コラム

ISO/IEC15408認証取得製品の導入調査のご紹介

2011年12月 7日

　　2011年7月8日に内閣官房情報セキュリティセンター（NISC）から「2010年度の情報セキュリティ政策の評価等」（以下「NISC報告書」）が発表されました。NISC報告書は「国民を守る情報セキュリティ戦略」及びその年度計画である「情報セキュリティ2010」に基づいて各省庁で推進された情報セキュリティ政策の評価について取りまとめたもので、情報セキュリティ政策が環境の変化に適合しているかどうか、種々の脅威に適切に対処することが可能となっているかどうかなどについて検証する形で実施されています。NISC報告書に、ITセキュリティセンターが評価機関であるITセキュリティの評価及び認証制度で認証されたISO/IEC15408 認証取得製品の導入に係る調査結果が2件掲載されていますのでご紹介します。

　　第1は「情報セキュリティの対策状況（ISO/IEC15408認証取得製品の導入）」として経済産業省の情報処理実態調査結果報告書（以下METI報告書）から対策実施状況とセキュリティ向上への寄与が引用されています。METI報告書は統計法に基づいて1969年以来毎年実施されているもので、経済産業省企業活動基本調査をサンプル抽出の母集団としていますが、サンプル数が不十分な業種については、株式会社帝国データバンクから得たデータにより補完しています。調査項目は、IT投資効果を左右する要因の状況、情報基盤強化税制の利用状況、情報セキュリティの状況等です。

　　ISO/IEC15408 認証取得製品の導入に関する回答企業数は4000社以上です。NISC報告書では平成20年度と21年度の調査結果が引用されていますがMETI報告書の平成22年度分も含めて表1と表2に整理しました。このうち平成22年度の結果を図1に示します。表1に示すようにISO/IEC15408 認証取得製品を導入している企業は調査対象約4000社のうち400社程度で毎年若干の変動がありますがおよそ10％程度です。資本金100億円超企業ではその割合はおよそ25％程度とかなり増加しています。また図1に見るように全体の半数以上の企業が導入を検討中或いは必要性を感じているとの回答をしています。

表１　ISO/IEC15408認証取得製品の導入企業
（NISC報告書とMETI報告書をもとにITSCにて作成）

年度(平成）	回答企業	既に実施している		実施を検討している	必要性を感じるが、未実施	必要性を感じず、未実施	計
20	全企業	362	8.9%	198	1573	1943	4076
20	資本金100億円超企業	122	23.6%	31	183	182	518
21	全企業	354	8.1%	187	1617	2201	4359
21	資本金100億円超企業	104	23.3%	27	152	164	447
22	全企業	434	10.2%	146	1515	2172	4267
22	資本金100億円超企業	115	25.2%	19	158	165	457

製品導入_全企業製品導入_100億企業

図1　ISO/IEC15408認証取得製品の導入
（左図：全企業、右図：資本金100億円超企業、平成22年度NISC報告書とMETI報告書をもとにITSCにて作成）

次に表1でISO/IEC15408 認証取得製品の導入を“既に実施している”と回答した400社余りの企業に対してセキュリティ向上への寄与について尋ねています。表2に示すように250社以上、60～70％程度がセキュリティ向上に寄与したと回答しています。資本金100億円超企業では70～80％程度がセキュリティ向上に寄与したと回答しています。

表２　セキュリティ向上への寄与
（原則として表1で“既に実施している”と回答した企業の回答、NISC報告書とMETI報告書をもとにITSCにて作成）

年度(平成）	回答企業	寄与した		寄与しなかった	わからない	計
20	全企業	254	57.9%	16	169	439
20	資本金100億円超企業	91	71.1%	0	37	128
21	全企業	248	62.6%	10	138	396
21	資本金100億円超企業	74	70.5%	2	29	105
22	全企業	302	69.3%	10	124	436
22	資本金100億円超企業	91	80.5%	2	20	113

　　NISC報告書の2件の調査結果のうちの第２は、情報処理推進機構の「情報セキュリティ製品の調達に関する意識調査」（以下IPA報告書）から「ISO/IEC15408に関する意識・実態」としてISO/IEC15408の認知度とISO/IEC15408認証製品の利用実績が引用されています。IPA報告書は「ＩＴセキュリティ評価及び認証制度のより効果的な普及活動等を実施するため、本制度や本制度を政策的に後押ししている税制措置に対するユーザ企業等の認識や活用実態を明らかにすることを目的」（IPA報告書）としてウェブによるアンケート調査を行い、500件余りの有効回答を得たものです。表３と表４に調査結果を示しますがISO/IEC1540認証製品の認知度は名前だけ知っているものを含めても３０％程度であり、利用実績は５％ですのでMETI報告書と比べて低いように見受けられます。IPA報告書はMETI報告書と比較して回答数がかなり異なることや調査方法も異なるためにこのような結果になったものと思われます。

表３　ISO/IEC15408（CC：コモンクライテリア）の認知度（2010 年度、回答数 545）