中小企業のセキュリティ費用の優先順位｜予算別「何から」発注前チェックリスト【2026年版】

セキュリティ予算の相談で最も多い質問は「うちは月にいくらかけるべきか」である。しかし被害と投資の実態を突き合わせると、成否を分けるのは金額ではなく着手順序だ。警察庁の最新レポートによれば、ランサムウェア被害企業の侵入経路の6割以上はVPN機器であり、被害企業の約6割は中小企業である。つまり、高価な監視サービスを契約する前に「境界機器の更新」「使われていないアカウントの削除」「復元できるバックアップ」という費用のほとんどかからない対策を終えているかどうかが、被害確率を大きく左右する。

本稿では、月額予算帯（ほぼゼロ〜10万円／10〜30万円／30万円〜）別に「先にやること」「後回しにできること」を判断軸つきで整理し、UTMやウイルス対策を導入して安心している会社に実際に残っている穴、セキュリティの見積もりをどう読むか、公的支援・補助金・2026年度に始まるセキュリティ対策評価制度（SCS）への備え、そして自社の現在地を測る15項目チェックリストまでを一気に示す。金額表ではなく「順序と判断軸」で構成しているのは、同じ予算でも順番を間違えると効果がまるで変わるからだ。

結論：予算帯別「最初の一手」早見表

まず結論を示す。自社の月額予算がどの帯にあっても、上の帯の項目が未了なら先にそちらを終わらせるべきである。順番を飛ばして高額な対策から入るのが、中小企業のセキュリティ投資で最も多い失敗である。

この早見表の背景にある判断軸は3つだけである。

1. 入口を塞ぐ：侵入経路の統計上の主流（VPN機器、窃取された認証情報、放置アカウント）から順に潰す。
2. 被害の天井を下げる：侵入されても事業が止まらないよう、復元できるバックアップと初動手順を先に用意する。
3. 気づける体制を作る：検知（EDR・監視）は入口と天井の手当てが済んでから。順序が逆だと「検知はしたが復旧できない」状態になる。

この3つはどれか一つを選ぶものではなく、上から順にやる階段である。予算が増えても順番は変わらない。月額100万円をSOCに投じても、その裏でVPNのファームウェアが2年前のままなら、投資はまるごと無駄になる。自社がどの帯から着手すべきか、いま入れている対策のどこに穴が残っているかを第三者視点で棚卸ししたい場合は、GXOのセキュリティ対策の優先順位整理で現状を持ち込んでいただければ、投資順序を一緒に組み立てる。

この記事を読むべき人

• 従業員10〜100名規模で、専任の情報システム担当がいない（もしくは兼任1名）会社の経営者・管理部門責任者
• 「セキュリティに月いくらかけるべきか」を調べているが、費用相場だけ見てもどこから手を付けるか決められない人
• UTMやウイルス対策は入れたが、それで十分なのか、次に何を足すべきか判断できない人
• 取引先からセキュリティ調査票・監査要求・「評価制度への対応状況」を問われ始め、回答の裏付けが必要な人
• ベンダーから監視サービスやEDRの提案・見積もりを受けているが、自社にとって正しい順序かを見極めたい人

逆に、専任のセキュリティ担当がいて自社で脅威情報を追い、投資計画も回せている大企業・情報子会社は、本稿の対象ではない。ここで扱うのは「守る人が足りないなかで、限られた予算をどの順で使うか」という中小企業固有の問題である。

なぜ「いくらかけるか」より「何から守るか」なのか

被害の実態：中小企業が約6割、復旧費1,000万円超が5割超

警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等」によれば、令和7年（2025年）のランサムウェア被害報告件数は高水準で推移しており、被害企業を規模別に見ると前年と同様に中小企業が約6割を占める。業種別では製造業が最多だが、卸売・小売、サービス、情報通信と幅広い業種で被害が確認されている。「うちは狙われるほどの会社ではない」という前提は、統計上すでに成り立たない。攻撃者は業界の知名度で標的を選んでいるのではなく、外から見える「隙」を機械的に探しているからだ。

さらに重要なのは被害後のコストである。同レポートの被害組織アンケートでは、調査・復旧に総額1,000万円以上を要した組織が全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまる。つまり被害に遭った中小企業の相当数が、月額のセキュリティ予算とは桁の違う出費と、月単位の事業停止を同時に経験している。年商数億円の会社にとって、売上を1か月止められることは、セキュリティ予算をケチって浮かせた金額の何十倍もの痛手になる。この非対称性こそが「順序を間違えるな」という主張の土台である。

• 出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等」（PDF、2026年公表）

脅威の顔ぶれ：ランサムが最上位、委託先経由が2位

IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）の組織編では、「ランサム攻撃による被害」が引き続き最上位（1位）、「サプライチェーンや委託先を狙った攻撃」が2位に入った。以下、3位「AIの利用をめぐるサイバーリスク」、4位「システムの脆弱性を悪用した攻撃」、7位「内部不正による情報漏えい等」、8位「リモートワーク等の環境や仕組みを狙った攻撃」、10位「ビジネスメール詐欺」と続く。この顔ぶれは、後述する「UTMを入れても残る穴」とほぼ一対一で対応している。ウイルス対策ソフトが得意とする「怪しいファイルの検知」で防げる脅威は、上位のなかではむしろ少数派なのである。

それでも投資しない企業が3割ある

一方でIPA「中小企業における情報セキュリティ対策に関する実態調査」では、直近数期に情報セキュリティ対策投資を行っていない中小企業が3割前後に上り、投資しなかった理由の上位は「必要性を感じていない」だった。被害統計と投資実態のこの落差こそが、攻撃者にとっての市場である。裏を返せば、隙を先に塞いだ会社から相対的に狙われにくくなる。だから金額の多寡より順序が効く。周囲の3割が何もしていない環境では、基礎を固めるだけで「一番脆い獲物」から抜け出せる。

2026年の地殻変動：SCS評価制度で「取引条件」が変わる

2026年に読者が知っておくべき最大の変化は、セキュリティが「自社を守るコスト」から「取引を続けるための資格」へと性格を変えつつあることだ。

経済産業省は2026年3月27日、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表した。これは企業のセキュリティ対策状況を第三者の基準で評価し、★3〜★5の水準で可視化する国の新制度で、令和8年度（2026年度）下期以降の運用開始が想定されている。IPAのSCS評価制度 詳細情報によれば、水準はおおむね次のように整理されている。

中小企業にとっての実務的な含意はシンプルだ。発注側の大企業が「取引先のセキュリティ水準」を確認する動きが制度として整い始めたということである。すでにセキュリティ調査票を送ってくる取引先は珍しくないが、今後は「★3相当を満たしているか」がその共通言語になっていく可能性が高い。ここで効いてくるのが、本稿が繰り返し勧めている費用ゼロ〜低コストの基礎対策である。MFA、バックアップ、機器更新、アカウント管理、初動手順といった項目は、SCS★3や後述するSECURITY ACTIONが求める基本動作とほぼ重なる。つまり「被害を防ぐために順序よく固めた対策」が、そのまま「取引を続けるための説明材料」になる。逆に言えば、順序を無視して高機能製品だけ買っても、調査票の基本項目は埋まらない。制度対応を別予算の宿題と捉えるのではなく、本稿の優先順位をこなす延長で満たすのが、中小企業にとって最もコスト効率のよい備え方である。

• 出典：IPA「SCS評価制度の詳細情報」／経済産業省 報道発表「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）。制度は実証・準備段階にあり、要件や開始時期は今後更新され得るため、申請を検討する際は必ず公式の最新情報を確認してほしい。

月額予算帯別の優先順位：何を先にやり、何を後回しにできるか

予算ほぼゼロ〜10万円／月：「入口と天井」を無料〜低コストで固める

この帯でやるべきことは、ほぼすべて既存資産の設定と運用の話であり、追加のライセンス費用がほとんど発生しない。

先にやること

1. MFAの全社強制：Microsoft 365 / Google Workspace の標準機能で追加費用なしに有効化できる。窃取された認証情報による侵入は主要な攻撃手口であり、費用対効果はすべての施策の中で最大級である。「管理者だけMFA」「営業部門は除外」のような例外を残さないことが要点だ。攻撃者は最も守りの薄いアカウントを一つ見つければよいので、例外が一つあれば全体の効果が大きく削がれる。
2. VPN機器・ルーターの棚卸とファームウェア更新：警察庁の被害組織アンケートで侵入経路の6割以上を占めるのがVPN機器である。機器の型番・ファームウェアバージョン・サポート期限（EOL）を一覧化し、更新されていないものは即時更新、EOL到達機器は更新計画を立てる。ここは「設定」ではなく「棚卸」が本体で、何が社外に口を開けているかを把握するだけで危険の大半が見える。
3. 退職者・休眠アカウントの削除：退職処理とアカウント削除が連動していない会社は多い。全SaaS・VPN・社内システムのアカウント一覧と在籍者名簿を突き合わせる。これも費用はゼロで、内部不正（10大脅威7位）と認証情報悪用の両方に効く。
4. 復元テスト済みバックアップ：バックアップを「取っている」ことと「戻せる」ことは別問題である（詳細は後述の落とし穴④）。ネットワークから切り離したオフライン保管を1系統確保し、実際にファイルを復元してみる。
5. 現在地の自己診断：IPA「中小企業の情報セキュリティ対策ガイドライン」（最新版）付属の「5分でできる！情報セキュリティ自社診断」を経営者自身が実施する。ガイドラインの基本対策「情報セキュリティ5か条」にはバックアップの励行が加えられており、国のガイドラインがバックアップを基本動作に格上げしたこと自体が、ランサム被害の実態を映している。

後回しにできること：EDR、外部監視、脆弱性診断。これらは「入口と天井」が固まっていない状態で入れても投資効率が悪い。穴の空いたバケツに高性能なポンプで水を注いでも意味がないのと同じである。

この帯の判断軸：迷ったら「攻撃者の統計上の入口に近い順」。VPN・認証・放置アカウントより先にやるべきものは、この帯には存在しない。

予算10〜30万円／月：「気づける・止められる」体制に投資する

基礎が固まったら、侵入の検知と初動に投資する段階に入る。

先にやること

1. EDRの段階導入：従来型ウイルス対策が「既知のマルウェアを入口で止める」のに対し、EDRは「侵入後の不審な挙動を検知して隔離する」層である。全端末一斉ではなく、サーバと管理者権限を持つ端末から入れると、予算内で防御効果の高い部分を先に覆える。価格は製品と台数で幅があるため、複数見積もりで比較したい。
2. 外部の相談・監視窓口の確保：ひとり情シス・兼任情シスの会社では、アラートを見る人がいなければEDRは機能しない。IPAの「サイバーセキュリティお助け隊サービス」制度は、相談窓口・異常監視・被害時の初動対応・簡易サイバー保険をワンパッケージにした中小企業向けサービスの国の登録制度で、この帯の「監視の外部化」の現実的な選択肢になる（使いどころと限界は後述）。
3. 従業員教育とフィッシング訓練：メール経由の初期侵入・ビジネスメール詐欺（10大脅威10位）への対策は、訓練の反復でしか定着しない。年1回の座学より、四半期ごとの短い訓練のほうが効く。
4. インシデント初動手順書：被害に気づいた瞬間に「誰が・何を・どの順で」動くかを1枚にしておく。警察庁レポートによれば、サイバー攻撃を想定したBCPを策定済みだった被害組織は2割前後にとどまる。手順書の作り方はインシデント対応のフロー・テンプレート解説にまとめている。

この帯で問題になるのは「入れたが運用が回らない」ことである。脆弱性情報の確認、EOL機器の更新、アカウント棚卸といった地味な月次運用を外部に定額で任せたい場合は、GXOのセキュリティ顧問（月額リテイナー）が該当する。ツールを売るのではなく、回る運用を作ることが目的のサービスである。

後回しにできること：24時間有人SOC、ペネトレーションテスト、SIEM。検知したアラートに日中対応できる体制すらない段階で24時間監視を買っても、費用だけが先行する。

この帯の判断軸：「導入する製品」ではなく「アラートを誰が見て、誰が判断するか」を先に決める。運用者が決まらない投資は保留してよい。

予算30万円〜／月：事業停止影響から逆算して統制を広げる

先にやること

1. 外部SOC/MDRによる常時監視：夜間・休日の攻撃に対応できる体制。従業員100名規模以上、または夜間も稼働するシステム・ECを持つ会社では優先度が上がる。
2. 脆弱性診断の定期化：外部公開資産（Webサイト、VPN、クラウド設定）を年1〜2回、第三者に診断させる。10大脅威4位「システムの脆弱性を悪用した攻撃」への直接の対抗策である。
3. IDaaS・IT資産管理：入退社とアカウント発行・削除を仕組みで連動させ、手作業の棚卸から卒業する。
4. 委託先・サプライチェーン管理：10大脅威2位、およびSCS評価制度への対応。自社が固くても、保守委託先や取引先経由で侵入される（後述の穴③）。委託先のセキュリティ要件を契約に明記し、確認する運用を作る。これは前章のSCS★4が求める「取引先管理」の実務そのものであり、いま整えておくほど将来の制度対応が軽くなる。

この帯の判断軸：「何日で事業を復旧させるか」「取引先にどこまで説明責任を負うか」から逆算する。復旧目標が決まれば、監視範囲・バックアップ設計・診断頻度は自動的に決まる。逆に復旧目標のないままメニューを増やすのは、予算消化であって対策ではない。

経営者が知らない4つの穴：UTMとウイルス対策で「安心している」会社の実際

セキュリティ相談の現場で最も危ういのは、無対策の会社ではなく「UTMとウイルス対策を入れたから大丈夫」と考えている会社である。統計が示す実際の侵入経路は、その安心の外側にある。

穴①：VPN機器の放置

前述のとおり、ランサムウェア被害の侵入経路の6割以上はVPN機器である。導入時は最新でも、ファームウェア更新が止まった瞬間からVPN機器は「外に公開された脆弱性」になる。UTMを入れていても、そのUTM自体やVPN機能の更新が放置されていれば意味がない。「うちのVPN機器の型番とファームウェア更新日を今すぐ答えられるか」——答えられないなら、この記事のどの投資よりも先に確認すべき項目である。

穴②：退職者アカウントと共有パスワード

退職者のVPNアカウント、共有で使い回されるID、初期パスワードのままの管理画面。攻撃者は脆弱性を突くより先に、漏えいした認証情報や簡易なパスワードでの正面突破を試みる。ウイルス対策ソフトは「正しいIDとパスワードでログインしてくる攻撃者」を止められない。ここはツールではなく、退職フローとアカウント台帳という運用の問題である。

穴③：委託先・取引先経由の侵入

自社の防御を固めても、システム保守業者の接続経路、取引先とのファイル共有、グループ会社のネットワークが入口になる。近年はグループ内のネットワーク機器を経由して基幹システムに侵入され、大量の個人情報が漏えいまたはそのおそれとなった事案も公表されており、IPA 10大脅威でもサプライチェーン攻撃は2位である。委託先に「セキュリティは大丈夫ですか」と口頭で聞くだけの管理は、管理とは呼べない。

穴④：バックアップ未検証

警察庁レポートが指摘するとおり、攻撃者はネットワーク内部を探索してバックアップを物色し、復旧を妨害するためバックアップも一緒に暗号化することが多い。ネットワーク上のNASに取っているだけのバックアップは、ランサム攻撃の前では「暗号化されるファイルが1か所増えただけ」になり得る。オフライン（切り離し）保管の系統があるか、そして実際に復元テストをしたことがあるか。「取っている」と「戻せる」の間には、事業停止1か月分の距離がある。

この4つの穴に共通するのは、製品を買っても塞がらないという点だ。必要なのは棚卸と運用であり、だからこそ第三者の目で現状を評価する価値がある。GXOのセキュリティ体制の再構築・診断は、この「導入済み対策の外側に残る穴」を洗い出し、優先順位の高い対策から運用に落とすことを目的にしている。

セキュリティの見積もりの読み方：ベンダー提案で最初に見る5点

基礎が固まると、次はEDR・監視・診断のベンダー選定になる。ここで多くの中小企業が「よく分からないまま一番安いプランか、一番手厚いプランを選ぶ」という二択に陥る。セキュリティの見積もりは、金額の大小ではなく「何が含まれ、誰が動くか」で読むべきものである。次の5点を、提案書と見積書を並べて確認してほしい。

見積もりを読むときの原則は一つで、「この提案で、統計上の主要な侵入経路（VPN・認証・委託先・バックアップ）のどれが塞がるのか」を必ず言語化させることである。塞がる経路を説明できないベンダーは、自社の売りたい製品から逆算して提案している可能性が高い。逆に、良いベンダーは「その前にVPNの更新とMFAを先にやってください、それはうちの商材ではありませんが必須です」と言えるものだ。この一言が出るかどうかは、ベンダーの姿勢を測る簡易なリトマス試験になる。

セキュリティ投資が新しいシステム開発やAI導入とセットで動く場合は、その導入判断そのものを先に第三者に点検してもらうと、後戻りの費用を抑えられる。GXOのAI導入前の第三者アセスメントは、投資の可否と要件を発注前に整理する壁打ちで、セキュリティ要件を含めて「そもそもやるべきか・どう発注すべきか」を一緒に見極める場として使える。

発注前チェックリスト：ベンダーに聞く5つの質問

見積もりを比較する前に、各ベンダーへ同じ5問を投げると、提案の質が一目で揃う。

1. この提案で塞がる侵入経路はどれか（VPN機器／認証情報／委託先／バックアップのうち）。
2. アラートの一次対応は誰がするのか。自社対応が前提なら、その工数を誰が負うのか。
3. 夜間・休日にインシデントが起きたら、契約上どこまで動いてもらえるのか。
4. バックアップからの復元テストは契約に含まれるか。含まれないなら、誰がいつ検証するのか。
5. 契約後、月次で自社は何をすればよいのか。丸投げできるのか、それとも運用の一部が残るのか。

この5問に具体的に答えられるベンダーは、運用まで見て提案している。答えが曖昧なら、その提案は「製品の納品」までしか見ていない可能性がある。中小企業のセキュリティで失敗するのは、たいてい「導入したが誰も運用していなかった」パターンであり、この5問はその落とし穴を発注前に可視化するためのものだ。

公的支援とサイバー保険の使いどころ

サイバーセキュリティお助け隊サービス：最初の「見てくれる人」として

IPAのサイバーセキュリティお助け隊サービス制度は、相談窓口・ネットワークや端末の監視・被害時の初動対応支援・簡易サイバー保険を、中小企業向けにワンパッケージで安価に提供するサービスの登録制度である。専任情シスのいない会社が「異常に気づく目」と「駆け込み先」を月額で確保できる点で、10〜30万円帯の有力な選択肢になる。ただし監視範囲や駆けつけ対応の内容はサービスごとに差が大きく、「入れば安心」ではない。契約前に確認すべき項目はお助け隊サービス検討前の確認事項で詳しく解説している。

補助金：お助け隊の利用料が補助対象になる枠がある

デジタル化・AI導入補助金（旧IT導入補助金）のセキュリティ対策推進枠では、お助け隊サービスリスト掲載サービスのうち事務局登録されたものの利用料が補助対象になる。補助率・補助額・対象期間・締切は年度ごとに更新されるため、金額の桁を含めて必ず公式の交付申請ページで最新情報を確認してほしい。要点は、監視・相談体制を自己負担を圧縮して一定期間確保できる制度が存在するということであり、「予算がないから何もしない」の言い訳を一つ消せる点にある。

SECURITY ACTION：取引先への説明材料、そしてSCS★3への助走

IPAのSECURITY ACTION（自己宣言制度）は、ガイドラインの基本対策に取り組むことを自己宣言する仕組みで、費用はかからない。補助金申請の要件になる場合があるほか、取引先からのセキュリティ調査票に対する最初の回答材料にもなる。前述のSCS評価制度が求める基本動作とも方向性が重なるため、まず宣言し、基本対策を一つずつ満たしていくことが、将来の制度対応への最も安いスタートになる。

サイバー保険：対策の代わりではなく「復旧費の天井」として

サイバー保険（日本損害保険協会）は、事故時の調査費用・損害賠償・利益損害などをカバーする。復旧総額1,000万円超が5割を超える被害実態を踏まえると、キャッシュに余裕のない中小企業ほど検討価値がある。ただし保険は被害確率を1%も下げない。MFA・バックアップ・VPN更新という被害確率を下げる施策を済ませた上で、それでも残るテールリスク（高額復旧費）を移転する道具として位置づけるのが正しい順序である。近年は加入時に対策状況を問われることも多く、基礎対策は保険の前提条件にもなりつつある。

自社の現在地チェックリスト（15項目）

以下を「はい／いいえ／わからない」で答えてほしい。「わからない」は「いいえ」と同じである——把握していない対策は、経営上は存在しないのと変わらない。

目安：「はい」が12以上なら、次は検知体制と診断の定期化へ。8〜11なら、10〜30万円帯の投資より先に「いいえ」の項目を潰すべき段階。7以下なら、費用のかからない項目（1〜7）だけで被害確率を大幅に下げられる状態であり、逆に言えばいま最も危険な状態でもある。項目1〜7の大半は前述のSCS★3やSECURITY ACTIONが問う基本項目と重なるため、このチェックを埋める作業がそのまま取引先への説明材料づくりになる。

FAQ：セキュリティ費用と優先順位のよくある質問

Q1. 従業員20名で専任の情シスがいない。月いくらから始めるべきか？

金額から入らないほうがよい。MFA強制・VPN更新・退職者アカウント削除・バックアップ復元テストは、既存のツールと数日の作業でほぼゼロ円で終わる。それが済んだ段階で、お助け隊サービス等の外部窓口（補助金活用で自己負担を圧縮可能）＋段階的なEDR導入という月額数万円〜10万円台の構成が現実解になる。「ゼロ円の宿題」を飛ばして月額サービスから契約するのが最も典型的な順序ミスである。

Q2. UTMとウイルス対策はすでに入れている。追加投資は必要か？

その2つが守るのは「ネットワークの境界」と「端末のマルウェア」だけである。統計上の主要侵入経路であるVPN機器の脆弱性、窃取された正規アカウントでのログイン、委託先経由の侵入、バックアップの暗号化は、どちらでも防げない。追加投資の前に、まず本稿の15項目チェックで「導入済み対策の外側」に残る穴を確認してほしい。追加すべきは多くの場合、製品ではなく棚卸と運用である。

Q3. セキュリティ投資の稟議が通らない。経営層を説得する材料は？

3点を並べるのが有効だ。第1に被害時コスト：復旧に総額1,000万円以上を要した組織が5割超、1か月未満で復旧できたのは5割強という警察庁の一次データと、自社が1か月止まった場合の売上影響の対比。第2に取引継続リスク：サプライチェーン攻撃が10大脅威2位となり、SCS評価制度の運用開始で発注側が委託先のセキュリティ水準を問う流れが制度化しつつあること。第3に自己負担の圧縮：補助金でお助け隊等の対象サービス利用料の一部が補助される。金額の妥当性ではなく「やらない場合に何を失うか」で構成するのが要点である。

Q4. EDRとお助け隊サービス、予算が限られるならどちらが先か？

「アラートを見る人がいるか」で決まる。社内に日中でも対応できる担当者がいるならEDR先行でよい。誰も見られないなら、監視と相談窓口を含むお助け隊サービスが先だ。検知ツールは運用者がいて初めて機能する。なお両者は排他ではなく、お助け隊サービスの中にはEDR相当の監視を含むものもあるため、IPAの登録サービス一覧で監視範囲を比較してから決めるとよい。

Q5. サイバー保険に入れば、対策費用は減らせるか？

減らせない。保険は被害確率を下げず、被害後の費用の一部を補填するだけである。むしろ基礎対策の状況が加入条件や保険料に影響する。順序としては、被害確率を下げる投資（MFA・バックアップ・VPN管理）→検知と初動→残るテールリスクの保険移転、である。

Q6. SCS評価制度の★3は、いま何をしておけば備えになるか？

特別な準備を別立てする必要はない。★3が問うのは、多要素認証・バックアップ・機器更新・アカウント管理・初動手順といった基本動作であり、本稿の予算ほぼゼロ帯と15項目チェックの前半がほぼそのまま対応する。まずSECURITY ACTIONを宣言し、チェックリストの「いいえ／わからない」を一つずつ潰すのが、最も安く確実な助走になる。制度の要件は今後具体化されるため、公式情報の更新は継続して確認してほしい。

Q7. 毎月の運用（脆弱性対応やアカウント棚卸）まで手が回らない。どうすべきか？

それが中小企業のセキュリティで最大のボトルネックであり、正直な認識である。選択肢は、(1) 兼任担当の業務を明示的に割り当てる、(2) お助け隊等の監視サービスで「見る」部分を外部化する、(3) 脆弱性対応・EOL管理・棚卸まで含めて月額で外部に任せる、の3段階。GXOのセキュリティ顧問（月額リテイナー）は(3)に該当し、ツール販売ではなく運用の代行・伴走を目的にしている。

GXOに相談すべきタイミング

すべての会社に外部支援が必要なわけではない。予算ほぼゼロ帯の項目は、本稿を読めば自社だけで完了できるはずだ。一方で、次のいずれかに当てはまるなら、第三者を入れたほうが早くて安い。

• 15項目チェックで「わからない」が4つ以上ある（現状把握そのものが必要な状態）
• UTM・ウイルス対策は導入済みだが、それ以外に何が足りないか判断できない
• 取引先からセキュリティ調査票・監査要求、あるいはSCS評価制度への対応を問われており、回答の裏付けが必要
• 月次の脆弱性対応・アカウント棚卸・EOL管理を回す人がいない
• ベンダーから複数の提案・見積もりを受けているが、どれが自社の順序として正しいか判断できない

GXOは特定製品の販売を目的としないため、「その投資はまだ早い」「先にこの無料の宿題を」という順序の助言から入る。現状の棚卸と投資順序の整理はセキュリティ対策の優先順位整理から、導入済み対策の穴の洗い出しはセキュリティ体制の再構築・診断から、まず話だけ聞きたい場合はお問い合わせ（無料相談）から連絡してほしい。相談したからといって何かを契約する必要はない。

参考資料（一次ソース）

• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等」2026年公表（PDF）
• IPA「情報セキュリティ10大脅威 2026」2026年1月29日公開
• IPA「中小企業の情報セキュリティ対策ガイドライン」
• IPA「中小企業における情報セキュリティ対策に関する実態調査」
• IPA「サイバーセキュリティお助け隊サービス ユーザー向けサイト」
• IPA「SECURITY ACTION（自己宣言制度）」
• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）詳細情報」／経済産業省 2026年3月27日 制度構築方針公表
• 中小企業基盤整備機構「デジタル化・AI導入補助金 セキュリティ対策推進枠」
• 日本損害保険協会「サイバー保険」