セキュリティ対策を整備した中小企業、何割が取引につながった？【IPA調べ】

情報処理推進機構（IPA）は、「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書を発表した。中小企業にとって効果的なサイバーセキュリティの取り組みについて、中小企業4,191社の経営層および情報システム担当者が回答している。

IPAでは、2016年度と2021年度に同じ調査を実施しており、今回の中小企業等実態調査は2021年度調査の後続となる。

ISMS取得済みの企業は信頼されている

それによると、「5分でできる！情報セキュリティ自社診断」にある25項目に対して、「実施している＋一部実施している」が最も多かったのは、「パソコンやスマホなど情報機器のOSやソフトウェアは常に最新の状態にしていますか？」73.0%。「パソコンやスマホなどにはウイルス対策ソフトを導入し、ウイルス定義ファイルは最新の状態にしていますか？」71.4%がそれに並ぶ。

逆に「新たな脅威や攻撃の手口を知り対策を社内共有する仕組みはできていますか？」37.9%、「情報セキュリティ対策（上記1～24など）をルール化し、従業員に明示していますか？」39.2%、「セキュリティ事故が発生した場合に備え、緊急時の体制整備や対応手順を作成するなど準備をしていますか？」39.8%は低く、4割に達していないことが判明した。

「販売先（発注元企業）から貴社への情報セキュリティに関する要請を受けた経験はあるか」を聞くと、「はい」は12.2%。具体的な内容としては、「秘密保持のための措置」79.6%が圧倒的多数だった。一方、受けた要請を実施するためには「対策費用（具体的な対策と費用）の用意、費用負担の検討」51.3%、「情報セキュリティ対策に関する販売先（発注元企業）との契約内容の明確化」47.0%、「専門人材の確保・育成」32.9%などが課題となった。

こうした「セキュリティ対策の実施が取引につながったかどうか」を聞くと、セキュリティ体制の整備がされている（専門部署がある）企業の59.8%が「つながった」としたが、セキュリティ体制の整備がされていない（セキュリティ対策は各自の対応に任せている）企業だと「つながった」は24.2%にとどまった。

さらに要請を受けた経験がある企業のうち、ISMS取得済みの企業の73.9%が、発注元からの要請でサイバーセキュリティ対策を行ったことが取引につながったと回答しているのに対し、ISMS未取得の企業は30.3%にとどまった。やはり第三者認証を取得している企業のほうが信頼されると推察される。

調査概要

• 【調査内容】登録モニター（中小企業の経営層および情報システム担当者）
• 【調査方法】リサーチ会社を利用したWebアンケート。文献調査、インタビューも併用
• 【調査時期】2024年10月～2025年1月
• 【回答数】4,191社