警察庁が2026年3月12日に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によれば、2025年に報告されたランサムウェア被害は226件で過去2番目の高水準。このうち中小企業が143件、約6割を占めた。前年（2024年）も222件中140件・約63％が中小企業だった。アサヒグループホールディングスやアスクルといった大企業の被害がニュースを賑わせる一方、統計が示す”主戦場”は明らかに中小企業に移っている。この状況の中で、経済産業省・内閣官房国家サイバー統括室とIPAはサプライチェーン全体の対策水準を可視化する「SCS評価制度」を2026年度末に始動させる計画を進めている。この制度は企業の対策状況を★1〜★5の5段階で示すもので、上位区分では★3で26項目、★4で43項目の要求事項を満たす必要がある。この制度と、限られた人員・予算で対応する中小企業の現実との間に、どこで「境界線」を引くべきか。本稿はこの問いを、複数の対立する視点から整理する。
中小企業とサイバーセキュリティの要点数値（2026年8月時点・一次資料）
226件 2025年のランサムウェア被害報告件数（警察庁・過去2番目の高水準）｜6割超 同被害のうち中小企業が占める割合（143件／2025年、140件／2024年）｜5割超 復旧に総額1,000万円以上を要した組織の割合｜26項目 SCS評価制度★3の要求事項数（2026年度末運用開始予定）｜150万円 デジタル化・AI導入補助金セキュリティ対策推進枠の補助上限
「境界線」はどこにあるのか——中小企業を狙う攻撃と、押し寄せる新しい要求
2025年、大手企業へのサイバー攻撃が相次いで報じられた。アサヒグループホールディングスは基幹システムがランサムウェアの被害を受け国内全工場の稼働が一時停止し、通販大手アスクルも受注・出荷への影響と個人情報の漏えいが確認された。しかし警察庁の統計を見ると、これらの大企業事案は例外的な”大玉”であり、被害件数の6割超は中小企業が占めている。中小企業はセキュリティ人材も予算も限られる中で、政府・大企業から次々と新しい要求（サプライチェーン評価制度、ガイドライン改訂、補助金の申請要件）が降ってくる。すべてに完璧に応えることは現実的に不可能に近い。だからこそ必要なのは「何を最初に守るか」という境界線の引き方だ。本稿では、中小企業を取り巻く6つの対立点を順に見ていく。
対比①：狙われているのは誰か——「大企業のニュース」と「6割超が中小企業」という警察庁データ
警察庁が2026年3月12日に公表した資料によれば、2025年（令和7年）のランサムウェア被害報告件数は226件で、通年統計のある2021年以降で2番目に多い水準だった。組織規模別では中小企業が143件で約6割、大企業が64件、団体等が19件。前年の2024年も222件のうち140件（約63％）が中小企業で、中小企業の被害件数は2023年から37％増加していた。業種別では製造業が約4割（91件）で最多、卸売・小売業（34件）、サービス業（24件）、情報通信業（24件）が続く。復旧に総額1,000万円以上を要した組織の割合は5割を超え、1か月未満で復旧できた組織は5割強にとどまるなど、被害の長期化・高額化が続いている。ニュースになるのは大企業の事案だが、統計が示す”主戦場”は明らかに中小企業である。
対比②：SCS評価制度は「サプライチェーンの安心材料」か「中小企業への新しい宿題」か
経済産業省と内閣官房国家サイバー統括室は2026年3月27日、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の構築方針を公表した。企業のセキュリティ対策状況を★1〜★5の5段階で可視化し、取引先選定の判断材料に使う仕組みで、IPAが運営する。★1・★2はSECURITY ACTIONと連携した自己宣言、★3は専門家確認付き自己評価（26項目・全企業が最低限達成すべき基礎水準）、★4は第三者評価（43項目）で、★3・★4は2026年度末頃（2027年1〜3月頃）に申請受付を開始する予定だ。大企業からすれば委託先の対策水準を可視化できる”安心材料”だが、中小企業からすれば、限られた人員で26項目・43項目という新しい要求に応えなければならない”宿題”でもある。IPA自身も、サプライチェーンを構成する中小企業ほど活用による効果が大きいと想定していると説明しており、両方の性質を併せ持つ制度として受け止める必要がある。参考までに、米国でも大企業顧客がB2B取引の前提としてSOC2 Type II認証（第三者審査に半年〜1年、費用3万〜10万ドル）を取引先に求める構造があり、「大企業が委託先に対策証明を求める」という構図自体は日本固有ではない。
新規事業の「決め方」を、メールで。
市場の見極め方・撤退基準・成功事例のノウハウを毎週お届けします（無料）。 どんな内容か見る →
対比③：IPAの「情報セキュリティ6か条」は「十分な入口」か「最低限の入口」か
IPAは2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」を第4.0版に改訂した。従来の情報セキュリティ5か条に「バックアップを取ろう！」を新たに追加し、6か条に拡充。「5分でできる！情報セキュリティ自社診断」の診断項目にも、外部から内部ネットワークへの不要な通信の遮断などの項目を新たに追加した。経営者編と実践編から構成され、個人事業主・小規模事業者を含む中小企業の利用を想定している。6か条は間違いなく「最初の一歩」として妥当だが、これをSCS評価制度★3の26項目と並べて見ると、6か条はスタートラインに過ぎないことが分かる。IPAのガイドライン自体も、2025年5月公表の「中堅・中小企業が実施するセキュリティ対策に応じた人材確保・育成の実践的方策ガイドβ版」を付録に加えており、6か条の先に段階的な対策があることを前提にした構成になっている。
対比④：まず投資すべきは「専用の防御製品」か「地味なバックアップ」か
東京商工リサーチが2024年8月に実施し5,735社から回答を得たアンケートによれば、不正アクセスを受けた企業は約1割（9.2％）、うち約6割（57.3％）で被害が複数回に及んでいた。対策として最多だったのは「セキュリティ対策ソフトを導入、見直した」で約6割を占め、「研修の実施」は26.2％（中小企業のみでは22.0％、大企業は62.1％）にとどまった。専用製品の導入は進んでいる一方、IPAが第4.0版で新たに「バックアップを取ろう！」を6か条に加えた背景には、警察庁の調査結果がある。ランサムウェア被害からの復旧に総額1,000万円以上を要した組織が5割を超え、1か月以上かかった組織も約半数にのぼる中、バックアップの有無が復旧の速さとコストを大きく左右する。防御製品への投資と、地味だが効果の大きいバックアップ運用は、どちらか一方ではなく両方が必要な対比であり、優先順位を付けるなら後者を先に固めるべきだという教訓が、この2年連続の統計から読み取れる。
対比⑤：「うちは関係ない」という声と、実施率77.2%が隠す30人未満企業の実態
常陽産業研究所（常陽銀行グループ・茨城）が2026年3月に県内企業を対象に実施した調査では、サイバーセキュリティ対策に「取り組んでいる」と回答した企業は全産業で77.2％にのぼった。一見高い実施率だが、従業員規模別に見ると30人未満の企業では「取り組んでいない」が32.7％と、他の規模を大きく上回った。帝国データバンクの東京都調査（2025年）でも、過去にサイバー攻撃を受けた経験がある企業の割合は大企業46.0％に対し中小企業35.4％、うち小規模企業は31.4％だった。対策の実施率と被害経験率の両方で、規模が小さいほど数字が下がる傾向が明確に出ている。警察庁は、RaaS（Ransomware as a Service）によって攻撃実行者の裾野が広がったことが、対策が比較的手薄な中小企業の被害増加につながっていると分析している。「うちは狙われない」という感覚と、対策が手薄な企業ほど狙われやすいという実態は、正反対の方向を向いている。
対比⑥：対策コストは「持ち出し」か「補助金で相殺できる」か
中小企業がセキュリティ対策にかけられる予算は限られる。しかし経済産業省とIPAは2021年春から「サイバーセキュリティお助け隊サービス」制度を運用し、中小企業に不可欠な対策をワンパッケージで安価に提供する仕組みを整えてきた。導入実績は全国1万社を超える。さらに「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠を使えば、IPAの「お助け隊サービスリスト」に掲載され、かつIT導入支援事業者が登録したサービスの利用料（最大2年分）について、中小企業は1／2以内、小規模事業者は2／3以内、5万円〜150万円の補助を受けられる。対策費用は完全な持ち出しではなく、制度を使えば実質負担を大きく下げられるということだ。もっとも、この補助金の存在自体を知らない、あるいは申請の手間（gBizIDプライムの取得やIT導入支援事業者経由の手続き）を敬遠している中小企業も少なくないとみられ、「制度はあるが使われていない」という別の対比がここに存在する。
新規事業の「決め方」を、メールで。
市場の見極め方・撤退基準・成功事例のノウハウを毎週お届けします（無料）。 どんな内容か見る →
提案で起きやすい飛躍——「セキュリティソフトを入れれば終わり」ではない
セキュリティ対策を初めて担当する若手が陥りやすい誤解は、「専用ソフトを一度導入すれば対策は完了する」という発想だ。IPAが2026年1月29日に発表した「情報セキュリティ10大脅威2026」の組織向けランキングでは、「ランサム攻撃による被害」が11年連続で1位を維持し、「サプライチェーンや委託先を狙った攻撃」が8年連続2位、そして今回新たに「AIの利用をめぐるサイバーリスク」が初選出で3位に入った。攻撃の手口は生成AIの悪用も含めて年々更新されており、脆弱性への対応、バックアップの定期的な復元テスト、従業員教育といった運用を継続しなければ、導入した製品はすぐに実効性を失う。セキュリティは「買って終わり」の設備投資ではなく、「使い続けて初めて機能する」運用の話である。
業種で分かれる境界線——製造業・卸小売・サービス業、どこから守るべきか
ランサムウェア被害の業種別内訳を見ると、製造業が約4割（91件）で圧倒的に多く、卸売・小売業（34件）、サービス業（24件）、情報通信業（24件）が続く。感染経路は（警察庁調査・2024年分）「VPN機器」の脆弱性が55％、「リモートデスクトップサービス」が31％を占め、直近の2025年上半期調査でもVPN機器が6割超で最多という同様の傾向が続いており、製造業ではまずVPN・リモートアクセス機器のパッチ適用と認証強化が優先課題になりやすい。卸売・小売業では取引先（発注元）からセキュリティ対策の実施状況を問われる機会が増えており、SCS評価制度の★1・★2（SECURITY ACTION自己宣言）取得が最初の対応になりやすい。サービス業・情報通信業は顧客データを扱う機会が多く、内部不正や標的型攻撃への備えの優先度が相対的に高い。業種によって最初に引くべき境界線の位置は異なり、すべての業種が同じ順番で対策すべきわけではない。
この先の分岐——2026年度末のSCS★3始動までに、中小企業が引くべき境界線
SCS評価制度は★3・★4ともに2026年度末頃（2027年1〜3月頃）の申請受付開始を目指しており、評価機関・技術検証事業者の要件詳細は2026年8月頃、専門家に対する研修事業者は2026年12月末頃に公表される予定だ。中小企業にとっての現実的な分岐点は、この開始時期までに何を準備しておくかにある。最初の境界線として、①SECURITY ACTIONの★1・★2自己宣言、②IPA情報セキュリティ6か条（特にバックアップ）の実践、③お助け隊サービスと補助金の活用による低コストな体制構築の3点を固めることが、SCS★3の26項目に段階的に近づく最短ルートになる。対策を「大企業から求められたときに慌てて対応するもの」ではなく、「被害の6割を占める当事者として先に整えておくもの」と捉え直せるかどうかが、次の1年の分岐点になる。
よくある質問
Q. 中小企業はサイバー攻撃の被害に本当に多いのですか？
警察庁の統計では、2025年のランサムウェア被害226件のうち143件（約6割）、2024年は222件のうち140件（約63％）が中小企業でした。大企業の事案が報道で目立ちますが、件数では中小企業が過半を占めています。
Q. SCS評価制度とは何ですか？中小企業も対応が必要ですか？
経済産業省・内閣官房国家サイバー統括室の監督のもとIPAが運営する、サプライチェーン全体のセキュリティ対策水準を★1〜★5で可視化する制度です。★3・★4は2026年度末頃に申請受付開始予定。★1・★2はSECURITY ACTIONの自己宣言で対応でき、中小企業もまずここから取り組むのが現実的です。
Q. 何から対策を始めればいいですか？
IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版が示す情報セキュリティ6か条（OS・ソフトの更新、ウイルス対策ソフトの導入、パスワードの適切な設定・管理、共有設定の見直し、バックアップを取る、脅威や攻撃の手口を知る）が出発点です。2026年3月の改訂でバックアップの項目が新たに加わりました。
Q. セキュリティ対策には補助金が使えますか？
「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠で、IPAの「お助け隊サービスリスト」掲載サービスの利用料（最大2年分）について中小企業1／2以内、小規模事業者2／3以内、5万円〜150万円の補助が受けられます。
Q. セキュリティソフトを導入すればもう安心ですか？
いいえ。IPAの「情報セキュリティ10大脅威2026」でランサム攻撃が11年連続1位、サプライチェーン攻撃が8年連続2位、AIリスクが初めて3位に入るなど脅威は年々更新されています。バックアップの復元テストや従業員教育など、導入後も継続的な運用が必要です。
主な出典
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月12日）／警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」／警察庁「令和6年の犯罪情勢」（令和6年ランサムウェア被害222件・中小企業140件）／独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）／IPA「情報セキュリティ10大脅威2026」（2026年1月29日発表）／IPA「サイバーセキュリティお助け隊サービス制度」／IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」および同詳細情報ページ／経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日）／経済産業省「あなたの会社を守ります！―サイバーセキュリティお助け隊サービス―」／独立行政法人中小企業基盤整備機構「デジタル化・AI導入補助金2026 セキュリティ対策推進枠」公式ページ／株式会社東京商工リサーチ「サイバーセキュリティ対策に関する企業アンケート」データインサイト／株式会社帝国データバンク「東京都・サイバー攻撃に関する実態調査（2025年）」／株式会社帝国データバンク「事業継続計画（BCP）に対する企業の意識調査（2026年）」／株式会社常陽産業研究所「サイバーセキュリティ対策に関する企業調査（2026年）」（茨城県内企業対象）／時事通信「ランサム被害増加、226件」（2026年3月12日）／毎日新聞「ランサムウエア被害は226件、高止まり続く」（2026年3月12日）／PROVE DataLake `datalake/_policy/ja/growth_strategy/sector_deep/6_digital_cyber.yaml`（id: 6_digital_cyber）・`datalake/prove/market-grid/usa/cybersecurity/cell.yaml`。金額は各機関公表の万円・億円単位を基本とし、一部円/kWh等の原単位や海外の米ドル表記は本文中で明示しています。
セルウェルは市場調査・マーケティング支援の会社として、国内市場のデータ整備から商品戦略の実装まで一貫して支援しています。検討中のテーマがどこまで固まっているかを短時間で確かめたい方は事業化スコア診断（無料）を、個別のご相談はお問い合わせからお気軽にどうぞ。
※2026年8月時点の情報をもとに作成しています。監修：森英朗。
無料ワークシート
成長分野の接点マップ
強みの棚卸し5行×17分野のマトリクス。
続けて読む
その企画、いま投資する価値はあるか。
10問・無料3分の「事業化スコア診断」で、調査・事業化に進む前の投資判断を可視化します。