「利益を生むサイバーセキュリティ対策」2026

特に狙われやすい業種は？

「うちはアナログだから狙われない」という思い込みは危険です。事実、警察庁の統計でランサムウェア被害を業種別で分類した際、全226件のうち「製造業」が91件と、突出して第1位となっています。

なぜ、製造業がこれほど狙われ、かつ脆弱なのでしょうか？理由の1つは、現場における「部分的デジタル化」にあります。

DX・IoTで「古いPCをそのままネットにつなぐ」というリスク

現代の製造現場では、稼働データの収集やライン連携（IoT化・スマートファクトリー化）が急速に進んでいます。

しかし「正常に動けばいい」という理由から、Windows 7やXPといったサポート期限がとっくに切れた古いOSのまま長年放置されているケースが少なくありません。

※画像提供: PIXTA

かつてはインターネットから物理的に隔離されていたため安全だった古いOSのPCをそのままネットにつないでしまうと、外部の脅威に直接さらされてしまうのです。

DXやIoT、AI化を進めている最中の会社ほど、現場のPCが古いまま放置されている状態は危険といえます。

バックオフィスの放置が「シャドーIT」につながる

現場のデジタル化が進んでも、バックオフィスや生産管理のシステムが数十年前の「レガシーシステム」ではアンバランスです。もし使い勝手が悪い、動作が遅いなど、従業員が不満を抱いているなら、なおさら問題です。

PCの動作が遅い、機能が不便といった環境では、「予算のない会社に代わってプライベートのPCを仕方なく使おう」「会社に不満を言うよりも個人のAIツールで業務改善したほうが効率的だ」などの理由で、貴重な社内データをExcelなどの「会社が管理できない領域」に書き出して運用するようになります（シャドーIT）。

結果、従業員の善意から生まれた「お手製のExcelデータ」が、個人PCや管理外の端末へ持ち出され、ウイルス感染や重要な図面・機密情報の漏洩というセキュリティリスクの温床となっています。

製造業に限らず、AIやDXにこれから取り組んでいこうという会社であれば、このあたりの事情を従業員に聞くなどして把握しておきましょう。

セキュリティ対策が結果として「会社の利益」を最大化する理由

「セキュリティ対策は、利益を生まない」という考え方も、そろそろ見直しましょう。むしろ対策をしっかり行うことで、会社の利益向上につながります。どのような因果関係で利益に結びつくのか、守りと攻めの2つの側面から解説します。

側面1: 突発的な巨額損失を防ぎ、財務を健全に保つ

利益につながる側面の1つとして「損失を生み出さなくなる」という要素があります。さきほどお伝えした警察庁のデータでは、ランサムウェア被害に遭った企業が復旧までに要した費用は、実に5割以上の企業で「1,000万円以上」にのぼるとされています。

これにはシステムの復旧費用だけでなく、原因調査費（PC1台あたり約100万円、サーバー1台あたり約300万円が相場）や、操業停止期間中の営業損失なども含まれます。

※画像提供: PIXTA

セキュリティ対策は、こうした特別損失を計上する可能性を下げ、会社がつぶれる1つのリスクを排除します。結果として、利益につながります。

側面2: 取引先から選ばれる「信頼の証」となり、受注を勝ち取る

もう1つ、セキュリティ対策によって売上向上につながるケースを見ていきましょう。この記事でいちばん重要なポイントです。

前述のとおり、大企業や元請け企業はサプライチェーン攻撃の踏み台にされるリスクに強い危機感を持っています。そのため、取引先の選定基準や継続の要件に、セキュリティ対策への具体的な取り組み状況を厳しく含める動きが本格化しています。

ここで、「わが社はサポート切れOSを排除しています」「多要素認証を導入しています」「これがうちの有事の際のBCPです」と話せるだけで、競争優位性になります。特に大手の既存顧客との取引においては、セキュリティで遅れる他社を引き離し、優先的に新規大口案件を獲得できる強力な「営業フック」となるのです。

「レガシーシステム」から脱却するためのステップ

このように、利益につながる場合もあるのがサイバーセキュリティ対策です。しかし、大規模かつ古いシステムを抱える中堅・中小企業ほど、「事業の根幹を支えているため容易に刷新できない」というのが本音でしょう。

そこで、レガシーシステムから脱却するための現実的な2つのアプローチを提案します。低コストかつ少ない手間で、取引先からの信頼獲得や不測の事態における事業継続が可能になります。

アプローチ1: すべてを守ろうとせず、死守すべき「コア資産」から部分的に刷新する

社内すべてのシステムを一度に刷新する必要はありません。「このデータが止まったらとても困る」「これが流出したら明日から事業が継続できない」という重要な資産に的を絞り、優先順位をつけて予算を集中投下します。

優先すべき資産として考えられるのは、たとえば次のようなものでしょうか。

この「選択と集中」により、最小限のコストで経営の最大リスクをカバーします。優先的な項目であっても100%リニューアルするのではなく、使えるものを安全な状態で残す方法も考えます。

たとえば、「古いPCのすべてを置き換えるのではなく、ネットから隔離した運用にする」「メインネットワークに預けていたバックアップを、安全なクラウド領域へと移行する」「ログイン環境に多要素認証（MFA）を導入する」。こうした部分的な強化だけでも、相当数の不正ログインを防ぐことができます。

特に多要素認証はセキュリティを大幅に向上させます。米政府機関のサイバーセキュリティ・インフラセキュリティ庁（CISA）によると、「多要素認証によりハッキングのリスクを99%下げる」とされています（出典: The Cybersecurity and Infrastructure Security Agency）。

アプローチ2: 「100%防ぐ」ことを諦め、「侵入された後の被害最小化（BCP）」を設計する

日々巧妙化するサイバー攻撃を、コストをかけても完全に遮断することは不可能です。そこで重要になるのが、「侵入されることを前提」とした、有事におけるBCP（※2）の事前策定です。

※2 BCP（Business Continuity Plan）: 事業継続計画の略。企業が自然災害、大火災、テロ攻撃などの緊急事態に遭遇した場合において、事業資産の損害を最小限にとどめつつ、中核となる事業の継続あるいは早期復旧を可能とするために、平常時に行うべき活動や緊急時における事業継続のための方法、手段などを取り決めておく計画のこと。（引用: 中小企業庁）

2025年にアサヒグループがランサムウェア攻撃を受けた際、システムを用いた出荷ができなくなり、FAXやExcelを用いての手作業による出荷が行われていました。

このように、万一の際、「どの範囲のシステムを、どうネットワークから物理隔離し、誰が稼働を止める判断を下すか」「取引先へどう速やかに説明責任を果たすか」「手動対応する場合はどういったオペレーションか」をあらかじめ決めておきます。

警察庁のデータでは、被害を受けた企業のうち、サイバー攻撃を想定したBCPを策定していたのはわずか18%（111社中20社）にとどまっています。中小企業庁の『中小企業BCP策定運用指針』も最新版が2012年と古く、サイバーセキュリティ対策について言及されていません。

ここはぜひ、有事が発生する前に、「検知・隔離・判断・復旧」の4つのステップを整備し、自社が耐えられる納入停止の許容時間を定めておくようにしてください。