LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

取引先や同業がサイバー攻撃の被害に遭ったという報道を見て、「うちくらいの規模の会社でも起きているのか」と気になる。サイバー攻撃は大きな会社が狙われるもので、自社には関係ないと感じている決裁者も多いはずです。

答えを先に示すと、中小企業の被害の事例は公的機関から公表されており、更新していないVPN機器や外から見える弱点が入口になっています。被害は費用と復旧の日数だけでなく、取引先の業務にも及びます。本記事では、IPAと警察庁の公開資料から事例と実態を整理し、自社のインターネットから見える入口を点検して、対策の順番と予算を決める手順を示します。

サイバー攻撃の被害は、自社だけでなく取引先の業務も止める

サイバー攻撃の被害は、中小企業でも費用と復旧の日数として表れ、取引先の業務にも広がります。悩みごとに、先に読むとよい章を次の表にまとめました。

IPA（情報処理推進機構）が全国の中小企業4,191社に行った調査では、2023年度に被害を受けた975社のうち、影響として「データの破壊」を挙げた会社が35.7%、「個人情報の漏えい」が35.1%でした。

同じ調査で、過去3期の被害額の平均は73万円で、100万円以上の会社が9.4%あり、いちばん多い会社は1億円でした。復旧までの期間の平均は5.8日です。50日以上かかった会社が2.1%あり、いちばん長い会社は360日でした。^*1 被害の大きさと、IPAの事例集にあるモデルケースの想定被害額を次の図にまとめました。

取引先への影響も小さくありません。被害を受けた975社のうち、「特に無し」と答えた約3割を除く約7割が、取引先に影響があったと答えています。影響の中身は、取引先へのサービスの停止や遅延が36.1%、個人顧客への賠償や法人取引先への補償の負担が32.4%でした。^*1

平均の73万円と、事例集の数千万円の開きは、事例集が調査・復旧の費用に加えて弁護士への相談や再発防止、取引の停止による利益の減少まで積み上げているためです。事例集は、モデルケースとして積算したもので、シナリオや被害額に一部想定を含むとしています。^*2

• 業務：基幹のシステムや設計のデータが使えず、納期が遅れる
• 費用：調査と復旧に加え、弁護士への相談や再発防止の費用がかかる
• 取引先：サービスの停止や遅延が及び、補償や取引の停止につながる

意外な原因：狙われたのではなく、インターネットから見える入口が開いていたこと

被害を分けているのは、会社の規模よりも、インターネットから見える入口の状態です。IPAの調査で不正アクセスを受けた419社に手口を聞くと、「脆弱性（セキュリティパッチの未適用等）を突かれた」が48.0%で最も多く、「ID・パスワードをだまし取られた」が36.8%、「取引先やグループ会社等を経由して侵入」が19.8%でした。^*1

IPAの事例集のもとになった診断では、中小企業126社のインターネットから見える機器やサービスを調べ、全社で何らかの脆弱性（弱点）が見つかりました。^*2 入口に関わる主な結果と、警察庁の調査の結果を並べます。

事例集の被害事例でも、VPN装置の更新漏れ、クラウドの保存場所の権限の設定ミス、Webサイトの更新管理の仕組みの追加機能の未更新が、被害の原因に挙がっています。自社について、次の3つを言えるかを確かめてください。

• 社外からログインする機器を一覧にし、更新しているか
• インターネットから見える自社の機器やサイトを把握しているか
• 事故のときの対応の手順を作っているか

会社が受ける攻撃の種類と備えの全体は、サイバー攻撃で会社に起きることで整理しています。本記事では、公的な事例から自社の入口の点検に絞ります。

ランサムウェアに絞った国内の事例と、被害が長引いた理由は、ランサムウェアの事例から分かる、被害が長引くつまずきで整理しています。

事例を自社に当てはめる4つの基準

事例を自社に当てはめるときは、次の4つの基準で現状を書き出します。右の列は、IPAの事例集の被害事例で見られたことです。

4つのうち、すぐに答えられない基準が手当ての候補です。全部を一度に整えるより、空いている基準から順番を付けるほうが、予算の判断もしやすくなります。

担当から自社診断の結果が届いた日の判断

担当から、IPAの「5分でできる！情報セキュリティ自社診断」の結果が届いたとします。自社診断は25の問いに「実施している」「一部実施している」「実施していない」「わからない」で答え、100点満点で点数を出すものです。^*4

決裁者が4つの基準で結果を読み、予算に入れる順番を決める流れの一例です。

入口の更新を先にするのは、事例集の被害事例と調査の結果で、更新されていない入口が被害の始まりになっているからです。手順づくりは、入口を塞いだ後でも、起きたときの損失を小さくします。

後半では、被害の費用対効果、取引先との契約と報告の確認点、事例の根拠、点検の手順、承認の判断の材料を確かめられます。

費用対効果：被害の費用と復旧の日数から考える

IPAの実態調査の被害の費用と復旧の日数を目安に、入口の対策の費用と比べて判断します。費用の内訳は、事例集のモデルケースで見ると具体的になります。

この事例は従業員80名・端末80台の製造業で、ITの担当2名は他の業務と兼任でした。ウイルス対策ソフトとオンラインのバックアップがあり、年間100万円程度のセキュリティ予算を使っていましたが、クラウドに置いたバックアップのデータも暗号化され、一部の業務が止まって納期が遅れたとされています。^*2

一方で、対策に投資していない中小企業は少なくありません。過去3期に情報セキュリティ対策に投資していない会社は62.6%で、理由は「必要性を感じていない」が44.3%、「費用対効果が見えない」が24.2%、「コストがかかりすぎる」が21.7%でした。^*1

費用対効果は、次の項目に自社の数字を入れて見積もります。

対策の費用は、入口の機器の更新や認証の見直しのように、この損失の見積もりより小さく始められるものから並べます。投資は取引にもつながっています。発注元から対策を求められた経験がある会社のうち、対策に投資している会社の49.8%が、求められた対策が取引につながったと答え、投資していない会社の27.4%を上回りました。^*1

確認点：取引先との契約と事故の報告

取引先との契約にある情報の扱いと事故の報告の決まりを確かめ、個人情報が関わるときは報告が要るかも確かめます。IPAのインシデント対応の手引きは、ウイルスや不正アクセスの被害、個人情報等の漏えいは関係機関への届け出が必要になるとしています。^*4

取引先からの求めは、会社ごとに書式が違うことがあります。事例集の取組事例には、多種多様なセキュリティチェックシートへの回答を求められ、対応に負担が出ている例が載っています。 届いているチェックシートを並べると、取引先が何を気にしているかが分かります。

報告の要否や期限の判断は、事故の中身によって変わります。平時には、取引先ごとの連絡先と、第一報を出すまでの段取りを1枚にしておくと、当日に迷わずに済みます。

事例の根拠：どの公的な資料で確かめるか

中小企業の事例はIPAの事例集、被害の実態はIPAの実態調査、入口の傾向は警察庁の調査で確かめます。どれも無料で公開されています。

事例集は、ランサムウェアの被害のうち約66%が中小企業で発生しているとして、サイバー攻撃を自分事として捉える必要があると述べています。^*2 被害事例は、VPN装置、クラウドの設定、Webサイト、取引先を装うメール、社長のメールの乗っ取りと、入口が分かれています。

• ランサムウェアに限らず、情報漏えいや送金詐欺まで、入口ごとに事例を読める
• 事例集の被害額はモデルケースの積算で、一部想定を含む
• 実態調査は平均と割合、事例集は1社の内訳と、役割を分けて使う

警察庁のリーフレットでは、事故対応マニュアル等を作っていない組織が約4割（41.2%）でした。^*3 入口の点検と手順づくりの両方が、多くの組織で手つかずだと分かります。

点検の手順：自社診断から入口の確かめまで

IPAのガイドラインの自社診断で足りない点を出し、入口の機器を一覧にして更新の状況を確かめます。

担当に頼む点検は、次の順番で進めると、結果を予算の判断に使いやすくなります。

1. 自社診断の25の問いに答え、「実施していない」「わからない」の問いを書き出す
2. VPN機器、サイトの更新管理の仕組み、機器の管理画面、クラウドの共有設定など、インターネットから見える入口を一覧にする
3. 入口ごとに、ソフトウェアの更新の担当と最後に更新した日、ログインがIDとパスワードだけかを書く
4. 流出したパスワードが無いかを確かめ、使い回しをやめ、使っていないアカウントを消す
5. 事故のときに誰が判断し誰に連絡するかを、手引きの3段に沿って1枚に書く

事例集は、VPN機器について、ソフトウェアを常に最新の状態に保つ、初期ユーザ名や弱いパスワードは使わない、使っていないアカウントは削除する、をすぐにできる対策に挙げています。^*2 一覧づくりには、ガイドラインの付録にある資産管理台帳のサンプルを使えます。

社内で入口を洗い出しきれないときは、インターネットから見える自社のIT資産を外から調べる診断もあります。事例集のもとになったASM診断がその一つで、詳しくはASM(攻撃対象領域管理)導入を外注で進める勘所で取り上げています。

ランサムウェアへの備えの順番は、ランサムウェア対策は、会社として何から備えるかで整理しています。

承認のための判断の材料

点検の結果、足りない項目、手当ての順番と費用の目安を一枚にまとめて決めます。担当には、次の形で出してもらいます。

最後の「続ける体制」が、多くの中小企業で空いています。IPAの実態調査では、専門部署がある会社は9.3%で、約7割の会社が組織的なセキュリティ体制を整えていませんでした。^*1 入口の点検は一度で終わらず、機器を入れ替えるたびに一覧と更新の確かめが要ります。

そのため、点検の結果を受けたら、更新と見張りを社内の兼務で回し続けるのか、運用の一部を委託先に預けるのかも併せて決めます。事例集の取組事例でも、保険や業務委託で自社に足りない人手と専門性を補っている会社が紹介されています。

• 社内で持つ：入口の一覧の更新、取引先との取り決め、事故のときの判断
• 預けることを考える：機器の更新の作業、警告の見張り、事故のときの調査
• 決める人：予算と順番を承認する決裁者

まとめ：事例を自社の入口の点検に置き換える

公的な事例集と調査では、中小企業でもサイバー攻撃の被害が起き、復旧の費用と日数に加えて取引先の業務にも影響が出ています。入口は、更新していないVPN機器、流出したパスワード、外から開ける管理画面やクラウドの設定でした。被害を分けるのは規模より入口の状態です。今日からは、担当に自社診断を依頼し、結果を受け取る日を決めてください。

よくある質問

出典

1. *1　参考：独立行政法人情報処理推進機構（IPA）「2024年度中小企業等実態調査結果」速報版を公開（2025年2月14日）（https://www.ipa.go.jp/pressrelease/2024/press20250214.html）。出典：主なポイント1〜5・7（被害の内容、被害額、復旧の期間、不正アクセスの手口、取引先への影響、セキュリティ体制、対策投資と取引）と調査概要を参照（確認日2026年11月2日）（2026年11月確認）
2. *2　参考：独立行政法人情報処理推進機構（IPA）「ASM診断および事例集作成業務」報告書について（2026年3月27日）／「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」（https://www.ipa.go.jp/security/reports/sme/asm-jirei.html）。出典：ページの業務概要と事例集PDF（はじめに、脆弱性事例1・8・10、被害事例1〜5、取組事例の一覧）を参照（確認日2026年11月2日）（2026年11月確認）
3. *3　参考：警察庁「サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策」（令和8年1月）（https://www.npa.go.jp/bureau/cyber/pdf/R7countermeasures_leaflet.pdf）。出典：アンケートから分かる対策状況（VPN機器の最新パッチの適用状況、認証方法、事故対応マニュアル等の作成）を参照（確認日2026年11月2日）（2026年11月確認）
4. *4　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」第4.0版（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：付録3「5分でできる！情報セキュリティ自社診断」（診断項目の1・18・22・24番と配点）と付録8「中小企業のためのセキュリティインシデント対応の手引き」（基本ステップ、相談窓口・報告先）を参照（確認日2026年11月2日）（2026年11月確認）

Tweet