写真を拡大 （出典：Databarracks / Data Health Check 2019）

サイバー攻撃が増加

データバックアップやITシステムの災害復旧などのサービスを提供している英国のDatabarraks社は、ITのレジリエンスやサイバーセキュリティなどに関する調査報告書として、2019年7月に「Data Health Check 2019」を公開した。

これは英国内の組織（公的機関や非営利団体を含む）におけるIT部門の管理職および担当者400人以上を対象としたアンケート調査の結果であり、同社は2008年から毎年この調査を実施している。

本稿のトップに掲載した画像は、回答者が所属している組織で直近12カ月間に発生したIT途絶に関する最大の原因は何かを尋ねた結果である。ここで「Cyber incident」（サイバーアタックによる事故）が増加傾向にあることは注目すべきであろう。

一方で「Hardware failure」（ハードウェアの故障）が2016年からずっとトップを維持しており、また「Upgrades/patches」がやや減少傾向とはいえ13%ある。これは恐らく、システムのソフトウェアなどのアップグレードや、不具合対策やセキュリティ対策のための修正プログラムを適用する際に発生したトラブルによるものと思われる。

本連載で紹介させていただいたほかの調査報告書（注1）でも、サイバーセキュリティに対する懸念が高まってきている状況をお伝えしてきたが、IT途絶の原因としては従前からのハードウェアトラブルや保守作業に起因するものが、依然として少なくないということであろう（注2）。

 

許容停止時間は短く

図1は「あなたの組織は重要なITシステムなしでどのくらいの時間耐えられますか？　（すなわち、あなたの組織の最大許容停止時間はどのくらいですか？）」という質問に対する回答結果である（注3）。下側の色が濃い部分が2017年、上側の斜線部分が2019年の回答結果である（グラフの原点と縦軸の間隔が両者の間で異なるようなので比較の際は注意されたい）。

両者は同じような形になっているが、数値を細かく見ていくと、「12時間未満」より左側（より時間が短い側）の数値が若干増えていることが分かる。誤差の範囲という感じがしないでもないが、この点について本報告書では「これはおそらくビジネスにおいてダウンタイムがより許容されなくなってきているためであろう」と指摘されている。

写真を拡大 図1.最大許容停止時間（MTPD）を尋ねた結果（出典：Databarracks / Data Health Check 2019、読みやすさの向上のために数値の部分などを編集してあります。なお2019年の「2日未満」の部分において、数値とグラフの形が一致していませんが、ここは「9%」という数字が正しいようです）

また図2は、経営層は最大許容停止時間がどのくらいだと考えているかを尋ねた結果である。図の下側の色が濃い部分がIT部門の回答（つまり図1の上側と同じ）、上側の薄い部分が経営層の認識である（こちらも図1と同様、グラフの原点と縦軸の間隔が両者の間で異なる）。

写真を拡大 図2.経営層は最大許容停止時間がどのくらいだと考えているか（出典：Databarracks / Data Health Check 2019、読みやすさの向上のために数値の部分などを編集してあります）

この結果を見る限り、IT部門と経営層との間で認識のズレはあまり大きくないようであるが、本報告書においては「1時間未満」より短い部分の数字を見ると経営層の方が若干多いので、経営層のほうが若干シビアに考えているようだと指摘されている。

本稿では筆者の興味ある部分をピックアップして紹介させていただいたが、本報告書では他にもサイバーセキュリティやデータ保護・バックアップなどに関する調査結果が掲載されており、図が中心でページ数の割には平易に読める報告書なので、このような分野にご興味のある方々にはご一読をお勧めしたい。

■ 報告書本文の入手先（PDF34ページ／約8.1MB）
https://www.databarracks.com/resources/data-health-check-2019

注1） 例えば直近では以下の各回でサイバーセキュリティに注目されている調査報告書を紹介させていただいた。
第73回：GDPR導入後の英国におけるサイバーセキュリティの実態（英国デジタル・文化・メディア・スポーツ省 / Cyber Security Breaches Survey 2019） https://www.risktaisaku.com/articles/-/18239
第72回：DDoS攻撃の発生状況とその実態（Link11 / Distributed Denial of Service Report for the year 2018） https://www.risktaisaku.com/articles/-/18104
第67回：世界のBCM関係者の懸念は今年もまたサイバー攻撃（BCI / Horizon Scan Report 2019） https://www.risktaisaku.com/articles/-/15890

注2） 2018年12月に紹介させていただいた下記の調査報告書で、インシデントの根本原因として最も多かったのは「Change management」（変更管理）であったこととも整合する。
第61回：英国の金融業界におけるITトラブルに関する実態調査（FCA / Cyber and Technology Resilience: Themes from cross-sector survey 2017-2018） https://www.risktaisaku.com/articles/-/13573

注3）「最大許容停止時間」（maximum tolerable period of disruption）は国際規格ISO22301:2012（および日本産業規格JIS Q 22301:2013）で次のように定義されている。
「製品・サービスを提供しない、又は事業活動を行わない結果として生じる可能性のある悪影響が、許容不能な状態になるまでの時間」。

（了）