結論から書きます。2023年度の1年間でサイバーインシデントの被害に「あっていない」と答えた中小企業は76.7%（3,216件／n=4,191）。裏を返せば約2割強が1年で被害を経験しています。復旧期間は平均5.8日。そして不正アクセスの手口で最も多かったのは脆弱性（48.0%）でした。つまり最初の一手は、金のかかる製品導入ではなくOS・ソフトの更新です。

この調査は何を測ったのか（対象範囲）

独立行政法人情報処理推進機構（IPA）が2025年5月27日に公開した「中小企業における情報セキュリティ対策に関する実態調査」報告書の数値です（出典：独立行政法人情報処理推進機構（IPA）。報告書奥付に「2025年5月 独立行政法人情報処理推進機構」と明記、2025-05-27、https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html）。

先に対象範囲を明示します。ここを飛ばして数字だけ持ち出すと、必ず誤読が起きます。

項目 内容
有効回答数 4,191社（n=4,191）
調査手法 NTTコム リサーチによるWebアンケートモニタ調査（自己申告）
アンケート調査期間 2024年10月25日〜11月6日
被害の対象期間 2023年度（2023年4月〜2024年3月）。被害額・発生回数・復旧期間のみ「過去3期」
回答者の属性 約9割が経営者・役員
対象者の絞り込み 中小企業庁定義の中小企業・小規模企業者に所属し、かつ「自社の情報セキュリティ対策状況を把握し、対策投資の判断に関与している回答者」

最後の行が重要です。単なる「中小企業4,191社」ではありません。セキュリティに関与も把握もしていない層は、スクリーニングの段階で構造的に除外されています。したがって対策実施率や施策の認知度は、実際の中小企業全体より高めに出ている可能性があります。「中小企業の実態はこうだ」と一般化するときは、この限定を必ず添えるべきです。

なお、ページ上に記載された「調査期間2024年10月〜2025年1月」はインタビュー調査等を含む全体期間で、アンケート本体の期間とは異なります。

そしてもう一点、読者が数字の出どころを判断できるように明記します。この記事が扱う調査は、IPA自身による発表であり、同機構は本報告書で効果を検証している「5分でできる！情報セキュリティ自社診断」「SECURITY ACTION」「サイバーセキュリティお助け隊サービス」いずれの提供者でもあります。 自社施策の効果と普及不足の原因を自ら分析した調査であり、施策の有効性に関する結論は独立した第三者検証ではありません。

被害はどれくらい起きているのか

2023年度（2023年4月〜2024年3月）の1年間・複数回答、n=4,191での結果です。

  • コンピュータウイルス感染：14.8%（619件）＝被害内容の最多
  • 不正アクセス：10.0%（419件）
  • ランサムウェア感染：8.3%（349件）
  • 被害に「あっていない」：76.7%（3,216件）

ここで一つ、引用時に最も事故が多い点を潰しておきます。この76.7%・14.8%・10.0%・8.3%は「過去3期」ではなく2023年度の単年度の数値です。 過去3期が分母になっているのは被害額・発生回数・復旧期間だけ。単年度の数値を3年分として引用すると、被害実態を過大にも過小にも誤って伝えることになります。

さらに「あっていない」76.7%には、実際には侵害されているが検知できていない企業が含まれ得ます。設問自体が「発生があった可能性が高い経験」という認識ベースであり、被害率は下限値として扱うのが妥当です。

被害経験企業（n=975）に絞ると、生じた被害の内容の上位2つはデータの破壊35.7%（346件）、個人情報の漏洩35.1%（342件）。過去3期の被害額の総額は平均約73万円、最大1億円、100万円以上が9.4%。発生回数は平均1.1回ですが、10回以上に遭った企業が1.7%あり、最多は40回でした。ただしこれらは自由記述による自己申告で、最大1億円・最長360日・最多40回といった値に裏付けはありません。

なぜ「更新」が最初の一手なのか

不正アクセス被害を受けた企業のみ（n=419、複数回答）に手口を聞いた結果、最多は脆弱性の48.0%（201件）でした。分母は全企業4,191社ではなく419社である点に注意してください。

同じ設問で「取引先やグループ会社等を経由して侵入」が19.8%（83件）。社内ネットワークを販売先や仕入先のネットワークと接続している企業は14.8%（n=4,191、単一回答）で、約8割は接続していないと回答していますが、接続状況が「わからない」も8.1%あります。自社の接続状態を把握していない企業が1割近くいる、ということです。

一方、対策の実施率（n=4,191、設問Q80の25項目。「実施している」＋「一部実施している」の合計）は次の通りです。

対策項目 実施率
OS・ソフトウェアの最新化 73.0%
ウイルス対策ソフト導入 71.4%
緊急時対応の体制整備 39.8%
対策のルール化 39.2%
新たな脅威情報の社内共有 37.9%

道具は入っているが、運用と体制が空いている、という形です。従業員への情報セキュリティ教育を「特に実施していない」企業は63.6%（n=4,191、複数回答）。直近過去3期の対策投資額が「投資していない」または「わからない」は約7割で、投資していない理由の最多は「必要性を感じていない」約44%でした。

復旧5.8日は経営にとって何を意味するか

被害経験企業（設問Q39、n=975、過去3期の自由記述）での復旧期間は平均5.8日、最長360日、50日以上を要した企業が2.1%。

平均5.8日というのは、中小企業にとっては丸1週間の業務停止に近い数字です。受注も出荷も請求も止まる。これはIT部門の課題ではなく、事業継続の課題として経営会議の議題に載せるべき性質のものです。AI導入も同じで、止まったときに人手へ戻せる設計を先に決めておく発想が要ります（参考：中小企業のAI導入、最初の一歩をどこに置くか）。

セキュリティは受注要件になりつつあるのか

販売先（発注元企業）から情報セキュリティに関する要請を受けた経験がある企業は1割強（511件／n=4,191、単一回答）。まだ全体では少数です。ただし要請を受けた511社の中身を見ると話が変わります。

  • 要請内容の最多は「秘密保持のための措置」79.6%（n=511、複数回答）
  • 要請に対して対策を行っていない企業は約55%（分母はn=511。全中小企業の55%ではありません）
  • 実施に向けての課題は対策費用51.3%、契約内容の明確化47.0%（240件）、専門人材の確保・育成32.9%（n=511、複数回答）

そして要請に応じたことが「取引につながった」と回答した割合は、ISMS取得済73.9%に対し未取得30.3%（IPAは「取得有無で約2.5倍」と記述）。専門部署または兼務担当者の任命がある企業は59.8%、ない企業は24.2%でした。いずれも分母はn=511内でのクロス集計です。

ただしこれは相関であって因果ではありません。もともと大口取引があり要請を受けやすい規模の企業ほど認証を取得している、という逆の因果や規模の交絡が排除されていません。実際、ISMS・Pマーク取得企業では要請を受けた割合自体が未取得企業の約5倍と大きく異なります。加えてPマーク取得企業は全体で434件しかなく、511社をさらに分割したクロス集計の分母は数十〜数百件規模です。数ポイントの差を有意な差として読むべき粒度ではありません。

IPA自身の施策の浸透状況も控えめです。「SECURITY ACTION」は認知度約10%、宣言率は一つ星3.8%・二つ星2.0%（中小企業（101名以上）の一つ星宣言率10.8%、小規模企業者1.4%）。「サイバーセキュリティお助け隊サービス」は認知度約7%・導入約2%（中小企業（101名以上）の導入率8.8%、小規模企業者1%未満）。いずれもn=4,191です。

自社診断の効果についても、小規模企業者のクロス集計で「被害にあっていない」割合は70点以上87.8%（n=485）対69点以下82.9%（n=2,290）。差は約5ポイントで、大きいとは言えません。提供者自身による検証であることと合わせて、控えめに読むのが妥当です。

TOEの読み筋

先に明記します。TOEでは本調査で扱われている「5分でできる！情報セキュリティ自社診断」の社内実施も、SECURITY ACTIONの宣言も未実施です。 そのうえで、この数字を経営判断にどう使うかの読み筋を書きます。

第一に、優先順位は明確です。不正アクセスの手口の最多が脆弱性48.0%（n=419）である以上、費用ゼロで効く対策はOS・ソフトの更新です。実施率73.0%という数字は、裏返せば約4分の1が未実施ということでもあります。更新・ウイルス対策・パスワード・アクセス制限の4点から着手する。ここまでは製品比較も予算折衝も要りません。

第二に、空いているのは道具ではなく運用です。実施率が4割を切っているのはルール化39.2%、緊急時対応の体制整備39.8%、脅威情報の社内共有37.9%。教育未実施63.6%。ここはツールを買っても埋まりません。誰が何時間で何を止めるかを紙1枚に書くところからです。復旧平均5.8日という数字は、体制がない状態での実測値だと捉えるのが自然です。

第三に、要請の1割強という数字を「まだ来ていない」と読むか「これから来る」と読むか。TOEは後者で見ています。ただし前述の通り、取引につながった割合の差は因果の証明ではありません。認証を取れば受注が増える、という読み方はしません。むしろ確実なのは、要請が来たときに答えられない企業が約55%（n=511）いるという事実のほうです。答えられる準備があること自体が、その場での差になります。

第四に、時点のずれです。アンケート実施は2024年10月〜11月、被害の対象期間は2023年度。本記事の執筆時点（2026年）から見れば1〜2年前の実態です。生成AIの業務利用が広がった期間の変化は、この調査には反映されていません。国内の直近動向は別の調査と併読するのが安全です（参考：中小機構の中小企業AI実態調査を読む）。

まとめ

  • 2023年度の1年間で被害に「あっていない」中小企業は76.7%（3,216件／n=4,191）。約2割強が単年度で被害を経験しており、「うちは狙われない」は数字で否定される。
  • 不正アクセスの手口の最多は脆弱性48.0%（分母は不正アクセス被害企業n=419）。費用ゼロのOS・ソフト更新が最も効く一手になる。
  • 復旧期間は平均5.8日・最長360日（被害経験企業n=975、過去3期の自己申告）。IT課題ではなく事業継続課題として扱うべき水準。
  • 発注元からの要請経験は1割強（511件／n=4,191）だが、そのうち約55%が未対応。ISMS取得別・体制整備別の「取引につながった」差は相関であり、規模の交絡が排除されていない。
  • 本調査はIPA自身が自社施策の効果を検証したWebモニタの自己申告調査で、対象者は「対策状況を把握し投資判断に関与する回答者」に絞り込まれている。被害率は下限値、施策効果は控えめに読むのが妥当。