ニュース
OSやウイルス対策ソフトの最新化を実施している中小企業は約7割、IPA調査
2025年5月28日 06:00
独立行政法人情報処理推進機構（以下、IPA）は27日、「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書を公開した。公表した資料では、「2024年度中小企業等実態調査」全体の報告書を取りまとめるとともに、中小企業が実際に行っている対策や効果が見られた対策のポイントを報告している。
IPAでは、サプライチェーン上の弱点を狙って、攻撃対象への侵入を図るサイバー攻撃が顕在化・高度化している状況を踏まえ、中小企業などにおけるサイバーセキュリティ対策の実態および課題などを明らかにし、中小企業などにおける規模・業種などに応じた、費用対効果の高いサイバーセキュリティ対策の分析・整理を目的に、調査を実施した。
調査では、全国の中小企業4191社を対象にWebアンケートを実施。情報セキュリティ対策への取り組みや被害の状況、対策実施における課題、取引先を含む情報セキュリティ対策の状況などを調査した。
調査によると、OSやウイルス対策ソフトの最新化を実施している企業は約7割となった。IPAが公開している「5分でできる！情報セキュリティ自社診断（以下、自社診断）」の25項目について、「実施している」および「一部実施している」を合わせた割合は「パソコンやスマホなど情報機器のOSやソフトウェアは常に最新の状態にしていますか？」（73.0％）が最も高く、次いで「パソコンやスマホなどにはウイルス対策ソフトを導入し、ウイルス定義ファイルは最新の状態にしていますか？」（71.4％）が多く、基本的なセキュリティ対策はある程度定着していることがうかがえるとしている。
一方、実施率が低かった項目は、「新たな脅威や攻撃の手口を知り対策を社内共有する仕組みはできていますか？」（37.9％）、次いで「情報セキュリティ対策（上記1～24など）をルール化し、従業員に明示していますか？」（39.2％）、「セキュリティ事故が発生した場合に備え、緊急時の体制整備や対応手順を作成するなど準備をしていますか？」（39.8％）となり、組織的に取り組む必要のあるセキュリティ対策が進んでいないと分析している。
「自社診断」の25項目を、「実施している……4点」「一部実施している……2点」「実施していない……0点」「わからない……－1点」で点数化し、25項目の対策状況を採点したところ、合計点が高い企業ほどサイバーインシデントによる影響を「特になし」と回答した割合が高い傾向となった。情報セキュリティ対策の実施により、サイバーインシデント被害（影響）の低減が期待されるとしている。
発注元企業から、情報セキュリティに関する要請を受けた経験がある企業の割合は1割強となった。要請された内容は、「秘密保持のための措置」（79.6％）が最も多い。要請された対策の実施に向けての課題は、「対策費用（具体的な対策と費用）の用意、費用負担の検討」（51.3％）が最も多く、次いで「情報セキュリティ対策に関する販売先（発注元企業）との契約内容の明確化」（47.0％）、「専門人材の確保・育成」（32.9％）で、コストや人材不足が課題となっていることがうかがえるとしている。
取引先（発注元企業）から、情報セキュリティ対策に関する要請を受けた経験がある企業のうち、セキュリティ体制の整備がされている企業の59.8％が、発注元からの要請でサイバーセキュリティ対策を行ったことが取引につながったと回答している。一方、セキュリティ体制の整備がされていない（セキュリティ対策は各自の対応に任せている）企業の回答割合は、24.2％にとどまっている。
また、取引先（発注元企業）から情報セキュリティ対策に関する要請を受けた経験がある企業のうち、ISMS取得済みの企業の73.9％が、発注元からの要請でサイバーセキュリティ対策を行ったことが取引につながったと回答しているのに対し、ISMS未取得の企業は30.3％にとどまっている。取引先から要請を受けた企業側の担当者の実感として、サイバーセキュリティ対策に関する第三者認証を取得している企業の方が、対策の実施が取引上の信頼を得るための重要な要素であることを示していると分析している。
