結論から申し上げると、IPAの最新調査が示した中小企業の情報セキュリティの姿は「ウイルス対策やOS更新といった基本対策は7割以上が実施している一方、ルール化・事故対応手順・脅威情報の共有といった組織的な対策は4割未満にとどまる」というものです。さらに、体制を整えた企業ほど取引先からの要請対応が新しい取引につながっているというデータも示されました。本記事では、調査の概要と主要データを整理したうえで、中小企業が明日から取り組める対策を解説します。
中小企業の情報セキュリティ実態調査とは
調査の概要と出典
本記事で取り上げるのは、独立行政法人情報処理推進機構（IPA）『2024年度 中小企業における情報セキュリティ対策に関する実態調査』報告書（2025年5月27日公表）です。速報版は2025年2月14日に公表されており、報告書本体はIPAの公式ページで確認できます。
- 対象：全国の中小企業4,191社（経営層・情報システム担当者）へのWebアンケート、経営層21者へのインタビュー
- 調査期間：2024年10月〜2025年1月
- 位置づけ：2016年度・2021年度に実施された調査の後継
なぜ今この調査を読むべきか
この調査の特徴は、自社の対策状況だけでなく「取引先から求められるセキュリティ対策」や「対策が取引にどう影響したか」まで踏み込んでいる点です。サイバー攻撃は大企業だけの問題ではなく、取引の条件にも関わる経営課題になりつつあることが、データから読み取れます。最新の脅威動向とあわせて確認したい方は、IPA「情報セキュリティ10大脅威2026」と中小企業の対策もご覧ください。
調査データが示す中小企業のセキュリティ対策の現状
基本対策は7割、組織的対策は4割未満
調査では、IPAの「5分でできる！情報セキュリティ自社診断」の25項目について実施率（実施＋一部実施）を尋ねています。結果は、技術的な基本対策と組織的な対策で大きな差がありました。
| 区分 | 項目（要旨） | 実施率 |
|---|---|---|
| 実施率が高い | OS・ソフトウェアを常に最新の状態にしている | 73.0% |
| 実施率が高い | ウイルス対策ソフトを導入し定義ファイルを更新している | 71.4% |
| 実施率が低い | 新たな脅威や攻撃手口を知り、社内で共有する仕組み | 37.9% |
| 実施率が低い | 情報セキュリティ対策をルール化し、従業員に明示している | 39.2% |
| 実施率が低い | 事故発生時の緊急体制・対応手順を定めている | 39.8% |
速報版の公表内容でも、約7割の企業が組織的なセキュリティ対策を行っていないと示されています。「ツールは入れているが、ルールと体制がない」というのが、多くの中小企業の実像といえます。
被害の実態と取引先への影響
速報版の公表内容によると、サイバー被害に遭った企業の被害額は平均73万円、最大で1億円に上りました。復旧期間は平均5.8日、最長で360日です。また、被害の約7割で取引先にも影響が及んでいます。一方で、直近3年間の対策投資は「投資していない」が約6割、「100万円未満」が約2割でした。被害の大きさに対して、投資が追いついていない状況が浮かび上がります。
取引先からの要請とサプライチェーン
発注元から情報セキュリティ対策の要請を受けた経験がある企業は1割強でした。要請内容の約8割（79.6%）は「秘密保持のための措置」です。要請に対応する際の課題としては、次の3つが上位に挙がっています。
- 対策費用の用意・負担：51.3%
- 発注元との契約内容の明確化：47.0%
- 専門人材の確保・育成：32.9%
体制整備と第三者認証は取引につながる
注目したいのは、対策が「コスト」ではなく「受注の武器」になり得ることを示すデータです。
| 比較軸 | 要請対応が取引につながった割合 |
|---|---|
| セキュリティ体制あり（専門部署・担当者あり） | 59.8% |
| セキュリティ体制なし | 24.2% |
| ISMS取得済み | 73.9% |
| ISMS未取得 | 30.3% |
体制を整えた企業、第三者認証を取得した企業ほど、取引につながったと回答する割合が高くなっています。
データから読み解く課題と中小企業が取るべき対策
課題は「仕組み」と「費用」と「人」
調査結果から見える課題は、①ルール・手順といった仕組みの不在、②対策費用の負担感、③専門人材の不足の3点です。当協会（一般社団法人中小企業販促・DX支援協会）のDX支援の現場でも、生成AIやクラウドサービスの利用が広がる一方で、「複数サービスでのパスワードの使い回し」や「退職者のアカウントが残ったまま」といった状態が見つかるケースが少なくありません。ツールの導入が進むほど、管理のルールが追いつかないことによるリスクが増えている印象です。
SECURITY ACTION宣言と自社診断から始める
最初の一歩としておすすめなのが、IPAの「SECURITY ACTION」制度です。中小企業が自らセキュリティ対策に取り組むことを宣言する制度で、「5分でできる！情報セキュリティ自社診断」を使って現状を把握することが取り組みの入口になります。25項目を社内で回答するだけで、自社の弱点が「基本対策」なのか「組織的対策」なのかが見えてきます。
ルール化とインシデント対応手順を1枚にまとめる
実施率が4割未満だったルール化と事故対応手順は、分厚い規程集でなくても構いません。「パスワードの管理方法」「アカウントの発行・削除の担当者」「不審なメールを受け取ったときの連絡先」「感染が疑われるときに最初にやること」をA4用紙1枚にまとめ、全従業員に共有するだけでも前進です。Google Workspaceなどを利用している場合は、Google Workspaceのセキュリティ設定チェックリストもあわせて確認してください。
お助け隊サービスと補助金で費用負担を抑える
専門人材がいない企業には、「サイバーセキュリティお助け隊サービス」が選択肢になります。中小企業に必要な監視・駆け付け・相談などの機能をワンパッケージで提供する民間のセキュリティサービスです。導入費用は、「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠を活用できる可能性があります。同枠は、お助け隊サービスリストに掲載されたサービスの利用料（最大2年分）が対象で、補助額は5万円〜150万円、補助率は中小企業1/2以内・小規模事業者2/3以内とされています。公募回・要件は変わるため、最新情報は公式サイトをご確認ください（2026年9月時点）。
中小企業のセキュリティ対策の事例
当協会の支援の現場で見られる典型的な取り組みを、特定につながらないよう業種と規模に抽象化・再構成してご紹介します。
事例1：製造業（従業員30名規模）｜取引先の要請に備えて体制を整備
主要取引先から秘密保持に関する対策状況の確認を求められたことをきっかけに、自社診断を実施しました。総務担当者をセキュリティ担当に指名し、ルールを1枚にまとめてSECURITY ACTIONの宣言まで進めました。取引先への回答書をスムーズに作成できるようになり、確認対応にかかる時間が大きく減りました。
事例2：建設業（従業員15名規模）｜退職者アカウントの棚卸し
クラウドストレージとメールを利用していましたが、アカウント管理表がありませんでした。棚卸しを行ったところ、退職者のアカウントが複数残っていることが判明し、即日停止しました。以降は入退社の手続きチェックリストに「アカウント発行・停止」を加え、管理の抜け漏れを防いでいます。
事例3：士業事務所（従業員10名規模）｜お助け隊サービスの導入
顧客の個人情報を多く扱う一方、専任のIT担当者がいないことが課題でした。お助け隊サービスを導入し、異常検知時の相談窓口を確保しました。あわせてパスワード管理ツールを導入し、使い回しを解消しています。「何かあったときに相談できる先がある」ことが、所長の安心材料になったといいます。
調査を読む際のデメリット・注意点
Webアンケート調査であることを踏まえる
本調査はWebアンケートを中心とした調査です。回答企業の属性には一定の偏りが生じる可能性があり、すべての中小企業の実態をそのまま表しているとは限りません。数値は「傾向を読むための目安」として捉えるのが適切です。
相関と因果を混同しない
「ISMS取得企業の73.9%が取引につながった」というデータは、認証を取れば必ず受注できるという意味ではありません。もともと取引規模が大きい企業ほど認証を取得している可能性もあります。認証取得を検討する際は、費用と自社の取引先の要求水準を照らし合わせて判断しましょう。
被害額の平均値だけで判断しない
被害額は平均73万円ですが、最大は1億円です。平均値だけを見ると「その程度なら」と感じるかもしれませんが、取引停止や信用低下といった金額に表れにくい損失もあります。自社で最悪の事態が起きた場合を想定して備えることが大切です。
対策ツールの導入だけで満足しない
調査が示すとおり、ツールの導入率は高くても組織的な対策は遅れています。ツールは入れた時点では効果が限定的で、運用ルールと担当者があって初めて機能します。
よくある失敗パターンと対策
失敗1：ルールを作ったが誰も読んでいない
規程を作成しても、共有されず形骸化するケースです。対策として、ルールは1枚に絞り、朝礼や全体会議で年に数回読み合わせを行いましょう。新入社員の研修資料に組み込むのも有効です。
失敗2：事故が起きてから連絡先を探す
感染や情報漏えいが疑われる状況で、誰に連絡し何をすべきかが決まっていないと初動が遅れます。社内の連絡順、外部の相談先、ネットワークからの切り離し方を事前に決め、紙でも保管しておきましょう。
失敗3：取引先の要請を「その場しのぎ」で回答する
チェックシートに実態と異なる回答をすると、事故時に契約上の責任を問われるおそれがあります。調査でも課題に挙がった「契約内容の明確化」を意識し、できていることとできていないことを正直に伝えたうえで、改善計画を示すほうが信頼につながります。
失敗4：担当者1人に任せきりにする
詳しい社員1人に管理を任せると、その人の異動や退職で仕組みが止まります。担当者を2名以上にし、経営層が年に1回は状況を確認する体制にしておくことが重要です。
まとめ
「基本対策の次」に進むことが中小企業の課題
IPAの『2024年度 中小企業における情報セキュリティ対策に関する実態調査』からは、基本対策は進んでいる一方で、ルール化・事故対応手順・脅威情報の共有といった組織的な対策が遅れている実態が見えてきました。そして、体制を整えた企業ほど取引先の要請対応が取引につながっているというデータは、セキュリティ対策が守りだけでなく攻めの経営施策にもなることを示しています。
まずは自社診断とルール1枚から
最初の一歩は、自社診断で現状を把握し、ルールと事故対応手順をA4用紙1枚にまとめることです。費用や人手が課題であれば、お助け隊サービスや補助金の活用も検討しましょう。当協会では、中小企業のDX・AI活用とあわせたセキュリティ体制づくりを支援しています。そのほかの情報は当協会のDX・AI情報サイトでも発信していますので、ぜひご活用ください。
