2025年5月16日、能動的サイバー防御法（正式名称は「サイバー対処能力強化法」および「同整備法」）が成立しました［¹］。能動的サイバー防御とは、サイバー攻撃を抑止するために官民が情報を連携し、通信情報を活用して攻撃を検知し、必要に応じて攻撃元を無害化する取り組みです。さらに、同年7月1日には「国家サイバー統括室」も創設されました。

では、なぜ2025年になってサイバーセキュリティに関する動きが活発化しているのでしょうか。国家が対策を強化し始めたこの状況において、中堅・中小企業はサイバーセキュリティ対策として、何に取り組むべきでしょうか。本コラムでは、サイバー攻撃の現状、セキュリティ対策が進まない理由、今後の検討ポイントを紹介します。

サイバー攻撃の現状　～5年前と様相が異なってきた～

図表1は、サイバー攻撃を測定するNICTERシステムにおける、過去10年間の未使用IPアドレスに到達した年間パケット数の推移です。この通信数はサイバー攻撃の探索数などを反映していると考えられています。2018年ごろから攻撃が急増しており、地政学的な背景やサイバー攻撃を実施する側の組織化を踏まえると、今後も増加が予想されます。具体的な被害としては、VPN機器やリモートデスクトップの脆弱性を狙った攻撃、IoT機器への不正アクセス、電子メールなどを介したマルウェア感染などが挙げられます［²］。さらに今後はAI技術の高度化により、AIを利用したサイバー攻撃の増加や、従来は思いもよらなかった攻撃手法の出現が懸念されます。このように、サイバー攻撃の様相は明らかにここ数年で大きく異なってきました。

【図表1】NICTERにおけるサイバー攻撃関連の通信数の推移

（出典）「総務省｜令和7年版情報通信白書｜データ集」総務省｜令和7年版情報通信白書｜データ集 (2025/8/18)

海外に目を向けると、米国では2011年に国防総省の文書［³］においてActive Cyber Defenseが言及されています。また、EUでは2016年にNIS指令（サイバーセキュリティに関連する法律）が策定され、さらにその改正版であるNIS2指令が2022年に採択されています。比較すると、日本の対策は10年程度遅れていると言わざるを得ません。
このような状況で、インフラ設備などがサイバー攻撃を受けた場合、国家や企業に多大な影響が及ぶ可能性があります。そのため、日本でも能動的サイバー防御法などの関連法案が成立しました。

なぜ、セキュリティ対策が進まないのか？

サイバーセキュリティに関する動きが活発化している一方で、日本の企業のうち99.7％を占める中堅・中小企業では、セキュリティ対策は十分に進んでいません。その理由の1つとして、「被害の想像容易性」の低さが考えられます。例えば、地震をリスク管理の1つと捉えて対策を講じる企業が多い理由には、被害のイメージが容易に想像できる、すなわち「被害の想像容易性」が高いリスクであるためと考えられます。これに対し、サイバー攻撃などによるセキュリティ被害は技術的要素も絡むため、被害を具体的に想像できない、すなわち「被害の想像容易性」が低いリスクと言えます。

それでは、対策を実施しないことで経営リスクは高まるのでしょうか。セキュリティ攻撃による被害を定量的・定性的に検討しました。

定量的な被害金額
定量的な被害金額を考えるため、以下のようなケースを考えてみます。ランサムウェアにより全てのシステムが暗号化され、紙での運用もできず企業活動が停止したとします。復旧に5営業日を要すると仮定し、1営業日あたりの売上高が1億円とした場合、被害金額は5億円に上ります。年間営業日数を240日とすると年間売上高は240億円であるため、被害額は年間売上の約2％に相当し、被害は極めて甚大です。また、システムの復旧や再発防止策の実施には別途費用が発生します。

定性的な被害
定性的な被害としては「風評被害」や「自社イメージの毀損」などが挙げられます。例えば、「十分なセキュリティ対策を講じていない企業」とみなされると、取引先企業からの信頼・信用が一時的に低下する可能性があります。セキュリティ被害から復旧しても、1営業日あたりの売上高が元に戻るまで期間を要するでしょう。

今後の検討ポイント

セキュリティ被害による経営リスクを受容可能なレベルまで低減するためには、まず自社の現状を確認する必要があります。セキュリティ対策は多岐に亘るため、一部の対策を行ったのみで「セキュリティ対策を実施済み」と誤解しがちです。こうした誤解を避けるために、診断フレームワークの利用が有効です。

診断フレームワークには、ISO27001:2022や米国のNISTフレームワーク2.0などがあります。ISO27001:2022では、セキュリティ対策のPDCAサイクルが実施されているか、組織的/人的/技術的/物理的な対策の実施状況を確認します。NISTフレームワーク2.0では、統治/特定/防御/検知/対応/復旧の各領域で対策の実施状況を確認します。各企業では、このようなフレームワークを用いて、守るべき資産と必要な取り組みを明確化し、長期的ロードマップを策定・推進する必要があります。

なお、取り組みを進める際は、まず自社内のリソースで対応が可能かを検討します。内部での対応が難しい場合は、外部リソースを活用しながら対策を進めていきます。現在はセキュリティ人材が不足している状況［⁴］であっても、外部リソースの専門家の支援を受けつつ、専門的なスキルを持った社内人材を育成し、将来的には内部で対応していくことが望まれます。

サイバー攻撃は高度化が進んでいます。経営リスクを低減するには、こうした状況を踏まえて1日でも早く自社のセキュリティ対策を進めることが肝要です。

【関連資料】
【資料ダウンロード】「セキュリティ診断サービス」

【関連サービス】
サイバーセキュリティ

【関連レポート・コラム】
中堅・中小企業のセキュリティ対策の進め方

［ 1 ］「サイバー安全保障に関する取組（能動的サイバー防御の実現に向けた検討など）｜内閣官房ホームページ」https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html(最終確認日：2025/8/18)
［ 2 ］「令和６年におけるサイバー空間をめぐる脅威の情勢等について」R06_cyber_jousei.pdf(最終確認日：2025/8/18)
［ 3 ］「Department of Defense Strategy for Operating in Cyberspace (July 2011)」https://www.google.com/url?sa=t&rct=j&q=&esrc=s&source=web&cd=&ved=2ahUKEwj09d_pl5OPAxWln68BHWzOImQQFnoECBwQAQ&url=https%3A%2F%2Fcsrc.nist.gov%2Fcsrc%2Fmedia%2Fprojects%2Fispab%2Fdocuments%2Fdod-strategy-for-operating-in-cyberspace.pdf&usg=AOvVaw3DiYNoFllkiYpAIV1OH1x_&opi=89978449(最終確認日：2025/8/18)
［ 4 ］「『サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ』を公表しました（METI/経済産業省）」
https://www.meti.go.jp/press/2025/05/20250514002/20250514002.html(最終確認日：2025/8/18)

経営者が認識すべきセキュリティ脅威による経営リスク

執筆者

関連レポート・コラム

お問い合わせはこちら

テーマ・タグから見つける

テーマ

タグ