最新セキュリティマネジメント（第50回） 調査で見えてきた中小企業のセキュリティ対策の実態と投資効果

ネットワークセキュリティ

公開日：2025.07.16

サプライチェーンに対するサイバー攻撃が顕在化する中、情報セキュリティ対策の重要性が高まっている。独立行政法人情報処理推進機構（以下、IPA）が2025年5月27日に公表した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」からは、セキュリティ投資と取引機会の関連性が見えてきた。

資料DLバナー_セキュリティおまかせ.png

投資ゼロが6割超：中小企業における"セキュリティ対策格差"の実態

　今回、IPAが実施した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」は、全国の中小企業4191社を対象としたウェブアンケートである。情報セキュリティ対策の取り組み状況や被害実態、さらには取引先を含む状況まで、幅広い観点から現状を調査している。

　この調査結果から見えてきたのは主に「企業間での対策状況の差異」と、「情報セキュリティに対する温度差」だ。例えば、直近3期の情報セキュリティ対策投資額を見ると、62.6%の企業が「投資をしていない」と回答し、投資を行っている企業でも最も多いのは100万円未満（全体の20.4％）となっている。

TV-14-50_1.png出典：「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」（以降、同） p56

　投資をしていない理由として多いのは「必要性を感じていない」が44.3%で、「費用対効果が見えない」「コストがかかりすぎる」という回答が続く。小規模事業者では情報セキュリティの必要性が十分理解されずに、コストに見合う投資かどうかに確信が持てないという実態が見えてくる。

TV-14-50_2.png出典：上記同 p56

　一方、対策を強化している企業の動機を見ると、「法令の制定や改訂への対応」（20.0%）が最も多く、「重要情報の保持」「取引先からの要請」「業界基準の制定・業界団体の呼びかけ」と続く。中小企業がセキュリティ対策を強化する背景には、自社の重要情報管理という側面に加え、法規制への対応、取引先や業界団体からの要請など、外的要因が契機となるケースが多いようだ。

　対策に期待する効果は、「従業員の情報セキュリティ意識向上」が約半数で最多となった。続いて「対処するべきリスクの特定」「取引先からの信頼獲得」「データ利活用の推進」「サイバーインシデントで発生するコスト削減」「データ棚卸し等による業務効率化の実現」と続く。具体的な事業効果を期待する回答が一定の割合を占めた。

TV-14-50_3.png出典：上記同 p59

セキュリティ対策は新規取引の要件に：4割の企業が取引拡大を実現

　調査によると、サイバーインシデントの被害状況は「被害にあっていない」が76.7%と最多だが、逆に言えば約2割の企業が何らかの被害を経験している。被害の内容とは「コンピュータウイルス感染」「不正アクセス」「ランサムウェア攻撃」の順となり、その影響は「データの破壊」「個人情報の漏えい」が多く、いずれも30％を超えている。

　特に注目されるのは、何らかの被害にあったと答えた企業の約7割がサイバーインシデントによる取引先への影響があったと回答している点だ。内容は「サービスの障害、遅延、停止による逸失利益」、「個人顧客への賠償や法人取引への補償負担」がいずれも3割を超える。このように実被害が発生している点は看過できない。

TV-14-50_4.png出典：上記同 p78

　実際に過去3期に発生したサイバーインシデントの被害額の平均は73万円で、100万円以上と回答した企業は9.4％に上る。被害額は最大で1億円に達している。過去3期内で10回以上のサイバーインシデント被害に遭った企業が1.7％存在し、復旧までに要した期間の平均は5.8日と想定以上の被害がうかがえる。

　こうしたサイバーインシデントが取引先に与える影響については、「わからない」と回答した企業を除くと、約2割が「取引先の事業に多大な影響が及ぶ」と回答している。ただし、ほぼ同数が「取引先の事業への影響が想定されない、もしくは許容可能な影響と想定される」と回答している。

TV-14-50_5.png出典：上記同 p83

　一方で全体の1割強が、「販売先（発注元企業）から情報セキュリティに関する要請を受けた経験がある」と回答している。さらに8割近くがその要請の具体的な内容として「秘密保持」を挙げた。具体的な対策はウイルス対策ソフトやUTM（統合脅威管理）の導入、Pマーク取得、社内研修の実施などだが、対策を行っていない企業も過半数を占めている。

　注目すべきは、「要請に基づき、情報セキュリティ対策を行ったことが取引先との取引につながった大きな要因だ」と考える企業は全体の4割に上る点だ。対策費用の負担という課題はあるものの、効果を実感している企業が相当数存在することが明らかになった。

TV-14-50_6.png出典：上記同 p87

本調査結果から、情報セキュリティ対策の実施状況が企業間取引に影響を与える可能性が示唆された。一方で、投資規模や対策内容については、各企業の事業規模や取引関係に応じて検討する必要があるようだ。

※掲載している情報は、記事執筆時点のものです。

執筆＝高橋 秀典

【TP】

セキュリティおまかせプラン

あわせて読みたい記事

「ネットワークセキュリティ」カテゴリーから探す

連載バックナンバー

最新セキュリティマネジメント

もっと見る

カテゴリー　一覧