今こそ、中堅企業に伝えたい
セキュリティ対策の根本的課題

ネットワークセキュリティ対策は、リスクが現実になったときの被害規模が大きい大企業だけが備えるべきと考えられがちだが、実は中堅企業にとってもリスクが高まっている。そう語るのは、NTT東日本 ビジネス開発本部 サイバーセキュリティビジネス部で部長を務める小川茂樹氏。その根拠として小川氏は、2025年9月に警察庁サイバー警察局が発表した報告書「令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について」を挙げる。

「この調査によると、国内の情報セキュリティの脅威で最も多いと言われるランサムウェアの被害報告件数は令和4年下半期と並び最多の116件です。注目すべきは、このうち中小企業が77件で約3分の2を占めていること。中小企業の数字なので正確に中堅企業を指すものではありませんが、セキュリティリスクが大企業に限ったものではないことは明確に表れていると見ています」（小川氏）

さらに、攻撃側の手法が高度化したことも、中堅企業を含めたセキュリティリスクの高まりに拍車をかけていると小川氏は言う。

「これまでは、日本語の特殊性が国内企業への攻撃を防ぐハードルになっていた面はありましたが、AIが進化したことで日本語の壁はなくなりつつあります。また、サプライチェーン全体の中で脆弱性があるところが狙われる傾向も出てきており、中堅企業から漏えいしたメールアドレスを使ったなりすましメールなど、人の心理の隙を突く攻撃も目立ってきました」（小川氏）

加えて、攻撃する側の“ビジネス”の進化も、中堅企業のリスクが高まっている一因になっていると小川氏は指摘する。

「ECサイトの顧客リストや病院の電子カルテといった個人情報はダークウェブに流れて対価を生みますし、身代金のような形で金銭を奪えなくても、情報の二次活用などによる収益化も可能です。攻撃者にとって様々な金銭的メリットがあるので、大企業か中堅企業かにはこだわらず、脆弱なところを狙うようになっているのです」（小川氏）

サプライチェーンも含めたセキュリティ対策の重要性が増していることを受けて、国も対策の進捗を可視化するための取り組みを進めている。経済産業省が26年度の開始を目指している「サプライチェーン強化に向けたセキュリティ対策評価制度」もその一つだ。サプライチェーン内の各企業のセキュリティ対策の達成度を評価するこの制度の意義について、小川氏はこう語る。

「メインターゲットはサプライチェーンを構成する企業等であり、中小企業・中堅企業も対象に含まれます。ポイントは、サプライチェーン内の発注側も受注側も同じフォーマットを利用するため、対策状況の説明や適切なセキュリティ対策の決定を共通の物差しで判断できることです」（小川氏）

これは、セキュリティ対策の可視化という点では意義が大きいが、対応できない企業はサプライチェーンの中での信頼が得られず、ビジネスチャンスを失いかねないリスクもあるということだ。この評価制度を単なるレ点チェックで終わらせないために、実際にどうすれば効果を伴う対策ができるのかが問われるのは言うまでもないが、小川氏はこれまでの中堅企業のセキュリティ対策が必ずしも順調に進んできたわけではなかったと振り返る。

「なぜなら、これまでのセキュリティ対策はITの一環としてしか捉えられていなかったため、経営層の経営リスクとしての危機意識が薄かったからです。セキュリティに特化した部署が設置されていなかったり、専門人材を配置する余裕がなかったりといった問題があったのもそのせいです。その結果、どこから手を付けるべきか、どの程度の強化を行うべきかといった検討が進まないという課題がありました」（小川氏）

ただ、近年のサプライチェーンにおけるセキュリティ意識の高まりを受けて、経営層の認識も変わりつつあるというのが小川氏の感触だ。実際にセキュリティ対策についての企業からの相談も増える中、アタックサーフェスの可視化から始めることを提唱していると小川氏は言う。

「アタックサーフェスとは、外部からの攻撃にさらされる可能性があるIT資産やその経路を指す言葉です。これを可視化するには、自社がどのような情報資産を保有しているか、その中で優先的に守るべき資産は何か、どこにリスクが存在するか、推奨される対策レベルはどの程度かといったことを明らかにすることが必要です。こうしたベーシックな点が明確になれば、自社の脆弱性の可視化や優先的に取るべき対策といった手掛かりが見えてきます」（小川氏）