ひとり情シス・情シス不在の会社はセキュリティをどう回す？中小企業の約7割が「各自の対応」という現実と、優先順位・費用・外部の使い方【中小企業向け】
「うちにセキュリティの専任担当なんていません」——中小企業のご相談で、いちばん多く聞く言葉です。実際に社内のパソコンやネットワークの面倒を見ているのは、総務や経理の方が本業のかたわらで、というケースがほとんどです。
先に結論をお伝えします。「ひとり情シス」の本当の問題は、人数が足りないことではありません。「困ったときに聞ける先がない」「起きたときにどうするかが決まっていない」という、仕組みの空白です。人を1人増やしても、この空白は埋まりません。逆に、人を増やさなくても埋められます。
そのうえで、もう1点お伝えしたいことがあります。IPA（情報処理推進機構）が中小企業4,191社に行った調査によると、情報セキュリティ対策を「組織的には行っていない（各自の対応）」と答えた企業は69.7％でした。つまり7割の会社には、そもそも「ひとり情シス」すら存在しません。「うちだけが遅れている」わけではないのです。
本記事では、中小企業の経営者・情報システム担当の方に向けて、ひとり情シス／兼任情シス／情シス不在の違い／中小企業の体制の実態／なぜ「相談先がない」が本質なのか／担当者が抜けると何が止まるか／体制の有無で被害額がどう変わるか／何から手をつけるか／費用と補助金／相談先の作り方までを、IPAの一次データをもとに整理します。
ひとり情シスとは？「兼任情シス」「情シス不在」と何が違う？
「ひとり情シス」とは、社内の情報システム（パソコン、ネットワーク、サーバー、クラウドサービスなど）の管理を、たった1人で担っている状態を指します。ただ中小企業の現場を見ていると、実際には次の3つの状態に分かれます。どの状態にいるかで、最初にやるべきことがまったく違います。
| 項目 | 専任のひとり情シス | 兼任情シス | 情シス不在 |
|---|---|---|---|
| 誰が担当しているか | IT専任の社員が1名 | 総務・経理・製造などの社員が本業のかたわらで | 決まった担当がいない（気づいた人が対応） |
| IPA調査での位置づけ | 「専門部署（担当者）がある」 9.3％ |
「兼務だが、担当者が任命されている」 21.0％ |
「組織的には行っていない（各自の対応）」 69.7％ |
| 多い会社の規模 | 100名前後から | 30〜100名前後 | 30名以下の小規模事業者に特に多い |
| 起きやすいこと | 属人化・過負荷・退職リスク | 本業が優先され後回し／知識が追いつかない | 誰も更新も点検もしていない状態が続く |
| 最初にやるべきこと | 引き継げる形に残す | やることを絞って自動化する | まず「誰が見るか」を決める |
注意していただきたいのは、「情シス不在」は「ひとり情シス」より前の段階であって、より危険だということです。ひとり情シスの会社には少なくとも「誰が対応するか」の答えがありますが、不在の会社にはそれすらありません。
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方
中小企業のセキュリティ体制は、いまどうなっている？
IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月公表・有効回答4,191社）は、この点をはっきり数字で示しています。
| 企業規模 | 専門部署（担当者）がある | 兼務だが、担当者が任命されている | 組織的には行っていない （各自の対応） |
|---|---|---|---|
| 全体（n＝4,191） | 9.3％ | 21.0％ | 69.7％ |
| 小規模企業者（n＝2,775） | 4.4％ | 11.1％ | 84.5％ |
| 中小企業・100名以下（n＝1,121） | 14.8％ | 37.6％ | 47.6％ |
| 中小企業・101名以上（n＝295） | 34.6％ | 51.9％ | 13.6％ |
この表からわかることは3つあります。
- 従業員30名以下の小規模事業者では、84.5％が「各自の対応」。ほぼすべての会社で、担当者が任命されていません。
- 100名を超えると一気に体制ができる。101名以上では、専任と兼務を合わせて86.5％が「担当者がいる」状態になります。
- 境目は100名前後。ここを越えるかどうかで社内の景色がまったく変わります。裏を返せば、100名以下の会社は「社内だけで体制を作る」以外の方法を選ばないと追いつけないということです。
補足：「ひとり情シスがつらい」の前に、「ひとり情シスすらいない」会社が7割あります。この記事を読んでいる方が「うちにはひとり情シスがいる」状態なら、それはすでに中小企業の上位3割に入っています。問題は、その1人にすべてが乗っていることです。
業種によっても差がある
同じ調査を業種別に見ると、体制の整備状況にははっきり差があります（「組織的には行っていない」は残りの割合です）。
| 業種 | 専門部署がある | 兼務だが担当者がいる | 組織的には行っていない |
|---|---|---|---|
| 製造業（n＝504） | 16.5％ | 31.9％ | 約51.6％ |
| 医療、福祉（n＝133） | 6.8％ | 34.6％ | 約58.6％ |
| 建設業（n＝566） | 7.6％ | 19.1％ | 約73.3％ |
| 不動産業、物品賃貸業（n＝410） | 6.6％ | 13.7％ | 約79.7％ |
| 小売業（n＝372） | 7.0％ | 12.4％ | 約80.6％ |
製造業で体制の整備が進んでいるのは、取引先から対策状況を問われる機会が多いためと考えられます。逆に小売業や不動産業は、取引先からの要請を受ける機会が少ないぶん、体制づくりが後回しになりやすい構造です。
▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策
ひとり情シスは、本当に増えているのか？
増えています。しかも中身が変わっています。ノークリサーチが年商500億円未満の中堅・中小企業800社に行った調査（2025年5月実施）によると、次のような変化が出ています。
| 区分 | 2023年 | 2025年 | 変化 |
|---|---|---|---|
| 情シス担当が1名（ひとり情シス）の割合 | 21.3％ | 24.5％ | ＋3.2ポイント |
| 年商5〜50億円層の「専任」 | 28.7％ | 16.7％ | −12.0ポイント |
| 年商5〜50億円層の「兼任」 | 48.0％ | 61.1％ | ＋13.1ポイント |
注目すべきは、ひとり情シスが3.2ポイント増えたことよりも、「専任」が12ポイント減り、その分がそっくり「兼任」に移っていることです。つまりいま起きているのは単純な人員削減ではなく、「ITだけを見ていた人が、他の仕事も持たされるようになった」という質の変化です。
本業を持ちながらITも見る人にとって、セキュリティは「今日やらなくても誰も困らない仕事」に見えます。だから後回しになる。これは担当者の意欲や能力の問題ではなく、優先順位のつけ方が構造的にそうなっているだけです。
なぜ「人が足りない」ではなく「相談先がない」が本質なのか？
同じIPA調査には、「人手不足」という言葉だけでは説明できない数字が並んでいます。
| IPA調査の数字 | 何を意味するか |
|---|---|
| 困ったときの相談先が「特にない」 50.8％（2,127社） |
社内に人がいないだけでなく、外に聞ける先もない。小規模事業者に限ると7割弱にのぼります。 |
| 従業員への情報セキュリティ教育を「特に実施していない」 63.6％（2,667社） |
ツールは入れていても、使う人の側の対策が丸ごと抜けている状態です。 |
| インシデント発生時の対応方法が「決まっていない」 37.3％ |
起きてから考えることになります。判断が遅れるほど被害は広がります。 |
| 社外の登録セキスペ（情報処理安全確保支援士）を活用 2.4％ |
専門家に相談するという選択肢が、まだ発想の中にないことを示しています。 |
もう1つ、示唆的な数字があります。IPAが「どんなサービスがあれば活用したいか」を聞いたところ、最も多かったのは「経営層向けの手引書」28.9％、次いで「経営層への教育」22.1％でした。一方で「企業専属のセキュリティコンサルティングサービス」は5.6％と、選択肢のなかで最も少ない回答でした。
つまり中小企業が求めているのは、丸ごと面倒を見てくれる高価な専門家ではなく、「何をどの順番でやればいいか」を示してくれるものだということです。ひとり情シスの方が本当に困っているのは、作業する手が足りないことよりも、自分の判断が正しいのかを確認できる相手がいないことなのです。
▶ 関連記事：10分でできる自社セキュリティ診断｜中小企業が今すぐ確認すべきチェックリスト
ひとり情シスだと、どの仕事から先に落ちるのか？
落ちる仕事には、はっきりした法則があります。IPAが「5分でできる！情報セキュリティ自社診断」の項目ごとに実施率を集計した結果を見ると、一目瞭然です（「実施している」＋「一部実施している」の合計）。
| 対策項目 | 実施率 | なぜそうなるか | 落ちると何が起きるか |
|---|---|---|---|
| OSやソフトウェアを最新の状態にする | 73.0％ | 自動更新があり、通知も来る | ―（比較的できている） |
| ウイルス対策ソフトの導入と定義ファイル更新 | 71.4％ | 買えば動く。人の判断がいらない | ―（比較的できている） |
| 緊急時の体制整備・対応手順の作成 | 39.8％ | 平常時に価値が見えず、後回しになる | 起きた日に判断できず、被害が広がる |
| 対策をルール化し、従業員に明示する | 39.2％ | 文書を書く時間がまとめて取れない | 人によって運用がばらばらになる |
| 新たな脅威や攻撃手口を知り、社内共有する仕組み | 37.9％ | 情報収集が個人の趣味的な作業になる | 新しい手口に丸腰で当たることになる |
この表の意味は明快です。「買えば終わる対策」は7割の会社ができている。「人が続けないと成立しない対策」は4割を切る。IPA自身も報告書で「組織的に取り組む必要のあるセキュリティ対策が進んでいない」と結論づけています。
ひとり情シスの会社で落ちるのは、ウイルス対策ソフトではありません。手順書と、点検と、共有です。そして皮肉なことに、いま被害の中心になっているランサムウェアや情報窃取は、まさにその落ちた部分を突いてきます。
▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策
▶ 関連記事：インフォスティーラーとは？ブラウザ保存のパスワードとCookieが盗まれる手口・多要素認証が突破される理由と対策
ひとり情シスの担当者が抜けたら、何が止まる？
ひとり情シス最大のリスクは、日々の負荷ではなく「その人がいなくなった日」です。退職だけでなく、入院や事故、急な家庭の事情でも同じことが起きます。
| 失われるもの | 分からないと何が起きるか | 今すぐできる手当て |
|---|---|---|
| 管理者アカウントとパスワード | サーバーやクラウドの設定を誰も変更できなくなる。最悪の場合、契約中のサービスに入れなくなる | パスワード管理ツールの共有金庫にまとめ、経営者もアクセスできるようにする |
| ネットワーク構成と機器の設置場所 | 障害が起きたときにどこを見ればいいのか分からない | 手書きでよいので構成図を1枚描き、共有フォルダに置く |
| 契約中のサービスとライセンス数 | 使っていないものに払い続ける／期限切れで突然止まる | IT資産管理ツールで自動的に棚卸しする |
| ベンダー・保守業者の連絡先と契約範囲 | 障害時にどこへ電話すればいいか分からない | 連絡先一覧を作り、複数人が見られる場所に置く |
| バックアップの取得先と復元手順 | 「取れているはず」が、実は数か月前から止まっていた | 復元テストを1度だけ実施し、その手順を記録する |
| 定例作業の予定（更新・棚卸し・証明書の期限） | 気づかないうちに期限が切れ、業務が止まる | 共有カレンダーに登録し、複数人に通知が飛ぶようにする |
担当者が「辞めそう」と分かってからでは間に合わないものが1つだけあります。管理者アカウントのパスワードです。他の情報は時間をかければ調べ直せますが、これだけは本人しか知らない場合、退職後に取り戻すのに数十万円と数週間かかることがあります。今日のうちに、共有できる場所へ移してください。
あなたの会社の属人化度は？8つのチェック
当てはまる数を数えてみてください。これは担当者を評価するものではなく、会社の仕組みの穴を数えるものです。
- 管理者アカウントのパスワードを、担当者以外は誰も知らない
- ネットワークの構成図が存在しない、または最新の状態になっていない
- 契約中のITサービスの一覧が、どこにもまとまっていない
- バックアップは「取れているはず」で、実際に復元を試したことがない
- サーバーやクラウドの設定変更は、いつも同じ1人がやっている
- 障害が起きたとき、どのベンダーに連絡するかが決まっていない
- 担当者が休むと、パソコンの新規セットアップが止まってしまう
- セキュリティのアラートが来ても、それを見る人が1人しかいない
6個以上なら危険水準です。担当者が1週間不在になっただけで、業務が止まる可能性があります。3〜5個なら要注意、2個以下なら、ひとり情シスの体制としてはよく整っているほうです。
大事なのは、この8項目はどれも「お金をかけずに、今日から潰せる」ものだということです。ツールを買う前に、まずここを1つずつ消していくほうが投資対効果は高くなります。
引き継ぎ書に必ず書く7項目
- 契約しているサービスの一覧（サービス名・契約者名・契約数・更新月・支払い方法）
- 管理者アカウントのIDと、パスワードの保管場所（パスワードそのものは管理ツールへ）
- ネットワーク構成図（回線・ルーター・スイッチ・無線アクセスポイントの設置場所と型番）
- サーバー／NASの中身と、バックアップの取得先・世代・復元手順
- ベンダー・保守業者の連絡先と、それぞれの契約範囲（どこまで頼めるか）
- 毎月・毎年の定例作業（更新、棚卸し、証明書やライセンスの期限）
- 過去に起きたトラブルと、そのときどう対処したか（3件書くだけでも十分な価値があります）
▶ 関連記事：退職者のアカウントを放置していませんか？退職時に必ずやるべきアカウント管理
▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方
▶ 関連記事：法人向けパスワード管理ツールの比較｜1Password Business等おすすめ製品の選び方・料金相場
体制がないと、被害はどれくらい変わるのか？
ここが、この記事でいちばんお伝えしたい部分です。IPAは同じ調査で、「5分でできる！情報セキュリティ自社診断」の点数と、実際に受けた被害額をクロス集計しています。
結果は、中小企業についてこうなりました（いずれも被害を受けた企業の回答をもとにした金額です）。
| 自社診断の合計点 | 回答企業数 | 被害額の平均 | 被害額の最大 | 被害の影響が 「特になし」の割合 |
|---|---|---|---|---|
| 100点 | 31社 | 約39万円 | 500万円 | 22.6％ |
| 70〜99点 | 96社 | 約162万円 | 3,000万円 | 17.7％ |
| 50〜69点 | 96社 | 約180万円 | 8,000万円 | 12.5％ |
| 49点以下 | 302社 | 約96万円 | 1億円 | 11.6％ |
小規模事業者でも同じ傾向が出ています。70点以上の企業では被害額の最大値が100万円だったのに対し、69点以下では5,000万円。50倍の差です。
この表は「平均」ではなく「最大値」で読んでください。平均額は点数の順にきれいには並んでいません（70〜99点より50〜69点のほうが高いなど）。しかし最大値だけは、点数が下がるほど一貫して跳ね上がります。500万円 → 3,000万円 → 8,000万円 → 1億円。つまり対策の点数は、「被害に遭う確率」を下げる以上に、「遭ったときに会社が耐えられる範囲に収まるかどうか」を決めているということです。
ひとり情シスの会社にとって、この事実には実務的な意味があります。1人でできることには限りがありますが、「最悪の日に、会社が潰れない側に立てるか」は体制の有無で決まるということです。そして体制とは、人数のことではありません。手順が決まっていて、記録が残っていて、聞ける先があることです。
▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説
ひとり情シスは、何から手をつければいい？
やることは無限にありますが、1人で回すなら「人が毎日見なくても成立する順」に並べるのが正解です。ひとり情シスの現場では、どれだけ正しい対策でも「毎日30分の手作業」が必要なものは半年で止まります。
| 優先度 | やること | なぜひとり情シスに効くか | 費用の目安（税別） |
|---|---|---|---|
| 1 | 何台あって、誰が使っているかを機械で数える（IT資産管理） | 手作業のExcel台帳をやめられる。棚卸しが自動になり、そのまま引き継ぎ資料になる | 1台 月300〜600円 |
| 2 | 人が見張らなくていい仕組みにする（EDR＋SOC監視） | 夜間・休日の監視を外に出せる。1人では24時間見られない | 1台 月1,000〜1,700円 |
| 3 | アカウントの入口を固める（多要素認証・パスワード管理） | 事故の入口の大半をふさげるうえ、日々の運用の手間が小さい | 1人 月300〜1,300円 |
| 4 | 戻せるようにする（バックアップと復元テスト） | 最悪の日でも事業を止めずに済む。復元テストは年1回で足りる | 100GB 月3,000円〜 |
| 5 | 従業員側に配る（教育・標的型メール訓練） | 1人で全員を見張るより、全員に見てもらうほうが確実。63.6％が未実施＝伸びしろが大きい | 1人 月360円〜 |
| 6 | 相談先と手順を決めておく | 起きた日に「誰に電話するか」で迷わない。50.8％が「相談先が特にない」 | 監視契約に含まれることが多い |
順番の理由はシンプルです。1〜2は「入れた瞬間から、あなたが何もしなくても効き続ける」もの。3〜4は「一度設定すれば効き続ける」もの。5〜6は「決めておけば、起きた日に効く」もの。逆に、毎週の手作業が前提になる対策は、優先度を下げてでも自動化できる形を選んでください。
実はいちばん効く準備は「端末と構成をそろえる」ことです
優先順位の表には入れませんでしたが、ひとり情シスの負担を根本から減らす方法がもう1つあります。パソコンの機種と、入れるソフトの構成をそろえることです。
台数が同じでも、10種類の機種がばらばらに存在する会社と、2機種に統一されている会社では、1人あたりの管理負荷がまったく違います。トラブルの原因も、対処の手順も、繰り返し使い回せるからです。新しいパソコンを買うたびに違う機種を選んでいると、その差はどんどん開いていきます。
あわせて、「よくある問い合わせ」への回答を1か所にまとめ、生成AIのチャットで社員が自分で調べられるようにするのも有効です。ひとり情シスの時間を最も奪うのは、実は障害対応ではなく「パスワードを忘れた」「プリンタが出ない」といった同じ質問の繰り返しだからです。中小機構も、ひとり情シス対策として端末・ソフトウェアの標準化と生成AIによる問い合わせ効率化を挙げています。
▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方
▶ 関連記事：多要素認証（MFA）ツール比較｜法人向けおすすめ製品と料金・認証方式の選び方
▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？サーバー・PC・Microsoft 365データを守る月額の目安
「自分でやる」「自動にする」「外に出す」はどう分ける？
ひとり情シスを続けられる会社と、途中で破綻する会社の違いは、この仕分けができているかどうかです。すべてを自分で抱える必要はありませんし、すべてを外に出すこともできません。
| 仕事 | 扱い | 理由 |
|---|---|---|
| パソコンの台数・利用者の把握 | 自動にする | 人が数えると必ずずれる。ツールが毎日勝手に数えてくれる |
| OS・ソフトの更新 | 自動にする | 自動更新と管理ツールに任せ、うまくいかなかった例外だけ人が見る |
| 夜間・休日のアラート監視 | 外に出す | 1人では物理的に不可能。24時間365日は人手ではなく契約で買う |
| 感染したときの初動（隔離・調査） | 外に出す | 判断を誤ると証拠が消える。経験のある側に任せるほうが速く、結果的に安い |
| どのサービスを使うかの決定 | 自分でやる | 自社の業務を知らない人には決められない。ここは外注できない |
| 社内ルールの決定と周知 | 自分でやる | 外部が作った文書は現場で守られない。たたき台は借りてよい |
| 従業員への教育の実施 | 自動にする | 配信型のサービスなら、受講状況の管理まで自動化できる |
| 取引先への説明・報告 | 自分でやる | 会社としての説明責任は外注できない。材料は外部から受け取ればよい |
大事なのは、「決めること」と「説明すること」は自社に残り、「見張ること」と「作業すること」は外に出せるという線引きです。ひとり情シスの方が疲弊するのは、たいてい後者を抱えているからです。
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告と2026年10月施行のサイバー対処能力強化法
▶ 関連記事：サイバー攻撃を受けたときの初動対応チェックリスト｜中小企業が最初にやるべきこと
ひとり情シスの負担を減らす製品には、どんなものがある？
当社が取り扱っているもののうち、「人手を増やさずに回す」ことに直結する5つを、役割の違いがわかる形で並べます。互いに競合する製品ではなく、受け持つ層が違うものです。
| 項目 | セキュリティお助けパック （バリオセキュア） |
SentinelOne データお守り隊 |
Sophos MDR | LANSCOPE エンドポイントマネージャー |
セキュリオ |
|---|---|---|---|---|---|
| どの役割か | 入口から端末までまとめて任せる | 端末を自動で守り、監視も任せる | 本格的な検知と対応を任せる | 資産と使われ方を見える化する | 従業員側を教育する |
| 監視体制 | AIで24時間365日 | AIで24時間365日 | 世界8拠点のSOC | ― | ― |
| 初期費用 | 60,000〜80,000円 | 0円 | 要見積り | 30,000円／契約 | 100,000円 |
| 月額（税別） | 月9,800円 ＋1ユーザー1,400円 |
1ユーザー1,000円〜 | 要見積り | 1台 500円〜 | 50名以下 月18,000円 50名超 1人360円〜 |
| ひとり情シスに効く点 | ウイルス駆除の駆けつけまで含まれる | インストールもSOCが支援してくれる | 平均応答38分。判断そのものを任せられる | 手作業の棚卸しが不要になる | 配信するだけで受講管理まで自動 |
| 補助金の対象 | ○（お助け隊サービス登録済） | ○ | 要相談 | ○ | ○ |
| サイバー保険 | 最大100万円 | 最大50万円 | ― | ― | ― |
| 注意点 | EDRが1台1,400円で割高 | 海外製で表記が英語／AI検知ゆえ誤検知の可能性 | MDRからの連絡は原則英語（日常運用は当社が日本語で対応） | 導入後に運用ルールを決める必要がある | 50名以下だと1人あたりは割高 |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
「サイバーセキュリティお助け隊サービス」は、ひとり情シスのために作られた制度です
このなかで、情シス不在・ひとり情シスの会社にいちばん噛み合うのが「サイバーセキュリティお助け隊サービス」です。IPAが基準を定めた制度で、24時間の異常監視／緊急時の駆けつけ支援／相談窓口／簡易的なサイバー保険を、ひとまとめで提供するものです。当社が扱うバリオセキュアの「セキュリティお助けパック」は、この登録サービスです。
ところが、IPAの調査によるとこの制度を知っている中小企業はわずか7.0％、実際に導入しているのは約2％にとどまります。一方で導入した企業の評価は高く、「ワンパッケージで対策できる」56.9％、「導入が容易」55.9％という結果でした。
お助け隊サービスを導入しない理由として最も多かったのは、「必要性が感じられない」46.9％でした（サービスを知らない企業2,149社の回答）。つまり、いま使われていない最大の理由は、値段でも性能でもなく「知られていないこと」です。相談先が「特にない」会社が50.8％あるなかで、相談窓口込みで月1万円以下から始められる選択肢が、ほとんど認知されていない状態にあります。
▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・補助金の申請要件
▶ 関連記事：MDRサービス徹底比較｜CrowdStrike Falcon Complete vs Sophos MDR vs SentinelOne Vigilance
▶ 関連記事：EDR徹底比較｜CrowdStrike vs SentinelOne vs Sophos｜中小企業に最適なのは？
費用はいくらかかる？補助金は使える？
従業員30名・パソコン30台の会社が、優先度1・2・5（資産管理／EDR＋SOC監視／教育）をそろえた場合の目安です。
| 内容 | 費用（税別） |
|---|---|
| IT資産管理（1台 月500円 × 30台） | 年180,000円＋初期30,000円 |
| EDR＋SOC監視（1台 月1,000円 × 30台） | 年360,000円＋初期0円 |
| 従業員教育（50名以下プラン） | 年216,000円＋初期100,000円 |
| 合計（初年度） | 約886,000円（月あたり約74,000円） |
| 2年目以降 | 年756,000円（月あたり約63,000円） |
| ＜参考＞感染が疑われたときの調査（300台まで） | 298,000円（詳細レポートは別途500,000円） |
この金額をどう見るかですが、先ほどのIPAのデータと並べてみてください。体制を作るのに初年度で約89万円。一方、対策が49点以下だった中小企業のインシデント被害額は、最大で1億円でした。
さらに実務的な話をすると、感染の疑いが出たときの調査だけで298,000円かかります。これは1年分のEDR＋SOC監視費用（36万円）とほぼ同じ水準です。しかも調査費用を払っても、それは「何が起きたかを知るための費用」であって、盗まれた情報が戻ってくるわけではありません。そして記録（ログ）が残っていなければ、調査をしても「特定できない」という結論しか出ません。
情シス業務そのものを外注すると、いくらかかる？
ここまでは「ツールで自動化する」費用でした。もう1つの選択肢として、情シス業務そのものを外部に代行してもらう（情シス代行・IT運用アウトソーシング）方法もあります。市場のおおよその相場は次のとおりです。
| 委託する範囲 | 月額の目安 | 含まれるもの |
|---|---|---|
| ヘルプデスク中心 | 10〜20万円 | 社員からの問い合わせ対応、パソコンの設定、簡単なトラブル対応 |
| IT運用管理まで | 20〜35万円 | 上記＋機器やアカウントの管理、更新作業、ベンダーとの調整 |
| セキュリティ運用を含む | 30〜45万円 | 上記＋監視、インシデント対応、対策の企画 |
| フルサポート | 50〜60万円以上 | 情シス部門を丸ごと代替する範囲 |
金額に幅があるのは、「何が含まれているか」と「対応時間（平日日中のみか、夜間休日もか）」がサービスごとに大きく違うからです。時間単価で見ると、問い合わせ対応で6,000〜8,000円、運用管理で8,000〜12,000円、設計・コンサルティングで12,000〜20,000円程度が目安です（いずれも市場のおおよその水準で、実際の金額は要見積りです）。
ここで判断のポイントになるのは、「人の代わり」を買うのか、「仕組み」を買うのかという違いです。
- 問い合わせ対応や設定作業に時間を取られているのであれば、情シス代行（月10〜35万円）が効きます。
- 夜間・休日の監視や、感染時の判断が不安なのであれば、本記事で挙げたツール＋SOC監視（30名で月6万円前後）のほうが、目的に対して圧倒的に安く済みます。
- 両方が課題なら、まず後者（仕組み）から入れてください。仕組みを入れると問い合わせ自体が減るため、代行に頼む範囲を小さくできます。
ひとり情シスの相談でよくある誤解が、「人を1人採用すれば解決する」というものです。しかし採用できたとしても、1人では24時間365日を見ることはできません。夜間・休日の監視は、人ではなく契約で買うしかない領域です。
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方
デジタル化・AI導入補助金でどこまで抑えられる？
これらの多くはデジタル化・AI導入補助金（旧IT導入補助金）の対象になります。
- 通常の枠：補助額は最大450万円、補助率は原則2分の1（小規模事業者は要件により最大5分の4）。
- セキュリティ対策推進枠：補助額5万〜150万円、補助率は小規模事業者3分の2・中小企業2分の1。サービス利用料を最大2年分まとめて補助対象にできます。対象はIPAの「サイバーセキュリティお助け隊サービスリスト」に掲載され、かつIT導入支援事業者が事務局に登録したものに限られます。
- 申請にはSECURITY ACTION（セキュリティ対策自己宣言）の宣言IDが必要です。宣言そのものは無料・審査なしで、2026年4月からはGビズIDでの申込みになりました。
補助金で必ず注意していただきたい点が1つあります。交付決定の前に発注・契約・支払いをしたものは、補助の対象外になります。「先に入れてから申請しよう」は通りません。導入時期は必ず公募スケジュールから逆算してください。なお補助率・上限額・要件は年度ごとに変わりますので、最新の公募要領のご確認と、必要に応じて専門家へのご相談をおすすめします。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
▶ 関連記事：エンドポイントセキュリティの費用はいくら？EPP・EDR・MDRの料金相場と補助金で抑える方法
▶ 関連記事：法人向けセキュリティソフトの料金・月額相場はいくら？費用の内訳と補助金で抑える方法
相談先は、どうやって作ればいい？
IPA調査で50.8％の企業が「相談先が特にない」と答えたこの空白は、お金をかけずに、今日のうちに半分は埋められます。
| 相談先 | 何を頼めるか | 費用感 |
|---|---|---|
| ふだん付き合いのあるIT業者 | 機器の入替え、障害時の駆けつけ、日常的な質問 | 都度見積り |
| サイバーセキュリティお助け隊サービス | 24時間の異常監視＋駆けつけ支援＋相談窓口＋簡易サイバー保険をワンパッケージで | ネットワーク一括監視型で 月1万円以下相当 |
| MDR（検知・対応の委託） | 攻撃の検知から、封じ込め・復旧の判断まで | 要見積り |
| IPA 情報セキュリティ安心相談窓口 | 一般的な相談、ウイルス・不正アクセスの届出 | 無料 |
| 都道府県警察のサイバー犯罪相談窓口 | 犯罪被害としての相談・被害届 | 無料 |
ポイントは、「起きてから探す」のではなく「起きる前に、電話番号を1枚の紙にまとめておく」ことです。実際の事故対応で最も時間を失うのは、技術的な作業ではなく「誰に連絡すればいいのか分からない時間」だからです。
あわせて、SECURITY ACTIONの自己宣言（無料・審査なし）だけでも先に済ませておくことをおすすめします。宣言そのものに効果があるというより、宣言の過程で「自社は何ができていて、何ができていないか」がはっきりするからです。IPAの調査でも、宣言した企業の87.3％が宣言を維持できています。
ひとり情シスのセキュリティ対策に関するよくある質問
Q. 情シス担当が1人もいない会社でも、対策はできますか？
A. できます。むしろ担当者がいない会社こそ、自動化と外部監視の組み合わせが向いています。人がいないことを前提に、「入れた時点で効き続けるもの」から選べばよいからです。ただし1つだけ社内で決めていただきたいことがあります。「アラートが来たときに、誰の携帯電話に連絡するか」です。これは外注できません。逆に言えば、決めるのはこれだけで始められます。
Q. まず1つだけやるなら、何ですか？
A. パソコンが何台あって、誰が使っているかを正確に把握することです。地味に見えますが、これがないと他のすべてが空回りします。ライセンス数も決められませんし、感染したときにどの端末を調べればよいかも分かりません。IT資産管理ツールなら1台あたり月300〜600円で、しかも情報が自動的に集まります。Excelの台帳は必ずずれるので、最初からツールに任せてください。
Q. ひとり情シスの担当者が辞めそうです。今すぐ何をすべきですか？
A. 優先順位ははっきりしています。①管理者アカウントのIDとパスワードを、本人以外もアクセスできる場所（パスワード管理ツールの共有金庫）に移す。②契約中のサービス一覧と、それぞれの契約者名・更新月を書き出す。③ベンダーの連絡先と契約範囲を一覧にする。この3つだけでも、在職中に済ませてください。他の情報は時間をかければ復元できますが、この3つは本人が退職してしまうと、取り戻すのに数十万円と数週間かかることがあります。
Q. すべてまとめて外に出せば、楽になりますか？
A. 楽にはなりますが、「どのサービスを使うか」と「社内ルールを決めること」、そして「取引先への説明」は外に出せません。これらは自社の業務を知らないと判断できないからです。逆に「24時間の監視」「感染時の初動」「更新作業」は外に出したほうが、速くて確実で、結果的に安く済みます。決めることは自社、見張ることは外部——この線引きで考えてください。
Q. Microsoft 365やGoogle Workspaceを使っていれば十分では？
A. 出発点としては悪くありません。とくにMicrosoft 365 Business Premiumには、端末保護（Defender for Business）や多要素認証（Entra ID P1）が含まれており、追加費用なしで有効化できる機能がかなりあります。まずはそれを使い切ってください。ただし、「有効化されているか」「アラートが出たときに誰かが見ているか」は別問題です。機能があることと、それが働いていることは違います。ひとり情シスの会社で抜けやすいのは、まさに後者です。
Q. 費用対効果が説明できず、経営層の承認が取れません
A. これはIPAの調査でも裏づけがあります。投資しない理由の上位は「必要性を感じていない」約44％、「費用対効果が見えない」「コストがかかりすぎる」が合わせて45％超でした。おすすめは、「防げる確率」ではなく「起きたときにいくら払うか」で説明することです。本記事の表のとおり、対策が49点以下だった中小企業の被害額は最大1億円、感染調査だけでも298,000円かかります。年間の対策費用と、事故が1度起きたときの支出を並べて見せるのが、いちばん通りやすい説明です。また、IPAの調査では中小企業が最も求めているサービスが「経営層向けの手引書」28.9％でした。経営層に直接読んでもらう資料を用意するのは、遠回りに見えていちばんの近道です。
Q. 補助金は、情シスがいない会社でも使えますか？
A. 使えます。情シスの有無は要件ではありません。ただし申請にはSECURITY ACTIONの自己宣言IDとGビズIDが必要で、交付決定より前に発注したものは対象外になります。申請手続き自体はIT導入支援事業者（当社もその1つです）が支援できますので、「手続きが大変そうだから」という理由で見送るのは、いちばんもったいない判断です。なお補助率や上限額は年度ごとに変わりますので、最新の公募要領をご確認ください。
まとめ
ひとり情シスの問題は、担当者の頑張りが足りないから起きているのではありません。1人でできる量には上限があり、その上限を超えた瞬間に真っ先に落ちるのが「手順」「点検」「共有」だからです。
IPAの調査では、中小企業の69.7％が情報セキュリティ対策を「組織的には行っていない（各自の対応）」と答えました。従業員30名以下の小規模事業者に限れば84.5％です。
そして50.8％の企業が、困ったときの相談先が「特にない」と回答しています。人が足りない以前に、聞ける先がないというのが実態です。
一方で、対策の点数と被害額の関係ははっきりしています。自社診断が49点以下だった中小企業の被害額は最大1億円、100点の企業は最大500万円でした。
対策の点数は、被害に遭う確率を下げる以上に、遭ったときに会社が耐えられる範囲に収まるかどうかを決めています。
やるべきことの順番も決まっています。①台数と利用者を機械で数える ②人が見張らなくていい仕組みにする ③アカウントの入口を固める ④戻せるようにする ⑤従業員に配る ⑥相談先と手順を決める。
共通しているのは、「入れた時点で効き続けるもの」を先に選ぶということです。毎週の手作業が前提の対策は、ひとり情シスの現場では必ず止まります。
費用は、30名規模で初年度およそ89万円、2年目以降は年約76万円が目安です。感染が疑われたときの調査費用298,000円と、ほぼ同じ水準で1年間の監視が買えます。
そしてこれらの多くはデジタル化・AI導入補助金の対象になります。とくにセキュリティ対策推進枠は、サービス利用料を最大2年分まとめて補助対象にできます。
最後に1つだけ。今日のうちにできることがあります。管理者アカウントのパスワードを、担当者以外もアクセスできる場所に移してください。費用はかかりません。それだけで、ひとり情シスの最大のリスクが1つ消えます。
当社は、情シスの方が1人しかいない会社・そもそもいない会社の運用を数多くお手伝いしてきました。「何から手をつけるべきか」の整理から、補助金を使ったコストの抑え方まで、御社の現状に合わせてご提案します。まずは今の体制をお聞かせいただくところから、お気軽にご相談ください。
▶ 関連記事：中小企業はなぜサイバー攻撃の標的になりやすいのか？
▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」組織編を中小企業目線で解説
▶ 関連記事：セキュリティ教育ツールの比較｜標的型メール訓練・eラーニングの選び方
▶ 関連記事：サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目と、社長が最初にやる7つのこと