2025年は、アサヒグループホールディングスの生産停止やアスクルの物流停止、証券口座の乗っ取りといった事案が相次いで報じられ、サイバー攻撃が事業そのものを止めうるリスクだと改めて突きつけられた一年でした。去年と同じ対策のままでよいのか、自社は何を優先すべきか——年度の節目にそう考え始めた担当者の方も少なくありません。
とはいえ、脅威の全体像と優先順位が定まらないままでは、経営層への説明も、限られた予算の配分も進みません。「攻撃は年々高度化している」という一般論ではなく、2025年に実際に何が狙われ、去年から何が変わったのかを、出所のはっきりした情報で把握することが出発点になります。
本記事では、2025年のサイバー攻撃の脅威の全体像を公的機関のデータで整理したうえで、国内で実際に起きたインシデント、中小・中堅企業がとくに狙われる脅威、脅威ごとに優先すべき対策、予算が限られても使える公的支援制度、そして最初の一歩までを解説します。
目次
一括ダウンロードする
2025年のサイバー攻撃の脅威｜「情報セキュリティ10大脅威 2025」で全体像をつかむ
ここからは、2025年に組織が直面する脅威の全体像を確認します。独立行政法人情報処理推進機構（IPA）が公表する「情報セキュリティ10大脅威 2025」は、前年に社会的影響が大きかった事案から、研究者や企業の実務担当者など約200名の選考会が審議・投票して順位を決めたものです。自社の優先順位を考える土台として、まず組織向けの10項目を押さえておきましょう。
| 順位 | 脅威（組織向け） | 初選出年 | 10大脅威での取り扱い |
|---|---|---|---|
| 1位 | ランサム攻撃による被害 | 2016年 | 10年連続10回目 |
| 2位 | サプライチェーンや委託先を狙った攻撃 | 2019年 | 7年連続7回目 |
| 3位 | システムの脆弱性を突いた攻撃 | 2016年 | 5年連続8回目 |
| 4位 | 内部不正による情報漏えい等 | 2016年 | 10年連続10回目 |
| 5位 | 機密情報等を狙った標的型攻撃 | 2016年 | 10年連続10回目 |
| 6位 | リモートワーク等の環境や仕組みを狙った攻撃 | 2021年 | 5年連続5回目 |
| 7位 | 地政学的リスクに起因するサイバー攻撃 | 2025年 | 初選出 |
| 8位 | 分散型サービス妨害攻撃（DDoS攻撃） | 2016年 | 5年ぶり6回目 |
| 9位 | ビジネスメール詐欺 | 2018年 | 8年連続8回目 |
| 10位 | 不注意による情報漏えい等 | 2016年 | 7年連続8回目 |
上位の顔ぶれは、ランサム攻撃（1位）・サプライチェーンや委託先を狙った攻撃（2位）・システムの脆弱性を突いた攻撃（3位）と、ここ数年連続して選ばれている脅威が占めています。IPAは「順位に関わらず自身に関係のある脅威に対して対策を行う」ことを期待しており、順位の高さだけでなく、自社の環境に当てはまる脅威を見極めることが大切です。
出典・参考資料（1件）
2025年に目立った新しい動き（生成AIの悪用・証券口座の乗っ取り・地政学的リスクの初選出）
10大脅威のうち9項目は過年度からの連続・再選出で、2025年の新顔は7位の「地政学的リスクに起因するサイバー攻撃」だけです。国家間の対立を背景にした攻撃が、企業にとっても無視できない脅威として初めて選出されました。
攻撃の手口にも2025年ならではの変化が見られます。キヤノンマーケティングジャパンのレポートによれば、2025年は国内で証券口座のアカウント乗っ取り被害が急増し、とくに3月以降に不正アクセスや不正取引の件数が急激に増えました。あわせて、生成AIの活用で日本語の精度が上がり、より巧妙化した攻撃も確認されています。
従来は不自然な日本語で見抜けたフィッシングメールが、見分けにくくなっているということです。証券口座の乗っ取りは個人の口座が主な標的ですが、同じ手口は取引先や自社の従業員をかたるメールにも使われ、企業にとっても無縁ではありません。
出典・参考資料（2件）
2025年に国内で実際に起きた主なサイバーインシデント
脅威の一覧だけでは、自社にとっての切実さは実感しにくいものです。ここでは、2025年に国内で公表された具体的なインシデントを時系列で見ていきます。トレンドマイクロの集計では、2025年1月〜12月に公表されたセキュリティインシデントは559件で、1日あたり約1.5件のペースでした。
公表件数は前年2024年の622件から559件へ、ランサムウェア被害の公表も2024年の98件から87件へと、いずれも前年を下回りました。ただし公表ペースの鈍化とは裏腹に、事業停止や復旧に数か月を要する深刻な事案が目立った点に注意が必要です。
| 2025年に公表された主な国内インシデント | 2025年1〜3月 | 2025年4月 | 2025年5月 | 2025年9月 | 2025年10月 |
|---|---|---|---|---|---|
| 組織・サービス | 日本航空、NTTドコモ ほか | インターネットイニシアティブ（IIJ） | PR TIMES | アサヒグループホールディングス | アスクル |
| 公表された内容 | DDoS攻撃による一時的なサービス障害を複数社が公表 | メール製品「Active! mail」のゼロデイ脆弱性を悪用した不正アクセス被害を公表 | 不正アクセスにより90万件以上の情報漏えいの可能性を公表 | サイバー攻撃による一部生産活動の停止を公表。その後、ランサムウェア攻撃による150万件以上の情報漏えいの可能性を公表（記者会見は11月） | ランサムウェア攻撃を受け、物流サービスの一部停止を公表 |
※各社の公表内容をもとに作成。「可能性」等の留保は各社発表に準じます。
報じられたのは知名度の高い企業が中心ですが、これは大企業だけの問題ではありません。次の章で見るとおり、規模の大小を問わず狙われるのが2025年の実態です。
注目すべきは、暗号化を伴わない攻撃や、委託先を経由した二次被害が目立ったことです。クラウドストレージ上のデータを直接削除する手口や、取引先の被害が自社に波及する形など、「自社のサーバーさえ守れば安心」とは言えない事案が相次ぎました。これらの事例は、被害組織自身が攻撃経路や要因を公表しているケースも多く、自組織のリスクを見直す貴重な手がかりになります。
中小・中堅企業がとくに狙われる脅威（ランサムウェア・サプライチェーン・委託先経由）
ここからは、専任のセキュリティ担当者を置きにくい中小・中堅企業の視点で、どの脅威が自分事になりやすいかを絞り込みます。攻撃者が特定の一社を狙い撃つより、「網にかかった脆弱な組織」を手当たり次第に攻撃する傾向が強まっており、知名度の大小にかかわらず被害に遭うリスクが高まっています。
とくに深刻なのが、取引先を経由した被害の連鎖です。トレンドマイクロの集計では、攻撃の起点が判明した事案のうち最も多かったのは「他組織」を経由したもので111件にのぼり、その大半にあたる105件が委託元を経由した不正アクセスでした。自社の対策が十分でも、データを預けた委託先や取引先が侵入口になれば、被害は避けられません。
国の認識も同じ方向を向いています。内閣サイバーセキュリティセンター（NISC）の「サイバーセキュリティ2025」は、サプライチェーンの一部への攻撃が全体に影響を及ぼしうる状況を指摘しています。そのうえで、中小企業等を含めたサプライチェーン全体で、対応力に応じたセキュリティ対策の実装を広げる必要があるとしています。
大企業に比べて対策が手薄になりがちな中小企業が、サプライチェーンを遡る攻撃の踏み台として狙われやすい、という構図です。
出典・参考資料（2件）
委託先や取引先を踏み台にして本来の標的へ侵入するこうした攻撃について、3つの手口や国内外の被害事例、取引先を含めた対策の進め方をさらに詳しく知りたい方は、以下の記事をご覧ください。
サプライチェーン攻撃とは？3つの手口・被害事例・取引先を含めた対策を解説
取引先の一社が攻撃を受けたことで、自社の生産や情報まで止まってしまう。そんなニュースを見て、あるいは取引先から「セキュリティ体制についてのアンケートに答えてほしい」と依頼が届き、「サプライチェーン攻撃」という言葉をあらためて確かめたくなった…
一括ダウンロードする
脅威別に見る、2025年に優先すべき対策
脅威の全体像がつかめたら、次は自社で何を優先するかです。ここでは主要な脅威ごとに、2025年の動きと、優先度の高い対策を整理します。すべてを一度に揃える必要はなく、自社で起こりうる脅威に近いものから着手するのが現実的です。
| 脅威別に優先したい対策 | ランサムウェア（10大脅威1位） | サプライチェーン・委託先経由（2位） | システムの脆弱性（3位） | 内部不正・情報漏えい（4位） | 標的型攻撃・ビジネスメール詐欺（5位・9位） | DDoS攻撃（8位） |
|---|---|---|---|---|---|---|
| 2025年の動き | 暗号化だけでなくクラウド上のデータ削除型も。事業停止・長期復旧の事例が目立つ | 委託元を経由した二次被害が最多（判明分111件中105件） | メール製品のゼロデイ脆弱性の悪用など、既知・未知の脆弱性を突く攻撃 | クラウドの認証情報（アクセスキー）の不正使用による削除・持ち出し事例 | 生成AIで日本語が巧妙化し、フィッシングを見分けにくい | 交通・通信など複数の大手がサービス障害を公表 |
| 優先する対策 | 攻撃者が到達できない隔離されたバックアップと、復旧・事業継続計画（BCP）が実際に機能するかの定期的な検証。端末での検知・対応（EDR） | 委託先・データ連携先のセキュリティ状況と契約の棚卸し。外部に公開している資産（Webサーバー等）の継続的な点検 | 脆弱性診断による弱点の把握と、速やかなパッチ適用。初期パスワードや管理者権限設定の見直し | 通信や操作の記録を残し、不審な動きを後から追えるようにする（通信の記録・監視）。クラウドの認証情報と権限の厳格な管理 | 多要素認証による認証情報の保護と、従業員向けの標的型攻撃メール訓練。入口での検知（UTM・メール対策） | 通信の急増を緩和する仕組みの用意と、障害時の連絡・復旧体制の整備 |
トレンドマイクロが2025年の国内インシデントの分析から挙げている予防の観点も、優先順位づけの参考になります。「基幹システムには直接の侵入経路はないはず」という思い込みを捨てて外部からアクセスできる要素を点検すること、バックアップからの復元とBCPが期待どおり機能するかを訓練で確かめること、クラウドの認証情報を適切に管理することなどです。
アサヒグループホールディングスの事案では、経営層自らがサイバーセキュリティに積極的に関わることの重要性を訴える展開になりました。対策は現場任せにせず、経営判断として関与することが被害の大きさを左右します。
では、こうした点検で実際にどのような弱点が見つかるのでしょうか。企業のネットワーク内部を診断している立場からは、特別な設備ではなく日常的に使う機器にこそ穴があるという指摘があります。
たとえば、先ほど申し上げた複合機、コピー機です。工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。
それから、ネットワーク機器やサーバーの管理者権限の問題もあります。一般ユーザー権限と管理者権限を分けて使うことはご存じの通りですが、実際に管理者権限でログインを試してみると、簡単に入れてしまうケースもあります。
海外ベンダーの視点も参考になります。パロアルトネットワークスは2025年の予測として、複数ベンダーに分散したセキュリティを統合型のプラットフォームに集約することや、AIの活用にガバナンスの枠組みを設けることを挙げています。人手の限られる組織にとっても、ツールを無秩序に増やすより運用を一本化する方向は参考になります。
出典・参考資料（2件）
2025年にもっとも警戒されたランサムウェアについては、予防・バックアップ・感染してしまったときの対応までを、限られた予算・人員でどの順に進めればよいか、以下の記事で手順に沿って解説しています。
優先対策を実装するソリューション（脅威別の対応カテゴリ）
ここからは、前の章で挙げた優先対策を、実際にどんなソリューションで実装できるかを見ていきます。端末を守るEDR、ネットワークの入口を固めるUTM、社内の通信を記録して事後に追跡できるようにする仕組み、そして脆弱性診断と隔離バックアップを組み合わせたパッケージなど、脅威に応じて選択肢は異なります。
ここでは、脅威別の対策に対応する代表的なサービスを、それぞれの脅威の文脈とともに紹介します。
【比較表】脅威別対策に対応する主なソリューション
以下は、このあと紹介するソリューションの比較表です。守る対象（端末・ネットワーク・通信の記録・診断と復旧）や主な機能、料金を一覧で見比べられます。料金が「要問い合わせ」のサービスは、導入台数や構成によって変わるため個別見積もりとなります。
| サービス名 | Eye"247" Safety Zone | Eye"247" Safety Zone USAV Ⅵ | Network Blackbox | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|
| 守る対象／レイヤー | 端末（エンドポイント） EPP＋EDR | ネットワーク入口＋端末＋人 （統合パッケージ） | ネットワーク通信 NDR（全パケットを記録） | 診断と復旧 （予防・復旧・補償パッケージ） |
| 対応する主な脅威 | ランサムウェア すり抜けマルウェア | ネットワークからの侵入 フィッシング／標的型メール ランサムウェア | 内部不正・不審な通信 ラテラルムーブメント 委託先経由の痕跡追跡 | 脆弱性の放置 ランサムウェア（バックアップ破壊への備え） サプライチェーン |
| 主な機能 | EPP＋EDRを単一製品に搭載 振る舞い検知（ATC） ランサムウェア時のファイル自動バックアップ／リストア フィッシングサイトの自動ブロック | Check Point製UTM（FW・IPS等） EPP／EDR（Safety Zone） 業務可視化・情報漏えい対策 標的型攻撃メール訓練（年2回） | ネットワークの全パケットを収集・保存 シグネチャ＋ユーザー行為ベース検知＋コンテンツ分析 MITRE ATT&CKベースの脅威ハンティング 通信を遡るフォレンジック | 月次（年12回）の内部脆弱性診断（VDP） 隔離経路への自動バックアップ（CRA） サイバー保険の自動付帯 |
| 提供形態 | 端末にインストールするソフト＋管理コンソール | UTM機器を含むハードウェア同梱の統合パッケージ（10〜200台規模） | ミラーリング方式で導入（提供形態は公表なし） | 専用通信経路でのリモート診断＋隔離バックアップ（設置10分・最短2週間） |
| 料金 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 1台1,250円／月〜 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
1. Eye”247″ Safety Zone（株式会社フーバーブレイン）
端末を守るエンドポイントセキュリティソフトで、従来型のマルウェア対策（EPP）と、不審な挙動を検知して対応するEDRの両機能を単一の製品に搭載しています。提供元は東証スタンダード市場に上場する株式会社フーバーブレインです。
検知エンジンにはBitdefenderのものを採用し、アプリケーションの動作を常時監視する振る舞い検知（ATC）で未知の脅威にも対応します。ランサムウェア対策としては、ファイルを自動でバックアップし、被害時に直近のバックアップからリストアできる機能を標準で備えています。2025年に目立ったランサムウェア被害への実務的な備えになります。
専任のセキュリティ担当者を置きにくい中堅・中小企業を想定しており、料金は導入台数や契約期間に応じた個別見積もり（要問い合わせ）となっています。
2. Eye”247″ Safety Zone USAV Ⅵ（株式会社フーバーブレイン）
同じフーバーブレインが提供する、ネットワーク・端末・人への対策を1つのパッケージにまとめた統合型のソリューションです。Check Point製のUTM（ファイアウォールやIPSなどを備えたネットワーク機器）に、端末を守るEye”247″ Safety Zone、業務の可視化と情報漏えい対策を担うソフト、そして標的型攻撃メール訓練を組み合わせています。
入口（ネットワーク）・端末・人という複数の層を1契約でまとめて導入できるため、個別に製品を選定・運用する余力がない企業に向いています。標的型攻撃メール訓練が年2回標準で付帯する点も、生成AIで巧妙化するフィッシングへの備えとして実務的です。クライアント数10〜200台規模の構成を想定し、料金は販売代理店経由の個別見積もりとなります。
3. Network Blackbox（株式会社クワッドマイナージャパン）
ネットワークを流れる通信そのものを収集・保存して脅威を検知・分析するNDR（Network Detection and Response）製品です。開発・提供は株式会社クワッドマイナージャパン。ミラーリング方式で導入するため既存のネットワークへの影響を抑えられ、パケットを損失なく収集・保存します。
シグネチャによる既知攻撃の検知に加え、ユーザーの行為を記録して異常を見つける検知や、通信内容を復元するコンテンツ分析を組み合わせます。通信を遡って「いつ・どこへ・何が送られたか」を調べられるため、内部不正や、侵入後に時間をかけて広がる攻撃の事後調査（フォレンジック）に強みがあります。EDRやSIEMとはSyslogやREST APIで連携する補完的な位置づけで、料金は要問い合わせです。
4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
国産のセキュリティ技術「KATABAMI」を使い、予防・復旧・補償を一体で提供するパッケージ型のサービスです。提供元は株式会社SYNCHRO。常駐型の検知製品というより、脆弱性診断・バックアップ・保険を束ねて被害の「入口を塞ぐ・被害後に戻す・損失を補う」までをカバーする設計です。
予防は、ネットワークの内側から月次（年12回）で脆弱性を診断し、対策案をレポートで提示します。訪問型の診断と違い、専用の通信経路を使ってリモートで内部診断できるため、継続的に実施しやすい点が特徴です。復旧では、攻撃者から見えない隔離された経路とバックアップ先にデータを自動で保管し、24時間前までの状態から復旧できます。
さらに、あいおいニッセイ同和損害保険のサイバー保険（賠償責任1億円・費用損害3,000万円）が自動付帯します。料金は1台あたり月額1,250円からで、端末台数（ノード数）と診断頻度に応じて変動します。
ここで取り上げたのは代表的な4サービスです。端末・ネットワーク・通信の記録・診断と復旧など、守る対象ごとにどんなタイプのソリューションがあり、何を基準に選べばよいかを一通り比較検討したい場合は、以下の記事で全体像を解説しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
国の方針と、予算が限られても使える公的支援制度
対策の方向性は見えても、予算と人手がネックになるのが実情です。国や公的機関は、中小企業が少ない負担で対策を進められるよう複数の支援制度を用意しています。ここでは、今日から使える制度を先に整理し、そのあとで背景にある国の方針を押さえます。
予算が限られても使える公的支援制度
以下は、中小企業が活用しやすい主な支援制度を、内容・費用の目安・申込先とともにまとめたものです。
| 中小企業が活用できる主な公的支援制度 | SECURITY ACTION | サイバーセキュリティお助け隊サービス | IT導入補助金 セキュリティ対策推進枠（現・デジタル化・AI導入補助金） | 情報処理安全確保支援士（登録セキスペ） | JC-STAR（セキュリティ要件適合評価・ラベリング制度） | サプライチェーン対策評価制度（参考） |
|---|---|---|---|---|---|---|
| 何をしてくれるか | 中小企業が自ら情報セキュリティ対策に取り組むことを自己宣言する制度。一つ星は「情報セキュリティ6か条」に取り組み、二つ星は基本方針を定めて外部に公開する。取引先へ取り組み姿勢を示せる | 中小企業に必要な監視・駆けつけ・保険などを、民間事業者がワンパッケージで安価に提供（IPAが制度を運営） | お助け隊サービスの利用料（最大2年分）を補助。初期費用の負担を抑えられる | サイバーセキュリティの国家資格者による支援。国は中小企業とのマッチング促進を進めている | IoT製品のセキュリティ要件への適合を評価・表示する制度。ラベルの付いた製品を選べば、個別に製品の安全性を調べる手間を減らせる | 取引上の重要度に応じたセキュリティ水準を評価する制度（2026年度内に整備予定） |
| 費用の目安 | ロゴ使用は無料（宣言は無償で取り組める。IPAが対策状況を認定するものではない） | 台数課金で月数百円〜2千円程度／台が目安（事業者・プランで変動） | 補助額5万円〜150万円／補助率は小規模事業者2/3以内・中小企業1/2以内 | 相談・支援内容による | 製品を選ぶ側が参照する分は費用はかからない（適合評価・ラベル取得の費用は製品の提供側が負担） | —（現時点では未運用） |
| 申込先 | IPA（SECURITY ACTION） | IPA掲載の提供事業者一覧から選ぶ | 中小企業デジタル化・AI導入支援事業の公式サイト | IPA（登録セキスペ制度） | IPA（JC-STAR） | —（整備後に案内予定） |
とくにSECURITY ACTIONの自己宣言は無償で始められ、補助金の申請要件にもなっています。お助け隊サービスの利用料はIT導入補助金（セキュリティ対策推進枠）の補助対象なので、制度を組み合わせれば初期負担をかなり抑えられます。なお、サプライチェーン対策評価制度は整備中のため、現時点では申込みできません。
出典・参考資料（4件）
政府の方針と能動的サイバー防御関連法（2025年5月成立）
制度の背景には、政府の方針の転換があります。NISCの「サイバーセキュリティ2025」は、重要インフラの安定稼働の確保、中小企業を含めたサプライチェーン全体の水準の引き上げ、国民一人ひとりの対策の促進を柱に掲げています。
2025年5月には、いわゆる「能動的サイバー防御」を可能にする法律が成立しました。正式には「重要電子計算機に対する不正な行為による被害の防止に関する法律」（新法）と、その施行に伴う関係法律の整備法を合わせたもので、通称「サイバー対処能力強化法」と呼ばれます。主な柱は次の3つです。
- 官民連携の強化：基幹インフラ事業者が攻撃を受けた際の政府との情報共有や、政府から民間への情報共有・対処支援を強めます
- 通信情報の利用：攻撃の実態を把握するため、「通信の秘密」に配慮しつつ、独立機関（サイバー通信情報監理委員会）の監督のもとで通信情報を利用・分析する制度を設けます
- アクセス・無害化：被害の防止を目的として、攻撃元へのアクセス・無害化の措置を可能にします
このほか、組織・体制の整備も含まれます。企業に直接の義務を課す制度ではなく、一般企業がこの法律を受けて今すぐ新たに導入や届け出をする必要はありません。
自社が今やるべき対策が変わるわけではありませんが、国が攻撃の兆候を事前に把握し被害を未然に防ぐ方向へ動いていることは、自社の対策方針を考えるうえでの前提として押さえておきたい変化です。
まず何から始めるか｜最初の一歩
最後に、ここまでの内容を実際の行動につなげる順序を整理します。やることが多く見えても、無償・低コストの施策から段階的に進められます。
- まずSECURITY ACTIONの自己宣言で、自社の対策状況を点検します（無償で取り組めます）
- 自社だけで手が回らない部分は、サイバーセキュリティお助け隊サービスや情報処理安全確保支援士の支援を活用します（IT導入補助金の対象になる場合があります）
- 自社で起こりうる脅威に近い対策から、具体的なソリューションの導入を検討します（端末の検知ならEDR、通信の記録ならNDR、予防と復旧なら脆弱性診断＋隔離バックアップ）
- 社員教育と、対策の見直しを続ける体制づくりを並行して進めます
セキュリティ対策に「ここまでやれば終わり」というゴールはありません。脅威の動向を踏まえて優先順位を見直し続けることが、限られた人手と予算で被害を防ぐ現実的な進め方になります。
出典・参考資料（2件）
専任の担当者も潤沢な予算もない中で、何を・どの順で・いくらで進めればよいかを費用感つきの一覧で確かめたい方は、以下の記事が具体的な出発点になります。
まとめ
2025年の脅威は、ランサムウェア・サプライチェーンや委託先経由の攻撃・システムの脆弱性を軸に、生成AIの悪用や証券口座の乗っ取りといった新しい動きが加わりました。国内では事業停止級の深刻なインシデントが相次ぎ、自社だけでなく委託先を含めた備えが欠かせないことが改めて示されました。
対策は、脅威の優先順位に応じて、隔離バックアップやEDR、通信の記録、脆弱性診断などから着手するのが現実的です。SECURITY ACTIONやお助け隊サービス、IT導入補助金といった公的支援を組み合わせれば、予算が限られていても一歩を踏み出せます。まずは自社の状況を点検し、必要なソリューションの資料を取り寄せて比較検討することから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 能動的サイバー防御とは何ですか？
A. 能動的サイバー防御とは、攻撃の兆候を事前に把握し、被害が出る前に攻撃元へのアクセスや無害化の措置までを行って被害を未然に防ぐという、国の新しい取り組み方針です。2025年5月には、これを可能にする法律（新法と関係法整備法を合わせた通称「サイバー対処能力強化法」）が成立しました。
官民連携の強化、独立機関の監督のもとでの通信情報の利用、攻撃元へのアクセス・無害化の3つを柱とし、国が被害を未然に防ぐ方向へ動いていることを示す制度です。
Q. 能動的サイバー防御関連法の成立で、企業がすぐに対応すべき義務は増えますか？
A. 能動的サイバー防御関連法は、一般企業に直接の新しい義務を課す制度ではありません。同法（2025年5月成立）は、基幹インフラ事業者と政府の情報共有や、政府による攻撃元の無害化などを可能にする枠組みで、企業がすぐに何かを届け出たり導入したりする義務を負うものではありません。
ただし、国が攻撃の兆候を事前につかんで被害を防ぐ方向へ動いていることは、自社の対策方針を考えるうえでの前提として押さえておきたい変化です。
Q. 中小企業はサイバーセキュリティ対策を何から始めればよいですか？
A. 中小企業のサイバーセキュリティ対策は、まず無償で取り組めるIPAの「SECURITY ACTION」で自社の対策状況を点検することから始めるのが現実的です。
そのうえで、自社だけで手が回らない部分はサイバーセキュリティお助け隊サービスや情報処理安全確保支援士の支援を活用し、自社で起こりうる脅威に近いソリューション（端末の検知ならEDR、通信の記録ならNDR、予防と復旧なら脆弱性診断＋隔離バックアップ）の導入を検討します。社員教育と、対策を見直し続ける体制づくりを並行すると、限られた人手と予算でも無理なく進められます。
Q. 予算が限られていても使えるサイバーセキュリティの補助金・支援制度はありますか？
A. サイバーセキュリティ対策には、IT導入補助金のセキュリティ対策推進枠（現・デジタル化・AI導入補助金）で「サイバーセキュリティお助け隊サービス」の利用料を補助してもらえる制度があります。補助額は5万円〜150万円、補助率は小規模事業者が2/3以内・中小企業が1/2以内です。
無償の「SECURITY ACTION」自己宣言は補助金の申請要件にもなっているため、自己宣言→お助け隊サービス→補助金という組み合わせで初期負担をかなり抑えられます。
Q. ランサムウェア対策で最優先すべきことは何ですか？
A. ランサムウェア対策では、攻撃者が到達できない隔離されたバックアップを用意し、そこから実際に復旧できるか（事業継続計画が機能するか）を定期的に検証しておくことが最優先です。2025年は暗号化だけでなくクラウド上のデータを直接削除する手口も見られ、事業停止や長期復旧に至る深刻な事案が目立ちました。
あわせて、端末での検知・対応（EDR）を備えておくと、侵入の早い段階で不審な動きを捉えやすくなります。
Q. 自社の対策が十分でも、取引先や委託先を経由して被害に遭うことはありますか？
A. サイバーセキュリティ対策は、自社の守りが十分でも、データを預けた委託先や取引先が侵入口になれば被害を避けられません。2025年の国内インシデントの集計では、攻撃の起点が判明した事案のうち最も多かったのが「他組織」を経由したもので、委託元を経由した不正アクセスが目立ちました。
委託先・データ連携先のセキュリティ状況と契約を棚卸しし、外部に公開している資産（Webサーバー等）を継続的に点検することが、サプライチェーンを遡る攻撃への備えになります。
Q. 2025年はサイバー攻撃の被害件数が減っているなら、対策は急がなくてもよいですか？
A. 公表件数が鈍化していても、2025年は事業停止や数か月の復旧を要する深刻な事案が目立っており、対策を後回しにできる状況ではありません。
トレンドマイクロの集計では、2025年に公表されたインシデントは559件（前年622件）、ランサムウェア被害の公表は87件（2024年は98件）と件数自体は減っています。ただし、アサヒグループホールディングスの生産停止やアスクルの物流停止のように、1件あたりの影響が大きい事案が相次ぎました。件数の増減だけで被害が軽くなったとは判断できません。
Q. 生成AIの影響で、フィッシングメールは見分けにくくなっていますか？
A. サイバー攻撃では、生成AIの活用で日本語の精度が上がり、従来は不自然な日本語で見抜けたフィッシングメールが見分けにくくなっています。2025年は証券口座のアカウント乗っ取り被害も急増しました。人の目だけに頼るのは難しくなっているため、多要素認証で認証情報を保護し、従業員向けの標的型攻撃メール訓練や入口での検知（UTM・メール対策）を組み合わせることが有効です。
社内セキュリティ対策の料金・資料を一括チェック
MCB FinTechカタログでは、EDR・UTM・NDR・脆弱性診断など、社内セキュリティ対策に使えるサービスの最新資料を無料で一括請求できます。機能や料金、サポート体制を見比べて、自社の優先課題に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
