NEWS LETTER

従業員のホンネ

2021年12月8日
IPA(独立行政法人情報処理推進機構)
セキュリティセンター

サイバーセキュリティに関するトラブル

中小企業従業員の10.5%が経験

従業員の5人に1人は情報管理のルール違反経験あり
経験した事故やトラブルの半数程度は会社や上司に報告していないことが判明！

会社や上司に報告されるトラブルは氷山の一角“かくれサイバートラブル”が相当数発生か！？
企業として事故やトラブルを社外へ公表・公開した事例も半数以下の41.0%
IPA（独立行政法人情報処理推進機構）セキュリティセンターでは、中小企業向けサイバーセキュリティ対策支援サービス「サイバーセキュリティお助け隊サービス」の紹介とあわせて、サイバーセキュリティ意識の向上を目的とした啓発コンテンツを含むウェブサイトを公開中ですが、それに伴い、全国の中小企業に勤務する従業員1,000名に対してサイバーセキュリティに関するアンケートを実施しました。
その結果、過去3年間でサイバーセキュリティ上の事故やトラブルを勤務先で経験した中小企業従業員は10.5%。
勤務先で情報管理関連のルールが制定されている人のうち5人に1人はルール違反の経験があり、うち4割以上は会社や上司に1度も報告していないことが判明しました。また、企業として事故やトラブルを社外に報告した事例も半数以下の41.0%であるなど、報告・公表される事例は氷山の一角であってこれを相当数上回る“かくれサイバートラブル”の存在がうかがえる結果となり、トラブルを防ぐ仕組みやさらなる意識啓発の必要性が課題として浮かび上がりました。
【アンケート概要】 アンケート対象：全国の中小企業に勤務する人1,000名
アンケート方法：インターネット調査
アンケート期間：2021年11月5日(金)～11月7日(日)※アンケート結果の数値は小数点以下を適宜四捨五入して表示しているため、積み上げ計算すると誤差がでる場合があります。
※アンケート結果をご紹介いただく際は、「情報処理推進機構調べ」と注釈をご記載ください。

本ニュースサマリー■PART1 中小企業従業員のサイバーセキュリティトラブル
・中小企業従業員の10.5%が過去3年間でサイバーセキュリティ上の事故やトラブルを勤務先で経験、トラブル上位はウイルス関連■PART2 中小企業の情報管理ルール
・IT機器の利用やデータの取り扱いについて勤務先でルールが制定されていると答えた中小企業従業員は半数以下の42.7%
・うち5人に1人はそのルールに違反したことがあり、違反したルールの上位はパスワード関連
・ルール違反をした人のうち、その違反を会社や上司に1度も報告していない人は43.2%■PART3 従業員個人のサイバーセキュリティトラブル
・従業員個人として勤務先で経験したサイバーセキュリティ上の事故やトラブル、1位は「ウイルス・ランサムウェア感染」、 2位は「メールの宛先間違い」・一方、その事故やトラブルの半数以上は会社や上司に報告しておらず、 “かくれサイバートラブル”は報告されているものの相当数多く存在している！？
■PART4 業種別／職種別のサイバーセキュリティトラブル発生率
・サイバーセキュリティトラブル発生率の高い業種は「情報通信／広告業」「対個人サービス業」「製造業」
・サイバーセキュリティトラブル発生率の高い職種は「管理」などPCやインターネットを頻繁に使う職種が上位■PART5 「サイバーセキュリティお助け隊サービス」ウェブサイト公開中
・“かくれサイバートラブル”を防ぐ仕組みや啓発の一助になる、中小企業向けサイバーセキュリティ対策支援サービス「サイバーセキュリティお助け隊サービス」ウェブサイト を公開中
1

■PART1 中小企業従業員のサイバーセキュリティトラブル
・中小企業従業員の10.5%が過去3年間でサイバーセキュリティ上の事故やトラブルを経験
過去3年間（2018年10月～2021年9月）の間、サイバーセキュリティ上の事故やトラブルを経験した中小企業従業員は10.5%で、トラブル1位は「ウイルス・ランサムウェアによる被害」、2位は「取引先を装った偽メールによるウイルス感染」 と、ウイルス関連が上位となっています。
過去3年間にサイバーセキュリティ上の事故やトラブルが発生したか（n=中小企業に勤務する人 1,000人／単回答）

発生した
10.5%

発生していない89.5%

過去3年間で発生したサイバーセキュリティ上の事故やトラブルの内容（n=過去3年間でサイバーセキュリティ上のトラブルが発生した中小企業に勤務する人 105人／複数回答可）

ウイルス・ランサムウェアによる被害

41.0%

予期せぬIT基盤の障害に伴う業務停止

23.8%

取引先を装った偽メールによるウイルス感染

23.8%

テレワーク等のニューノーマルな働き方を狙ったサイバー攻撃

14.3%

インターネット上のサービスへの不正ログイン

11.4%

IT機器・端末等の盗難や紛失

10.5%

不注意による情報漏えい等の被害

9.5%

ビジネスメール詐欺による金銭被害

7.6%

標的型攻撃による機密情報の窃取

7.6%

ウェブサイトの改ざん

5.7%

内部不正による情報漏えい

5.7%

偽サイトへの誘導による、金銭または情報漏えいの被害

4.8%

個人情報や機密データの外部流出

3.8%

その他

0.0%
0%

10%

20%

30%

40%

50%
2

・年間のサイバーセキュリティトラブル発生件数は平均1.4回
サイバーセキュリティ上の事故やトラブルが発生した回数は、2018年が平均2.8回、2019年が平均1.0回、2020年が平均0.6回、2021年(1月～10月)が平均1.4回、トータルの年平均は1.4回という結果になりました。
サイバーセキュリティ上の事故やトラブルの回数（ n=過去3年間でサイバーセキュリティ上のトラブルが発生した中小企業に勤務する人 105人／単回答）

3回

2.8回

2回
1.4回
1.0回

1回

年平均

0.6回

1.4回

0回2018年

2019年

2020年

2021年
（1月～10月）

・これらの事故やトラブルを社外へ公表・公開した事例は半数以下の41.0%
一方で、上記のサイバーセキュリティ上の事故やトラブルに関して、勤務先が社外への公表・公開等（プレスリリースや、HP等への掲載等で）を行ったと答えた中小企業従業員は「複数回ある」18.1%、「1回ある」22.9%で計41.0%でした。
サイバーセキュリティ上の事故やトラブルを社外に公表・公開したか（ n=過去3年間でサイバーセキュリティ上のトラブルが発生した中小企業に勤務する人 105人／単回答）

複数回ある
18.1%

ない

1回ある

59.0%

22.9%

公表・公開した

41.0%

3

■PART2 中小企業の情報管理ルール
・IT機器の利用やデータの取り扱いについてルールが制定されていると答えた中小企業従業員は半数以下の42.7%
勤務先の中小企業のIT機器やデータの取り扱いに関連する情報管理のルールについて聞いたところ、ルールが制定されていると回答したのは全体の42.7%で、6割近くはルールが制定されていない、またはルールの有無を認識していないという結果になりました。
情報管理関連のルールがあるか（n=中小企業に勤務する人 1,000人／単回答）

ルールがある
42.7%
30.7%

0%

10%

6.8%

20%

30%

5.2%

40%

20.4%

50%

36.9%

60%

70%

80%

90%

100%

IT機器の利用やデータの取り扱いについてルールが制定・周知されており、従業員が遵守している
IT機器の利用やデータの取り扱いについてルールが制定・周知されているが、従業員が遵守できていない
IT機器の利用やデータの取り扱いについてルールが制定されているが、周知されていない
IT機器の利用やデータの取り扱いについてルールが明確に制定されていない
IT機器の利用やデータの取り扱いについてルールがあるか不明

・5人に1人はそのルールに違反したことがあり、その多くは複数回にわたる違反
勤務先の中小企業に情報管理関連のルールがあると回答した人のうち、過去3年間（2018年10月～2021年9月）でそのルールに違反を犯したことがある人は19.0%で、そのうち多くの人が複数回にわたってルール違反をしていました。
過去3年間で情報管理関連のルール違反を犯したか（n=勤務先の中小企業に情報管理関連のルールがある人 427人／単回答）

ルール違反をした
19.0%
1.9%

11.2%

4.4%

0%

81.0%
1.4%

10%

20%

30%

40%

50%

60%

70%

80%

90%

日常的にルール違反を犯していた

日常的にではないが、定期的にルール違反を犯していた

日常的・定期的ではないが、複数回ルール違反を犯していた

1回だけルール違反を犯していた

100%

1度もルール違反を犯さなかった

4

・違反したルールの上位はパスワード関連
情報管理関連のルールに違反した内容は、1位「複数のIT機器・端末やインターネットサービスで同じパスワードを使い回す」24.7%、2位「パスワード等の適切なセキュリティ対策を講じずに個人情報をメール含むインターネットで送受信する」23.5%と、パスワード関連のルール違反が上位となっています。
違反したルールの内容（n=勤務先の中小企業に情報管理関連のルールがあり、それに違反したことがある人 81人／複数回答可）

24.7%

複数のIT機器・端末やインターネットサービスで同じパスワードを使い回す
パスワード等の適切なセキュリティ対策を講じずに

23.5%

個人情報をメール含むインターネットで送受信する
業務上のデータやメールをセキュリティが確立されていない

22.2%

公衆無線Wi-Fi等で送受信する業務上利用している端末のログインパスワードを18.5%書き込んだ紙等を端末と一緒に保管する

17.3%

発信元の定かでない送付元からの電子メールの添付ファイルを開く

12.3%

OSやソフトウェアのアップデートを放置する
業務上の機密を含むデータを公共の場（電車・カフェ等）で12.3%

画面等が見える状態でPCに表示させる

9.9%

保守期限の切れた端末や機器を利用する
機密情報を含む印刷物やメディアを施錠管理されていない場所

8.6%（セキュリティで保護されていない場所）で保管する
複数人で同一パスワードを共有し、インターネットサービスを利用する

8.6%

発信元が定かでない送付元からの電子メール内のURLをクリックする

8.6%
7.4%

社外に業務上利用する機密情報を取り扱う情報端末を持ち出す

6.2%

社外に機密情報を含む業務上のデータを持ち出す

機密情報を含む印刷物やメディアをシュレッダーや溶解等の手順をふまずに廃棄する

3.7%

その他

3.7%
0%

10%

20%

30%

5

・ルール違反をした人のうち、その違反を会社や上司に1度も報告していない人は43.2%
勤務先の中小企業に情報管理関連のルールがあると回答した人で、過去3年間（2018年10月～2021年9月）でそのルールに違反を犯したことがある人に対して、その違反を会社や上司に報告したか尋ねたところ、1度も報告を行わなかった人は43.2%にのぼりました。
ルール違反を会社や上司に報告したか（n=勤務先の中小企業に情報管理関連のルールがあり、それに違反したことがある人 81人／単回答）

全て報告を行なった
17.3%

1度も報告を行わなかった

一部のみ報

43.2%

告を行なっ
た
39.5%

・ルール違反の理由、ルールは理解しているものの危機意識や知識・理解が不足
ルール違反を犯した理由については、1位は「ルールは理解していたが、それを守る意識が希薄だった」48.1%、2位「ルールは理解していたが、正しい手順や対応方法等の知識や理解が不足していた」33.3%と、ルールは理解しているものの危機意識や知識・理解不足が原因であることがわかりました。
ルール違反の理由（n=勤務先の中小企業に情報管理関連のルールがあり、それに違反したことがある人 81人／複数回答可）

ルールは理解していたが、それを守る意識が希薄だった

48.1%

ルールは理解していたが、

33.3%

正しい手順や対応方法等の知識や理解が不足していた
正しいルールに対応する時間がとれなかった

16.0%

ついうっかり、なんとなく

14.8%

ルール自体を知らなかった、理解していなかった

11.1%

ルールを守る手順が、面倒に感じた

8.6%

その他

3.7%
0%

10%

20%

30%

40%

50%

6■PART3 従業員個人のサイバーセキュリティトラブル
・従業員個人として経験したサイバーセキュリティ上の事故やトラブル、1位は「ウイルス・ランサムウェア感染」
4.2%。一方、その事故やトラブルの半数以上は会社や上司に報告していない。
勤務先での業務に関わるIT機器やデータの取り扱いにおいて、過去3年間（2018年10月～2021年9月）に従業員個人として経験したサイバーセキュリティ上の事故やトラブル、1位は「自分の利用している端末がウイルス・ランサムウェ
ア等に感染した」4.2%、同率2位で「機密を含む情報をメールの宛先間違い等で対象外の人に発信してしまった」3.3%、「フィッシングメール等のURLをクリックし、個人情報等を入力してしまった」3.3%、「業務上利用するIT機器／端末の盗難・紛失にあった」3.3%でした。
しかし、各項目で「事故やトラブルが発生した」と回答した人のうち半数前後は「発生したが、会社・上司に報告しなった」という結果になっており、明らかになっていない“かくれサイバートラブル”が存在していて、実際の被害は報告されているものより相当数多い可能性があります。
過去3年間で従業員個人として経験したサイバーセキュリティ上の事故やトラブル（n=中小企業に勤務する人 1,000人／単回答）2.4%

自分の利用している端末がウイルス・ランサムウェア等に感染した

4.2%

1.8%

機密を含む情報をメールの宛先間違い等で対象外の人に発信してしまった

1.3%

2.0%

3.3%

フィッシングメール等のURLをクリックし、個人情報等を入力してしまった

1.5%

1.8%

3.3%

業務上利用するIT機器／端末の盗難・紛失にあった

1.7%

1.6%

3.3%

0.9%

SNSアカウントで業務に関わる情報を発信してしまった

1.3%

インターネット利用中の偽警告を受けてクリックしてしまった

3.0%

2.0%

1.6%

自身の利用しているインターネットサービスで不正ログインがあった

3.1%

1.8%

1.0%

クレジットカードやスマホ決済等決済に関わる不正利用をされた

3.2%

2.3%

2.8%

1.2%

自身の利用している端末やサービスのログインパスワードが漏洩した

1.0%

1.5%

2.5%

メールやSMS等を利用した脅迫・詐欺による金銭要求に対応してしまった

1.1%1.3%

2.4%

0%
発生し、会社・上司に報告した

1%

2%

3%

4%

5%

発生したが、会社・上司に報告しなかった

7

■PART4 業種別／職種別のサイバーセキュリティトラブル発生率
・サイバーセキュリティトラブル発生率の高い業種は「情報通信／広告業」「対個人サービス業」「製造業」
過去3年間に中小企業で発生したサイバーセキュリティ上の事故やトラブルについて、業種別に見たところ、同率1位で「情報通信／広告業」17.0%、「対個人サービス業」17.0%、3位「製造業」という結果になりました。
過去3年間のサイバーセキュリティ上の事故やトラブル発生率（業種別）（n=中小企業に勤務する人 1,000人(各業種100名)／単回答）

情報通信／広告業

17.0%

対個人サービス業

17.0%

製造業

15.0%

卸売業

11.0%

建設業

11.0%

対事業所サービス業

8.0%

飲食業

8.0%

宿泊業

8.0%

小売業

6.0%

その他

4.0%
0%

5%

10%

15%20%

・サイバーセキュリティトラブル発生率の高い職種は「管理」「営業（社外への頻繁な外出を伴わない） 」
過去3年間に中小企業従業員が経験したサイバーセキュリティ上の事故やトラブルについて、職種別に見たところ、1位で「管理」18.5%、2位「営業（社外への頻繁な外出を伴わない」15.9%、3位「事務」11.9%で、やはりPCやインターネットを頻繁に使用する職種が上位となる結果となりました。
過去3年間のサイバーセキュリティ上の事故やトラブル発生率（職種別）（n=中小企業に勤務する人 1,000人／単回答）

管理

18.5%

営業（社外への頻繁な外出を伴わない）

15.9%

事務

11.9%

営業（社外への頻繁な外出を伴う）

10.8%

現場業務（工場、建築現場等での勤務）

9.4%

接客

9.1%

その他

6.9%

企画

4.8%
0%

5%

10%

15%

20%
8■PART5 「サイバーセキュリティお助け隊サービス」ウェブサイト公開中
IPAは、中小企業向けサイバーセキュリティ対策支援サービス「サイバーセキュリティお助け隊サービス」の新たなウェブサイトを公開中です。本ウェブサイトでは、中小企業を脅かすサイバーセキュリティ上の様々なリスクを、身近な“かるた”になぞらえ表現した“サイバーセキュリティ対策かるた”も提供しており、日常の業務で見落とされがちな様々なリスクについてわかりやすく啓発しています。
URL : https://www.ipa.go.jp/security/otasuketai-pr/
IPAは2019年度から2年にわたり、中小企業のサイバーセキュリティ対策を支援する仕組みの構築を目的とした実証事業（サイバーセキュリティお助け隊）*1を実施しました。その結果等を踏まえ、中小企業に不可欠な各種サービスをワンパッケージで安価に提供することを要件としてまとめた「サイバーセキュリティお助け隊サービス基準」を策定、同基準を満たす民間のサービスを「サイバーセキュリティお助け隊サービス」として登録・公表しています。本年12月までに2回の審査が行われ、9つのサービスが登録されています。
11月10日(水)に公開した新たなウェブサイト（図1）では、「サイバーセキュリティお助け隊サービス」の利用対象となる中小企業に向けて、登録サービスを紹介するのみならず、サイバーセキュリティ意識の向上を目的として、分かりやすく親しみやすい啓発コンテンツも同時公開しています。具体的には、登録されたサイバーセキュリティお助け隊サービスのリスト（各サービス詳細情報へのリンク含む）や、中小企業向けの情報セキュリティ関連情報へのリンクなどを掲載しているほか、日常の業務で見落とされがちなリスクを46種類のポップなイラストと標語で表現した“サイバーセキュリティ対策かるた”(図2)を公開しています。

▲図2. サイバーセキュリティ対策かるた▲図１. 「サイバーセキュリティお助け隊サービス」ウェブサイト
本かるたは、ランサムウェアやフィッシング詐欺といった昨今多く報道されているリスクに加えて、パスワードの使い回しやWi-Fiからの情報漏洩など、身近な業務に潜むリスクを取り上げることで、中小企業が自らのセキュリティ対策を考えるきっかけとして利用・シェアできるよう画像ファイルにより提供しています。それぞれ100文字程度の解説も加えており、対策のヒントとして役立てるほか、SNSでシェアすることにより身近な人と気付きを共有することも可能です。
・ウェブサイト名称：「サイバーセキュリティお助け隊サービス」
・URL：https://www.ipa.go.jp/security/otasuketai-pr/
・公開日：2021年11月10日（水）・主なコンテンツ：-「サイバーセキュリティお助け隊サービス」概要紹介-サイバーセキュリティお助け隊サービスのリスト-啓発コンテンツ“サイバーセキュリティ対策かるた”-「サイバーセキュリティお助け隊サービス」紹介動画*1 「中小企業向けサイバーセキュリティ事後対応支援実証事業」（2019年度）及び「令和2年度中小企業向けサイバーセキュリティ対策支援体制構築事業」■ 本件に関するお問い合わせ先
IPA セキュリティセンター 企画部 中小企業支援グループ
E-mail: isec-otasuketai@ipa.go.jp

9