令和4年度
コロナ禍における中小企業のサイバー攻撃対策・情報漏洩対策に関する実態調査
調査結果報告書（概要版）

１．総括：中小企業における情報セキュリティ対策の取り組み推進に向けて(1) 中小企業への情報セキュリティリスク及び対策の啓発
今回調査において、中小企業における情報セキュリティに関する対策が必ずしも十分でないことが課題として見出された。
中小企業におけるサイバー攻撃や情報漏洩のリスクは年々高まっており、平時から対策を講じなければ中小企業の事業継続に影響を及ぼす可能性がある。加えて、従前から起きている紙の紛失やFAXの誤送信等のヒューマンエラーに起因した情報漏洩についても、それらが発生した際の企業への金銭面・風評面の影響度合いは高まりつつあり、単なる「業務上のミス」として看過することはできない。
そのため、まずは、中小企業が情報セキュリティに関するリスクの危険性や対策について知る・理解する機会を増やすことが業界団体による支援として有効であろう。
例：セミナーもしくは会報等でのリスク顕在化事例の紹介
情報セキュリティ対策に関する好取り組み事例の紹介(2) 情報セキュリティ対策の優先順位づけの実施および情報セキュリティ対策に係る補助金制度の活用
今回調査において、情報セキュリティ対策に掛ける人的資源や資金が不足しているという課題も見出された。
すべての情報セキュリティリスクに対策を講じるには人的資源・資金に限りがあるため、自社にとって重要な情報資産から優先的に対策を講じていくことが重要である。
ただし、重要な情報資産の特定や、それらを守る対策を検討するにあたっては、知識・ノウハウの不足という別の課題に直面する可能性も考えられる。そのため、業界団体からの情報提供はもちろんのこと、取引先（特にシステム・OA機器関連の会社等）に相談することも、知識・ノウハウを得る有効な手段となるであろう。
加えて、資金面の課題については、業界団体やシステム関連の取引先等を通じて、各種補助金制度の有無や活用方法・申請方法について情報提供することが解決の一助になると考えられる。

(3) 業界団体による会員の情報セキュリティに関する実態把握および対策の働きかけ
今回調査において、業界団体側で会員企業における情報セキュリティの実態把握や、会員企業に対する情報セキュリティ対策の働きかけが十分に行われていない可能性があることがわかった。
業界団体が会員の情報セキュリティの実態について把握し、情報セキュリティ対策に関する参考情報を積極的に発信することで、業界全体での情報セキュリティ対策の底上げが可能となる。さらに、情報セキュリティ対策の水準が高いと認知されることで、業界に対する社会的信用が向上することも期待される。
そのため、各業界団体におかれては、会員への情報セキュリティ対策の推進について、守りの活動であると同時に団体・業界の価値向上に資する活動として、積極的に実態把握と情報発信に取り組んでいただきたい。

1

(4) 国・地方自治体の補助金制度の活用に向けた取り組み
今回調査において、情報セキュリティ対策に関する国または地方自治体への要望として、補助金等の資金面での支援を求める意見が多く挙がっていた。
資金面の課題は1中小企業、1事業団体の自助努力のみでは解決が難しいと考えられる。そのため、中小企業において情報セキュリティ対策を進めていくためには、公的な支援も欠かせない。
現に、国・地方自治体において情報セキュリティ対策に関する各種補助金制度は設けられているが、補助金申請に必要な手続きが多く、負担が大きいという意見が挙げられている。中小企業が補助金を活用できるように、申請の要件を見直す、申請方法をより簡便にする、自治体や窓口機関の積極的な支援を行う等の制度の見直しも求められる。

提言(1)～(4) イメージ2

２．調査目的
IT技術の発展により、企業は生産性の向上、ビジネスチャンスの拡大といった様々な恩恵を受けており、企業運営においてITは必要不可欠である。特に、昨今のコロナ禍による働き方の変化等を踏まえて、企業におけるIT化の流れはさらに加速しているといえる。
その一方で、企業・組織に対するサイバー攻撃は日々発生しており、その手口は多様化、複雑化している。最近では、セキュリティ対策が比較的進んでいない中小企業を踏み台にして、ターゲットとなる大企業に攻撃を仕掛ける事例も存在している。加えて、従業員のオペレーションミスや機密情報の不正な持ち出し等のように、企業内部に起因して発生する情報漏洩も従前から存在している。
こうした背景から、企業は自社の重要な情報資産を特定し、それらを保護する対策が求められている。
ただし、情報セキュリティ対策の取り組みは、日々の業務を営みながら限られた経営資源の中で検討、実施していかなければならず、必要性を認識しつつも取り組むことが出来ていない中小企業が存在する可能性も否定できない。そこで、サイバー攻撃対策・情報漏洩対策を進めるにあたっては、中小企業にとって身近な存在である業界団体からの後押しが大きな意味を持つと考えられる。
こうした認識のもと、本調査では、中小企業におけるサイバー攻撃対策や機密情報の管理の実態や課題について調査・分析するとともに、業界団体が行っている中小企業支援の実態調査も併せて実施した。そして、調査結果をもとに、今後の中小企業におけるサイバー攻撃対策・情報管理の在り方を検討することを本調査の目的とした。

背景
IT技術の発展コロナ禍による働き方の進展によるIT化の進展

生産性の向上ビジネスチャンスの拡大

サイバー攻撃の多様化・複雑化

情報資産が流出した場合

自社の競争優位性の低下
顧客への損害賠償
自社の社会的信用の低下

必要性を認識しつつも情報セキュリティ対策に取り組めない中小企業の存在

業界団体から情報セキュリティ対策にかかわる支援が必要

目的
中小企業・業界団体に対して、サイバー攻撃対策や機密情報の管理の実態や課題に対して実態調査を実施し、今後のサイバー攻撃対策・情報管理の在り方を検討

3

３．調査概要(1) アンケート調査の概要
本調査では、中小企業や業界団体のサイバー攻撃・情報漏洩対策への取り組みについて数量的に把握するため、企業・事業所向け、業界団体（組合・連合会等）向けの2種類のアンケート調査を実施した。
アンケートの概要は以下のとおりである。
アンケート項目の分類
企業・事業所向け業界団体向け■企業の概要■情報セキュリティ対策の状況■テレワークの実施状況■業界団体に期待する情報セキュリティ対策の支援■今後の中小企業施策への要望等■団体の概要■会員における情報セキュリティ対策の状況■会員におけるテレワークの実施状況■会員から期待される情報セキュリティ対策の支援■今後の中小企業施策への要望等※各項目に関して、数問の質問を設定※各項目に関して、数問の質問を設定※質問数は全部で35問※質問数は全部で32問

アンケート回答結果
項目①標本数

企業・事業所向け

業界団体向け

合計

4,129

2,172

6,301

②有効回答数

183

152

335

③回答率

4.4%

7.0%

5.3%

(2) インタビュー調査の概要
アンケートにおいてインタビュー対応可能と回答した、中小企業（5社）及び業界団体（2団体）に対して、具体的な取り組み等を聴取するためにインタビュー調査を実施した。インタビューを実施した中小企業・業界団体の概要を以下に示す。
企業・団体名

所在地

業種

A社

三重県

製造業

B社

石川県

飲食業

C社

千葉県

運輸業

D社

京都府

生活関連サービス業E社

茨城県

建設業

F連合会

東京都

自動車整備業

G共済協同組合

東京都

金融業、保険業

4４．企業・事業所向けアンケート調査結果(1) 企業の概要（n-183）
業種

企業数

割合

（n-183）建設業

158.2%

正規雇用従業員数
1～10人

製造業

23

12.6%

電気・ガス・熱供給・水道業

1

情報通信業
運輸業、郵便業

企業数

割合

104

56.8％

11～20人

32

17.5％

0.5%

21～30人

16

8.7％

2

1,1%

31～50人

7

3.8％

63.3%

51～100人

14

7.7％

卸売業

9

4.9%

101～200人

52.7％

小売業

16

8.7%

201人以上5

2.7％

金融業、保険業

42.2%

不動産業、物品賃貸業のうち不動産業

2

1.1%

不動産業、物品賃貸業のうち物品賃貸業

21.1%

学術研究、専門・技術サービス業

105.5%

宿泊業、飲食サービス業のうち宿泊業

147.7%

宿泊業、飲食サービス業のうち飲食業

63,3%

生活関連サービス業，娯楽業

126.6%

教育，学習支援業

31.6%

医療，福祉

168.7%

複合サービス

10.5%

サービス業

2312.6%

その他

189.8%(2) 情報セキュリティに関する社内規程・規則等の策定状況および見直しの状況(3) 情報セキュリティに関する社内規程・規則等の遵守度合いについて回答企業のうち6割強の企業で、情報セキュリティに関する社内規程・規則が策定されていないという結果となった。
情報セキュリティに関する社内規程・規則等を策定している企業に対して、それがどの程度守られているのかを尋ねたところ、情報セキュリティに関する社内規程・規則等を策定している企業の4分の3以上では、当該規程・規則等を守っていると自己認識していることがわかった。

5

(4) 機密情報の流出を防ぐために実施している対策（複数回答）(5) 機密情報の漏洩に関する対策実施にあたっての不安や課題（複数回答）

機密情報の流出を防ぐために実施している対策として、「業務用PC等へのウイルス対策ソフトの導入」が81.4％と最も高かった。一方で、そのほかの対策の実施率についてはほぼ半数以下にとどまり、中小企業において、情報セキュリティに関する対策が十分に進んでいない可能性がある。
機密情報の漏洩に関する対策実施にあたっての不安や課題として、「対策の検討・実施に関する知識・ノウハウが不足している」と回答した企業の割合が45.9％で最も高く、次いで「対策の検討・実施に関する時間・人的資源が不足している」が37.7％、「対策の検討・実施に関する資金が不足している」が33.9％であった。

6

５．業界団体向けアンケート調査結果(1) 団体の概要（n-152）
資格業種
建設業
製造業
電気・ガス・熱供給・水道業
情報通信業
運輸業、郵便業
卸売業
小売業
金融業、保険業
不動産業、物品賃貸業のうち不動産業
不動産業、物品賃貸業のうち物品賃貸業
学術研究、専門・技術サービス業
宿泊業、飲食サービス業のうち宿泊業
宿泊業、飲食サービス業のうち飲食業
生活関連サービス業，娯楽業
教育，学習支援業
医療，福祉複合サービス
サービス業
その他割合

会員（組合員企業）の数 団体数4.6％
9.2％
2.6％
1.3％
1.3％
9.9％
4.6％
2.0％
1.3％
0.0％
0.0％
0.7％
0.0％
2.6％
0.7％
1.3％
5.3％
13.2％
39.5％

1～50社
51～100社

団体数714422157320010412820
60（n-152）101～200社
201社以上

90割合
59.2％

248

15.8％
5.3％

30

19.7％

(3) 会員における情報セキュリティに関する社内規程・規則等の遵守度合いについて(2) 会員における情報セキュリティに関する社内規程・規則等の策定状況および見直しの状況

会員における情報セキュリティに関する社内規程・規則等の策定割合について尋ねたところ、「わからない」と回答した団体の割合が77.0%で突出して高かった。なお、他の設問についても、「わからない」という回答が多く、業界団体側で会員における情報セキュリティの実態把握が十分に行われていない可能性がある。
情報セキュリティに関する社内規程・規則等を策定している会員において、それが十分守られていると思うかを尋ねたところ、 「ややそう思う」と回答した団体の割合が25.7％と最も高く、次いで「そう思う」と「どちらともいえない」が20.0％であった。社内規程・規則を策定している会員の半数近くで、それらが守られていると思われるという結果となった。
7

(4) 機密情報の流出を防ぐために会員に対して推奨している対策（複数回答）(5) 機密情報漏洩に関する対策実施にあたり、会員が不安や課題に感じていること（複数回答）

機密情報の流出を防ぐために会員に対して推奨している対策について尋ねたところ、「業務用PC等へのウイルス対策ソフトの導入」が最も高く53.9％であった。一方で、「特に何もしていない」と回答した業界団体が28.3％であり、会員企業に対する情報セキュリティ対策の働きかけが十分に行われていない可能性がある。
機密情報の漏洩に関する対策実施にあたって会員が感じる不安や課題として、「対策の検討・実施に関する知識・ノウハウが不足している」と回答した業界団体の割合が48.7％で最も高く、次いで「対策の検討・実施に関する時間・人的資源が不足している」が38.2％、「対策の検討・実施に関する資金が不足している」が28.9％であった。企業・事業者向けアンケートと同様、中小企業における機密情報漏洩に関する対策実施に伴う「知識・ノウハウ」「人的資源」「資金」の不足が、業界団体にも課題として認識されていることがうかがえる。
8

６．インタビュー調査結果(1) 中小企業への調査結果概要 （インタビュー結果より一部抜粋）
A社

自動車部品製造業
IATF16949（自動車産業に特化した品質マネジメントシステム規格）の取得を取引先から推奨され、当該規格の項目にサイバー攻撃対策の必要性が謳われていることから、情報セキュリティ対策に取り組むようになった。
情報セキュリティ対策に関しては、当社と取引のあるICT機器やシステム販売の会社を活用して実施している。例えば、同社のメールマガジンから情報セキュリティ対策に関する有用な情報をピックアップして社内に周知しており、標的型メールの抜き打ち対応訓練は同社に依頼して実施している。
情報システムに関して、何が課題であるかわからず心配で仕方がない面があるものの、情報セキュリティに関してわからないことがあれば、T社に相談できる環境にある。

B社

飲食業
情報セキュリティ対策のツールとして、Windowsのファイアウォールのみ使用しており、自動的にアップデートされるようにしている。過去に有償のウイルス対策ソフトを導入していたが、当社では機密情報を取り扱っていないため、現在は使用していない。
情報セキュリティ対策に関する様々なソフトが発売されているものの、どれが自社に適しているのかの判断が難しい。第三者的な視点でアドバイスが欲しいと思うが、情報セキュリティ対策を検討する際の相談相手がいない。
行政や業界団体から、同規模・同業種における情報セキュリティに関する事故事例や最近の傾向について情報を提供してほしい。

C社

運輸業
ウイルス対策ソフトの導入や不審メールの削除といった情報セキュリティ対策は、会社として常識的に実施しなければならないため、実施している。
業務に個人のPCを使用することがあるが、業務使用と私的使用を区分けする仕組みやルール作りを実施しなければならないと思いつつ、実施できていない。
行政・業界団体に求める支援として、自社でどの程度の水準まで情報セキュリティ対策を実施すればよいのか教えてほしいと思う。

9

D社

生活関連サービス業
親会社の指示でISMS認証を取得したことがきっかけで、情報セキュリティ対策に取り組み始めた。
実施している情報セキュリティ対策として、情報セキュリティに関する事故事例を発信したり、機密情報の保管場所のパスワードを定期的に変更したりしている。加えて、全従業員にEラーニングを受講させている。
情報セキュリティ担当が2名しかおらず、かつ当社の営業エリアが広いため、従業員との対面のコミュニケーションが取りづらく、情報セキュリティ対策を根付かせることが難しいと感じている。
所属する業界団体は業務に特化した情報発信を行うのみで、情報セキュリティは各社に任せている状況なので、情報セキュリティについて業界全体で取り組めば良いと思う。

E社

建設業
当社はISO9000を取得していた時期があった。社内で文書管理等の教育が元々なされており、情報セキュリティと親和性が高かったため、自然と情報セキュリティ対策に取り組むようになった。
サイバー攻撃対策の観点から、オンラインで扱うデータを限定しており、かつデータを取り扱う人も限定するようにしている。加えて、半年に一度程度、データへのアクセスログのチェックを行っている。
情報セキュリティに係る人員不足が最も深刻な課題である。経営陣も情報セキュリティの重要性を認識しているものの、現場の実務をより重要視しているため、取り組みが十分に浸透しない。

(2) 業界団体への調査結果概要 （インタビュー結果より一部抜粋）
F連合会

自動車整備業当連合会では、JPCERTコーディネーションセンターのEmotetの感染確認ツール“EmoCheck”を会員に案内しているものの、当該ツールの導入を積極的に推進しているわけではない。
会員の間でサイバー攻撃や情報漏洩のリスクに対する漠然とした危機感はあるものの、身近でリスクが顕在化していないため、現実的な問題として捉えられていない。
情報セキュリティに関する補助金は中小企業にとって有用な制度だと思うが、申請手続きが難しいと思われる。もっと手続きを簡単にして欲しい。
G共済協同組合

金融業、保険業

当連合会では現在のところ、会員の情報セキュリティ対策の推進までは行っていない。将来的には、機関紙等で情報セキュリティ対策の周知を行いたいと考えている。
会員である運転代行業者は随伴車の個人情報を扱っているため、情報漏洩対策は本来のところ重要であるが、会員には高齢者が多く、情報セキュリティへの意識が高いとは言えない。加えて、情報セキュリティに関する人的資源や資金も不足しているのが実態である。
10

【お問合せ先】一般財団法人全国中小企業共済財団（全共済）〒102-0093 東京都千代田区平河町1丁目4番12号
平河町センタービル4階
電話 ：03-3264-1511（代表）
FAX ：03-3239-1978