RESEARCH REPORT
企業に求められるレジリエンス要件とセキュリティ投資の考え方
レジリエンスへの要求は、国内外の規制や所管庁の動きなど、複数の層から同時に高まっています。サイバーセキュリティは「現場の技術課題」から「経営が説明責任を負う経営課題」へと位置づけが変わりつつあります。本レポートでは、国内外の指針・制度が求める要件を8観点×5段階の成熟度マトリクスに整理し、自社の現在地とステップアップの方針、セキュリティ投資の考え方を解説します。
より詳細はこちらからダウンロードKEY FINDINGS
実態調査で見えた、インシデント対応の属人化
インシデント対応が、退職の懸念があるキーパーソンに依存している実態が見えてきました。属人化が解消されない理由の最多回答は「組織として優先度が上がらない」。事業継続に関わるトラブルへの備えが、現場任せになっている状態が明らかになりました。
72.0%
インシデント対応が特定の1〜2名に集中・依存している
88.9%
依存している人材が1〜2年以内に退職・転職・異動する可能性がある
32.4%
属人化の解消に取り組んだが、改善しなかった
69.6%
属人化の解消を支援するツール・基盤の導入に前向き
出典：インシデント対応の属人化に関する実態調査2026（n=250／システム障害対応に関わる企業担当者を対象）。「取り組んだが改善しなかった」は該当設問における最多回答。
MATURITY MODEL
8観点×5段階のレジリエンス成熟度マトリクス
国内外の指針・制度が求める要件に、どの程度対応できているかを把握するための独自の成熟度モデルです。各種規制の共通要素と、ソフトウェア成熟度モデルCMMIの発想をもとに整理しました。
Level 1
無管理
決まった手順・担当がなく、対応が場当たり的
Level 2
個人依存
特定人材の経験と勘で回っている
Level 3
部門管理
部門内では整備されているが、組織横断・経営層への接続が弱い
Level 4
組織管理
経営層を含めて、責任・判断・訓練が組織的に整備されている
Level 5
持続的管理
記録・分析・改善が継続的に回り、対応能力が更新され続けている
① ガバナンスと責任分界
重大時の判断者・経営報告ライン・部門横断の責任分担が定義されているか
② 資産・重要業務・依存関係の特定
重要業務と、それを支えるシステム・委託先・クラウド・認証基盤の関係が把握されているか
③ 攻撃面最小化
外部公開資産・特権ID・脆弱性・設定不備が棚卸しされ、優先対応されているか
④ 可観測性
ログ・アラート・対応記録が集約され、影響範囲や類似事例を追えるか
⑤ 証跡性・監査可能性
対応の記録が、後から監査・リスク管理・当局・顧客に説明できる証跡になっているか
⑥ 対応基盤の可用性
本番障害時にも、連絡・記録・意思決定の手段が使える状態か
⑦ 復旧可能性
RTO／RPO・復旧優先順位・手動継続手順が定義され、訓練・検証されているか
⑧ 判断理由の記録性と継続改善
判断理由・再発防止策・未解決リスクが構造化され、経営報告・改善サイクルに接続されているか
※ 各観点と公的・国際フレームワーク（NIST CSF 2.0、DORA、金融庁ガイドライン、ISO 22301 など）との対応は、レポート本編に掲載しています。
WHY LEVEL 2–3
多くの企業が Level 2〜3 で止まる「5つの壁」
Level 2〜3 の企業は、現場が何もしていないわけではありません。課題は、現場の努力が組織能力・経営判断・説明責任の仕組みへと転換できていないことにあります。
01
現場が優秀だから回ってしまう
「あの人に聞けば解決する」が積み重なり、属人化が「優秀さの副産物」として強化される。
02
文書があることで安心してしまう
BCPや手順書が「作って終わり」になり、最後に実際に動かしたのがいつか答えられない。
03
予算化しにくい
成果が「何も起きなかったこと」のためROIを示しにくく、売上に直結する施策が優先される。
04
部門横断しにくい
平時に連携線が引かれておらず、有事になって初めて「誰が何を決めるのか」を検討する。
05
外部説明を想定していない
顧客・当局・取引先への説明に必要な影響範囲・時系列・対応根拠が、後から再構成できない形でしか残らない。
CONTENTS
レポートの内容
01レジリエンスは「要望」から「要件」へ変わる
02現場は対応できる状態にあるか
03自社診断 — 8観点×5段階の成熟度マップ
04国内企業に多い Level 2〜3 の典型状態
05Level 2〜3 のままだと何が起きるか — 国内大手の事例
06先進企業はどこまで進んでいるか — 先進企業の事例
07Level 2〜3 から Level 4〜5 へ進むための具体的アクション
08セキュリティ投資の目安 — JCIC の目安値で投資水準を考える
09現場の対応を支える実装基盤 — Incident Lake
10社内で議論すべき5つの問い
APAppendix：規制・認定制度の概要／主要フレームワークとの対応／国内大手のインシデント事例詳細
DOWNLOAD
より詳細はこちらからダウンロード
レポート本編（PDF・35ページ）では、国内外の規制の整理、Level 2〜3 の典型状態と観点ごとのステップアップ施策、国内大手・先進企業の事例、JCIC の投資目安までを収録しています。フォーム送信後、すぐにご覧いただけます。
資料のご請求ありがとうございます
下記リンクからダウンロードいただけます。
SIGQ_企業に求められるレジリエンス要件とセキュリティ投資の考え方内容についてのご質問や、貴社の状況に合わせたご相談は info@sigq.co.jp までお気軽にご連絡ください。