのアクセス 21 3.593 (3.714) 4.250 (3) ネットワークのアクセス制御 22 3.708 (3.833) 4.361 (4) 開発時のセキュリティ 23 3.345 (3.429) 4.222 (5) ソフトウェアの管理 24 3.265 (3.298) 4.167
問 5
(1) 障害対策 25 3.425 (3.452) 4.278 (2) 事故対応手続き 26 3.257 (3.238) 4.111 (3) 事業継続 27 3.168 (3.179) 4.194
備考 トータルスコア（整数に切り上げ） 92/135 (93/135)
114/135 トータルスコアの標準偏差 23.395 (23.069)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
33
図4-6-1 業種別 27項目のスコア平均値と望まれる水準 (6)
通信業、放送業、ISP・ASP、出版業・新聞業 （n=113）
図4-6-2 業種別 トータルスコア度数分布 (6)
通信業、放送業、ISP・ASP、出版業・新聞業 （n=113）
34
図4-6-3 業種別 企業規模比率 (6)
通信業、放送業、ISP・ASP、出版業・新聞業 （n=113）
図4-6-4 業種別 セキュリティリスク指標グループ比率 (6)
通信業、放送業、ISP・ASP、出版業・新聞業 （n=113）
35
表4-7 業種別 27項目のスコア平均値と望まれる水準 (7)
卸売・小売業 （n=339）
(7) 卸売・小売業
大項目 設問 連番 卸売・小売業
平均値 望まれる水準
問 1
(1) 管理規程 1 2.950 (3.029) 4.009 (2) リスクアセスメント 2 2.708 (2.819) 3.809 (3) 推進体制 3 2.965 (3.076) 4.055 (4) 資産分類 4 2.631 (2.723) 3.755 (5) 情報の工程毎安全対策 5 2.720 (2.828) 3.755 (6) 業務委託契約 6 3.091 (3.206) 4.045 (7) 従業者との契約 7 3.280 (3.378) 4.145 (8) 従業者への教育 8 2.761 (2.866) 3.982
問 2
(1) 建物等のセキュリティ 9 3.112 (3.185) 4.073 (2) 第三者アクセス 10 2.882 (2.912) 3.882 (3) 機器の設置 11 3.074 (3.092) 3.918 (4) 書類・媒体の管理 12 2.944 (2.975) 3.927
問 3
(1) 実稼働環境 13 3.091 (3.151) 4.073 (2) システム運用 14 3.065 (3.130) 4.082 (3) バックアップ 15 3.147 (3.189) 4.027 (4) 不正プログラム対策 16 3.590 (3.647) 4.355 (5) 脆弱性対策 17 3.171 (3.185) 4.118 (6) 通信ネットワーク保護策 18 3.304 (3.298) 4.118 (7) 媒体の紛失・盗難対策 19 2.914 (2.954) 4.082
問 4
(1) データへのアクセス 20 3.271 (3.340) 4.191 (2) 業務アプリへのアクセス 21 3.333 (3.382) 4.164 (3) ネットワークのアクセス制御 22 3.298 (3.357) 4.082 (4) 開発時のセキュリティ 23 2.870 (2.958) 3.745 (5) ソフトウェアの管理 24 2.817 (2.895) 3.718
問 5
(1) 障害対策 25 3.074 (3.101) 3.873 (2) 事故対応手続き 26 2.841 (2.882) 3.927 (3) 事業継続 27 2.681 (2.693) 3.545
備考 トータルスコア（整数に切り上げ） 82/135 (83/135)
107/135 トータルスコアの標準偏差 23.296 (22.351)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
36
図4-7-1 業種別 27項目のスコア平均値と望まれる水準 (7)
卸売・小売業 （n=339）
図4-7-2 業種別 トータルスコア度数分布 (7)
卸売・小売業 （n=339）
37
図4-7-3 業種別 企業規模比率 (7)
卸売・小売業 （n=339）
図4-7-4 業種別 セキュリティリスク指標グループ比率 (7)
卸売・小売業 （n=339）
38
表4-8 業種別 27項目のスコア平均値と望まれる水準 (8)
金融・保険業 （n=116）
(8) 金融・保険業
大項目 設問 連番 金融・保険業
平均値 望まれる水準
問 1
(1) 管理規程 1 3.733 (3.111) 4.417 (2) リスクアセスメント 2 3.362 (2.689) 4.139 (3) 推進体制 3 3.776 (3.400) 4.361 (4) 資産分類 4 3.250 (2.711) 3.944 (5) 情報の工程毎安全対策 5 3.440 (2.911) 4.139 (6) 業務委託契約 6 3.716 (3.400) 4.167 (7) 従業者との契約 7 3.922 (3.578) 4.389 (8) 従業者への教育 8 3.586 (3.000) 4.389
問 2
(1) 建物等のセキュリティ 9 3.897 (3.711) 4.583 (2) 第三者アクセス 10 3.690 (3.489) 4.306 (3) 機器の設置 11 3.690 (3.289) 4.389 (4) 書類・媒体の管理 12 3.810 (3.556) 4.306
問 3
(1) 実稼働環境 13 3.716 (3.311) 4.278 (2) システム運用 14 3.595 (3.289) 4.278 (3) バックアップ 15 3.681 (3.178) 4.389 (4) 不正プログラム対策 16 3.983 (3.644) 4.528 (5) 脆弱性対策 17 3.759 (3.222) 4.361 (6) 通信ネットワーク保護策 18 3.793 (3.400) 4.278 (7) 媒体の紛失・盗難対策 19 3.776 (3.556) 4.278
問 4
(1) データへのアクセス 20 3.897 (3.444) 4.444 (2) 業務アプリへのアクセス 21 3.828 (3.444) 4.417 (3) ネットワークのアクセス制御 22 3.922 (3.556) 4.472 (4) 開発時のセキュリティ 23 3.431 (3.000) 4.000 (5) ソフトウェアの管理 24 3.500 (3.044) 4.222
問 5
(1) 障害対策 25 3.802 (3.333) 4.361 (2) 事故対応手続き 26 3.638 (3.156) 4.333 (3) 事業継続 27 3.543 (3.000) 4.278
備考 トータルスコア（整数に切り上げ） 100/135 (88/135)
116/135 トータルスコアの標準偏差 18.086 (19.052)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
39
図4-8-1 業種別 27項目のスコア平均値と望まれる水準 (8)
金融・保険業 （n=116）
図4-8-2 業種別 トータルスコア度数分布 (8)
金融・保険業 （n=116）
40
図4-8-3 業種別 企業規模比率 (8)
金融・保険業 （n=116）
図4-8-4 業種別 セキュリティリスク指標グループ比率 (8)
金融・保険業 （n=116）
※ 考察までに、Ver.4.3基礎データではセキュリティリスク指標の高いグループ（GI）が多い割
にはトータルスコアの平均点が低いことがうかがえしたが、Ver.4.4基礎データでは平均点
が大幅に向上しました。
41
表4-9 業種別 27項目のスコア平均値と望まれる水準 (9)
不動産業、飲食・宿泊業 （n=80 ）
(9) 不動産業、飲食・宿泊業
大項目 設問 連番
通信業、放送業、ISP・ASP、
出版業・新聞業
平均値 望まれる水準
問 1
(1) 管理規程 1 2.613 (2.612) 3.769 (2) リスクアセスメント 2 2.363 (2.408) 3.269 (3) 推進体制 3 2.675 (2.776) 3.731 (4) 資産分類 4 2.188 (2.184) 3.192 (5) 情報の工程毎安全対策 5 2.288 (2.306) 3.385 (6) 業務委託契約 6 2.688 (2.755) 3.346 (7) 従業者との契約 7 3.025 (3.061) 3.808 (8) 従業者への教育 8 2.300 (2.367) 3.346
問 2
(1) 建物等のセキュリティ 9 2.538 (2.694) 3.192 (2) 第三者アクセス 10 2.438 (2.469) 3.385 (3) 機器の設置 11 2.813 (2.857) 3.808 (4) 書類・媒体の管理 12 2.813 (2.816) 3.731
問 3
(1) 実稼働環境 13 2.738 (2.939) 3.846 (2) システム運用 14 2.788 (2.939) 3.885 (3) バックアップ 15 2.750 (2.735) 3.538 (4) 不正プログラム対策 16 3.375 (3.347) 3.923 (5) 脆弱性対策 17 2.950 (2.837) 3.538 (6) 通信ネットワーク保護策 18 2.950 (2.898) 3.577 (7) 媒体の紛失・盗難対策 19 2.625 (2.673) 3.615
問 4
(1) データへのアクセス 20 3.025 (2.959) 4.000 (2) 業務アプリへのアクセス 21 3.075 (3.041) 4.000 (3) ネットワークのアクセス制御 22 2.950 (2.857) 3.885 (4) 開発時のセキュリティ 23 2.588 (2.694) 3.577 (5) ソフトウェアの管理 24 2.475 (2.469) 3.500
問 5
(1) 障害対策 25 2.763 (2.694) 3.538 (2) 事故対応手続き 26 2.375 (2.347) 3.423 (3) 事業継続 27 2.275 (2.327) 2.846
備考 トータルスコア（整数に切り上げ） 72/135 (73/135)
97/135 トータルスコアの標準偏差 22.275 (21.294)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
42
図4-9-1 業種別 27項目のスコア平均値と望まれる水準 (9)
不動産業、飲食・宿泊業 （n=80）
図4-9-2 業種別 トータルスコア度数分布 (9)
不動産業、飲食・宿泊業 （n=80）
43
図4-9-3 業種別 企業規模比率 (9)
不動産業、飲食・宿泊業 （n=80）
図4-9-4 業種別 セキュリティリスク指標グループ比率 (9)
不動産業、飲食・宿泊業 （n=80）
44
表4-10 業種別 27項目のスコア平均値と望まれる水準 (10)
医療・福祉、教育・学習支援業 （n=118）
(10) 医療・福祉、教育・学習支援業
大項目 設問 連番 医療・福祉、教育・学習支援業
平均値 望まれる水準
問 1
(1) 管理規程 1 2.695 (2.714) 3.744 (2) リスクアセスメント 2 2.466 (2.500) 3.615 (3) 推進体制 3 2.559 (2.607) 3.641 (4) 資産分類 4 2.280 (2.357) 3.410 (5) 情報の工程毎安全対策 5 2.475 (2.452) 3.615 (6) 業務委託契約 6 2.797 (2.774) 3.821 (7) 従業者との契約 7 3.000 (3.012) 3.974 (8) 従業者への教育 8 2.483 (2.476) 3.667
問 2
(1) 建物等のセキュリティ 9 2.729 (2.774) 3.692 (2) 第三者アクセス 10 2.559 (2.548) 3.667 (3) 機器の設置 11 2.720 (2.679) 3.692 (4) 書類・媒体の管理 12 2.814 (2.869) 3.897
問 3
(1) 実稼働環境 13 2.831 (2.845) 3.846 (2) システム運用 14 2.788 (2.726) 3.897 (3) バックアップ 15 2.839 (2.786) 3.923 (4) 不正プログラム対策 16 3.449 (3.476) 4.051 (5) 脆弱性対策 17 3.042 (2.988) 3.923 (6) 通信ネットワーク保護策 18 2.949 (2.881) 4.051 (7) 媒体の紛失・盗難対策 19 2.771 (2.786) 3.897
問 4
(1) データへのアクセス 20 3.059 (2.988) 4.077 (2) 業務アプリへのアクセス 21 3.153 (3.119) 4.103 (3) ネットワークのアクセス制御 22 3.127 (3.107) 4.128 (4) 開発時のセキュリティ 23 2.525 (2.536) 3.462 (5) ソフトウェアの管理 24 2.458 (2.440) 3.462
問 5
(1) 障害対策 25 2.839 (2.881) 3.795 (2) 事故対応手続き 26 2.483 (2.536) 3.615 (3) 事業継続 27 2.678 (2.690) 3.462
備考 トータルスコア（整数に切り上げ） 75/135 (75/135)
102/135 トータルスコアの標準偏差 23.578 (23.433)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
45
図4-10-1 業種別 27項目のスコア平均値と望まれる水準 (10)
医療・福祉、教育・学習支援業 （n=118）
図4-10-2 業種別 トータルスコア度数分布 (10)
医療・福祉、教育・学習支援業 （n=118）
46
図4-10-3 業種別 企業規模比率 (10)
医療・福祉、教育・学習支援業 （n=118）
図4-10-4 業種別 セキュリティリスク指標グループ比率 (10)
医療・福祉、教育・学習支援業 （n=118）
47
表4-11 業種別 27項目のスコア平均値と望まれる水準 (11)
政府機関・地方自治体・公益法人 （n=92）
(11) 政府機関・地方自治体・公益法人
大項目 設問 連番
通信業、放送業、ISP・ASP、
出版業・新聞業
平均値 望まれる水準
問 1
(1) 管理規程 1 2.870 (2.985) 3.828 (2) リスクアセスメント 2 2.533 (2.647) 3.552 (3) 推進体制 3 2.848 (2.956) 3.966 (4) 資産分類 4 2.630 (2.721) 3.586 (5) 情報の工程毎安全対策 5 2.739 (2.809) 3.621 (6) 業務委託契約 6 3.076 (3.147) 3.828 (7) 従業者との契約 7 3.076 (3.088) 4.000 (8) 従業者への教育 8 2.663 (2.735) 3.966
問 2
(1) 建物等のセキュリティ 9 3.174 (3.206) 4.103 (2) 第三者アクセス 10 2.804 (2.794) 3.931 (3) 機器の設置 11 2.924 (2.897) 3.897 (4) 書類・媒体の管理 12 2.891 (2.912) 4.034
問 3
(1) 実稼働環境 13 2.902 (2.912) 3.931 (2) システム運用 14 3.011 (3.029) 3.897 (3) バックアップ 15 3.022 (2.985) 3.897 (4) 不正プログラム対策 16 3.554 (3.515) 4.103 (5) 脆弱性対策 17 3.217 (3.235) 4.069 (6) 通信ネットワーク保護策 18 3.120 (3.147) 4.034 (7) 媒体の紛失・盗難対策 19 2.826 (2.853) 3.966
問 4
(1) データへのアクセス 20 3.207 (3.265) 3.828 (2) 業務アプリへのアクセス 21 3.239 (3.294) 4.034 (3) ネットワークのアクセス制御 22 3.239 (3.368) 4.000 (4) 開発時のセキュリティ 23 2.935 (2.985) 3.655 (5) ソフトウェアの管理 24 2.630 (2.706) 3.517
問 5
(1) 障害対策 25 2.978 (3.015) 3.724 (2) 事故対応手続き 26 2.652 (2.735) 3.621 (3) 事業継続 27 2.446 (2.441) 3.586
備考 トータルスコア（整数に切り上げ） 79/135 (80/135)
104/135 トータルスコアの標準偏差 23.660 (24.702)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
48
図4-11-1 業種別 27項目のスコア平均値と望まれる水準 (11)
政府機関・地方自治体・公益法人 （n=92）
図4-11-2 業種別 トータルスコア度数分布 (11)
政府機関・地方自治体・公益法人 （n=92）
49
図4-11-3 業種別 企業規模比率 (11)
政府機関・地方自治体・公益法人 （n=92）
図4-11-4 業種別 セキュリティリスク指標グループ比率 (11)
政府機関・地方自治体・公益法人 （n=92）
※ 考察までに、セキュリティリスク指標の高いグループ（GI）が多い割にはトータルスコアの
平均点が低いことがうかがえます。個人情報を多く扱う業種でもあり情報セキュリティ対
策の充実が望まれます。
50
表4-12 業種別 27項目のスコア平均値と望まれる水準 (12)
全体(全業種) （n=3,999）
(12) 全体(全業種)
大項目 設問 連番 全体(全業種)
平均値 望まれる水準
問 1
(1) 管理規程 1 3.352 (3.367) 4.219 (2) リスクアセスメント 2 3.117 (3.126) 4.104 (3) 推進体制 3 3.362 (3.395) 4.212 (4) 資産分類 4 3.053 (3.064) 4.087 (5) 情報の工程毎安全対策 5 3.147 (3.162) 4.120 (6) 業務委託契約 6 3.424 (3.470) 4.196 (7) 従業者との契約 7 3.550 (3.557) 4.260 (8) 従業者への教育 8 3.244 (3.263) 4.200
問 2
(1) 建物等のセキュリティ 9 3.438 (3.441) 4.246 (2) 第三者アクセス 10 3.250 (3.240) 4.144 (3) 機器の設置 11 3.307 (3.299) 4.130 (4) 書類・媒体の管理 12 3.364 (3.369) 4.204
問 3
(1) 実稼働環境 13 3.363 (3.380) 4.173 (2) システム運用 14 3.348 (3.360) 4.201 (3) バックアップ 15 3.371 (3.379) 4.173 (4) 不正プログラム対策 16 3.820 (3.836) 4.351 (5) 脆弱性対策 17 3.464 (3.463) 4.238 (6) 通信ネットワーク保護策 18 3.465 (3.469) 4.237 (7) 媒体の紛失・盗難対策 19 3.330 (3.337) 4.211
問 4
(1) データへのアクセス 20 3.557 (3.566) 4.252 (2) 業務アプリへのアクセス 21 3.532 (3.536) 4.202 (3) ネットワークのアクセス制御 22 3.581 (3.591) 4.255 (4) 開発時のセキュリティ 23 3.177 (3.195) 4.072 (5) ソフトウェアの管理 24 3.116 (3.121) 4.074
問 5
(1) 障害対策 25 3.307 (3.294) 4.117 (2) 事故対応手続き 26 3.183 (3.178) 4.141 (3) 事業継続 27 2.923 (2.883) 3.906
備考 トータルスコア（整数に切り上げ） 90/135 (90/135)
113/135 トータルスコアの標準偏差 23.049 (22.751)
※ 参考値として、平均値の( )内の値はver.4.3の基礎データのものです
51
図4-12-1 業種別 27項目のスコア平均値と望まれる水準 (12)
全体(全業種) （n=3,999）
図4-12-2 業種別 トータルスコア度数分布 (12)
全体(全業種) （n=3,999）
52
図4-12-3 業種別 企業規模比率 (12)
全体(全業種) （n=3,999）
図4-12-4 業種別 セキュリティリスク指標グループ比率 (12)
全体(全業種) （n=3,999）
53
図4-13-1 業種別 平均トータルスコア
図4-13-2 業種別 望まれる水準のトータルスコア
(13) 参考までに
業種別の平均トータルスコア(図4-13-1)と望まれる水準のトータルスコア(図4-13-2)の比較を
以下に示します。
54
5. ベンチマークシステムの今後について
情報セキュリティ対策ベンチマークも実運用に入ってから、9年を越え診断システムとしては安
定したものなってきています。また、情報セキュリティ対策ベンチマークシステムを基本とし、各企
業・業界団体でのセキュリティ対策基準作りも行われるようになってきました。
今回のバージョンアップでは、診断の基準となる基礎データの更新のみとなりましたが、データ
の母数が増加したため、より現状にあった診断ができるものとなったと考えています。
ベンチマークシステムの利用状況を定常的に観測していますが、最近の状況をグラフで示すと
以下のようになっています。多くの利用者が利用されていることに運用側として心強いものを感じ
ます。
グラフを見る限り、診断トップページを参照された4割くらいの方が実際に診断をされているよう
です。
情報セキュリティ対策ベンチマークは、ISMS適合性評価制度、情報セキュリティ監査と同様に、
組織が構築した情報セキュリティマネジメントを評価するものです。これらの評価の基準とする規
格は情報セキュリティマネジメントの国際規格であるJIS Q 27001 (ISO/IEC27001)やJIS Q 27002
(ISO/IEC27002)です。また、情報セキュリティ対策ベンチマークは、ISMS適合性評価制度、情報
セキュリティ監査に比べて評価項目が少なく、あくまで自らの情報セキュリティマネジメントを自己
診断するためのものです。
ところで、ISO/IEC27001は2013年10月に改訂(ISO/IEC27001:2013)され、移行期間は2年間と
されています。また、2014年3月にはISO/IEC27001:2013の改訂にあわせて、JIS Q 27001もJIS Q
27001:2014に改訂されました。
本来であれば、評価の基準が改訂されたことに伴い情報セキュリティ対策ベンチマークも改訂
55
されるべきものではありますが、この改訂が評価項目の枠組みの変更や、情報セキュリティマネ
ジメントを取り囲む環境の変化に対応したものが中心となるため、情報セキュリティ対策ベンチマ
ークの設問項目への大きな影響はないと考えています。また、継続的な情報セキュリティマネジ
メントの維持の観点からも、情報セキュリティ対策ベンチマークの評価項目の変更は得策ではな
いと考えました。
従いまして、前回のVer.4.3バージョンアップにおいては、設定項目ごとに定められた管理策(対
策のポインント)にJIS Q 27001:2014にて新規追加された管理策項目を追記するにとどめ、設問項
目について変更は行わないことにしました。
大変申し訳ありませんが、改訂されたISO/IEC27001:2013 (JISQ 127001:2014)につきましては、
以下の資料等を参考にされますことをお勧めします。
□ 27001/02 Transition Maps
http://www.jtc1sc27.din.de/sixcms_upload/media/3031/
ISO-IECJTC1-SC27_N13143_SD3_FINAL_TEXT_REV_2_Oct2013.pdf
□ ISMSに関するJIS規格 JIS Q 27000:2014, JIS Q 27001:2014, JIS Q 27002:2014 発行のお
知らせ
http://www.isms.jipdec.or.jp/JISQ27001_2014.html
最後に、情報セキュリティ対策ベンチマークの国内へのさらなる普及と、セキュリティ対策水準
の向上を目指すことへの、関係各位のご協力を期待しております。
本件に関するお問い合わせは、以下にお願いします。
IPA 技術本部 セキュリティセンター 普及グループ 石井／内山
Tel: 03-5978-7508 Fax: 03-5978-7518
E-mail: [email protected]
56
関連資料
1) 情報セキュリティ対策ベンチマーク
http://www.ipa.go.jp/security/benchmark/
2) 情報セキュリティガバナンスのページ（経済産業省）
http://www.meti.go.jp/policy/netsecurity/sec_gov-TopPage.html
3) 総務省統計局平成18年事業所／企業統計調査
http://www.stat.go.jp/data/jigyou/2006/
4) 日本標準産業分類（平成19年11月改訂）
http://www.stat.go.jp/index/seido/sangyo/19index.htm
更新履歴
2015年10月27日作成
バージョンアップした基礎データの統計情報として作成しました。
付録-1
付録 「参考情報 ： 情報セキュリティ指標と望まれる水準について」
(1) 情報セキュリティリスク指標
情報セキュリティリスク指標は、従業員数、売上高、重要情報の保有数、IT依存度などから計
算される企業のかかえるリスクを表す指標です。情報セキュリティリスク指標の算出方法は、「企
業における情報セキュリティガバナンスのあり方に関する研究会 報告書」参考資料 情報セキュ
リティ対策ベンチマーク p. A1-30 「企業分類に係わる指標の算出方法」を参照して下さい
（http://www.meti.go.jp/report/downloadfiles/g50331d01j.pdf）。
情報セキュリティリスク指標＝事業構造上の脆弱性指標＋社会的影響力指標
事業構造上の脆弱性指標＝-0.0018×(正社員割合-77.673)/23.249
+ 0.0710×(総拠点数-36.133)/288.791
+ 0.5389×(IT 依存度-2.797)/1.054
+ 0.5326×(インターネット依存度-1.611)/0.858
+ 0.3588×(ビジネスパートナーへの依存度-2.028)/0.892
- 0.0302×(年間離職率-6.037)/8.305
正社員割合は%の値
総拠店数は国内拠店数+海外拠店数
IT依存度は%ベースの1(25%以下)～4(75%以上)の点数
ビジネスパートナーへの依存度は%ベースの1(25%以下)～4(75%以上)の点数
年間離職率は%
※(上記の値-平均値)/標準偏差に係数をかけて合算する
社会的影響力指標＝0.1331×(売上高-61526.4)/127537.8
+ 0.2764×(公益性-2.354)/0.913
+ 0.3082×(顧客への影響-2.203)/0.865
+ 0.3044×(ブランドへの影響-2.598)/0.803
+ 0.3214×(機密情報の保有度-2.256)/0.899
+ 0.2212×(保有個人情報数-249308.1)/822664.5
売上高は百万円単位の金額
公益性は、1点(ほとんどない)、2点(少ない)、3点(他の業種に比べると高い)、
4点(事業の性質上極めて高い)の点数
顧客への影響は、1点(ほとんどない)、2点(少ない)、3点(大きな影響がある)、
4点(極めて大きな影響がある)の点数
ブランドへの影は、1点(ほとんどない)、2点(部分的に影響がある)、
3点(大きな影響がある)、4点(企業の存続に関わる影響がある)の点数
機密情報の保有度は、1点(ほとんどない)、2点(少ない)、3点(全体の半分程度)、
4点(ほとんどがその種の情報である)の点数
保有個人情報数は人数分の数
※(上記の値-平均値)/標準偏差に係数をかけて合算する
付録-2
情報セキュリティ対策ベンチマークでは、診断企業は情報セキュリティリスク指標の値の高い
順に、
グループⅠ（GI：高水準のセキュリティレベルが要求される層）
グループⅡ（GII：相応の水準のセキュリティレベルが望まれる層）
グループⅢ（GIII：情報セキュリティ対策が喫緊の課題でない層）
の3つのグループのいずれかに分類され、そのグループ内の平均値や望まれる水準と自社の対
策状況の比較ができます。
各グループは情報セキュリティ指標の値で分けられます。
グループⅠ：情報セキュリティリスク指標>=0.6
グループⅡ：情報セキュリティリスク指標<0.6 and 情報セキュリティリスク指標>-0.79
グループⅢ：情報セキュリティリスク指標<=-0.79
注意事項)
Ver.3.4以前の情報セキュリティ対策ベンチマークシステムでは、企業情報の設問に対する回
答値が数値入力であったため、単位系の誤り(誤入力)が見受けられました。そこで、ver.4.1以降
では、以下に示す企業情報の設問の回答値を数値範囲からの選択し方式に変更しました。その
ため、前述の情報セキュリティリスク指標の計算に利用する値も以下のように変更されます。
その結果、Ver.3.4以前に登録した診断データの情報セキュリティリスク指標についても、ver.4.1
以降の仕様で再計算し、基礎データとしましたので、ご注意ください。
正社員割合 選択肢 １＝10％以下 計算上の値 5
２＝30％以下 20
３＝50％以下 40
４＝70％以下 60
５＝70％を超える 80
売上金 選択肢 １＝1000 万円以下 1000 万
２＝1 億円以下 1 億
３＝10 億円以下 10 億
４＝100 億円以下 100 億
５＝100 億円を超える 1000 億
国内拠点数 選択肢 １＝1 箇所 1
２＝10 箇所以下 5
３＝30 箇所以下 20
４＝100 箇所以下 70
５＝100 箇所を超える 100
海外拠点数 選択肢 １＝0 箇所 0
２＝10 箇所以下 5
３＝30 箇所以下 20
４＝100 箇所以下 70
５＝100 箇所を超える 100
離職率 選択肢 １＝10％以下 5
２＝30％以下 20
付録-3
３＝50％以下 40
４＝70％以下 60
５＝70％を超える 80
個人情報取扱数 １＝1000 件以下 1000
２＝5000 件以下 5000
３＝10000 件以下 10000
４＝100000 件以下 100000
５＝100000 件を超える 1000000
(2) 望まれる水準
望まれる水準とは、診断の基礎データのトータルスコア値を基準に算出される目標値です。
トータルスコアが基礎データの上位1/3にあるデータの各スコア値の平均値を望まれる水準値
としています(図 付-1を参照)。
(3) 診断利用者への推奨
一般的には、ここで示す“望まれる水準”を各診断企業が目指すことを推奨していますが、トー
タルスコア値が情報セキュリティリスク指標グループ別あるいは企業規模別、業種別の平均値を
下回る場合は、まずは平均値が取れるようにセキュリティ対策を検討することをお勧めします。
図 付-1 望まれる水準の設定 (ver.4.1以降)
望まれる水準（目標値）の算出
トータルスコア順に並べた診
断データの上位1/3に位置する
トータルスコアを求め、そのトー
タルスコアを超えるトータルスコ
アを持つ診断データの平均値を
「望まれる水準(目標値)」とす
る。
