ランサムウェアを「経営リスク」と8割が認識、だが「侵入後の被害を評価できる」のは2割 なぜなのか：ペネトレーションテストの実施経験は？

MOTEXが情報システム・セキュリティ担当者を対象とした「侵入後リスク評価とペネトレーションテストの実態調査」の結果を発表した。

[＠IT]

　セキュリティサービスを手掛けるエムオーテックス（MOTEX）は2026年7月9日、企業の情報システム／セキュリティ担当者を対象に実施した「侵入後リスク評価とペネトレーションテストの実態調査」の結果を発表した。

　調査は2026年3月26〜31日にインターネット調査で実施し、従業員数300人未満が300人、300人以上1000人未満が426人、1000人以上が328人の合計1054人から回答を得た（調査会社PRIZMAが実施）。近年の攻撃が「ばらまき型」から「侵入型」へと変化する中、侵入を前提とした被害想定や検知・対応体制の検証状況を明らかにすることを目的としている。

ランサムウェアを経営リスクと認識するのは約8割

　ランサムウェア（身代金要求型マルウェア）攻撃を「非常に深刻」「やや深刻」と回答した企業は81％に上った。攻撃が「ばらまき型」から「侵入型」に変化していることについても87％が認識しており、多くの企業で危機意識が高まっている。

左からランサムウェア攻撃の深刻度と、攻撃傾向の変化に対する認識（提供：MOTEX）

侵入後の影響を具体的に評価できる企業は約2割

　侵入防止対策を実施している企業は69％、侵入を前提とした対策の検討やリスク検証を行っている企業は75％と、いずれも約7割に達した。侵入された場合の影響範囲を「具体的に把握している」企業は20％、金額などを含めて「定量的に想定できている」企業は25％にとどまった。

　「取得可能な機密情報」「到達可能な重要サーバ」は把握できていても、「業務停止期間」「復旧コスト」まで定量的に評価できている企業は限定的だという。技術的知見や予算、人材の不足が、具体的なリスク評価や対策強化を妨げている実態がうかがえる。

左から侵入防止、影響範囲の把握、定量的な被害想定の実施状況（提供：MOTEX）

ペネトレーションテスト経験は約6割、可視化ニーズが高まる

　主に「監査・コンプライアンス対応」を理由に、64％の企業がペネトレーションテスト（侵入テスト）の実施経験があると回答した。実施企業の多くは、その結果を経営層へのリスク説明にも活用している。

　一方で、「社内で優先順位が上がらない」「専門人材がいない」「経営層に説明しづらい」といった課題も多く挙がった。

　侵入後の影響範囲を簡易に可視化できる機会を「活用したい」と回答した企業は86％に達し、侵入を前提とした実践的なリスク評価へのニーズが高まっている。

左からペネトレーションテストの実施経験と、侵入後可視化の活用意向（提供：MOTEX）