ソフトクリエイト調査、25%の企業がランサムウェア被害を経験

近年、サイバー攻撃のニュースが後を絶たず、多くの企業がその脅威を身近なものとして認識するようになりました。しかし、実際にどのような被害が発生し、企業がどのような課題に直面しているのか、具体的な実態は把握しにくいものです。本記事では、ソフトクリエイトが実施したアンケート調査「情報システムの現状とITシステム活用実態アンケート2026」の結果をもとに、企業のサイバー攻撃被害の実態と、セキュリティ対策における具体的な課題、そしてその解決に向けたヒントを深く掘り下げて解説します。

25%の企業がランサムウェア被害を経験

ソフトクリエイトが実施した「情報システムの現状とITシステム活用実態アンケート2026」で、「セキュリティインシデント経験あり」と回答した企業は36.6%に上ることが分かりました。

インシデントの内容を詳しく見ると、「クライアントPCのウイルス感染」が48.3%で最多。次いで「サーバ・社内システムのウイルス感染・不正アクセス」が25.1%、「ランサムウェア被害」が24.6%でした。このほか、ビジネスメール攻撃やDoS攻撃、フィッシング攻撃などの報告もあり、サイバー攻撃の手法がますます多様化している実態がうかがえます。これは、特定の対策だけでは不十分であり、多角的な視点でのセキュリティ強化が求められていることを示唆しています。

また、特に注意したい攻撃として「Active Directoryへの攻撃」が挙げられます。経験企業は4.3%と割合は高くありませんが、Active Directoryが乗っ取られると、社内のシステムやネットワークの権限・認証に関する中枢が奪われることになり、企業にとって計り知れない大きな被害につながる恐れがあります。例えば、社内PCにマルウェアなどのウイルスを一斉に感染・実行させるといった手口も考えられます。これまでActive Directoryへのセキュリティ対策を行ってきた企業も、改めてその見直しを検討し、対策が不十分な企業は自社の弱点を把握してセキュリティを強化していく必要があります。

セキュリティ課題は人材・知識不足と侵入後の対応

サイバー攻撃の脅威が高度化・巧妙化する中、日本政府も「サイバーセキュリティを担う人材の確保・育成は急務」と掲げ、官民共通の「人材フレームワーク」策定に向けた議論を開始しています。このような背景の中、企業が抱えるセキュリティ対策の「体制・運用」面の課題はどのようなものなのでしょうか。アンケート結果から見ていきましょう。

最も多かった課題は「セキュリティ対策できる体制・人材・リソースが無い」で47.0%。次いで「自社内のセキュリティに関する専門知識や知見が不足している」が45.4%、「経営層・上司のセキュリティ対策への理解不足」が33.4%という結果でした。この結果は、多くの企業がセキュリティ対策の重要性を認識しつつも、それを実行するための人的リソースや専門知識が決定的に不足している現状を浮き彫りにしています。特に中小企業においては、専任のセキュリティ担当者を置くことが難しい場合も多く、この課題はより深刻であると考えられます。

また、経営層や上司の理解不足を挙げる企業が多い点も注目に値します。セキュリティ対策は、単なるIT部門の業務ではなく、企業全体の事業継続に関わる重要な経営課題です。報道されるサイバー攻撃の事例などを活用しながら、経営層への地道な啓蒙・教育を進めることが、組織全体のセキュリティ意識を高める上で不可欠であると言えるでしょう。

代表的なセキュリティフレームワークで見ると、インシデント後の「対応」「復旧」に6割が課題あり

企業のセキュリティ対策をより体系的に評価するため、世界的に広く活用されているセキュリティフレームワークである「NIST Cybersecurity Framework（NIST CSF）」に照らし合わせて、どこに課題があるのかを聞きました。NIST CSFは、セキュリティリスクを管理するための枠組みを整理したもので、「識別・防御・検知・対応・復旧」の5つの主要機能から構成されています。NIST CSF 2.0版では、この機能に「統治」も加えられています。

この調査結果から見ると、多くの企業がサイバー攻撃のプロセスにおける序盤、すなわち「①識別（33.4％）」や「②防御（36.6％）」「③検知（46.8％）」といった、侵入を未然に防ぐための対策に集中していることがうかがえます。一方で、セキュリティインシデントが発生した後の「④対応（59.6％）」と「⑤復旧（56.7％）」への備えが遅れているという実態が明らかになりました。

近年、サイバー攻撃は高度化・巧妙化し、完全に防ぐことは極めて難しいと言われるようになりました。だからこそ、万が一侵入を許してしまった場合に、いかに迅速にそれを検知し、被害を最小限に抑え、事業を復旧させるかという「事後対応能力」が企業のレジリエンス（回復力）を左右します。このフレームワークを活用することで、自社のセキュリティ対策がどの段階で手薄になっているのかを客観的に把握し、バランスの取れた対策へと見直すことが重要です。

まとめ

今回のアンケート調査結果から、多くの企業がサイバー攻撃の脅威に直面し、特にランサムウェア被害の経験が少なくないことが明らかになりました。また、セキュリティ対策においては、人材・知識の不足が大きな課題であり、さらにインシデント発生後の「対応」と「復旧」への備えが手薄になっている実態が浮き彫りになりました。

サイバー攻撃は日々進化しており、完全に防ぎきることは困難です。だからこそ、「侵入されることを前提とした対策」、すなわち、早期検知から迅速な対応、そして事業復旧までのプロセスを確立することが、企業の事業継続にとって極めて重要となります。本記事で紹介したNIST CSFのようなフレームワークを活用し、自社のセキュリティ体制を総合的に見直し、バランスの取れた強化を検討してみてはいかがでしょうか。

なお、本コラムでは調査結果の一部を紹介しましたが、より詳しいデータや分析については、下記の出典をご覧ください。今後の情報システム部門の取り組みの参考になれば幸いです。