中小企業のランサムウェア対策2026｜最新事例と多層防御チェックリスト

この記事の結論（先に要点）

• ランサムウェア被害の約6割は中小企業に集中している。攻撃者は「規模」ではなく「攻撃のしやすさ」で標的を選ぶ時代に入っており、対策が薄い中小企業ほど狙われやすい（出典は後述、警察庁・IPAの公表データに基づく）。
• 2026年の攻撃は VPN機器・リモート接続の脆弱性から侵入し、内部で横展開してから暗号化する 流れが主流。入口（境界）で止められなかった場合に備え、内部の検知と復旧の備えを同時に持つ「多層防御」が必須になる。
• 感染を防ぎ、被害を小さく抑えるための投資優先順位は ①MFA（多要素認証）→②パッチ／EOL管理→③イミュータブルなバックアップと復元テスト→④EDR（または監視付きのMDR）→⑤人と体制 の順。ここまでを従業員50名規模で年間おおむね100万〜500万円のレンジに収められる。
• この記事は 「感染する前にやる防御」 に主眼を置く。すでに感染してしまった後の初動・復旧・法対応は、GXOのインシデント対応の相談窓口と、関連記事のインシデント対応ガイドを参照してほしい。

「うちは小さいから狙われない」は、2026年時点ではもう成り立たない前提だ。本記事では、警察庁とIPAの一次データで現在地を確認したうえで、2026年の攻撃シナリオ、感染を防ぐ多層防御の設計、対策別のコスト目安、そして発注前に自社で確認すべきチェックリストとベンダー選定の勘所までを、中小企業の経営者・実務決裁者が判断に使える形で整理する。

---

目次

1. 数字で見る現在地：一次データで確認する
2. なぜ中小企業が標的になるのか
3. 2026年の攻撃シナリオ3類型
4. 感染経路と「入口」を塞ぐ考え方
5. 多層防御（Defense in Depth）の設計図
6. 対策別コスト目安と優先順位
7. EDRとMDR／SOC、どちらを選ぶか
8. サプライチェーンで「踏み台」にされない責任
9. ベンダー選定・見積もりの読み方
10. 発注前チェックリスト
11. よくある失敗パターンと回避策
12. 感染してしまったら（防御が破られた後）
13. この記事を読むべき人／相談すべきタイミング
14. FAQ
15. 一次情報・出典
16. まとめ

---

数字で見る現在地：一次データで確認する

対策の意思決定は、まず「今どれくらい起きているのか」を一次データで押さえるところから始めたい。ここでは警察庁とIPA（情報処理推進機構）の公表資料を基準に、断定しすぎないよう幅を持たせて整理する。

いくつか注意点を添えておく。まず、被害件数は「警察に報告・相談された件数」であり、公表されない被害はこの外側に相当数存在すると考えるのが自然だ。実数はこれより大きい。次に、復旧費用や復旧期間は「平均○○円」「平均○○日」と一点で断定するより、上記のように 分布 で捉えたほうが実態に近い。ネット上には「復旧費用の平均は数千万円」といった数字が独り歩きしているが、業種・規模・暗号化範囲・バックアップの有無で桁が変わるため、自社の見積もりに使うなら「1,000万円以上を要する組織が半数を超える」という分布として理解しておくのが安全だ。

一次資料の原典は本記事末尾の一次情報・出典にまとめている。稟議や社内説明で数字を使う際は、二次記事の孫引きではなく、警察庁・IPAのPDFを直接引用することを強く勧める。

---

なぜ中小企業が標的になるのか

「攻撃者は大企業を狙う。中小企業は割に合わない」という直感は、いまの攻撃経済では逆になっている。理由は三つに整理できる。

1つ目は、攻撃の分業化（RaaS）だ。 ランサムウェアは「Ransomware as a Service」として、攻撃ツールの開発者と、それを使って実際に侵入する実行犯（アフィリエイト）が分業する市場になっている。実行犯は成果報酬で動くため、対策の薄い企業を「数多く・効率よく」攻めるほうが儲かる。結果として、防御が甘い中小企業が数で狙われる。

2つ目は、標的選定基準が「規模」から「攻撃しやすさ」へ移ったことだ。 大企業がEDRやSOC監視を整備して侵入コストが上がった一方、中小企業はVPN機器のパッチが放置され、MFAが未設定で、バックアップが同一ネットワーク上にしかない、という状態が珍しくない。攻撃者から見れば、同じ労力でより短時間に侵入・暗号化できる相手が優先される。

3つ目は、サプライチェーンの「踏み台」としての価値だ。 直接の身代金だけでなく、取引先である大企業への侵入経路として中小企業が狙われる。実際、IPAの10大脅威2026でも「サプライチェーンや委託先を狙った攻撃」は第2位に位置づけられている。自社が被害者であると同時に、取引先を巻き込む加害の起点になり得る、というのが2026年の構図だ。

経営の言葉に翻訳すると、これは「情シスの問題」ではなく「事業継続と取引信用の問題」になる。生産や受発注が18日〜1か月止まれば、その間の売上・納期・信用がどう毀損するかは経営者にしか判断できない。だからこそ、対策の優先順位づけは経営マターとして扱う必要がある。

---

2026年の攻撃シナリオ3類型

ここでは実際に公表されている被害の傾向を踏まえ、中小企業で繰り返し起きている 典型的な攻撃シナリオを3つ、モデルケースとして一般化 して示す。特定企業の実在事例を再現したものではなく、公表事例に共通するパターンを教訓として抽出したものだ。自社の弱点が「どのシナリオに近いか」を当てはめて読んでほしい。

シナリオA：VPN機器の未パッチから全社停止（製造・卸に多い）

この型で効くのは、境界機器のパッチ管理とEOL（サポート終了機器）の棚卸し、そしてバックアップのネットワーク隔離だ。

シナリオB：AI生成フィッシングからの情報窃取（士業・サービス業に多い）

この型で効くのは、EDRによる挙動検知、メールフィルタリング、そして「怪しいか否か」に依存しない報告・確認フローの整備だ。

シナリオC：公開RDPへの総当たり（テレワーク導入企業に多い）

この型で効くのは、RDPの直接公開の廃止、MFAの全面適用、バックアップの物理／論理隔離だ。

3つのシナリオに共通するのは、「入口を1枚で守り切れる前提」を捨て、侵入されても暗号化・窃取まで到達させない、到達しても復旧できる、という多段構えにすること である。

---

感染経路と「入口」を塞ぐ考え方

一次データが示す感染経路は、VPN機器が最多で6割超、次いでリモートデスクトップ等の遠隔通信、そしてフィッシングメールと続く。ここから導ける入口対策の優先順位は明快だ。

ここで強調したいのは、「感染経路の1位と2位が、いずれもリモートアクセスの穴」 だという事実だ。つまり、多くの中小企業にとって最もコスト効率の良い一手は、高価な製品の導入ではなく、すでに持っているVPN・RDPの設定と更新を正すこと にある。警察庁の注意喚起でも「VPN機器を利用する組織の半分以上が最新パッチ未適用」と指摘されており、ここが放置されている限り、EDRやバックアップを整えても侵入自体は防ぎにくい。

---

多層防御（Defense in Depth）の設計図

ランサムウェア対策は、単品の製品導入ではなく「侵入の各段階を別々の層で止める」設計として考えるとブレない。GXOでは中小企業向けに、下表の4層で整理することを勧めている。各層は「どの攻撃段階を止めるか」が異なるため、どれか一つでも欠けると連鎖的に破られる。

以下、各層の実務ポイントを掘り下げる。

第1層：入口（境界）を固める

• MFA（多要素認証）を全面適用する【最優先】。 VPN、RDP、Microsoft 365／Google Workspace、管理者アカウントすべてに有効化する。ID・パスワードが漏れても、もう一段の認証があれば不正ログインの大半を止められる。多くはクラウドサービスの標準機能で追加費用なく設定できる。まず経営層・IT管理者から、次にVPN、最後に全従業員、と段階展開するのが現実的だ。
• パッチ管理とEOL棚卸しを運用に載せる。 VPN・ファイアウォールのファームウェアはベンダーのアドバイザリを定期確認し、緊急度の高いものは即日適用する。OSは月次の定例パッチを速やかに当てる。加えて見落としがちなのが EOL（サポート終了）機器・OS の棚卸しだ。更新プログラムが提供されない機器は、いくら運用を頑張っても穴が残る。棚卸し→重大度判定→適用、というサイクルを回す。
• RDPの直接公開をやめる。 インターネットに直接開いたRDPは総当たりの的になる。VPN＋MFAの背後に置く、あるいはゼロトラスト型のアクセス制御に寄せる。

第2層：内部（検知・封じ込め）を持つ

• EDR（エンドポイント検知・対応）を導入する。 従来型ウイルス対策（EPP）はパターンマッチが中心で、未知のランサムウェアやファイルレス攻撃、正規ツールを悪用する攻撃（Living off the Land）を取りこぼす。EDRは端末上の不審な挙動をリアルタイムに監視し、暗号化動作を初期段階で検知・隔離する。侵入を前提に「暗号化まで到達させない」ための要だ。
• 権限とネットワークを分ける。 全員が管理者権限を持つ、全システムが同一セグメントで相互に到達できる、という状態は横展開を助ける。最小権限の原則で権限を絞り、基幹システムやバックアップを別セグメントに分離すると、侵入されても被害範囲を封じ込めやすい。

第3層：復旧（バックアップ）を「復元テストまで」設計する

バックアップは「取ってあること」ではなく「戻せること」で価値が決まる。3-2-1ルール（3コピー・2種類のメディア・1つはオフサイト）に加え、2026年時点では 「＋1-0」 まで意識したい。追加の1は オフライン／イミュータブル（変更不可） なコピー、0は 復元テストでのエラー0 を指す。

前掲シナリオAとCが示す通り、NAS上のバックアップは接続されたままだとネットワーク経由で暗号化され、いざという時に復元できない。 「バックアップは取っている」と答える企業ほど、この落とし穴にはまりやすい。復元テストをしていないバックアップは、無いのと同じと考えたほうがよい。詳細な設計手順は関連記事のバックアップ3-2-1実践ガイドにまとめている。

第4層：人と体制を整える

• 従業員教育は「見分ける」から「報告する」へ。 生成AIで作られた自然なメールは見分けが難しい。教育の主眼を「怪しいメールを見抜く」から「開いてしまった／不審だと感じたらすぐ報告する」フローの徹底へ移す。年2回以上の訓練と模擬フィッシングが有効だ。
• インシデント対応計画を紙で持つ。 「誰が・何を・どの順で」を事前に文書化しておく。連絡先、ネットワーク遮断手順、報告先を平時に決めておかないと、発生時の判断遅れが被害を膨らませる（本記事後半で概要を扱う）。
• サイバー保険は最後の防衛線。 対策を尽くしても被害はゼロにできない。復旧・フォレンジック・賠償・逸失利益をどこまでカバーするか、EDR／MFA導入で保険料が割り引かれるか、を確認して選ぶ。

---

対策別コスト目安と優先順位

「何から・いくらで始めるか」を判断できるよう、従業員50名規模を想定した年間コストの目安を優先順位つきで示す。金額はサービス・構成により変動するため、幅を持たせた目安として扱ってほしい。

費用対効果の考え方。 一次データでは、被害を受けた組織の半数超が調査・復旧に1,000万円以上を要している。これに対し、上記の防御一式は最小構成なら年間およそ100万円台に収まる。仮に被害確率を控えめに見積もっても、期待損失（被害額×発生確率）と対策費用を比べれば、対策は「割高な保険」ではなく「合理的な投資」に位置づく。さらに、EDR＋監視をセットにした「サイバーセキュリティお助け隊サービス」などはIT導入補助金（セキュリティ対策推進枠）の対象になり得るため、実質負担を下げられる可能性がある。補助金の要件・上限は年度で変わるため、申請前に最新の公募要領を必ず確認してほしい。

予算が限られる場合の順番。 年間50万円しか出せないなら、①MFA（ほぼ無料）→②パッチ／EOL棚卸し→③バックアップのオフライン／イミュータブル化、の3つに集中する。これで「入口を締め、暗号化されても戻せる」最低ラインが作れる。EDRは次の予算サイクルで追加する、という段階投資が現実的だ。

---

EDRとMDR／SOC、どちらを選ぶか

EDRを入れても、アラートを見て判断・対処する人がいなければ宝の持ち腐れ になる。ここが「ひとり情シス」「兼任情シス」の中小企業でつまずきやすい最大のポイントだ。選択肢を整理する。

判断軸はシンプルだ。「アラートに24時間365日、人が反応できるか」 を自問する。答えがNoなら、ツール単体（EDR）ではなく監視付き（MDR、あるいはSOC）に寄せるべきだ。ツールだけ導入して運用が回らず、結局アラートが放置される、という失敗は中小企業で頻発している。製品比較や運用体制別のおすすめは関連記事のEDR比較2026で詳しく扱っている。

こうした「入れて終わりにしない継続運用」を外部に任せたい場合は、月額パッケージで棚卸し・パッチ・監視までを伴走するセキュリティ顧問（リテイナー）契約のような選択肢がある。自社の情シス体制の厚みに合わせて、どこまで内製し、どこから委託するかを設計するとよい。

---

サプライチェーンで「踏み台」にされない責任

2026年に中小企業が意識すべき新しい論点が、「自社が取引先を巻き込む加害者になりうる」 ことだ。IPAの10大脅威2026でも第2位に「サプライチェーンや委託先を狙った攻撃」が入っている。大企業のセキュリティが固くなった結果、攻撃者はそのサプライヤーである中小企業を経由して本丸に迫る。

これは事業上、二つの意味を持つ。ひとつは、取引先からセキュリティ水準の説明を求められる場面が増える こと。セキュリティ質問票への回答、対策状況の証跡提出、契約更新時の要件化などが現実になりつつある。もうひとつは、自社が侵入経路になれば、被害だけでなく取引停止・損害賠償・信用失墜という二次被害を負う ことだ。

つまり、ランサムウェア対策は「自社を守るコスト」であると同時に「取引を続けるための資格」になってきている。取引先からの要求に耐えられる体制を先回りで作っておくことは、防御であると同時に営業上の武器にもなる。ここまで含めたセキュリティ体制の再構築を、単発の製品導入ではなく事業戦略として設計することを勧めたい。

---

ベンダー選定・見積もりの読み方

セキュリティ対策を外部に依頼する際、中小企業が最も損をするのは「言われるままに製品を買う」ことだ。ベンダーは自社が売れるものを勧めがちで、それが自社のリスクの実態と噛み合っているとは限らない。GXOが第三者の立場で発注前に確認することを勧める観点を挙げる。

1. 「何を実装するか」より先に「どのリスクをどの水準まで下げるか」を決める。 製品名から入ると、比較軸が価格と機能数に寄り、見積もりがブレる。先に「入口・内部・復旧・人」のどの層が自社で最も弱いかを特定し、そこから逆算して要件を固める。

2. 見積もりの前提条件を読む。 「EDR導入一式◯◯円」という総額だけを見ない。対象台数、監視の有無（EDRか、MDRか）、対応範囲（検知だけか、隔離・封じ込めまでか）、エスカレーション先、SLA（対応時間）、初期構築と月額運用の内訳、契約期間と解約条件——ここが曖昧な見積もりは、後から追加費用で膨らみやすい。

3. 運用の主語を確認する。 「導入します」の後、日々アラートに反応するのは誰か。自社なのか、ベンダーなのか。ここが決まっていない提案は、導入後に必ず宙に浮く。

4. バックアップと復元テストが提案に入っているか。 防御製品ばかりで、復旧の設計（イミュータブル、復元テスト）が抜けている提案は片手落ちだ。侵入を100%は防げない前提に立っているか、で提案の質が分かる。

5. 相見積もりの粒度を揃える。 A社は監視込み、B社はツールのみ、という前提の違う見積もりを金額だけで比べても意味がない。前提を揃えるための共通のRFP（要件）を用意してから相見積もりを取る。

こうした前提整理・要件定義・相見積もりの土台づくりは、売り手ではない第三者と一緒に進めると精度が上がる。GXOはこの「発注前の整理」からベンダー比較、PoC設計、本番移行までを一気通貫で支援している。

---

発注前チェックリスト

社内で現状を点検し、ベンダーに相談する前の準備として使えるチェックリスト。◯×で自己診断してほしい。×が多い層が、あなたの会社の最優先投資先だ。

入口（境界）

• VPN・ファイアウォールのファームウェアを1か月以内に確認・更新した
• EOL（サポート終了）の機器・OSを棚卸しし、交換計画がある
• RDPをインターネットに直接公開していない
• VPN・RDP・M365／Workspace・管理者アカウントすべてにMFAを適用している

内部（検知・封じ込め）

• EDR（挙動検知）を導入している／導入予定がある
• アラートに反応する担当（自社かMDR）が明確に決まっている
• 管理者権限を必要な人だけに絞っている（最小権限）
• 基幹システムやバックアップを別ネットワークに分離している

復旧（バックアップ）

• バックアップが3コピー・2メディア・1オフサイトになっている
• オフラインまたはイミュータブルなコピーが1つある
• 直近3か月以内に復元テストを実施し、成功を確認した

人と体制

• インシデント発生時の連絡・遮断・報告手順を文書化している
• 従業員に年1回以上の教育・訓練を実施している
• サイバー保険の補償範囲を確認している
• 取引先からのセキュリティ要求に回答できる状態にある

---

よくある失敗パターンと回避策

---

感染してしまったら（防御が破られた後）

本記事は「防御」に主眼を置くが、万一に備えて初動の骨子だけ触れておく。詳細な手順・法対応・復旧の進め方は、インシデント対応の相談窓口と関連記事のインシデント対応ガイドに委ねる。

• 発覚直後（〜30分）： 感染端末をネットワークから切り離す（LANを抜く／Wi-Fiを切る）。ただし 電源は切らない（メモリ上の証拠が消える）。身代金要求画面や暗号化ファイルの状況を撮影・保全する。事前に決めた責任者へ第一報。
• 数時間以内： 外部のフォレンジック・インシデント対応ベンダーへ連絡。都道府県警察のサイバー犯罪相談窓口へ通報。
• 72時間以内： 個人情報の漏えいが疑われる場合、改正個人情報保護法に基づき個人情報保護委員会へ速報（確報は原則30日以内）。取引先・顧客への通知を検討。
• 身代金は原則支払わない。 支払っても完全復元の保証はなく、支払い実績が再攻撃を呼び、資金提供が別のリスクにもつながる。復旧はバックアップとフォレンジックを軸に進める。

ここで重要なのは、初動で慌てないためには平時の準備がすべて という点だ。連絡先・遮断手順・報告先を紙で持っているかどうかで、被害の広がりが変わる。だからこそ、この記事の主題である「事前の防御と体制づくり」に投資しておく価値がある。

---

この記事を読むべき人／相談すべきタイミング

この記事を読むべき人

• 年商1〜10億円規模で、社内にIT専任がいない、または情シスが1人・兼任の会社の 経営者・事業責任者・実務決裁者
• 「対策が必要なのは分かるが、何から・いくらで始めればいいか分からない」段階の担当者
• VPNやテレワークを導入したが、セキュリティを詰め切れていないと感じている会社
• 取引先からセキュリティ水準の説明を求められ始めた、サプライチェーンの一次・二次請けの会社
• ウイルス対策ソフトは入れているが、それで十分か不安な会社

GXOに相談すべきタイミング

次のいずれかに当てはまるなら、被害が出る前に第三者の診断を受けるタイミングだ。

• チェックリストで ×が3つ以上 ついた（特に入口・復旧の層）
• EDRやセキュリティ製品を勧められているが、自社に本当に必要か判断できない
• 相見積もりを取ったが、前提が揃っておらず比較できない
• バックアップを取っているが、復元テストをしたことがない
• 取引先からセキュリティ質問票が届き、回答に自信がない
• すでに不審な事象（不正ログインの痕跡、身に覚えのない通信）が見つかっている

GXOは、売り手ではない第三者の立場で、貴社の業種・規模・予算に合わせて どの層から・どの順で・いくらで 手を打つべきかを整理し、セキュリティ体制の再構築のロードマップを提示する。継続運用まで任せたい場合は月額のセキュリティ顧問（リテイナー）、すでに事象が起きている場合はインシデント対応へと、状況に応じた入口を用意している。

---

FAQ

Q1. VPN機器を使っています。今すぐやるべきことは何ですか？

今日中にファームウェアが最新か確認すること。 ベンダー（Fortinet、Cisco等）のセキュリティアドバイザリを確認し、未適用のパッチがあれば即日当てる。同時にVPN接続にMFAを設定する。感染経路1位がVPNである以上、この2つだけで侵入リスクを大きく下げられる。サポート終了（EOL）機器なら更新では守れないため、交換計画を立てる。

Q2. ウイルス対策ソフトを入れていれば防げますか？

不十分だ。 従来型（EPP）は既知マルウェアのパターン照合が中心で、未知のランサムウェアやファイルレス攻撃、正規ツールを悪用する攻撃を取りこぼす。挙動を監視するEDR、そして運用する人（自社かMDR）をセットで考える必要がある。

Q3. 予算が年間50万円しかありません。何から始めますか？

MFA（ほぼ無料）、パッチ／EOL棚卸し、バックアップのオフライン化の3つ に集中する。これで「入口を締め、暗号化されても戻せる」最低ラインが作れる。EDRは次の予算サイクルで追加する段階投資が現実的だ。IT導入補助金の活用も検討する。

Q4. クラウドにデータを置いていれば安全ですか？

安全とは限らない。 端末上で暗号化されたファイルが同期機能でクラウド側にも反映されることがある。バージョン履歴で戻せる場合もあるが確実ではない。クラウドとは別に、オフライン／イミュータブルなバックアップを併せて持つべきだ。

Q5. バックアップは取っています。それで大丈夫ですか？

「取ってある」と「戻せる」は別物だ。 NAS上のバックアップは接続されたままだとネットワーク経由で暗号化され、復元できないケースが多い。オフライン／イミュータブルなコピーを持ち、四半期ごとに復元テストで実際に戻せることを確認して初めて、対策として機能する。

Q6. 中小企業でもゼロトラストは必要ですか？

フルスペックである必要はないが、考え方は取り入れる価値がある。 RDPの直接公開をやめてMFA前提のアクセス制御にする、最小権限にする、というのはゼロトラストの入口だ。製品を丸ごと導入するより、自社の弱い層から段階的に近づけていくのが現実的だ。

Q7. 感染したら警察に届け出るべきですか？

必ず届け出るべきだ。 都道府県警察のサイバー犯罪相談窓口へ通報する。個人情報漏えいが疑われる場合は、改正個人情報保護法により個人情報保護委員会への報告が義務（速報は概ね72時間以内、確報は原則30日以内）。届出を通じて手口に関する情報提供を受けられることもある。

---

一次情報・出典

数字を社内資料や稟議に使う際は、二次記事の孫引きではなく、以下の一次資料を直接確認してほしい。制度・統計は更新されるため、参照時点の最新版を当たること。

本文中の被害件数・中小企業割合・感染経路・復旧費用／期間は、警察庁の公表統計およびそれを引用した各報道（二次情報を含む）に基づく目安である。IPAの脅威順位（ランサム攻撃が11年連続で組織編第1位）はIPAの公表資料（一次）に基づく。個別の数値を断定的に用いず、分布・傾向として理解することを勧める。

---

まとめ

• ランサムウェア被害の約6割が中小企業に集中し、感染経路の1位・2位はVPNとリモート接続の穴。最もコスト効率の良い一手は、高価な製品ではなく、既存のVPN・RDPの設定と更新を正すこと だ。
• 対策は単品導入ではなく 「入口・内部・復旧・人」の多層防御 として設計する。優先順位はMFA→パッチ／EOL管理→イミュータブルなバックアップと復元テスト→EDR（監視付きMDR）→人と体制。
• EDRは「入れて終わり」にせず、アラートに反応する運用（自社かMDR）まで決める。ひとり情シス・兼任情シスなら監視付きに寄せる。
• 2026年は自社が サプライチェーンの踏み台=加害者 になりうる。対策は「取引を続ける資格」でもある。
• 発注前は、製品名より先に「どの層が弱いか」を特定し、前提を揃えた相見積もりを取る。売り手でない第三者と整理すると精度が上がる。

まずはMFAとバックアップの見直しという最低ラインから着手し、チェックリストで自社の弱い層を特定してほしい。優先順位づけや相見積もりの整理に迷ったら、被害が出る前に第三者の診断を受けることを勧める。

---

関連記事

• ランサムウェア対策完全ガイド｜中小企業が最低限やるべき7つの防御策【2026年版】
• EDR比較2026｜中小企業向け主要製品と運用体制別の選び方
• バックアップ3-2-1実践ガイド｜復元テストまで設計する

---

セキュリティ対策の優先順位に迷ったら

GXOは中小企業のセキュリティ体制構築を、売り手ではない第三者の立場で支援しています。貴社の業種・規模・予算に合わせて「どの層から・どの順で・いくらで」手を打つべきかを整理し、セキュリティ体制の再構築のロードマップをご提案します。継続運用はセキュリティ顧問（リテイナー）、すでに事象が起きている場合はインシデント対応の相談へ。IT導入補助金の活用相談にも対応します。