「狙われるのは大企業」は誤解、中堅企業も対策を--マカフィー

　マカフィーは7月30日、中堅企業が事後的なセキュリティ対策に費やすコストと、事前のセキュリティ対策に費やすコストについて米McAfeeが調査したレポート「セキュリティのパラドックス」を発表した。レポートでは、サイバー犯罪者は大企業をターゲットにする傾向があると中堅企業が誤解していることを指摘している。

　本調査は、中堅企業（従業員数51〜1000名）の規模が拡大していく過程で、特に増大する脅威に対応するために、セキュリティのリソースと費用をどのように配分しているかについて、検証を実施することを目的としたもの。

　調査結果によると、世界中の中堅企業1社の1インシデントによる損失額は平均4万3000ドルであった。また2009年は世界中の中堅企業の56％でセキュリティインシデントが発生しているという。2008年に機密情報の漏えいが発生したのは29％であるため、より増加傾向にあるとしている。

　また、中堅企業の約半数（43％）が「セキュリティ攻撃のリスクが最も高いのは従業員数501人以上の大企業」であると考えているが、実際には、機密情報の漏えいが発生した中堅企業のうち、従業員数101〜500人の企業の過去3年間のインシデント件数が24件だったのに対し、従業員数501〜1000人の企業のインシデント件数は15件であった。

　調査した中堅企業のIT担当者の71％が、重大な情報漏えいにより企業が倒産する可能性があると認識しており、米国の場合、中堅企業に対する平均的なサイバー攻撃は2008年から2009年にかけて322％増加している。

　世界中の中堅企業の65％は、プロアクティブなITセキュリティに費やす時間が週4時間以下であったが、ほぼ同数の67％がサイバー攻撃からの復帰に1日以上を費やしているという実態も明らかになった。2008年の米国の中堅企業におけるセキュリティインシデントの修復費用は総額172億ドルであり、1社におけるセキュリティインシデントに関する2008年の平均費用は年間7万5000ドル以上であった。