中小企業のサイバー攻撃被害が急増｜2026年最新統計と優先対策・発注前チェックリスト

結論を先に：中小企業がいま押さえるべき3点

• 「小さいから狙われない」はもう成り立たない。 警察庁が公表したランサムウェアの被害報告は、令和6年（2024年）が222件、そのうち約63％が中小企業。令和7年（2025年）も226件で、中小企業の割合は約6割で高止まりしている。攻撃者は企業の大小ではなく「防御の薄さ」を機械的に探して攻めてくる。
• 被害の入口はほぼ決まっている。 感染経路の大半はVPN機器やリモートデスクトップといった「外部に露出した機器」の脆弱性・弱いID/パスワードだ。裏を返せば、露出面の棚卸しと多要素認証、バックアップの復元テストという地味な基本を回すだけで、被害確率は大きく下げられる。
• 今日やる順番が決まっている。 ①露出しているVPN・RDPの把握と閉塞、②多要素認証（MFA）の全社有効化、③復元テスト済みバックアップ、④EDRなど検知の導入、⑤人の訓練——コストが低く効果が高い順に着手する。統計に驚くのではなく、この順番で「うちの穴」を塞ぐことが唯一の対策だ。

この記事は、被害統計を眺めて終わるための記事ではない。年商1〜10億円規模で、社内にセキュリティ専任者がいない企業の経営者・実務決裁者が、「うちは何から手をつけ、どこにいくら払い、誰に何を確認すればいいのか」を判断できるようにするためのものだ。数字は警察庁・IPAといった一次情報で裏取りし、そこにGXOとしての判断軸（優先順位・失敗パターン・発注前チェック・ベンダーへの質問）を重ねている。

---

目次

1. 2026年の一次データで見る中小企業の被害実態
2. なぜ中小企業ばかり狙われるのか——構造的な5つの要因
3. 被害が出たとき、実際にいくらかかるのか——コスト構造の考え方
4. 今すぐ着手する優先対策——効果とコストで並べ替える
5. 発注前チェックリスト——自社の穴を可視化する
6. ベンダー・診断サービスに何を聞くか——第三者検証の観点
7. 中小企業がやりがちな失敗パターン
8. 活用できる公的支援・補助制度
9. この記事を読むべき人 / GXOに相談すべきタイミング
10. よくある質問（FAQ）

---

<a id="1"></a>

1. 2026年の一次データで見る中小企業の被害実態

まず、断片的な数字に振り回されないよう、確度の高い一次情報だけを並べる。

警察庁の統計：件数の「絶対数」より「中小企業比率」を見る

警察庁が公表した「サイバー空間をめぐる脅威の情勢等について」によると、企業・団体等からのランサムウェア被害報告件数は、令和6年（2024年）が222件、令和7年（2025年）が226件である。1年あたり200件強という数字は、一見すると「そんなに多くないのでは」と感じるかもしれない。だが、これは警察に「報告された」件数にすぎない。実際には報告に至らないケースが相当数あると考えるのが自然で、氷山の一角と見るべき数字だ。

経営者が本当に見るべきは絶対数ではなく「内訳」である。令和6年の被害のうち約63％（約140件）が中小企業を標的とした攻撃で、中小企業の被害件数は前年から約37％増加した。令和7年も被害企業の約6割が中小企業という水準が続いている。「大企業が狙われるニュース」の裏で、報告件数の過半は中小企業が占めているというのが実像だ。

なお、本記事に登場する被害額や増加率のうち、企業規模別・業種別の細かい平均額を断定的に示す民間データも世に出回っているが、算出根拠が公開されていないものが多い。本記事では、根拠が確認できる警察庁・IPAの数値を主軸に据え、根拠が弱い数字は採用しない方針を取る。ここは「盛った数字で危機感を煽る」記事と、実務で使える記事の分かれ目だ。

感染経路：被害の入口はほぼ「露出した機器」に集中している

警察庁の分析では、ランサムウェアの感染経路はVPN機器やリモートデスクトップ（RDP）といった、インターネットに露出したリモート接続機器が大半を占める。令和7年の集計ではVPN機器経由が6割以上で最多、次いでリモートデスクトップという順だ。令和6年上半期の統計でも、VPN機器とリモートデスクトップを合わせると感染経路の8割以上を占めていた。原因として指摘されているのは、ファームウェアの脆弱性放置、ID・パスワードが安易だったこと、不要なアカウントが管理されず放置されていたことである。

これは中小企業にとって極めて重要な事実だ。攻撃は「高度なゼロデイ」よりも、「アップデートを怠った既知の穴」と「弱いパスワード」から入ってくる。 自社が使っているVPN装置やリモートデスクトップの設定を見直すだけで、統計上の主要な入口の多くを塞げるということでもある。

復旧の現実：バックアップは「取っている」だけでは戦力にならない

警察庁の令和7年の集計では、被害から復旧するまでに1か月未満で済んだ組織は5割強にとどまる。裏を返せば、半数近くが復旧に1か月以上を要している。復旧に要した費用も、1,000万円以上と回答した組織が全体の5割を超えた。

さらに深刻なのはバックアップの実効性だ。令和6年上半期の集計では、被害組織のうちバックアップを取得していた組織は多数派だったにもかかわらず、そこから実際に被害直前の状態まで復元できた組織はごく一部だった。バックアップ自体が攻撃者に暗号化・削除されていたり、復元手順が確立していなかったりするためだ。「バックアップは取っている」という自己申告は、いざというときに何の保証にもならない。ここは後述する優先対策で詳しく掘り下げる。

IPAの脅威ランキング：2026年は「AI」が初めてトップ3に入った

IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026（組織編）」のランキングは以下のとおりである。

注目点は2つ。1つは、1位のランサムウェアと2位のサプライチェーン攻撃という「中小企業に直撃する脅威」が上位を固定的に占め続けていること。もう1つは、3位に「AIの利用をめぐるサイバーリスク」が初めて入ったことだ。生成AIによって、自然な日本語のフィッシングメール作成や、攻撃コードの生成・改変、脆弱性探索の自動化のハードルが下がった。かつて高度な技術が必要だった攻撃が、少人数でも大量・巧妙に仕掛けられる時代に入りつつある。「不自然な日本語だから偽物」という従来の見分け方が通用しなくなってきた点は、全従業員が知っておくべき変化だ。

---

<a id="2"></a>

2. なぜ中小企業ばかり狙われるのか——構造的な5つの要因

統計の背後には、中小企業に共通する構造的な弱点がある。自社にどれが当てはまるかを確認しながら読んでほしい。

要因1：セキュリティを判断できる人が社内にいない。 多くの中小企業では、情報システムを1〜2名が他業務と兼任し、セキュリティに割ける時間は週に数時間程度だ。専任者どころか「そもそも何が危ないのか」を判断する人がいない。これが後述するあらゆる失敗の根にある。

要因2：外部に露出した機器のアップデートが放置される。 前述のとおり、感染の主要な入口はVPN・RDP機器だ。これらは「動いているから触らない」となりがちで、メーカーが脆弱性を公表しても、パッチ適用が数か月〜数年放置される。攻撃者は公表された脆弱性の一覧を見ながら、パッチ未適用の機器を機械的にスキャンして探している。

要因3：「うちは狙われない」という正常性バイアス。 攻撃者は特定企業を狙い撃つより、脆弱な機器を無差別スキャンで探すほうが効率的だと知っている。つまり、狙われる理由は「価値がある」からではなく「穴が空いている」からだ。規模の大小は関係ない。

要因4：サプライチェーンの「入口」として踏み台にされる。 堅牢な大企業を正面から攻めるより、その取引先である中小企業を経由するほうが容易だ。ここで中小企業が直面するリスクは2段構えになる。自社が被害を受けるリスクと、「取引先のセキュリティ体制が調達条件になり、対策が不十分だと取引を見直される」リスクだ。近年、大企業が取引先にセキュリティ状況の申告を求める動きが広がっており、対策は「守り」であると同時に「取引を維持する条件」になりつつある。

要因5：AI悪用で攻撃が安く・速く・巧妙になった。 IPAが3位に挙げたとおり、生成AIはフィッシング文面の量産や攻撃の自動化を後押しする。防御側の人手が増えないまま、攻撃側だけが自動化で規模を拡大している——この非対称性が、中小企業の被害増の底流にある。

---

<a id="3"></a>

3. 被害が出たとき、実際にいくらかかるのか——コスト構造の考え方

「被害額の平均は◯◯万円」という一本の数字は分かりやすいが、業種や規模で大きくぶれるため、経営判断にはあまり役立たない。GXOが経営者に勧めているのは、平均額を暗記するのではなく「どの費目が、どんな条件で膨らむか」という構造で捉えることだ。警察庁の令和7年集計では復旧費用1,000万円以上が過半という水準が示されており、これは「身代金」ではなく主に以下の費目の積み上がりである。

ここで経営者に伝えたいのは、最大の費目は多くの場合「身代金」ではなく「業務が止まっている間の逸失利益」と「復旧の外注費」だということだ。そして、これらは事前の準備次第で桁が変わる。復元テスト済みのバックアップがあり、構成情報が整理され、初動手順が決まっていれば、停止時間も外注費も圧縮できる。逆に、何も準備がなければ「業者に言われるまま数百万〜数千万円を払い、それでも1か月止まる」という最悪の展開になりうる。

このコスト構造を理解すると、「なぜMFAやバックアップという地味な対策が費用対効果で最強なのか」が腑に落ちる。数千円〜数万円の予防投資が、数百万〜数千万円の被害を避ける——これがセキュリティ投資の本質だ。自社の被害コストを一度真剣に見積もり、体制そのものを見直したい段階に来ているなら、SIEM・脆弱性対応・インシデント初動までを一体で設計するセキュリティ体制の再構築の観点で、どこから手をつけるべきかを整理するとよい。

---

<a id="4"></a>

4. 今すぐ着手する優先対策——効果とコストで並べ替える

対策は「網羅的にやる」ものではなく「効果が高く安い順にやる」ものだ。統計が示す入口（露出機器・弱い認証・非実効バックアップ）を塞ぐことに集中する。以下は着手順に並べている。

優先度1：外部に露出したVPN・RDPを把握し、閉じる／守る（コスト：無料〜数万円）

感染の主要な入口である以上、ここが最優先だ。やるべきことは3つ。第一に、自社がインターネットに公開しているVPN装置・リモートデスクトップ・その他の管理画面を「棚卸し」する。第二に、各機器のメーカー・型番・ファームウェアのバージョンを確認し、脆弱性が公表されていないか、最新化されているかを点検する。第三に、業務上どうしても必要のない公開は閉じ、必要なものは多要素認証と接続元制限をかける。「どの機器が外から見えているか」を誰も把握していない状態が、最も危険な状態だ。

優先度2：多要素認証（MFA）を全社で有効化する（コスト：無料〜月数百円/人）

弱いID/パスワードが突破口になっている以上、認証を強くするのが費用対効果で最上位の一手だ。Microsoftは、MFAを有効化するだけでアカウント乗っ取りの99.9％以上を防げると報告している（同社公表値）。Microsoft 365、Google Workspace、主要なクラウド業務ツールはいずれもMFAに標準対応しており、追加費用なしで有効化できる。認証アプリ方式（Authenticator系）はSMS方式より安全で無料だ。全ツールを洗い出し、MFAを有効化し、最後にパスワードのみのログインを禁止するところまでやりきる。

優先度3：復元テスト済みのバックアップを用意する（コスト：月数千円〜数万円）

前述のとおり、「取っているバックアップ」の多くはいざというとき復元できない。ここでの合言葉は「3-2-1」だ。データのコピーを3つ持ち（本番＋2つ）、2種類以上の異なるメディアに保存し、1つは本番と切り離された（オフライン／別環境の）場所に置く。攻撃者はバックアップも暗号化しにいくため、常時接続されたバックアップだけでは足りない。そして最重要なのは、四半期に一度は実際に「復元してみる」テストを行い、手順を文書化しておくことだ。復元テストをしていないバックアップは、存在しないのとほぼ同じだと考えてよい。

優先度4：EDRなど「検知して止める」仕組みを入れる（コスト：月数百円〜/端末）

従来型のウイルス対策は「既知パターンの照合」で、未知のマルウェアやファイルレス攻撃を取り逃す。警察庁の集計でも、従来型対策を導入していた被害組織の多くで検知できていなかった。EDR（Endpoint Detection and Response）は端末の挙動を常時監視し、不審な動きをリアルタイムで検知・遮断する。Microsoft 365の上位プランに含まれるものから、日本語の監視センター（SOC）が付くマネージド型まで幅がある。自社に24時間監視できる人がいないなら、検知だけでなく初動対応まで代行してくれるマネージド型（MDR）を選ぶのが現実的だ。

優先度5：人を訓練する（コスト：無料〜年数十万円）

技術対策をすり抜けた最後の砦は「人」だ。フィッシングやBECは、従業員がリンクを踏む・偽の送金指示に従うことで成立する。IPAが提供する無料教材での自社研修から、実際の攻撃を模した訓練メールを定期配信してクリック率の推移を計測するサービスまで、予算に応じた選択肢がある。訓練は一度きりではなく、繰り返して「クリック率が下がっていく」ことを数値で追うのが要点だ。

これら5つは、外注してもよいし内製してもよい。ただし中小企業の現実として、専任者がいないまま「優先度1〜5を継続的に回す」のは難しい。棚卸しや脆弱性対応、EOL（サポート終了）対応を毎月定例で回す体制がないと、対策は「一度やって終わり」になり、半年後には元の穴が空く。専門家が社内にいない前提で運用まで並走してほしいなら、月次で資産・脆弱性の棚卸しと対応計画を回すセキュリティ運用の伴走（顧問）のような月額型を検討する価値がある。

---

<a id="5"></a>

5. 発注前チェックリスト——自社の穴を可視化する

対策業者に相談する前に、自社の現状を「言語化」しておくと、無駄な出費を避けられる。以下は経営者・実務決裁者がチェックすべき項目だ。未対応の項目が、そのまま「狙われる穴」である。

【外部露出・ネットワーク】

• インターネットに公開しているVPN・RDP・管理画面をすべて把握している
• VPN機器・ファイアウォールのファームウェアが最新である
• リモートデスクトップをインターネットに直接公開していない
• 不要な公開ポート・不要なアカウントを閉じ／削除している

【認証・アクセス管理】

• 全業務ツールで多要素認証（MFA）を有効化している
• 退職者・異動者のアカウントを即日で無効化する運用がある
• 管理者権限と一般権限を分離している
• 共有アカウント・使い回しパスワードを排除している

【データ保護・復旧】

• バックアップを「3-2-1」で取得している（うち1つは本番から切り離し）
• 直近3か月以内に「復元テスト」を実施し、手順を文書化した
• 重要データがどこにあるかの一覧（資産台帳）がある

【検知・初動】

• EDR等で端末の挙動を検知できる仕組みがある
• インシデント発生時の連絡先・初動手順を全員が知っている
• ログが取得・保全されており、侵入経路を後から追える

【人・取引先対応】

• 全従業員にフィッシング訓練・教育を定期実施している
• 取引先からセキュリティ体制を問われた際に提出できる資料がある
• サイバー保険の補償範囲と免責を把握している

判定の目安：外部露出・認証・データ保護の各ブロックで1つでも未対応があれば、そこが最優先の是正対象だ。「全部を一度に」ではなく、統計が示す入口（外部露出→認証→バックアップ）から順に潰す。

---

<a id="6"></a>

6. ベンダー・診断サービスに何を聞くか——第三者検証の観点

セキュリティ製品・サービスの提案は「不安を煽って高額な一式を売る」構造になりやすい。中小企業が発注前に見極めるべきは、提案が「自社のリスク」に基づいているか、それとも「ベンダーが売りたいもの」に基づいているかだ。以下の質問を投げると、提案の質が一発で分かる。

• 「うちの一番の入口はどこですか？その根拠は？」 ——現状診断（外部露出のスキャンや資産棚卸し）なしに製品を勧めてくる提案は、自社の穴ではなく在庫を売っているだけの可能性が高い。
• 「導入後、誰がどの頻度で運用・監視するのですか？」 ——入れて終わりの製品は、専任者のいない中小企業では「アラートが鳴っても誰も見ない」状態になる。運用・監視まで含めた見積もりかを確認する。
• 「アラートが出たとき、初動は誰が動くのですか？」 ——検知だけで初動（隔離・調査・復旧）が付いていないと、被害の拡大を止められない。初動対応の範囲と応答時間（SLA）を明記させる。
• 「この見積もりの内訳と、外した場合の残存リスクは？」 ——一式パッケージの中で、本当に自社に必要な項目と、過剰な項目を分けて説明できるベンダーは信頼できる。
• 「取引先から求められる証明（対策状況の申告等）に対応できますか？」 ——サプライチェーン対応まで見据えているかで、提案の視野が分かる。

ここで重要なのは、製品を買う側にリスクの全体像が見えていないと、提案の妥当性を評価できないという点だ。だからこそ、いきなり製品選定に入る前に、第三者に現状を棚卸ししてもらうと投資の精度が上がる。GXOでは、AI・システム投資の可否や優先順位を短時間の壁打ちで整理する導入前の第三者診断（壁打ち）を提供しており、「そもそも今、何にいくら投じるべきか」を、売り手ではない立場で一緒に見極めるところから始められる。セキュリティも同じで、まず「うちの穴はどこか」を第三者の目で確定させることが、無駄な出費と致命的な見落としの両方を防ぐ。

---

<a id="7"></a>

7. 中小企業がやりがちな失敗パターン

GXOが現場でよく見る、あるいは統計から読み取れる典型的な失敗を挙げる。自社が同じ轍を踏んでいないか確認してほしい。

失敗1：高価な製品を入れて「対策した気」になる。 EDRやUTMを導入しても、VPNの脆弱性を放置していれば入口は開いたままだ。統計上の主要な入口を塞がずに、周辺の製品を積み増しても被害確率は下がらない。順番を間違えている典型だ。

失敗2：バックアップを「取って安心」してしまう。 復元テストをしていないバックアップは、非常時にほぼ役に立たない。攻撃者はバックアップも狙う。取得と復元は別物だと理解していないと、被害時に「バックアップはあるのに戻せない」という最悪の事態に陥る。

失敗3：導入したが運用が続かない。 専任者不在のまま製品だけ入れると、アラートを誰も見ず、パッチも当たらず、半年で形骸化する。セキュリティは「プロジェクト」ではなく「継続運用」だという前提が抜けている。

失敗4：正常性バイアスで先送りする。 「今まで何もなかったから大丈夫」は、統計的には「たまたま順番が回ってこなかった」にすぎない。無差別スキャンの前では、対策の遅れは時間の問題でしかない。

失敗5：取引先要求が来てから慌てる。 大企業からセキュリティ体制の申告を求められて初めて動き出すと、間に合わずに取引縮小・失注につながる。対策は「攻撃対策」であると同時に「取引維持の条件」だという視点が抜けている。

これらの失敗に共通するのは、「技術の問題」ではなく「順番・運用・体制の問題」だということだ。だからこそ、製品選定より先に、優先順位付けと運用設計を固める必要がある。

---

<a id="8"></a>

8. 活用できる公的支援・補助制度

中小企業のセキュリティ対策には、コストを抑えるための公的な支援が用意されている。まずは無料で使えるものから着手するのが合理的だ。

• IPA「SECURITY ACTION」：自社のセキュリティ対策状況を自己宣言し、一つ星／二つ星のロゴを取得できる制度。IT導入補助金など各種申請の要件になっていることもあり、取引先への対策証明としても使える。
• IPA「5分でできる！情報セキュリティ自社診断」：質問に答えるだけで自社のレベルを把握できる無料の自己診断。まず現状を数値化する入口として有効。
• IPA「中小企業の情報セキュリティ対策ガイドライン」：具体的な対策手順を体系立てて解説した無料ガイド。社内ルール策定のベースに使える。
• 「サイバーセキュリティお助け隊サービス」：IPAが基準を定めた、中小企業向けのセキュリティ対策ワンパッケージ（監視・駆けつけ・保険等）。専任者がいない企業でも一定水準を確保しやすい。
• 各種補助金：セキュリティ関連機器・サービスの導入に使える補助制度は、国・自治体で内容や公募時期が変わる。申請前に必ず最新の公募要領で対象経費・補助率・上限額・締切を確認すること（本記事では制度の詳細額は変動が大きいため断定しない）。

補助金は「対象経費」「補助率」「上限」「締切」が年度ごとに変わるうえ、採択には要件充足が必要だ。金額の目安を鵜呑みにせず、必ず一次情報（各制度の公式サイト・公募要領）で確認してほしい。

---

<a id="9"></a>

9. この記事を読むべき人 / GXOに相談すべきタイミング

この記事を読むべき人

• 年商1〜10億円規模で、社内にセキュリティ専任者がいない企業の経営者・事業責任者・実務決裁者
• 情シスを1人または兼任で回しており、「何から手をつければいいか」が分からない担当者
• セキュリティ製品の提案を受けているが、その妥当性を自分で評価できず不安な決裁者
• 取引先からセキュリティ体制の申告を求められ、対応の必要に迫られている企業

GXOに相談すべきタイミング

次のいずれかに当てはまるなら、対策の順番や体制を第三者と整理する段階に来ている。

• 何を公開しているか（VPN・RDP等の露出面）を社内で誰も正確に把握していない
• バックアップは取っているが、復元テストを一度もしたことがない
• セキュリティ製品の見積もりを受けたが、内訳と必要性を判断できない
• 製品は入れたが運用が続かず、アラートを誰も見ていない
• 取引先からの要求や、同業の被害報道で「うちは大丈夫か」と不安が生じた

セキュリティは「一度やって終わり」ではなく、脆弱性対応・EOL対応・資産棚卸しを継続的に回して初めて機能する。専任者がいない前提で「何を・どの順で・誰が」回すのかを設計したいなら、体制づくりを含めたセキュリティ体制の再構築や、月次で運用を並走するセキュリティ運用の伴走（顧問）、投資判断の前に現状を棚卸しする導入前の第三者診断（壁打ち）から、自社の状況に合う入口を選ぶとよい。

---

<a id="10"></a>

10. よくある質問（FAQ）

Q1. ランサムウェアの身代金は支払うべきですか？

原則として支払うべきではない。支払っても完全に復旧できる保証はなく、警察庁の集計でもバックアップから復元できた組織はごく一部にとどまる。加えて、支払い実績は「この企業は払う」という情報として攻撃者側に伝わり、再攻撃を招くリスクがある。反社会的勢力やテロ資金への提供に該当する可能性も指摘されている。最善策は、事前に「復元テスト済みのバックアップ」を用意し、身代金を払う必要のない状態を作っておくことだ。

Q2. まず何から着手すればよいですか？

本記事の優先度どおり、①外部に露出したVPN・RDPの把握と対処、②多要素認証（MFA）の全社有効化、③復元テスト済みバックアップ——の順だ。この3つは統計上の主要な被害入口を直接塞ぐもので、コストも低い。EDRや人の訓練はその後でよい。「全部を一度に」ではなく「入口から順に」が鉄則だ。

Q3. セキュリティにどれくらいの予算をかけるべきですか？

金額の絶対値より「自社の被害コスト（業務停止の逸失利益＋復旧費）に対して、予防投資が十分に小さいか」で判断するのが合理的だ。MFAやバックアップは数千円〜数万円規模で、想定被害額（復旧費だけで1,000万円超が過半という統計もある）に対して桁違いに安い。まずチェックリストで穴を可視化し、費用対効果の高い順に投資するとよい。

Q4. 取引先からセキュリティ体制を問われたらどう対応すべきですか？

近年、大企業がサプライチェーンリスク管理として取引先の体制確認を強めている。対応の要点は3つ。①IPAの「SECURITY ACTION」等で客観的な対策実施を示せるようにする、②セキュリティポリシーや対策状況を文書化し、求められたらすぐ提出できるようにする、③MFA・EDR・バックアップ等の実施済み項目をリスト化しておく。これらが準備できていれば、取引継続の判断で有利に働く。

Q5. サイバー保険は入るべきですか？

予防対策を実施したうえで、残存リスクへの備えとして加入を検討する価値がある。保険は損害賠償・調査費用・事業中断の逸失利益・復旧費用などをカバーしうるが、補償範囲・免責・支払要件は商品ごとに大きく異なる。加入時は「何が対象で、何が対象外か」を必ず確認すること。保険は被害後のダメージを和らげるものであり、攻撃自体を防ぐわけではない点に注意が必要だ。

Q6. 専任者がいなくても対策を続けられますか？

続けられるが、「一度やって終わり」にしない工夫が要る。現実的な選択肢は、脆弱性対応・EOL対応・資産棚卸しを毎月定例で回す運用を、外部の伴走（顧問／MDR等）に任せることだ。自社に監視・初動できる人がいないなら、検知だけでなく初動対応まで含むサービスを選ぶと、専任者不在でも実効性を保ちやすい。

---

出典・一次情報

• 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」（2025年3月公表）／「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2025年9月公表）ほか同庁公表資料。ランサムウェア被害件数、中小企業比率、感染経路、復旧期間・費用等の数値は同庁公表値に基づく。 https://www.npa.go.jp/publications/statistics/cybersecurity/
• IPA（情報処理推進機構）「情報セキュリティ10大脅威 2026（組織編）」（2026年1月29日公表）。 https://www.ipa.go.jp/security/10threats/10threats2026.html
• 多要素認証の効果に関する数値はMicrosoftの公表値に基づく。

※本記事の統計は上記一次情報に基づく。民間各社が公表する企業規模別・業種別の平均被害額等は算出根拠が公開されていないものが多いため、本記事では採用していない。制度・補助金の詳細額や要件は変動するため、必ず各制度の公式情報で最新の内容を確認すること。