サイバー攻撃とは、ネットワークを通じて会社のデータやシステムを盗む、壊す、止める行為です。手口の名前は増え続けていますが、会社に起きる被害は「業務が止まる」「情報が漏れる」「お金を騙し取られる」のおおむね3つに分けられます。
何から手を付けるか
順番は、知る、基本を固める、説明できる形にする、です。
- 情報セキュリティ6か条を社内で点検する
- 5分でできる！情報セキュリティ自社診断の25項目に答える
- 点数の低い項目から、担当と期限を決める
- SECURITY ACTIONの宣言など、社外に説明できる形にする
- 毎週少しだけ、公的機関の注意喚起を見る習慣を作る
6か条の中身は、OSとソフトを最新にする、ウイルス対策ソフトを入れる、パスワードを強化する、共有設定を見直す、バックアップを取る、手口を知る、の6つです。バックアップはガイドライン第4.0版で加わりました。
被害の形から考える
手口ごとの解説を読む前に、自社にとってどの被害が痛いかを考えると、優先順位が決まります。
樹脂部品を作る会社を例にすると、痛いのは図面の流出より、受注と出荷の仕組みが止まって納期を守れなくなることかもしれません。設計受託の会社なら、預かった図面の流出のほうが深刻です。同じ攻撃でも、痛みは事業によって変わります。
なぜ規模の小さな会社にも来るのか
攻撃が分業になっているからです。警察庁の令和8年上半期の報告は、ランサムウェアの開発・運営側が実行者に環境を提供し、身代金の一部を受け取るRaaSという形を説明しています。その結果、高度な知識が無くても実行できるようになり、攻撃者の裾野が広がったとされています。
同じ報告によると、弱点を探す不審なアクセスは前年同期比で大幅に増えました。インターネットに見えている機器が調べられている以上、「うちは有名ではないから」は安心の理由になりにくいと私たちは考えています。
数字はどう受け止めればよいか
中小企業の平均的な被害は、警戒しすぎる必要のない大きさです。IPAの2024年度の実態調査では、被害額の平均は73万円、復旧までの平均は5.8日でした。一方で、警察庁の報告にあるランサムウェアの被害組織では、復旧の総額が1,000万円以上だった組織が6割です。
平均が小さくても、まれに大きな被害が出るという形です。だから全部を完璧に守ろうとせず、基本を広く固めたうえで、会社が止まる事態だけは別に備えます。
数字の読み方
警察庁のアンケートは、被害を警察に報告した組織への調査です。軽い被害は含まれにくいので、中小企業全体の平均として読まないでください。
不審な営業には、どう向き合うか
対策が話題になると、不安を強調する営業の電話やメールも届きます。「このままだと危険です」と言われたら、どの機器のどんな弱点について言っているのかを聞き返してください。セキュリティの相談先やEDRなどの端末の製品は、複数を比べてから決めても遅くありません。
被害に遭ったかもしれないときに使える公的な窓口もあります。IPAの不正アクセス特別相談窓口は、起きていることを聞いたうえで、応急処置の案や専門業者を案内しています。
国の動きは、中小企業に関係があるのか
国の体制はここ数年で変わりました。2025年7月に内閣サイバーセキュリティセンターが改組され、国家サイバー統括室が置かれています。同じ年の5月には、サイバー対処能力強化法（令和7年法律第42号）が成立しました。能動的サイバー防御という言葉で報じられることが多い法律です。
中小企業の日常の仕事がすぐに変わるわけではありません。身近に届きやすいのは、取引先を通じた要請のほうです。SCS評価制度の★3・★4は2027年3月の受付開始に向けて準備が進んでおり、この話はサプライチェーンと取引先対応で詳しく扱います。
情報を追うなら、どこを見るか
兼任の担当者が全部を追うのは無理です。IPAの情報セキュリティ10大脅威を年に1回、JPCERT/CCの注意喚起を週に1回見るくらいから始めます。自社で使っている製品の更新情報だけは、メーカーの案内を受け取るようにしておきます。
データを戻せる備えとして法人向けバックアップを見直す話は、次のランサムウェア対策で扱います。全体の順番は中小企業・製造業のセキュリティ対策の全体像にまとめています。
