従業員規模で7段階に分け、アクセスログの記録率と被害率を並べます。

2本の線が、ぴったり同じ方向に上がっています。数字で並べるとこうです。

被害率もログ記録率も、7段階すべてで一段ずつ上がっています。途中で下がる区分がひとつもありません。ポリシー策定率も41.7%から100.0%まで、同じ方向に動いています。

裏側の数字も見ておきます。「特に被害はない」と答えた企業の割合です。

こちらも7段階すべてで一段ずつ下がります。従業員100〜299人の企業では半数以上（54.2%）が「特に被害はない」と答えているのに対し、5,000人以上では23.4%——4社に1社しかいません。

ここで問いが立ちます。100〜299人の企業の54.2%は、本当に何も起きていなかったのでしょうか。この層のアクセスログ記録率は34.0%、回線監視は17.7%です。3社に2社は、記録すら残していません。

セキュリティポリシーは全社が策定済み。アクセスログは9割が記録し、回線監視も8割、不正侵入検知システムも76.0%が導入しています。教科書どおりの体制です。

それでも被害率は76.6%。4社に3社が「何らかの被害を受けた」と答えています。内訳を見ると、標的型メールは65.5%——3社に2社が受け取っていました。

大企業の被害率が高いのは、単純に攻撃されている量が違うからかもしれません。これを確かめるには、「気づきやすさに左右されにくい被害」を見るのが有効です。

不正アクセスは47.7倍、DoS攻撃は21.0倍。これは検知力の差だけでは説明しきれません。DoS攻撃はサービスが実際に止まるので、ログを取っていなくても気づきます。それが21倍違うということは、攻撃の量そのものが違うと考えるのが自然です。

資本金1,000万円未満の企業で、回線監視をしているのは4.4%。不正侵入検知システムは5.6%です。アクセスログすら10.0%しか記録していません。

実際、資本金1,000万円未満の企業では不正アクセス0.3%・DoS 0.9%と、内訳の数字が極端に低くなっています。攻撃されていないのか、気づいていないのか——この統計では区別がつきません。

同じことは、別の調査でも指摘されています。IPAの中小企業実態調査は、第三者認証を取得していない企業について「セキュリティ体制が整っておらず、インシデントとして認識される機会が少ないことが考えられる」と書いていました。別々の調査が、独立に同じ現象を指しています。

ここまで見てきたことを、もう一度まとめます。

統計を見るとき、私たちは「被害率が低い＝安全」と読みます。でもこの調査の数字を追うと、被害率が低い層ほど、被害を見つける道具を持っていないという並びになっていました。

大企業の76.6%という数字は、たしかに深刻です。でもそれは「見えている」という意味でもあります。本当に怖いのは、ログも監視もないまま「特に被害はない」と答えている企業の、確認されていない安全のほうかもしれません。