九州の情シス300人調査、25％がサイバー攻撃を認識

HENNGEと西日本新聞社は2026年10月22日、九州7県の情報システム部門関係者300人を対象にした「情報セキュリティ実態調査2026」を公表した。回答者の25.0％がサイバー攻撃による被害、または攻撃を受けたものの未然に防いだ経験があると答えた。一方、攻撃されたかどうか「わからない」とした回答も27.7％に上る。被害経験と攻撃を阻止した経験は区別して解釈する必要がある。

調査は8月21日から31日まで、福岡、佐賀、長崎、熊本、大分、宮崎、鹿児島の7県に居住する情報システム部門の関係者を対象に実施された。調査方法としてインターネット調査などが用いられ、有効回答は300件。2024年に続く2回目の調査で、今回の結果は回答者の認識を示すものであり、九州の全企業における実際の被害率を直接測定した数値ではない。

攻撃の認識25％、相談先未定は37.7％

想定されるリスクと実際に受けた攻撃の両方で、フィッシングメールやビジネスメール詐欺など、メールを悪用する手口が上位に挙がった。事故発生時の相談先が「決まっていない」と答えた割合は37.7％。専任のセキュリティ担当者がいるとの回答は22.0％、兼任担当者がいるとの回答は26.3％にとどまり、担当者がいない、または存在を把握していないとの回答は合計37.0％だった。

自社の対策が「十分だと思う」と答えた割合は6.7％で、「ある程度十分」を含めても55.0％だった。2024年の前回調査と比べて12ポイント低下している。主催者は、事故に関する報道や法令への対応を背景に危機感が高まっていると分析する。ただし、回答者構成や調査条件の違いもあり、この差だけで実際の防御能力が低下したと断定することはできない。

生成AIの情報漏えい、従来型メール運用にも課題

2024年版にはなかった懸念として、生成AIへの不適切な情報入力による漏えいや、組織の許可を得ない「シャドーAI」の利用が挙がった。新しいAIサービスを導入する際は、利用ルールだけでなく、送信可能なデータの範囲やアクセス権限を定める必要がある。一方、古くからのメール運用にも課題が残り、パスワード付きZIPを送って別途パスワードを通知する「PPAP」を継続しているとの回答は21.3％だった。

メール誤送信対策の実施状況を「わからない」とした回答は40.7％。退職者のメール送受信履歴を確認する手段が「ない」「あるかわからない」と答えた割合は62.7％だった。誤送信防止や監査証跡の確保を個人の注意だけに依存すると、担当者の交代や事故発生時に対応が難しくなる可能性がある。主催者は、人手に依存しすぎないセキュリティ運用の必要性を指摘している。