サイバーセキュリティ産業の現在地｜成長17分野から見る国内市場の弱点

国内のサイバーセキュリティ産業は、需要の話と供給の話がずれています。2026年7月21日閣議決定の「日本成長戦略」は、戦略17分野の一つを「デジタル・サイバーセキュリティ」と書き、2035年までに国内企業の売上高約3兆円超を目標にしています。一方、現場は人材が足りず、製品は海外に寄り、重要インフラは届出と報告が先に来ます。本記事では、弱点の数字と、SOC・国産製品の接点をわかりやすく解説します。

当コラムで注目する用語

デジタル・サイバーセキュリティ：成長戦略が使う分野名。データ基盤・クラウド・人材・セキュリティ産業をまとめた箱です。

登録セキスペ：情報処理安全確保支援士。国家資格のセキュリティ専門人材です。

SOC：Security Operations Center。ログを監視し、侵入の兆候を追う運用拠点です。

重要インフラ統一基準：分野横断の対策の底上げ基準。2026年7月31日にサイバーセキュリティ戦略本部が決定し、2026年10月1日施行予定です。

サイバー対処能力強化法：正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」。基幹インフラの届出・報告などが入ります。

SCS評価制度：サプライチェーン強化に向けたセキュリティ対策評価制度。2026年度末までの構築が戦略に書かれています。

成長戦略が重点に置くデジタル・サイバーセキュリティ

内閣官房が公表した「日本成長戦略」（2026年7月21日閣議決定）は、17の戦略分野の一つを「デジタル・サイバーセキュリティ」としています。本文は、地方の行政やエッセンシャルサービスまで含めたAX／DXには、自律的なデジタル・エコシステムが不可欠、と書きます。データ基盤とクラウドの高度化、デジタル人材、新たな脅威に対応するセキュリティ産業基盤、が同じ段落に並びます。

セキュリティ製品・サービスの項では、海外製品・技術への過度な依存を防ぐ、と明記しています。目標は、2035年までに国内のサイバーセキュリティ企業の売上高約3兆円超です。市場は年間10％程度の拡大が続くとの予測もある、という書き方です。予測は参考値の書き方で、戦略の確定目標とは別です。同じ項は、制御系システムセキュリティを製品・サービス導入の有望分野の一つに挙げています。AIエージェントや制御系向けのガイドライン整備は、戦略の別の章（横断課題「サイバーセキュリティ」）に出てくる記載です。

横断課題では、サイバー対処能力強化法の着実な実施と、重要インフラの防護が別枠で書かれます。17分野の投資合計（2040年度までに370兆円超という想定）と、セキュリティ企業の3兆円は、分母が違います。分母が違うので、分けて読むのがよいです。

国内市場の弱点は人材と海外依存

経済産業省は2025年5月14日、「サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ」を公表しました。国内で約11万人不足しているとの民間調査結果もある、と本文で引用しています。注の出典はISC2 Cybersecurity Workforce Study 2023です。経産省自身の全数調査ではありません。

同じ取りまとめは、情報処理安全確保支援士の登録人数を、2025年4月時点の約2.4万人から、2030年までに5万人へ増やす目標を掲げています。中小企業実態調査では、対策の必要性を感じたことがないが47％、困った際の相談先が特にないが51％、社外の登録セキスペ活用は2.4％、と並びます。70％が社内に専門部署等の体制がなく、64％が従業員教育を実施していない、ともあります。

弱点は人数以外にも広がります。成長戦略が「過度な依存」と書く海外製品は、大企業のエンドポイントやクラウドで先に入ります。国産は、制御系、官公需、中小向けOEMなど、隙間から積む形です。人材11万人不足（引用）と、登録セキスペ2.4万人は、同じ「足りない」でも層が違います。前者は民間の必要数との差、後者は国家資格のストックです。中小の70％が社内体制なし、という数字は、採用計画より先に外部の相談先を決める必要がある、という意味です。

IPAが示す2026年の脅威順位

情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」は、2025年に影響が大きかった事案から、約250名の選考会が投票して決めました。組織向けの1位はランサム攻撃による被害（11年連続）、2位はサプライチェーンや委託先を狙った攻撃（8年連続）、3位はAIの利用をめぐるサイバーリスク（2026年初選出）です。

4位はシステムの脆弱性を悪用した攻撃、5位は機密情報を狙った標的型攻撃、6位は地政学的リスクに起因するサイバー攻撃（情報戦を含む）、7位は内部不正、8位はリモートワーク等の環境、9位はDDoS、10位はビジネスメール詐欺です。産業の需要は、ウイルス対策ソフトの更新より、委託先の監視と、生成AIの持ち出し防止に寄っています。

取引先が自社の「弱点」を見るとき、ランサムのバックアップと、委託先のアカウント管理が先です。AIの項は、業務利用の情報漏えいと、攻撃側の自動化の両方です。製品の名前を増やす前に、この順位で穴を1つ決めるのが先です。

新規事業の「決め方」を、メールで。

市場の見極め方・撤退基準・成功事例のノウハウを毎週お届けします（無料）。どんな内容か見る →

届出件数は減っても実被害は残る

IPAが公表した2025年（1〜12月）のコンピュータウイルス・不正アクセス届出では、不正アクセスは109件で、前年166件より57件（約34.3％）減りました。このうち実被害は85件で、全体の約78.0％です。ウイルス届出は184件（約30.5％減）、実被害は15件、うちランサムウェアが9件です。

件数減を「攻撃が減った」と読むと誤ります。届出制度は任意に近く、IPA自身がログ未取得による原因不明を指摘しています。不正アクセスの実被害では原因不明が15件あります。侵入経路が分かっている例では、VPN装置のぜい弱性や認証情報の不正利用が挙がります。

産業側から見ると、監視とログ保管を売るSOC、VPNの置き換え、多要素認証の導入支援が、届出の中身とつながります。検知の件数をKPIにするより、原因を追えるログが残るかが先です。

重要インフラの届出・報告とは

投資の「義務化」という言葉だけが先に歩くことがあります。2026年8月時点で、全業種にセキュリティ投資額を課す法律はありません。先に来るのは、基幹インフラの届出とインシデント報告、評価制度の要件化です。

成長戦略は、サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律）等の着実な実施を横断課題に置いています。同法は2025年5月23日公布、主要部分は2026年10月1日施行と政令で定められました。対象の特別社会基盤事業者には、重要電子計算機の導入に関する届出や、攻撃を認知した際の報告が入ります。全民間の投資義務ではありません。

同じ戦略は、必要な防護策を実施できている重要インフラ事業者等の割合を、2031年度末までに100％とするKPIを置いています。戦略は「重要インフラ統一基準」を2026年夏に策定すると書き、実際にサイバーセキュリティ戦略本部が2026年7月31日にこの基準を決定、2026年10月1日施行予定です。対象はサイバーセキュリティ基本法が定める重要社会基盤事業者等で、所管省庁が特定します。SCS評価制度は2026年度末までに構築し、投資支援策の要件とすること等により活用を促す、という文です。補助金の入口に評価が乗る、が実務の着地点です。下請けは、親会社が評価項目を求めてきた時点が発注の起点になります。

上場ベンダーの規模差とは（トレンドマイクロとFFRI）

国内拠点の上場企業でも、売上の桁が違います。トレンドマイクロの2025年12月期連結売上高は2,759億8,400万円（前年比1.2％増）、日本地域は878億4,000万円（2.4％増）です。法人はTrend Vision Oneを軸にSOC関連とネットワークが伸び、個人のPC向けは低調、と短信は分けています。

FFRIセキュリティの2026年3月期は、売上高43億4,800万円（43.1％増）、営業利益13億6,400万円（67.0％増）です。補足資料ではサイバー・セキュリティ事業39億8,700万円のうち、セキュリティ製品17億5,600万円、ナショナルセキュリティ・サービス15億7,600万円、その他サービス6億5,400万円です。OEM（Sky、アレクソン等）で中小向けライセンスが32,160増えた、とあります。

トレンドの日本878億とFFRIの43億は、同じ「国内セキュリティ企業」でも顧客層が違います。前者がグローバル製品の日本法人、後者が国産検知と官公需に近い、という読みができます。成長戦略の「3兆円超」は、この規模の会社を足し合わせても届かない目標です。クラウド大手や通信、SIerのセキュリティ売上をどこまで「国内企業」に入れるかで、到達の見え方が変わります。

会社	決算期	売上	国内市場での位置
トレンドマイクロ	2025年12月期	連結2,760億／日本878億	プラットフォームとSOC関連が牽引
FFRIセキュリティ	2026年3月期	43億4,800万円（うちCS事業39億8,700万円）	国産製品とナショナルセキュリティ

2社比較は、位置づけを見るための例です。海外ベンダーの日本売上は、各社が地域別を出さないことが多く、依存度の公式比率は本稿では置けません。戦略本文の「過度な依存」は、その空白を前提にした問題意識です。

新規事業の「決め方」を、メールで。

市場の見極め方・撤退基準・成功事例のノウハウを毎週お届けします（無料）。どんな内容か見る →

SOCと中小の接点

事業機会は、大企業のSOC刷新と、中小の「相談先が無い」の両方にあります。後者は、登録セキスペ2.4％という利用率が示す通り、まずは資格者を雇う前に相談先を決めることが大切です。IPAの脅威2位（委託先）は、大企業が下請けのアカウントを見ることです。中小側から見ると、親会社のSCS評価と、補助金の要件が同じ方向に動きます。

制御系は、成長戦略が有望分野として名前を出しています。工場のPLCやリモート保守のVPNが、IPA届出の侵入経路と重なります。ここは海外のITセキュリティ製品だけでは埋まらず、国内の診断・監視・国産エンドポイントの組み合わせが出やすいです。

人数の目安です。自社でSOCを24時間回すのは、中堅でも人件費が先に立ちます。MSSP（監視の外部委託）と、インシデント時の登録セキスペ契約を分ける方が、取りまとめの中小向け整理に近いです。製品を3つ足す前に、ログの保管期間と、誰が初動するかを1枚にまとめると動きやすいです。

よくある質問

Q. セキュリティ投資は法律で義務ですか。全業種の投資額義務はありません。基幹インフラは2026年10月から届出・報告が入ります。補助金はSCS評価を要件にする方向が戦略に書かれています。

Q. 11万人不足は政府の公式統計ですか。経産省取りまとめが引用するISC2 2023の民間調査です。登録セキスペ約2.4万人は資格のストックで、別の数字です。

Q. 中小はまず何をすればよいですか。相談先とログ保管、親会社から求められる評価項目の3点です。まずは製品名より、IPAの1位（ランサム）と2位（委託先）で穴を1つ決めることが大切です。

取引先が先に決める3点

自社が重要インフラの取引先かどうか。ログが残る監視を内製するか委託するか。製品を海外プラットフォームに乗せるか、制御系・官公需で国産を足すか。3点が揃うと、「17分野だから予算が付く」という読みは終わります。

成長戦略の3兆円は2035年の到達点です。2026年の現在地は、人材の引用11万人不足、資格2.4万人、IPAのランサムとサプライチェーン、強化法の10月施行です。弱点は市場規模の小ささより、人が足りず、海外製品に寄り、中小が相談先を持たないことです。次の発注では、その3つのどれを埋めるかを先に書くと進めやすいです。製品カタログを増やす前に、届出対象かどうかと、ログが何日残るかを1枚に落とす方が早いです。