中小企業を標的とするサイバー攻撃とはじめに確認するべき対策基準

中小企業の経営者の中には、「我が社は規模が小さく、重要な情報や大量のデータを持たないので、サイバー攻撃の標的にならないだろう」と考える経営層は少なくないようです。しかし、そのような認識そのものが最大のリスクと言えるかもしれません。

独立行政法人情報処理推進機構（IPA）が公表している「情報セキュリティ10大脅威 2026（組織編）」では、最も警戒すべき第1位の脅威に「ランサム攻撃による被害」が、第2位は「サプライチェーンや委託先を狙った攻撃」が選出されています。

1位のランサム攻撃の被害を受けた企業は約6割が中小企業であり、2位のサプライチェーンや委託先を狙った攻撃は、セキュリティ対策が不十分な中小企業等に最初に侵入し、攻撃の踏み台として、大企業等の情報を狙う攻撃です。

こうした状況を受け、IPAはサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の運用開始を2026年度末に予定としています。中小企業には、取引継続のためにもセキュリティ対策の強化が求められつつあると言えます。

本記事では、中小企業にとってのランサム攻撃やサプライチェーン攻撃の脅威、SCS評価制度について概説した上で、中小企業がセキュリティ対策のはじめの一歩を考えるための基準として、IPAの「中小企業の情報セキュリティ対策ガイドライン」をご紹介します。

第1位「ランサム攻撃による被害」の6割は中小企業

ランサム攻撃とは、PCやサーバー内のデータ窃取や暗号化、窃取した情報の暴露予告を行い、これらを取引材料とした様々な脅迫により金銭を要求する攻撃のことを指します（図表２）。直近5年ほど被害報告件数が高止まりしており、予断を許さない状況です（図表３）。攻撃によってシステムが利用できなくなり、事業停止を余儀なくされる事態が多発しています。（図表出典：令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁））

被害組織の約6割が中小企業

令和７年上半期に被害を受けた企業・団体の規模、業種は上記グラフの通りです。報道等では大企業の被害が目立ちますが、中小企業の被害が多いことに留意する必要があります。また、製造業における被害が比較的多いですが、業種を問わず被害が発生しています。

VPN機器からの侵入が6割超

被害を受けた企業・団体の感染経路（有効回答45件）の内訳は上記になります。VPN機器からの侵入が約62%と最も多くなっています。それに続くリモートデスクトップも約22％と、このふたつで大半を占めています。これらについては、ソフトウェアの最新化、認証の強化といった対策を最優先で実施するべきと言えます。

サイバー攻撃者は、特定の組織を狙うだけでなく、自動化された攻撃ツールを用いてインターネット上の「セキュリティの隙（脆弱性）」を無差別に探索しています。そのために、対策の甘い中小企業が攻撃を受けている側面があります。

第2位「サプライチェーンや委託先を狙った攻撃」の標的となる中小企業

この脅威は、商品の企画から、開発、調達、製造、在庫管理、物流、販売といったビジネス上のサプライチェーンに対する攻撃と、ソフトウェア開発上の繋がり（ライブラリ、ツール、開発者やインフラ等）であるソフトウェアサプライチェーンに対する攻撃との2種類に大別されます。

特にビジネスサプライチェーンへの攻撃において、標的となる組織（大企業等）よりもセキュリティが脆弱な、国内外の関連会社や業務委託先等がターゲットとされます。強固な対策を実施している大企業等に対し、直接侵入することは困難と判断したハッカーが、その取引先や外部委託先である中小企業を最初の侵入口（踏み台）とします。

万が一、自社が侵入の踏み台とされた場合、自社の被害にとどまらず、重要取引先に対して多大な操業停止損失や情報漏洩損害を与えることになります。結果として、取引停止や損害賠償請求など、事業経営に直結するリスクを孕んでいます。

サプライチェーン攻撃の急増を受けて始まる「SCS評価制度」

現在、日本は上記のサプライチェーンを通じた被害の増加に直面しています。そこでサプライチェーン全体でのセキュリティ対策水準の向上を目的とし、経済産業省及び内閣官房国家サイバー統括室は「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度」（SCS評価制度）の構築方針を公表し、経産省所管のIPAにより、2026年度末の運用開始が予定されています。

本制度は、企業の対策状況を「★3〜★5の3段階」で評価することで、委託元が委託先に適切な段階（★3～5）を提示し、対策を推進・実施状況を確認等する、といった活用方法が想定されています（背景として、現状はセキュリティ対策の確認方法が企業によってバラバラであるため、セキュリティチェック時の実務的な対応が煩雑になっているという状況もあります）。

本制度は法令による義務化ではありませんが、今後サプライチェーンにおける調達基準において★の取得が期待されることはほぼ確実であると思われます。中小企業にもこれまで以上にセキュリティ対策の実施が求められると言えます。

中小企業がまずはじめに確認するべき対策基準

一方で、予算や人材に限りのある中小企業にとっては、最初から高度な対策を実施することは困難な場合が多いと言えます。そこではじめの一歩として有効なのが、IPAの「中小企業の情報セキュリティ対策ガイドライン」です。

本ガイドラインは、専門知識がなくても取り組みやすいよう段階的なステップが用意されています。例えば最初の2ステップは以下となります。

STEP1：「情報セキュリティ6か条」

「OSやソフトの更新」「パスワードの強化」など基本中の基本となる対策に取り組みます。

STEP 2：「情報セキュリティ自社診断」と「情報セキュリティ基本方針」

ガイドラインに添付された診断項目を利用して自社診断し、と「情報セキュリティ基本方針」のサンプルを活用して自社の方針を策定し、外部へ公開します。

また、IPAが別途運営しているSECURITY ACTION制度では、STEP1の実施で★1、STEP2の実施で★2を自己宣言できるようになっており、SECURITY ACTIONの★1～2は、SCS評価制度の★3～5の準備段階とされています。将来的なSCS評価への対応をスムーズにするという観点からも対応が求められると言えます。

無料Webセミナーで「情報セキュリティ6か条」を解説しています

当機構では、現在、「中小企業も実施するべき情報セキュリティ対策の基本」と題して、「情報セキュリティ6か条」に準じた対策について解説する無料Webセミナーを実施しています。ぜひお気軽にご視聴ください。

ブログの新規公開をメールでお知らせします

当機構では、ブログの新規公開をニュースレターにてお知らせしております。ニュースレターの受信をご希望の方はこちらのフォームよりお気軽にお申込みください。