情シス必見 中堅・中小企業のランサム対策費用はどう変わったのか

中堅・中小企業がランサムウェア対策などの「守りのIT」への費用を2025年に増加させる傾向が判明した。これは年商の大小に左右されない傾向だ。特にネットワークから隔離されたバックアップや、専門家不足を補うセキュリティ責任者代行サービスへの需要が拡大した。

[後藤大地，キーマンズネット]

　ランサムウェア対策は、どのような業種、どのような規模の企業であっても避けて通れない課題になってきた。

　中堅・中小企業を対象とした調査では、ランサムウェア対策などの費用が2025年に増える傾向があることが分かった。ネットワークから隔離したバックアップの需要やセキュリティ責任者を代行するような支援サービスの需要が伸びており、製品・運用支援強化が求められている。

中堅・中小のセキュリティ費用、年額拠出が全規模帯で増加

　調査結果を発表したのはノークリサーチだ。

　ノークリサーチは2025年11月4日、中堅・中小企業におけるランサムウェア対策と、守りのITへの年額拠出費用に関する調査結果を公表した。調査時期は2025年7〜8月だ。同社の「2025年版 中堅・中小企業のセキュリティ／運用管理／バックアップ利用実態と展望レポート」の一部だ。

　中堅・中小企業を対象に調査したところ、有効回答数が1300社分集まった。ランサムウェア攻撃への対応やバックアップ対策を含む守りのIT分野について、支出の動向と今後のニーズを分析した。同社によれば、企業規模を問わず2024年から2025年にかけてセキュリティやバックアップに向けた費用が増加した。

　小規模企業層（※）では21万8000円から24万円、中小企業層では130万3000円から137万9000円、中堅企業層では426万9000円から483万9000円へと、それぞれ増えた。年商規模による金額差は大きいものの、いずれの層でも守りのITを強化する意識が高まっている。これは近年のランサムウェア被害の増加が背景にあると同社は分析した。

（※）ノークリサーチは小規模企業層を年商5億円未満、中小企業層を年商5〜50億円、中堅企業層を年商50〜500億円と定義した。

　特に「ネットワークから隔離されたバックアップ」（エアギャップ）への関心が高まっていた。ランサムウェアが社内LANに侵入して、そこに接続されていたバックアップデータも削除されたり、暗号化されたりする被害が報告されている。防御策としてLANから隔離された環境でのデータ保管を求める声が強まっている。調査ではこうしたニーズを尋ねたところ、全ての年商帯で肯定的な回答数が上昇しており、小規模企業層では6.0％から8.0％、中小企業層では7.2％から8.8％、中堅企業層では6.8％から7.4％に増えた。

　とはいえ、物理的なエアギャップ環境を構築することは、小規模・中小企業にとってコストや運用の面で負担が大きい。そのため、ストレージ内に隔離領域を設けるなど、比較的容易に導入できる仕組みの必要性がある。こうした機能を実現する製品・サービスの提供は、ベンダーにとって中堅・中小市場での差別化要素となる可能性があるとした。

人的ニーズも増加

　システム導入以外でも中堅・中小企業のセキュリティへのニーズが高まっていた。

　セキュリティ責任者を代行する相談サービスや、取引先への影響を考慮した対策啓発を求めるニーズなどだ。中小企業層では「取引先への影響も含めた対策の重要性を啓蒙（けいもう）してくれる」という項目への回答割合が16.2％に達しており、中小企業層（10.7％）や小規模企業層（8.0％）を上回った。中堅企業は大企業の下請けとなることもあり、被害発生時に取引先へ波及するリスクへの警戒感が強いことがうかがえる。

　「セキュリティ責任者の代わりとなる相談サービスがある」という項目では年商規模にかかわらず一定の回答割合を示した。中堅企業層は14.2％、中小企業層は15.0％、小規模企業層は14.0％だ。専門人材の不足が続く中、CIO（最高情報責任者）や情報セキュリティ責任者の役割を外部が補うサービスへの需要が広がっているとみられる。

　調査ではこの他、マルウェア対策やアカウント管理、運用管理・資産管理など20項目以上のニーズについても分析した。OSアップデートの支援や脆弱（ぜいじゃく）性対処方法の提示、放置アカウントの検出機能など、企業が求める具体的な機能項目が挙げられている。

　ノークリサーチは、これらの結果を踏まえ、中堅・中小企業の実情に即したランサムウェア対策製品や運用支援サービスの強化が必要だと結論付けた。バックアップの信頼性確保や限定的な人員でも運用可能な支援体制の整備が今後の課題だという。

　今回の発表は中堅・中小企業におけるセキュリティ投資の実態と課題を定量的に示すものであり、ITベンダーやサービス提供者が市場に求められる支援策を見直す上での重要な資料だ。