【調査レポート解説】中小企業サイバーセキュリティ対策実態調査報告 2024

「被害にあっていない」と回答した企業は全体の約 76.7%でしたが、残りの約２割の企業では被害に遭っていると回答してます。

生じた被害の中には、取引先にまで感染が拡大する（3.2%）回答もありました。これは企業同士の取引関係を通じて広がる“サプライチェーン型攻撃”のリスクを示しています。

サイバー攻撃によって生じた被害の平均額は、過去 3 期で約 73 万円に上り、中には最大 1 億円の被害を被った企業もあります。復旧までに要した期間の平均は 5.8 日であり、最大は約1年であり、甚大な被害が発生している実態がうかがえます。

発注元企業から情報セキュリティの要請を受けた経験がある企業は全体の1割強でした。そのうち、要請に基づいて対策を行ったことが「取引につながった大きな要因」と考える企業は4割強にのぼります。

自社から仕入先に対してセキュリティ対策を要請した企業は全体の1割未満でしたが、要請に応じた仕入先は8割強にのぼり、さらに対応が「取引に繋がった大きな要因」と考える企業は7割に上ります。

企業規模が大きくなるほど認知度が上がる傾向が見られ、これは従業員数の増加による認知機会の増加や、サイバーセキュリティ担当部署等の設置が理由として考えられます。

一つ星は基本的な対策項目が中心のため、補助金や助成金の申請をきっかけとした宣言が多い傾向にあります。一方、二つ星は求められる対策項目数も増えることから、サイバーセキュリティ対策の実施による取引先へのアピールや自社への安心感を期待していることが考えられます。

SECURITY ACTIONを実施しない理由として最も大きな割合を示したのが「知らなかった」で38.6%となり、認知度の低さが大きな課題であることが明らかになりました。

その他の理由として、小規模企業者においてはセキュリティ対策の必要性、それ以外の中小企業では、費用対効果の不明瞭、セキュリティ人材の不足、リソース不足等が挙げられました。

企業規模別にみると、中小企業(101名以上)では導入割合が8.8%である一方、小規模企業者では1%未満であり、小規模企業者にはほとんど普及していない実態が明らかになりました。

全体的に補助金・助成金の申請要件が約64%と最も高く、企業業規模にかかわらずサービス導入のきっかけとしています。小規模企業者以外ではでは、顧客や取引先からの要求が50%を超えており、申請要件と同程度のサービス導入のきっかけともなっています。
その一方で、従業員101名以上の企業では、経営層の意識向上が53.8%となっており、経営者の意向が導入の要因ともなっています。

必要性が感じられないと回答した割合が最も高く、企業規模別でみると、特に小規模企業者の約50%が回答しています。小規模企業者以外では、費用対効果が不明確や優先度が低いといった回答が見られたました。
また、業種別ではどの業種においても、必要性が感じられない、費用対効果の不明瞭が挙げられています。

一方で、サービスを導入している企業からは高い評価を得ています。

ワンパッケージでの対策と導入の容易さがそれぞれ約5割と最も多く挙げられており、コストの削減が約3割となっています。これは、サービスの導入により中小企業の人的リソース不足の課題解決やコスト削減による費用対効果の改善につながっていることを示しています。