取引先から、見慣れない調査票が届く。パスワードの管理方法、外部からの接続の制限、事故が起きた時の連絡体制。総務の担当者が情報システムの担当者に回し、できている項目に丸をつけて返送する。多くの会社では、これがサイバーセキュリティと経営が接する、ほとんど唯一の場面である。
対策への投資は、利益を生まない保険のようなものと受け止められてきた。何も起きなければ無駄に見え、何かが起きた時には足りなかったと責められる。余裕のある大企業がやることで、自社の規模でそこまでは要らないという判断は、むしろ健全な経営感覚とさえ言えるかもしれない。
その計算には、一つ抜けている項目がある。
73万円の被害は、本当に小さいのか
通説を支える数字から見ておく。情報処理推進機構（IPA）の2024年度中小企業等実態調査は、全国の中小企業4,191社の経営層を対象としたもので、過去3期内のインシデントによる被害額の平均は73万円、100万円以上の企業は9.4%、復旧までの平均は5.8日であった。過去3期に対策投資を行っていない企業は62.6%で、2021年度の33.1%から大きく増えている。未投資の理由で最も多いのは「必要性を感じていない」の44.3%である。平均73万円という数字の前では、この判断は不合理とは言いにくい。
だが同じ調査は、平均に隠れた二つの事実を示す。被害額の最大は1億円、復旧の最長は360日である。そして、インシデントの影響があった企業の約7割が、取引先にも影響が及んだと答えている。内訳はサービスの停止や遅延が36.1%、賠償や補償の負担が32.4%である。経済産業省はこれを、被害が連鎖する「サイバードミノ」と表現した。つまり被害の勘定は自社の損益だけでは閉じない。損害の相手は、売上を依存している取引先なのである。
逆向きの数字もある。経済産業省の2025年2月の発表によれば、対策投資を行う企業の約5割が取引につながったと感じており、投資を行わない企業の2倍近くにのぼる。もっとも、IPAの調査全体では発注元から要請を受けた経験を持つ企業は1割強にとどまる。市場はまだ、大半の企業にとって姿を見せていない。
調査票が星に変わると、何が起きるのか
この静かな状況を変えうるのが、経済産業省が進めるサプライチェーン強化に向けたセキュリティ対策評価制度である。2026年3月27日に制度構築方針が公表され、★3と★4の要求事項は同年10月28日にVer1.1が示された。2026年度末頃の制度開始を目指している。★3は専門家の確認を伴う自己評価、★4は第三者評価とされ、運営はIPAが担う。目標は制度開始5年後までに2万件、10年後までに5万件の取得である。
制度の目的は、企業の順位付けや格付けではないと明記されている。委託元と委託先の双方の負担を減らしつつ水準を引き上げるための共通の物差しだという位置づけである。ただ、物差しが共通になれば、購買部門がそれを取引の確認項目に組み込むのは自然な流れだろう。各社ばらばらの調査票に丸をつけて返していた作業が、取得の有無という一つの事実に置き換わる。かくしてセキュリティは、情報システム部門の技術の問題から、営業の前提条件へと場所を移す可能性がある。
この変化を供給の側から見ると、市場の形が見えてくる。経済産業省の2026年4月の研究会資料は、国内企業のサイバーセキュリティ売上高約0.9兆円を3兆円超へ伸ばすことを指標に掲げる。中小企業向けのサイバーセキュリティお助け隊サービスの提供事業者は2026年3月末時点で47、導入は2025年9月末時点で約9,200件である。★取得を支える新類型の実証も2026年9月頃から約1年の予定で始まった。一方、情報処理安全確保支援士は2026年4月時点で2万6,453名にとどまる。5万件の取得目標を前にすれば、助言と運用を担う手は細い。
問題はつまり、攻撃の高度さだけではない。自社で専門部署を持たない多数の企業と、それを評価に耐える状態へ運ぶ実務の担い手の間の隙間にある。IPAの調査で専門部署がある企業は9.3%にすぎない。地域で顧客の情報システムや複合機、通信回線を面倒見てきた中堅のIT販売会社や保守会社には、すでに顧客との関係がある。大手のセキュリティ企業には単価が小さすぎ、個人の専門家には件数が多すぎる。ここに中堅企業の立ち位置が生まれる。
対策費は、損失か投資か
買い手の中堅企業にとって、資金の問題はこう言い換えられる。この支出は、何を守るための費用なのか。システムの復旧費だけを比べるなら投資は割に合わないかもしれない。だが、依存度の高い取引先との取引を維持する費用と捉え直すなら、比べる相手は年間の粗利になる。売上の上位数社が制度の取得を求めてきた場合の影響額を、先に試算しておく価値はある。委託先を多く抱える企業なら、発注元として自社の供給網の弱さが自社の生産を止める場面も勘定に入る。
費用の性格も見極めが要る。機器やソフトの導入は一度の支出に見えるが、実際には監視や教育、規程の更新といった費用が年々の固定費として残る。借入で賄うより、毎年のキャッシュフローの中に組み込むべき費目である。中小企業の場合は、デジタル化・AI導入補助金のセキュリティ対策推進枠で、最大150万円まで導入費用の2分の1（小規模事業者は3分の2）が補助されるが、補助が終わった翌年からの運用費は自社で持ち続けることになる。
サービスの提供者として参入する側の資金構造は、別の難しさを持つ。お助け隊の利用例が月額1万円以内であることが示すように、単価は小さく、件数を積み上げて回収する事業である。人材の採用と育成、監視の体制が先に立ち、月額の収入が追いつくまで赤字が続く。価格の要件は実証の結果を踏まえて検討されるため、初期の収益見通しには幅がある。既存の保守事業のキャッシュフローで何年の先行投資を支えられるのか、損益分岐となる契約件数はいくつかを、資本性の資金や長期借入を考える前に数字で詰めなければならない。解約率が想定より悪い場合の試算も同様である。
丸をつけて返した調査票は、何を語るのか
総務の担当者が丸をつけて返していた調査票は、形式的な事務に見えた。実のところ、それは取引先が相手の危うさを測ろうとする、ごく初期の試みだったのかもしれない。
次に届くのは、調査票ではなく、星の有無を問う一行になる可能性がある。その時、対策費の稟議に添える比較の相手は、73万円のままでよいのか。
出典
本記事は一般的な情報提供を目的としたものであり、個別の融資判断・税務判断・投資判断を示すものではありません。制度内容は改正される場合があります。実行にあたっては必ず一次情報をご確認のうえ、金融機関または専門家にご相談ください。