セキュリティ対策：中小企業・製造業が何から始めるか

中小企業・製造業のセキュリティ対策は、IPA（情報処理推進機構）⁠の「情報セキュリティ6か条」⁠か⁠ら始め、外からの入口、バックアップ、事故のときの連絡先の順に固めます。この順番は、公的な統計で多い侵入経路と、中小企業の体制の実情を踏まえた私たちの判断です。

私たちはセキュリティ製品の開発会社ではなく、製品を試して順位を付ける立場でもありません。このページの数字は、すべて公的機関が公開した資料で確かめたものです。リンク先で元の資料を読めます。

いま、会社を取り巻く脅威は何か

IPAが毎年公表している情報セキュリティ10大脅威 2026⁠の組織編は、次の10項目です。右の列に、このサイトで扱うカテゴリを添えました。

3位⁠の「AIの利用をめぐるサイバーリスク⁠」⁠は今回が初めての選出で、それ以外は過去にも選ばれています。順位は社会全体への影響をもとにした審議と投票で決まるもので、自社で手を付ける順番とは限りません。

中小企業の被害は、実際どのくらいか

被害の大きさには、かなり幅があります。2つ⁠の公的な調査を並べると、その幅がわかります。

IPAの2024年度の実態調査（4,191社）⁠で⁠は⁠、過去3期⁠に被害に遭った企業の被害額の平均は73万円⁠、復旧までの期間の平均は5.8日でした。ただし9.4%⁠は100万円以上⁠、2.1%⁠は50日以上かかっています。

警察庁の令和8年上半期の報告は、ランサムウェアに絞った数字です。被害の報告は123件で、半期としては統計を取り始めた令和2年下半期以降で最多でした。規模別では中小企業が約6割⁠、業種別では製造業が約3割⁠を占めます。被害組織へのアンケートでは、復旧の総額が1,000万円以上だった組織が全体の6割でした。

多くの被害は数十万円規模で収まる一方、ランサムウェアで業務が止まると桁が変わります。だから対策の順番は、「いちばん多い被害」⁠と「起きると会社が止まる被害」⁠の両方を見て決めます。

手を付ける順番

専任の担当者がいない会社を想定した順番です。上から順に進めれば、途中で止まっても、それまでの分は効いています。

1. 情報セキュリティ6か条を点検する
2. 社外から入れる機器とサービスを書き出す（VPN機器、リモートデスクトップ、公開サーバー、クラウド）
3. 書き出した入口の更新と、多要素認証を済ませる
4. バックアップを、攻撃の影響を受けにくい形で取り、戻せるか試す
5. 事故のときに誰が判断し、どこへ連絡するかを1枚に書く
6. 取引先の要請に答えられるよう、対策の状況を説明できる形にする
7. 足りない部分に、製品や外部のサービスを足す

1の6か条は、中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版（2026年3月27日公開）⁠で「5か条」⁠に「バックアップを取ろう！」⁠が加わったものです。IPAの案内ページに、6項目⁠が並んでいます。

2と3を早めに置いたのは、入口がはっきりしているからです。警察庁の同じ報告の統計では、令和8年上半期の感染経路（有効回答36件）⁠はVPN機器が18件⁠、リモートデスクトップが9件でした。不審なメールや添付ファイルが多かった時代とは、守るべき場所が変わっています。

4については、同じ統計に見過ごせない数字があります。有効回答50件⁠のうち44件⁠がバックアップを取っていましたが、復元の結果を答えた40件⁠のうち29件⁠は復元できませんでした。取っているだけでは足りず、戻せることを確かめて初めて備えになります。

費用をかけずにできること、費用がかかること

順番の前半は、お金よりも手間の問題です。予算の相談は、次のように分けると進めやすくなります。

上の2段を終えるまで、大きな費用の判断を待ってもかまいません。OSとソフトの更新は、IPAの調査報告書でも実施または一部実施が73.0%と、取り組みが進んでいる項目です。一方で、ルールを明示している企業は39.2%⁠、緊急時の体制を整えている企業は39.8%でした。遅れているのは技術より、決めごとのほうだと読めます。

よくある思い込みを、公的な資料で確かめる

対策を止めてしまいやすい思い込みが、3つあります。

「うちは小さいから狙われない」⁠は⁠、統計と合いません。警察庁の報告では、ランサムウェアの被害の約6割⁠が中小企業です。ただ、数が多いのは会社の数そのものが多いことも関係するので、怖がるより、入口を点検する理由として受け止めます。

「ウイルス対策ソフトを入れているから大丈夫」⁠も⁠、足りない場合があります。警察庁の報告が示す流れでは、攻撃者は侵入後にセキュリティの無効化を試みます。入れたうえで、更新や権限、バックアップを組み合わせます。

「全部やらないと意味がない」⁠も違います。IPAの解説書は脅威ごとに多くの対策を挙げていますが、一度に揃える必要はありません。上の順番で1つずつ進めれば、途中の段階でも説明がつきます。

13のカテゴリの選び方

いまの困りごとから、先に読むカテゴリを選んでください。

製造業が事務所と工場を分けて考える理由

製造業では、守るものが2種類あります。事務所のパソコンやメールと、工場の生産設備です。事務所は情報を守ることが中心で、更新も比較的かけやすい場所です。工場は止めないことが中心で、設備を止めて更新するには生産計画との調整が要ります。

同じ「更新を当てる」という対策でも、難しさがまるで違います。私たちは、事務所側の6か条と入口の点検を先に済ませ、並行して工場の設備とネットワークのつながりを図に起こす進め方を考えています。詳しくは工場・製造業のセキュリティ⁠に書きました。

社長が決めること、担当に任せること

技術の話に見えますが、予算と止めてよい業務の判断は担当者にはできません。IPAの実態調査では、約7割⁠の企業が組織的なセキュリティ体制を整えておらず、対策に投資していない企業は62.6%でした。投資しない理由で最も多いのは「必要性を感じていない」⁠で⁠、44.3%です。

社長が決めるのは次の4つです。

• 誰を担当にするか（兼任でよい）
• 何日止まると会社が困るか
• 年にいくらまで使うか
• 事故のときに誰が判断し、社外に何を伝えるか

経営者向けの資料としては、IPAのサイバーセキュリティ経営ガイドライン Ver 3.0実践のためのプラクティス集⁠があります。「経営者が認識すべき3原則と指示すべき重要10項目⁠」⁠に沿って実例を載せており、兼任の体制を作った例もあります。

使える公的な制度と相談先

無料または公的な枠組みで使えるものがあります。

国の体制も変わりました。2025年7月⁠に内閣サイバーセキュリティセンターが改組され、国家サイバー統括室⁠が置かれています。同じ年の5月にはサイバー対処能力強化法⁠が成立しました。中小企業がすぐに何かを届け出る話ではありませんが、政府や大企業の動きが取引先の要請として届いてくる可能性はあります。

対策の費用を、どう考えるか

費用の話で伝えたいのは、対策が売上につながる場面もあることです。IPAの実態調査では、取引先から対策の要請を受けた企業（511社）⁠のうち42.1%が、要請された対策が取引につながった大きな要因だと答えています。対策に投資している企業では49.8%でした。同じ調査の報告書によると、ISMSを取得している企業では73.9%です。

もちろん、これは対策が取引を保証するという意味ではありません。それでも「守るための出費」だけでなく、「取引先に説明できる材料」として考えると、予算の話がしやすくなります。

製品やサービスを比べるときは、セキュリティコンサルティングやサイバー保険も含めて、メーカー図鑑で提供会社を一覧にしています。図鑑の比較は公式情報をもとにしたもので、順位を付けたものではありません。