③【令和6年版・警察庁調査の徹底考察】なぜ組織のセキュリティ対策は進まないのか？―「コスト・人材・終わりの見えない不安」を断ち切る現実的アプローチ

「セキュリティ対策が重要なのは分かっている。でも、どこまでやれば十分なのか分からない」
「人もお金も足りない中で、これ以上は手が回らない」

これは、多くの企業・団体が共通して抱えている“本音”ではないでしょうか。
実際、近年の調査結果から見えてきた課題は、最新技術の不足ではなく、組織構造そのものが生む“停滞”にあります。

本記事では、調査結果をもとに

組織が抱えるセキュリティ不安の正体
なぜ対策が「点」で止まってしまうのか
現実的に不安を解消するための具体策

を、専門知識がなくても理解できる形で解説します。

引用元：https://www.npa.go.jp/bureau/cyber/pdf/R6countermeasures.pdf

セキュリティ対策の問題は「技術」ではなく「構造」にある【結論】
1. 3つの構造的問題
2. 理由
組織が抱えるセキュリティ不安の全体像【一覧で整理】
1. ポイント：「怖い」「分からない」「責任を取りたくない」という心理的要因
なぜ対策はいつも「途中」で止まるのか？【課題構造の可視化】
1. セキュリティ対策の停滞サイクル（図解イメージ）
2. 結果
不安を現実的に解消するための3つのアプローチ
まとめ：最大の対策は「日常動作の徹底」

セキュリティ対策の問題は「技術」ではなく「構造」にある【結論】

3つの構造的問題

多くの組織のセキュリティ対策が進まない原因は、
①コスト・人材不足、②経営層の認識不足、③対策のゴールが見えない不安
という3つの構造的問題に集約されます。

理由

最新の攻撃は高度化していますが、被害の多くは

パスワード管理の不備
教育不足
初動対応の遅れ

といった「基本動作の欠如」から発生しています。
つまり、技術以前に組織としての判断と運用が追いついていないのです。

組織が抱えるセキュリティ不安の全体像【一覧で整理】

大項目	具体的な問題点・不安
人的・組織的課題	専門人材が不足／兼務で対応できない／経営層の理解不足
コスト・投資課題	費用対効果が不明確／製品が高額で、中小規模の組織では導入が難しい／直接利益を生まないため、予算取得の優先順位が低い
技術・運用の不安	攻撃が巧妙化し、自社の対策がどこまで有効か見えない／パッチ不具合が怖い／利便性とセキュリティの両立（多要素認証の手間など）への反発
外部・環境課題	サプライチェーン（取引先・子会社）の対策レベルの低さ／海外拠点・テレワーク管理の難しさ

ポイント：「怖い」「分からない」「責任を取りたくない」という心理的要因

注目すべきは、「怖い」「分からない」「責任を取りたくない」という心理的要因が、すべての項目に共通している点です。

なぜ対策はいつも「途中」で止まるのか？【課題構造の可視化】

セキュリティ対策の停滞サイクル（図解イメージ）

【経営・投資の壁】                  【現場・実務の壁】
経営層の意識不足  ───→  専門人材の不在
（コストと認識）      [予算不足]    （兼務による疲弊）
      ↑                                   |
      |                                   | 対策の遅延
[効果が不明確]                            ↓
      |                          攻撃の高度化・巧妙化
      +───────────────→（どこまでやるべきか不安）

結果

単一の対策だけ導入（アンチウイルスのみ等）
属人化した対応
インシデント時に場当たり的な対応

という「点のセキュリティ」から抜け出せなくなります。

不安を現実的に解消するための3つのアプローチ

① 組織・人的課題への対策

結論：内製にこだわらないことが最短ルート

教育の強化と外部リソースの活用：社内に指導者がいない場合（51.6％）、外部セミナーの受講（49.5％）や公的機関（IPA、警察庁等）の教材を活用してリテラシーを底上げする。
経営層には「技術」ではなく事業リスクとして説明
- 情報漏えい時の信用失墜
- 取引停止・損害賠償リスク

セキュリティは「ITの話」ではなく「経営判断」