情報処理推進機構（IPA）は9月16日、中小企業のサイバーセキュリティ対策を専門事業者が1年間にわたって無償で支援する実証事業を公表し、参加企業の受け付けを始めた。公募で採択された15事業者が、対策状況の診断からセキュリティ規程の整備、機器の導入、申請書類の作成までを一括して請け負う。国が2026年度末ごろに運用を始める新しい評価制度で、中小企業が最低ラインとなる「★3」を取れるようにするのが狙いだ。

診断・対策・申請の3段階をひとまとめに

事業の名称は「サイバーセキュリティお助け隊サービス（新類型）」。支援は3段階に分かれる。まず評価制度の要求項目ごとに企業の対策状況を診断し、足りない項目を改善計画書にまとめる。次に、推奨される機器やソフトの導入に加え、セキュリティポリシーや事故発生時の手順書の整備、従業員教育といった、中小企業が自助努力では達成しづらい部分を代行する。最後に要求事項を満たしているかを専門家が確認し、申請書の作成まで手伝う。

採択されたのはNTTデータ、三井物産セキュアディレクション、富士フイルムビジネスイノベーションジャパン、NTTドコモビジネス、オプティム、GMOサイバーセキュリティ byイエラエなどの15者。大阪商工会議所やちばぎんコンピューターサービス、長崎県のイシマル、沖縄県のセキュアイノベーションといった地域密着の事業者も並び、商工会議所や地域金融機関の紹介網を使って参加企業を集める形をとる。対象業種は製造業を中心に据える事業者が多い。

実証期間は2026年10月から2027年9月までの1年間で、参加費は無料だ。参加企業は制度づくりに向けた意見の提出や、不審な通信を検知した際の情報提供に協力する。1社が複数の事業者に重複して参加することはできず、期間終了後も使い続ける場合は有償になる。

「★3」は取引先から示される最低ライン

背景にあるのが、経済産業省と内閣官房国家サイバー統括室が構築を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）である。運営主体はIPAで、2026年度末ごろの運用開始を予定している。

この制度は、発注元が取引先に「★いくつの対策をしてほしい」と段階を示し、実施状況を確認させる仕組みだ。段階は★3から★5までの3つで、★1・★2は設けていない。★3は一般的なサイバー攻撃に対処できる水準として基礎的な組織対策とシステム防御を求め、専門家の確認を付けた自己評価で取得する。★4は取引先のデータやシステムを守ることまで踏み込んだ水準で、第三者による評価が必要になる。★5はさらに高度な位置づけで、対策基準や評価の進め方は今後詰める。

裏を返せば、★3は発注元から「最低限ここまで」と示される線になる。取れない企業が取引の見直し対象になりうることを考えると、下請けの多い製造業にとっては経営に直結する話になる。今回の実証で15事業者が支援するのも大半が★3で、一部の企業が★4まで進む。

既存サービスは約1万900社、それでも★3には届かない

IPAは2021年度から中小企業向けに「お助け隊サービス」を運用しており、導入企業は2026年3月末時点で累計約1万900社にのぼる。ただ、このサービスは監視機器やソフトの導入支援が中心で、★3が求めるポリシー策定などの組織的な対策は一部しか達成できないとIPAは説明する。人手も資金も乏しい中小企業では、要求事項の理解や自社の現状把握そのものが難しいという指摘もあった。

そこで、機器の導入とコンサルティング・教育をひとまとめにした新しい類型をつくり、中小企業が導入しやすいサービスの組み立て方と、企業・事業者の双方が成り立つ価格の水準を実証で確かめる。IPAは有識者の意見を反映してサービス基準を作成し、2027年度末までの制度化を目指す方針だ。

被害226件、6割が中小企業

中小企業の対策が急がれるのは、攻撃の矛先が実際にそこへ向いているからだ。警察庁サイバー警察局が2026年3月にまとめた「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年のランサムウェア（データを暗号化して身代金を要求する不正プログラム）の被害報告件数は226件で、高い水準が続いている。被害企業を規模別に見ると前年と同様に中小企業が約6割を占め、業種別では製造業が約4割で最も多い。

被害に遭った企業・団体へのアンケートでは、調査や復旧に総額1000万円以上を要した組織が全体の5割を超えた。1か月未満で復旧できた組織は5割強にとどまり、被害が長期化する傾向が続いている。同局は、データを盗んだうえで「支払わなければ公開する」と迫る二重恐喝が被害の多くを占めていると指摘している。