ランサムウェア被害、支払わない方針でも半数近くが「状況次第」 - ツール集約・統合志向へ

ランサムウェア被害の過酷さは、「身代金要求への対応方針」のデータに表れている。全体としては「支払わない方針」が44％で最多を占める。しかし、被害経験の有無によって現場の意識には大きなギャップが存在する。

身代金要求なし、不明の組織では「支払うことはやむをえない」が3％、「状況になってみないと分からない」が32％に留まるが、実際に被害を受けた組織ではそれぞれ16％、49％と急増する。染谷氏は「復旧には膨大なコストや工数がかかってくる。だからこそ、いかに被害を未遂にするかに注力すべき」と語り、データ復旧の困難さが企業を追い込んでいる実態を指摘した。

ツール乱立 88％が「集約・統合」を志向する理由

これまでの企業におけるセキュリティは、脅威ごとに新たなツールを追加する「個別最適」のアプローチが主流だった。しかし、その結果として運用監視がバラバラになり、運用負荷の増大や脅威の見逃しといった課題が顕在化している。調査では、全体の88％が「セキュリティベンダー、製品の削減、最適化が必要」と回答しており、これは2024年調査の55％から大幅に増加している。

企業が「ベンダー、製品の集約、統合」（プラットフォーマイゼーション）に期待しているのは、「運用・外部委託コストの最適化」（50％）といったコスト効率化だけではない。「インシデント対応力の強化」（44％）や「脅威検出力の強化」（42％）といった実効性の向上が上位に挙がっており、単なるコスト削減を超えたセキュリティ基盤の再構築に動き出している。

一方で、移行における最大の懸念事項は「特定ベンダーによる囲い込み（ロックイン）」（19％）ではなく、「既存ツールごとに異なる契約満了時期」（48％）や「既存ツールからの移行に伴う工数」（43％）ということも分かった。

本発表会にユーザー企業として登壇した東洋紡の矢吹哲朗氏（執行役員 CDO《最高デジタル責任者》兼 TX・業務革新総括部長）は、自社の取り組みについて「複数の道具をバラバラに使うよりも、1つに統合して移行する方が手法として確立しやすい」と語る。

経営課題としてのサイバーセキュリティ 求められる「独立予算」と実効性

サイバーリスクが経営に直結する中、国内組織のセキュリティ予算は年々増加しており、2026年現在は平均でIT投資の15％を占めている。回答者の75％が、2026年度にこの予算をさらに増加させる予定だという。

しかし、染谷氏はセキュリティ投資を「ITの付帯機能」としてIT予算枠内で捉えるのではなく、事業継続を守るための「独立した設備投資」として位置付けるべきだと強く提言する。この考え方について前出の矢吹氏も、「自社でもセキュリティ費用をITコストから分離し、会社のリスクに対する独立した費用として用意する動きを進めている。その方が事業の活動量に応じた対策として分かりやすい」と実体験を交えて同調した。

予算が増加する一方で、対策の「質」には依然として課題が残る。ネットワークセキュリティなどの防御、検出には投資が集中しているものの、被害の局所化を図る「アタックサーフェスマネジメント」（実施済みが45％）や、有事を想定した「サイバー攻撃を想定したBCP整備」（同49％）、「インシデント対応の演習実施」（同47％）といった、組織的対策の実効性を上げる動きに遅れが見られる。

染谷氏は最後に、「セキュリティ投資に対する組織の意識がコスト最適化と実効性向上の両立という、『量』から『質』に移行しつつある」と総括した。事業継続を根底から支えるため、単なるツールの導入から脱却し、全体最適化されたセキュリティ基盤の確立と実効性ある体制整備が急務となっている。