「サイバー攻撃」と聞くと、大企業や海外の話のように感じる方も多いかもしれません。ただ、実際に調べてみると、被害の実態はむしろ逆でした。IT関連の仕事をしている立場から、報道・公開資料をもとに整理してみます。
数字で見る、中小企業とサイバー攻撃
IPA(情報処理推進機構)が2026年3月に公表した事例集によると、ランサムウェアの被害のうち、約66%が中小企業で発生しているとのことです。
同じくIPAが毎年公表している「情報セキュリティ10大脅威」の2026年版(組織編)では、「ランサム攻撃による被害」が11年連続で1位、「サプライチェーン攻撃」が8年連続で2位となっています。今年新たに3位として選ばれた「AIの利用をめぐるサイバーリスク」には、攻撃者によるAI悪用だけでなく、従業員による生成AI利用に伴う情報漏えいも含まれているとのことです。
なぜ中小企業が狙われるのか
理由の一つとして挙げられているのが、サプライチェーン攻撃の存在です。大企業を直接狙うのではなく、セキュリティ対策が手薄になりがちな取引先の中小企業を経由して侵入する、という手口です。
これは、自社が直接の標的でなくても、取引先である大企業や地域の基幹企業に迷惑をかけてしまうリスクがある、ということでもあります。実際、IPAの報告でも「サプライチェーンを構成する中小企業がサイバー攻撃の標的となる事例が増加している」と指摘されています。
農業・製造業の現場でも他人事ではない理由
生産管理システムやIoT機器の導入は、工場だけでなく農業の現場でも進んでいます。スマート農業機器やクラウド型の生産管理ツールが普及するほど、ネットワークにつながる機器が増え、結果としてサイバー攻撃の対象になりうる範囲も広がっていくというのが、業界動向として報じられている流れです。
実務での対策経験があるわけではないので断定はできませんが、「ITに詳しい担当者がいないから関係ない」ではなく、「詳しい担当者がいないからこそ、基本的な対策だけは押さえておく」という考え方のほうが、実情に合っているように感じます。
事業承継を考えるタイミングだからこそ
以前、事業承継について書いた記事でも触れましたが、地方の中小企業では、後継者不在や事業承継が大きなテーマになっています。
事業を誰かに引き継ぐ、あるいは引き継がれる場面を考えたとき、セキュリティ対策の有無は、その事業の価値そのものに関わってくるように思います。取引先からの信頼を失う、業務が止まって顧客が離れる、といった事態は、承継しようとしている事業の価値を大きく損なうことにもなりかねません。
事業承継の相談を受ける立場の方にとっても、資金繰りや税制と並んで、こうした「守りの備え」の話題を選択肢の一つとして持っておくのは、悪くないのではないかと思います。
まず何から始めればいいか
IPAは「中小企業の情報セキュリティ対策ガイドライン」を、経営者編と実践編に分けて公開しています。専門用語をあまり使わず、何から着手すべきかが整理されているので、最初の一冊としては読みやすいようです。
あわせて、「SECURITY ACTION」という自己宣言制度もあります。試験や審査はなく、取り組み状況に応じて星1つ・星2つを自己宣言する仕組みで、IT導入補助金など一部の補助金の申請要件になっていることもあるとのことです。補助金の活用を検討する際は、こうした前提条件もあわせて確認しておくと良さそうです。
基本的な対策としては、多要素認証の導入、こまめなソフトウェア更新、バックアップの取得といった、特別な専門知識を要さないものが土台になっているようです。
自治体・商工会議所としてできること
地域の事業者に対して、こうした制度や基本対策の存在を周知するという関わり方もありそうです。SECURITY ACTIONの宣言は無料でできるため、費用面のハードルなく紹介できる情報の一つだと思います。
事業承継の相談窓口として日々事業者と接している商工会・商工会議所の経営指導員にとっても、資金繰りや税制の話に偏りがちな相談の中で、こうしたセキュリティの基本情報を紹介できる引き出しの一つになるかもしれません。
地域の基幹産業が、取引先の大企業から見た際の「サプライチェーンの弱い輪」にならないようにする、という観点は、個々の事業者だけでなく、地域全体の課題としても捉えられるのかもしれません。
調べてみて感じたこと
セキュリティの話は、どうしても専門的で距離を感じやすいテーマだと思います。ただ、被害の66%が中小企業で発生しているという数字を見ると、規模の大小にかかわらず、備えておく価値のある話だと感じました。
引き続き、報道や公開情報をもとに、こうしたテーマも取り上げていきたいと思います。
参考
- 独立行政法人情報処理推進機構「中小企業のための 実例で学ぶサイバーセキュリティリスク事例集」(2026年3月)
- 独立行政法人情報処理推進機構「情報セキュリティ10大脅威 2026」
コメント