セキュリティの手引き
中小企業のセキュリティ対策の現状（2026年版）｜どこまで進み、何が足りないか
公開：2026年10月15日／最終更新：2026年10月15日／Moshiru 岡﨑 悠太
結論：中小企業では、OSの更新（73.0%）やウイルス対策ソフト（71.4%）は7割を超えて普及しています。足りないのはルールと体制で、対策のルール化は39.2%、緊急時の体制や手順は39.8%にとどまります（IPA、2024年度調査）。まずは担当を1人決め、IPAの「情報セキュリティ6か条」をそろえ、困ったときの連絡先を1枚に書くところから始めます。
進んでいる対策と遅れている対策進んでいる
- ○OSの更新 73.0%
- ○ウイルス対策 71.4%
IPA 2024年度調査（4,191社）
基本の対策はどこまで進んでいるか
IPA（情報処理推進機構）の「2024年度 中小企業における情報セキュリティ対策に関する実態調査」は、全国の中小企業4,191社の回答をまとめたものです。2025年5月に報告書が出ました。2026年10月時点で、これが最新版です。
IPAの実態調査
実施している（一部を含む）割合は、下のとおりです。機械で済む対策は進み、人と社内の決めごとが要る対策は4割を切っています。
対策の実施率（IPA）OSの更新73.0%
ウイルス対策71.4%
緊急時の体制39.8%
ルール化39.2%
脅威の情報共有37.9%
総務省「令和7年通信利用動向調査」（企業編、2025年8月末時点）でも傾向は同じです。何らかの対策をしている企業は98.0%でした。ただし対象は常用雇用者100人以上の企業なので、小さな会社の数字ではありません。
対策の実施率（総務省・100人以上）ウイルス対策81.8%
ID・パスワード60.5%
社員教育54.6%
OSのパッチ43.4%
100人以上の会社でも、社員教育は54.6%、OSへのセキュリティパッチの導入は43.4%です。「入れたら終わり」の対策より、続ける対策が遅れています。
遅れやすい対策の共通点入れて終わるソフトの導入は進む
続ける・決める更新・教育・ルール
その結果担当がいないと止まる
被害はどう出ているか
同じIPAの調査（速報版、2025年2月）では、2023年度にサイバーセキュリティインシデントの被害を受けた企業の過去3期の被害額は平均73万円、最大1億円でした。復旧までは平均5.8日です。
中小企業の被害（IPA）73万円被害額の平均過去3期・最大1億円
5.8日復旧までの平均
約7割取引先にも影響
被害を受けた企業の約7割で、取引先にも影響が出ていました。内訳はサービスの停止・遅延36.1%、顧客への賠償や取引先への補償32.4%です。
取引先への影響の中身1止まる・遅れる36.1%
2賠償・補償32.4%
3調査・復旧の費用23.2%
IPA 2024年度調査 速報版
ランサムウェアは、警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）で被害報告123件でした。半期として統計開始以来最多で、被害企業の約6割が中小企業です。
ランサムウェア（2026年上半期）123件被害報告半期で最多
約6割中小企業の割合
約5割入口はVPN機器
警察庁 2026年9月
復旧に総額1,000万円以上かかった組織は6割、1か月未満で戻せた組織は5割弱でした。IPA「情報セキュリティ10大脅威 2026」（組織編）でも1位はランサム攻撃です。順位は中小企業で多いインシデントのランキングと原因にまとめています。
ランサムウェアの復旧- 1か月未満戻せたのは5割弱
- 費用1,000万円以上が6割
いちばん足りないのは「人とルール」
IPAの速報版では、専門部署（担当者）がある企業は9.3%で、約7割は組織的な体制が整っていませんでした。過去3期に対策への投資をしていない企業は62.6%です。
体制と投資（IPA）9.3%専門部署がある
62.6%投資していない過去3期
投資しない理由は「必要性を感じていない」44.3%、「費用対効果が見えない」24.2%、「コストがかかりすぎる」21.7%でした。
投資しなかった理由（IPA）必要性を感じない44.3%
費用対効果が不明24.2%
コストが高い21.7%
一方で、取引の場では差が出ています。発注元から要請を受けた企業のうち、専門部署（担当者）がある企業の59.8%は、対策が取引につながったと答えました。体制がない企業では24.2%です。
対策が取引につながった割合発注元から要請を受けた企業の回答
取引先からの確認は、今後さらに書面で来るようになります。経済産業省などが進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、★3と★4の評価用ガイドを2026年度下期に公表し、その後に運用開始を想定しています。
SCS評価制度の予定- 2026年度上期制度の詳細化と準備
- 2026年度下期評価用ガイドを公表
- その後運用開始（想定）
★3は、専門家の確認を受けた自己評価です。中身はSCS評価制度の★3とはで説明しています。
★3の取り方- 1自己評価する
- 2専門家が確認
- 3事務局に出す
まずやること（今月できる順番）
IPAの「中小企業の情報セキュリティ対策ガイドライン」は2026年3月に第4.0版になりました。最初に取り組む項目は「情報セキュリティ6か条」で、5か条に「バックアップを取ろう！」が加わりました。
情報セキュリティ6か条- OSやソフトを最新にする
- ウイルス対策ソフトを入れる
- パスワードを強くする
- 共有設定を見直す
- 攻撃の手口を知る
- バックアップを取る
IPAガイドライン第4.0版
道具の多くは入っている会社が多いので、遅れている「人とルール」を先に埋めます。
- 担当を1人決める：兼任で構いません。決め方は情シスがいない会社のセキュリティ担当の決め方にあります。
- 6か条を点検する：IPAの「5分でできる！情報セキュリティ自社診断」で、今の状態を確かめます。
今月やる順番- 1担当を1人決める
- 26か条を点検
- 3ルールを1枚に
- 4連絡先を決める
- ルールを1枚にする：ガイドラインの付録2「情報セキュリティ基本方針（サンプル）」を直して使います。
- 困ったときの連絡先を決める：社内の報告先と、外の相談先を1枚に書きます。
宣言まで進めるか6か条がそろった？
はいSECURITY ACTIONを宣言
いいえ足りない項目から埋める
6か条に取り組めば、IPAのSECURITY ACTIONの一つ星を宣言できます。ロゴマークは無料で使えます。自社のWebサイトの入口は、Webサイトのセキュリティで点検します。
よくある質問
2025年度版のIPAの中小企業調査はありますか？
2026年10月時点で、IPAの中小企業向け調査の一覧に載っている最新版は「2024年度」です。新しい版が出たら、この記事の数字を更新します。
ウイルス対策ソフトを入れていれば十分ですか？
十分ではありません。警察庁の統計では、ランサムウェアの入口の約5割がVPN機器です。機器の更新、パスワード、バックアップもそろえてください。
何から手を付けたらいいか分かりません。
参考にした資料
- IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査報告書」（2025年5月）
- IPA「2024年度 中小企業における情報セキュリティ対策の実態調査」速報版（2025年2月）
- 総務省「令和7年通信利用動向調査報告書（企業編）」
- 総務省「令和7年通信利用動向調査の結果」（2026年5月29日）
- 警察庁サイバー警察局「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
- IPA「情報セキュリティ10大脅威 2026」（2026年1月）
- IPA「SCS評価制度の詳細情報」（2026年5月29日更新）
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月）
- IPA「情報セキュリティ6か条」
- IPA「SECURITY ACTIONとは？」