2026年8月27日
中小企業の中には「我が社は規模が小さいためサイバー攻撃の標的にはならない」と考え、セキュリティ対策を考慮していない組織もあるようです。しかしそうした認識は大きなリスクを招きます。
IPA（独立行政法人 情報処理推進機構）による「情報セキュリティ10大脅威 2026（組織編）」の第1位「ランサム攻撃による被害」、第2位「サプライチェーンや委託先を狙った攻撃」では、中小企業も標的とされます。
他方で、国が主導するサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）が2026年度末に運用開始予定です。安定的な取引継続のためにもセキュリティ対策の強化が求められると考えられます。
そこで中小企業がまずセキュリティ対策を講じる基準として、IPAによる「中小企業の情報セキュリティ対策ガイドライン」内の「情報セキュリティ6か条」をご紹介します。今後のSCS評価制度対応の土台ともなるものです。
ランサム攻撃とは、PCやサーバー内のデータ窃取や暗号化、窃取した情報の暴露予告を行い、これらを取引材料とした様々な脅迫により金銭を要求する攻撃のことを指します（図表２）。
直近5年ほど被害報告件数が高止まりしており、予断を許さない状況です（図表３）。攻撃によってシステムが利用できなくなり、事業停止を余儀なくされる事態が多発しています。（図表出典：令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁））
令和７年上半期に被害を受けた企業・団体の規模、業種は以下のグラフとなります。報道では大企業の被害が目立ちますが、中小企業の被害が多いことに留意が必要です。また、製造業が多いとはいえ、業種を問わず被害が発生しています。
被害を受けた企業・団体の感染経路の内訳は以下のグラフです（有効回答45件）。VPN機器が約62%と群を抜いています。それに続くリモートデスクトップは約22％で、両機器で大半を占めています。ソフトウェアの最新化、認証の強化といった対策を最優先で実施する必要があります。
攻撃者は、特定の組織を狙うだけでなく、自動化された攻撃ツールを用いてインターネット上の「セキュリティの隙（脆弱性）」を無差別に探索しています。そのために、対策の甘い中小企業が攻撃を受けている側面があると考えられます。
この脅威が指すサプライチェーンは以下の2種類に大別されます。
商品の企画から、開発、調達、製造、在庫管理、物流、販売等
ソフトウェア開発上の繋がり（ライブラリ、ツール、開発者やインフラ等）
これらのサプライチェーンにおいて標的の大企業等よりもセキュリティが脆弱な関連会社や業務委託先等がターゲットとされます。対策が強固な大企業等への直接の侵入は困難なため、その取引先や外部委託先である中小企業を最初の侵入口（踏み台）とするためです。
もしも侵入の踏み台とされた場合、自社の被害にとどまらず、取引先に対し操業停止損失や情報漏洩損害を与えることになり、取引停止や損害賠償請求など、事業経営に直結するリスクが生じます。サプライチェーンに連なる中小企業にも対応が求められる状況です。
日本はサプライチェーンを通じた被害の増加に直面しています。経済産業省及び内閣官房国家サイバー統括室は「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度」（SCS評価制度）の構築方針を公表し、経産省所管のIPAにより、2026年度末の運用開始が予定されています。
本制度は、企業の対策状況を「★3〜★5の3段階」で評価することで、委託元が委託先に適切な段階を提示し、対策を推進・実施状況を確認等する、といった活用方法が想定されています。
その背景には、セキュリティ対策の確認方法が企業によってバラバラであるため、セキュリティチェック時の実務的な対応が煩雑になっている現状もあります。
本制度は法令による義務化ではありませんが、今後、調達等において★の取得が期待されると想定されます。この点についても、サプライチェーンに連なる中小企業は適切な対応をとる必要があります。
他方で、予算や人材に限りのある中小企業にとっては、最初から高度な対策を実施することは困難な場合が多いようです。
そこでまず参考とするべきガイドラインが、IPAの「中小企業の情報セキュリティ対策ガイドライン」になります。専門知識がなくても取り組みやすいよう、段階的なステップが示されています。例えば最初の2ステップは以下となります。
「OSやソフトの更新」「パスワードの強化」など基本中の基本となる対策に取り組みます。
ガイドラインに添付された診断項目を利用して自社診断し、「情報セキュリティ基本方針」のサンプルを活用して自社の方針を策定し、外部へ公開します。
IPAが別途運営しているSECURITY ACTION制度では、STEP1の実施で★1、STEP2の実施で★2を自己宣言できることが可能になります。
SECURITY ACTIONの★1～2は、SCS評価制度の★3～5の準備段階とされているため、将来的なSCS評価への対応をスムーズにするという観点でも対応を推奨します。
当機構では、「中小企業も実施するべき情報セキュリティ対策の基本」と題して、「情報セキュリティ6か条」に準じた対策を補足・解説する無料Webセミナーを実施します。ぜひお気軽にご視聴ください。
当機構では、ブログの新規公開をニュースレターにてお知らせしております。ニュースレターの受信をご希望の方はこちらのフォームよりお気軽にお申込みください。
中小企業の中には「予算や人員が不足しており、自社のみで個人情報保護法への対応や情報セキュリティ対策を完結させることが難しい」という組織も多いようです。
当機構では中小企業向けに個人情報保護・セキュリティ対策のコンサルティングを実施しています。お悩みやご要望は組織により様々ですので、まずご相談を実施させていたただいた上でコンサルティング内容を提案しております。ご相談は無料ですので、まずはこちらのフォームよりお気軽にお問合せください。
個人情報に関わる資格制度の運営や社員教育、認証付与など総合的ソリューションを提供し、個人情報保護の推進に貢献してまいります。
