セキュリティは“攻めの経営”の認識が広まるも、価値の証明に悩むCISOが6割弱─EY調査

防御一辺倒から価値創出に転換するためになすべきこと

2025年8月29日(金)愛甲峻（IT Leaders編集部）

リスト

EYストラテジー・アンド・コンサルティングは2025年8月21日、グローバル調査レポートの日本語版「EYグローバル・サイバーセキュリティ・リーダーシップ・インサイト調査2025」を発表した。防御手段と見なされているサイバーセキュリティだが、先進企業の間では新技術の導入、ブランド価値の向上、顧客体験の改善など積極的な価値創出への貢献が広がっている。同日に開いた説明会で、先進的なCISOやセキュリティ部門の取り組みを紹介したほか、調査結果を踏まえ、CISOが戦略的な役割を担うためのポイントを明らかにした。

先進セキュリティ部門が実践する“攻め”の価値創出

　EYストラテジー・アンド・コンサルティングが発表した「EYグローバル・サイバーセキュリティ・リーダーシップ・インサイト調査2025（EY Global Cybersecurity Leadership Insights Study 2025）」は、企業のCISO（Chief Information Security Officer：最高セキュリティ責任者）やセキュリティ部門がサイバーセキュリティにどう取り組み、価値創出につなげているかを探るグローバル調査である。調査対象は日本を含む19カ国、16の業界における年間売上高10億米ドル以上の企業に属する経営幹部ならびにサイバーセキュリティ責任者で、グローバルでは2025年5月28日に公開されている。

　EYはサイバーセキュリティのグローバル調査を2023年より年次で実施しており、対策の進展度合いによって、回答企業を先進的な「セキュアクリエイター」と、対策が不十分な「プローンエンタープライズ」に分類している。今回の調査では、回答企業の47％がセキュアクリエイターにあたるという。

　ビジネスのデジタル化が進む中、サイバーセキュリティの役割は、リスク回避やコンプライアンスを中心とする“守り”の領域にとどまらず、企業の社会的評価やサービスの信頼性の向上といった“攻め”の領域が拡大している。調査によれば、サイバーセキュリティ部門が企業の重要なビジネスプロジェクトに深く関与した場合、平均で11～22％に相当する価値が生まれており、これは1件あたりの中央値で3600万米ドル（約52億9000万円）に達している。

　一方で、CISOの58％が、リスク管理以外でサイバーセキュリティの価値を明確に伝えることに困難を覚えているという。緊急性の高い戦略的意思決定への関与不足を自覚する割合も約6割に上る。

　同社サイバーセキュリティ共同リーダーパートナーの小川真毅氏（写真1）は、「統計上はセキュリティ部門が関わることで企業活動の価値を最大化できることが判明している。しかし、依然として多くのCISOが価値創出への貢献に課題を抱えている」と指摘した。