Ciscoの「サイバーセキュリティ準備指数」はどのように算出されるのか――スコア化の“重み付け”の仕方が興味深い

　米Ciscoは世界各国の民間企業のサイバーセキュリティ準備状況を独自の調査分析をもとにまとめた年次報告書「2025 Cisco Cybersecurity Readiness Index（2025年版シスコ・サイバーセキュリティ準備指数）」を発表しました。この中でCiscoは「AIが業界を変える中、準備態勢は横ばいである」とし、十分な成熟段階にあるのは前年の3％から4％に増加しているものの、変わらず低い状態であることを強調しており、多くのメディアもこの点を中心に報道しています。

　セキュリティを商売の柱としている営利企業の調査なので、「セキュリティレベルが低い」と強調していることを過度に深刻に受け止める必要はないですが、今回はまずこの指数がどのように導き出されたのかを簡単に紹介しますので、その内容をもとに調査結果をどのように解釈して受け止めるべきかを判断してもらえればと思います。

　調査対象は30の国や地域の民間企業でサイバーセキュリティの責任を担うビジネスリーダー8000人です。調査の手法については「double-blind（二重盲式）」とのみ書かれており、詳細は記載されていませんが、一般的な「double-blind」の意味から推測すると、おそらく調査担当者も調査対象者も調査の目的を知らされない状態で行われたと考えられます。また、調査は2025年1月から2月にかけてオンラインインタビューのかたちで行われました。

　なお、調査対象となった30の国や地域は以下の通り（英語表記のアルファベット順）。

オーストラリア、ブラジル、カナダ、中国本土、フランス、ドイツ、香港、インド、インドネシア、イタリア、日本、マレーシア、メキシコ、オランダ、ニュージーランド、フィリピン、ポーランド、サウジアラビア、シンガポール、南アフリカ、韓国、スペイン、スウェーデン、スイス、台湾、タイ、UAE、英国、米国、ベトナム

　また、回答者は以下の18の業界に分類されています。

• ビジネスサービス（business services）
• 建設（construction）
• 教育（education）
• エンジニアリング・設計・建築（engineering, design, architecture）
• 金融サービス（financial services）
• ヘルスケア（healthcare）
• 製造（manufacturing）
• メディア・通信（media and communications）
• 天然資源（natural resources）
• パーソナルケア・サービス（personal care and services）
• 不動産（real estate）
• 外食サービス（restaurant services）
• 小売（retail）
• テクノロジーサービス（technology services）
• 運輸（transportation）
• 旅行サービス（travel services）
• 卸売（wholesale）
• その他（others）

　さらに、調査結果は対象企業の規模（従業員数）でも分類されています。

　調査の内容としては、サイバーセキュリティ保護（cybersecurity protection）の5つの柱（後述）について計31のソリューションに着目し、これらのソリューションが、導入済みか導入段階であるか、また、導入済みでない場合は、承認済みの予算や導入予定時期について回答してもらっています。

　その回答結果をもとにスコアを算出するにあたり、まず各ソリューションに対して、該当する柱における相対的な重要度に応じて重み付けがされ、さらに、部分的に導入済みのソリューションには50％の重み付け、完全に導入済みのソリューションには100％の重み付けがされます。その上で5つの柱のスコアを合算する際には、さらに柱ごとに重み付けをします。

　ここで、5つの柱と31のソリューションの重み付けは以下のようになります。

　こうして得られた最終的なスコアをもとに、以下の4つの段階に分類されます。

Mature（成熟）：70点から100点
導入がすでに高度な段階に達し、サイバーセキュリティソリューション全般にわたる現代のリスクへの対応に最も備えている企業。

Progressive（進展）：41点から69点
相当数のソリューションを導入し、さまざまな分野にわたってサイバーセキュリティの準備態勢が平均を上回っている企業。

Formative（形成）：11点から40点
ある程度の導入は行っているものの、さまざまな分野にわたってサイバーセキュリティの準備態勢が平均を下回っている企業。

Beginner（初級）：0点から10点
ソリューション導入の初期段階にある企業。

　今回公開された報告書では、さまざまな分析結果が紹介されていますが、今回はその中から調査対象全体と日本企業の準備態勢に関する結果として以下の図のみを紹介します。

　おそらく多くの方がすでにお分かりだと思いますが、そもそも調査対象の企業それぞれの特性を全く考慮していないことからも明らかなように、よくある一般的な「成熟度評価」と同様、各企業が本当に必要としているレベルを満たしているか否かを示しているわけではないので、成熟度が低いと評価されたからといって、必ずしもその企業にとって「本当に足りていない」状態であるとは限らないという点に注意が必要です。

　では、今回の調査が無意味かというと、そういうわけではありません。

　今回の報告書で重要なのは結果の値そのものではなく、評価の仕方にあると考えます。5つの柱と31のソリューションをもとに評価する考え方はもちろん、その評価を数値化するにあたっての重み付けの仕方は「興味深い」ものがあります。この評価方法を参考にすれば、自組織が本当に目指すべきレベルを定め、真の意味での「自組織の成熟度」を測る方法を生み出すことができるかもしれないのです。もちろん、個々の企業で自組織に合った独自の「成熟度モデル」を構築するのは現実的ではないかもしれませんが、少なくとも自組織が目指すレベルを定める際の参考資料にはなるはずです。

　そこで最後に、調査内容の5つの柱に対する推奨事項を紹介します。

アイデンティティインテリジェンス（Identity Intelligence）

Q. ユーザーアクセスを効果的に保護し、IDベースの侵害を防止していますか？

［推奨事項］
AI検知機能を備えた、包括的なIDの可視化と、パスワードレス認証や多要素認証によるゼロトラストを含む堅牢なIDセキュリティ戦略を策定しましょう。

ネットワークレジリエンス（Network Resilience）

Q. エンドポイント、サーバー、IoTデバイスは、サイバー侵入からどの程度セキュアですか？

［推奨事項］
組織は、AI時代に向けたネットワーク整備を進める中で、この柱に緊急に取り組み、部分的な導入にとどまらず、一歩踏み込んだ対策を講じる必要があります。

マシンの信頼性（Machine Trustworthiness）

Q. ネットワークインフラは、侵入やデータ流出に対する耐性を備えていますか？

［推奨事項］
ネットワークへのアクセスを許可する前にすべてのユーザーとデバイスを検証するためにゼロトラストセキュリティモデルを導入しましょう。このアプローチは、信頼できるアクセスを確保し、最前線と最後のとりでの両方の防御線として機能します。

クラウドの補強（Cloud Reinforcement）

Q. クラウド環境のセキュア化とクラウド特有のリスク軽減はどの程度進んでいますか？

［推奨事項］
企業は、断片化されたセキュリティ戦略から脱却し、AIを活用した統合型のプロアクティブなモデルに投資しなければなりません。

AIの強化（AI Fortification）

Q. AIを活用したシステムは、敵対的な脅威や悪用から保護されていますか？

［推奨事項］
AI技術の使用と、AI技術の基盤となるモデルの両方をセキュア化する、堅牢なAIセキュリティ戦略を策定しましょう。