サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目と、社長が最初にやる7つのこと【中小企業向け】
「セキュリティは詳しい人に任せています」——中小企業の社長さまからいちばん多く聞く言葉です。ところが、経済産業省とIPA（情報処理推進機構）がまとめた「サイバーセキュリティ経営ガイドライン」には、「担当者への丸投げは許されるものではない」とはっきり書かれています。
先に結論をお伝えします。このガイドラインは「読むと参考になる資料」ではありません。万一事故が起きたときに、経営者の責任を判断する“ものさし”になる文書です。経営者の善管注意義務（会社を預かる者として当然払うべき注意）が問われるとき、判断の基準になるのは「その当時の技術水準」であり、経済産業省やIPAが公表するガイドラインで対策の必要性が説かれていること自体が、その「技術水準」の根拠として扱われます。つまり「知らなかった」では済まない、という構造になっています。
とはいえ、身構える必要はありません。ガイドラインが求めているのは高価なシステムではなく、「誰が責任を持つか」「何を守るか」「起きたらどうするか」を経営者が決めることです。ほとんどはお金をかけずに今日から着手できます。
本記事では中小企業の経営者・情報システム担当の方に向けて、ガイドラインの全体像／自社が対象になるかの判定／なぜ社長の仕事なのか（善管注意義務）／3原則と重要10項目／対策を怠ったときの損害額／中小企業の実態／社長が最初にやる7つのこと／実践状況の測り方／2026年以降の制度の期限／予算の組み方と補助金までを、一次資料をもとに整理します。
サイバーセキュリティ経営ガイドラインとは？何が書かれている？
サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが共同でまとめた、経営者向けのサイバーセキュリティの指針です。技術の解説書ではなく、「経営者が何を認識し、誰に何を指示すべきか」を整理した文書という位置づけです。
| 項目 | 内容 |
|---|---|
| 正式名称 | サイバーセキュリティ経営ガイドライン |
| 策定 | 経済産業省・IPA（情報処理推進機構） |
| 最新版 | Ver3.0（2023年3月24日改訂）。Ver1.0＝2015年、Ver2.0＝2017年 |
| 対象 | 大企業および中小企業（小規模事業者を除く）の経営者と、CISO等の担当幹部 |
| 中心となる内容 | 経営者が認識すべき「3原則」と、経営者が指示すべき「重要10項目」 |
| 位置づけ | 会社法が求める内部統制システムの構築や、コーポレートガバナンス・コードに基づく開示と対話の一部として扱われる |
| 付録 | 経営チェックシート／参考情報／インシデントに備える情報／規格との対応関係／用語の定義／体制構築・人材確保の手引き |
| 費用 | 無料で公開されている（PDF） |
| 併せて使う資料 | 中小企業の情報セキュリティ対策ガイドライン（IPA）、サイバーセキュリティ経営可視化ツール（IPA） |
Ver3.0では、Ver2.0の「3原則」と「重要10項目」という基本の枠組みは維持したうえで、テレワークの定着、ランサムウェアによる事業停止という被害の質の変化、サプライチェーン全体での対策の必要性、ESG投資の拡大といった変化を反映して記載が見直されました。
注意：ネット上には「Ver2.0」を前提にした解説が今も多く残っています。たとえば実践状況を測る「サイバーセキュリティ経営可視化ツール」を「170項目」「59項目」と説明している記事がありますが、これはVer2.0時代の情報です。現行のVer2.1では設問は40問で、Ver3.0の付録A-2に対応しています。古い版を前提に社内資料を作ってしまうと、項目数も内容もかみ合わなくなるのでご注意ください。
Ver2.0から何が変わった？──とくに製造業の会社は1点だけ確認してください
ガイドラインは、Ver3.0の策定にあたって環境の変化を6点挙げています。枠組み（3原則と重要10項目）は変わっていませんが、「守る対象」と「被害の質」の前提が変わりました。
| Ver3.0で反映された変化 | 経営者にとっての意味 |
|---|---|
| テレワークなど、デジタル環境の活用を前提とする働き方の多様化 | 守る範囲が「社内の机の上」から社員の自宅・外出先まで広がった |
| 守る対象が、情報資産とIT系の環境だけから「制御系を含むデジタル基盤」へ拡大 | 工場の生産設備、計測機器、制御システムまでが対象に入った。事務所のパソコンだけ守っていては足りない |
| サイバー空間と現物の取引を行う空間とのつながりの緊密化 | ネット上の被害が、そのまま出荷・納品といった現物の業務を止めるようになった |
| ランサムウェアの被害の顕在化により、被害が情報漏えいから事業活動の停止へ拡大 | 「情報が漏れる」より「明日仕事ができない」というリスクとして考える必要がある |
| 国内外のサプライチェーンを介した被害の拡大 | 自社の対策不足が、取引先を止める原因になりうる |
| ESG投資の拡大に伴うガバナンス改善への関心の高まり | 対策の状況が、投資家や取引先からの評価の対象になった |
中小企業の経営者に確認していただきたいのは2行目です。工場の生産設備や計測機器がネットワークにつながっている会社は、事務所のパソコンとは別に対策の対象として棚卸しが必要です。ガイドラインも指示7で「制御系を含むサプライチェーン全体のインシデントに対応可能な体制」を、指示8で「制御系も含めた業務復旧プロセスの整備」を求めています。生産設備は「止められない」ことを理由に古いWindowsが残りがちな場所でもあるため、ここが手つかずの会社は少なくありません。
▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説｜初登場のAIリスクと優先すべき対策
▶ 関連記事：製造業のサイバーセキュリティ｜工場停止を招くランサムウェア対策とOT／ITネットワーク分離の実務
自社は対象になる？──「小規模事業者を除く」と書かれている
ここが最初のつまずきどころです。上位に表示される解説記事のほとんどが触れていませんが、ガイドラインには対象がはっきり書かれています。
「本ガイドラインは、大企業及び中小企業（小規模事業者を除く）の経営者を対象として、サイバー攻撃から企業を守る観点で、経営者が認識する必要がある『3原則』、及び経営者がサイバーセキュリティ対策を実施する上での責任者となる担当幹部（CISO等）に指示すべき『重要10項目』をまとめたものである。」（サイバーセキュリティ経営ガイドライン Ver3.0 より）
つまり小規模事業者（おおむね製造業等で従業員20名以下、商業・サービス業で5名以下）は、このガイドラインの想定読者から外れています。その場合はIPAの「中小企業の情報セキュリティ対策ガイドライン」が本命です。自社がどこに当てはまるかを先に決めてから読み始めてください。
| 会社の状況 | まず見るべき資料 | 最初にやること | 経営ガイドラインの使い方 |
|---|---|---|---|
| 大企業・上場企業 | サイバーセキュリティ経営ガイドライン Ver3.0 | 重要10項目を体制と予算に落とし込む | 本文どおりに実践する |
| 中小企業（小規模事業者を除く。おおむね従業員20〜300名） | 経営ガイドライン Ver3.0 ＋ 中小企業の情報セキュリティ対策ガイドライン | 3原則を自己チェックし、重要10項目に優先順位を付ける | 全部を一度にやらず、優先度の高い項目から |
| 小規模事業者（製造業等20名以下／商業・サービス業5名以下） | 中小企業の情報セキュリティ対策ガイドライン 第4.0版 | SECURITY ACTIONを宣言し、情報セキュリティ6か条に取り組む | 考え方（3原則）だけ押さえる |
| これからセキュリティに取り組む会社 | 中小企業の情報セキュリティ対策ガイドライン | 「5分でできる！情報セキュリティ自社診断」25項目で現状を測る | 後回しでよい |
ただし例外があります。ガイドラインはサプライチェーンについてこう述べています。「対策の推進はサプライチェーンに参加する企業規模を問わない全ての企業の経営者の責務である」。取引先や委託先とデジタルでつながっている会社は、規模が小さくても対策を求められる側に立つ、ということです。
▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方
▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例
なぜセキュリティが「社長の仕事」になる？──善管注意義務という理由
会社法と民法が、経営者の注意義務を定めている
「セキュリティは技術の話だから専門家に任せる」が通らないのは、法律の側に根拠があるからです。
- 民法第644条：「受任者は、委任の本旨に従い、善良な管理者の注意をもって、委任事務を処理する義務」を負う
- 会社法第330条：取締役は、会社から経営を委任された立場にある
- 会社法第423条：善管注意義務を怠って会社に損害を与えた場合、取締役は損害賠償責任を負う
この3つを合わせると、「会社を預かる者として当然払うべき注意」を払わずに情報漏えいや事業停止を招いた場合、経営者個人が責任を問われうるという構造になります。
判断基準は「その当時の技術水準」＝ガイドラインが“ものさし”になる
では「当然払うべき注意」とは、どこまでのことでしょうか。東京都の中小企業向けの解説では、「その当時の技術水準」に従った対策が実施されていたかが問われるとされています。そしてその技術水準を判断する根拠として挙げられているのが、経済産業省やIPAなどの公的機関が公表するガイドラインで、その対策の必要性が説かれていたかどうかです。
ここが本記事でいちばんお伝えしたい点です。サイバーセキュリティ経営ガイドラインは「読むと良い参考資料」ではなく、万一のときに「当時の技術水準」を判断する材料そのものになります。公的機関が「やるべき」と示している対策を、規模に見合う範囲でも実施していなかった場合、「知らなかった」「専門家に任せていた」という説明は通りにくくなります。読んでいないこと自体がリスクになる、という珍しい種類の文書です。
善管注意義務が問われうる5つの場面
東京都の解説では、次のような場面が例として挙げられています。いずれも中小企業でごく普通に起こりうるものです。
- 既知の重大な脆弱性（プログラムの弱点）を突いた攻撃で、顧客情報が漏えいした
- ランサムウェア（身代金要求型ウイルス）でシステムが止まり、業務が遂行できなくなった
- 自社サイトの脆弱性を突かれ、正規会員のポイントが不正に使われた
- クラウドサービスの設定不備で、機密情報が誰でもアクセスできる状態になっていた
- 業務委託先の担当者がUSBメモリで個人情報を持ち出し、紛失した
過去には、Web受注システムの開発を受託した企業がSQLインジェクション（データベースを狙う攻撃）への対策を怠り、顧客のクレジットカード情報が流出して約1.1億円の損害賠償を請求された例もあります。争点になったのは「その時点で当然行うべき対策を行っていたか」でした。
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告と2026年10月施行のサイバー対処能力強化法
ガイドラインには「丸投げは許されない」と書いてある
ガイドラインは、経営者の責任について次のように明記しています。
「経営者は、組織の意思決定機関が決定したサイバーセキュリティ体制が当該組織の規模業務内容に鑑みて適切でなかったため、組織が保有する情報の漏えいなどにより会社や第三者に損害が生じた場合、善管注意義務違反や任務懈怠（けたい）に基づく損害賠償責任を問われ得るなどの会社法・民法等の規定する法的責任やステークホルダーへの説明責任を負う。さらに、被害が深刻な場合の事業停止や新たな脅威に対処するための予算措置等の経営判断も要求され、担当者への丸投げは許されるものではない。」（Ver3.0 より）
注目していただきたいのは、「体制が組織の規模業務内容に鑑みて適切だったか」という言い方です。大企業と同じ対策を求められているわけではありません。30名の会社なら30名の会社にふさわしい体制であればよく、逆に「30名なのに何も決めていない」は説明が難しくなります。
そして、担当者では代われない判断として、ガイドラインは次の2つを挙げています。
| 経営者しか決められない判断 | なぜ担当者では決められないか |
|---|---|
| 被害が深刻な場合の経営判断 | 攻撃の深刻さによっては、事業の全体または一部を止める判断が必要になる。売上を止める決断は経営者しか下せない |
| リスクの変化への対応に関する経営判断 | サイバーのリスクは変化が速く、突発的で避けられない対策の見直しと、そのための予算措置が必要になる。予算を動かせるのは経営者だけ |
ガイドラインはさらに、「サイバーセキュリティ対策を指示するだけではなく、定期的に実施状況等を確認するなど、日頃から判断に必要な情報を得ておく必要がある」と続けています。つまり「担当を決めた」で終わらせず、年に1〜2回は報告を受ける場を作ることまでが経営者の役割です。
▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？優先順位・費用・外部の使い方
経営者が認識すべき3原則とは？
3原則は、Ver1.0から一貫している考え方の柱です。中身は「投資と割り切る」「取引先まで見る」「普段から話しておく」の3つに整理できます。
| 3原則 | ガイドラインが求めていること | 社長としての具体的な行動 |
|---|---|---|
| ① リーダーシップを発揮する | サイバーセキュリティリスクを経営リスクの一つとして認識し、自らのリーダーシップのもとで対策を進める。残留リスクを許容できる水準まで下げることは「経営者としての責務」 | 担当幹部（CISO等）を任命する。セキュリティ予算を「投資」として毎年計上する |
| ② サプライチェーン全体に目を配る | 自社だけでなく、国内外の拠点、ビジネスパートナー、委託先まで含めて対策状況を把握する。自社の対策不足が原因なら、自社が加害者の立場になる | 主要な取引先・委託先のセキュリティ対策状況を年1回確認する。契約書に責任範囲を書く |
| ③ 関係者と積極的に対話する | 平時も緊急時も、社内外の関係者と積極的にコミュニケーションをとる。相手にはIPA、JPCERT/CC、商工会議所、セキュリティ事業者も含まれる | 困ったときの相談先を平時に決めておく。緊急連絡網を作って共有する |
ガイドラインは、対策を「コスト」ではなく「投資」（将来の事業活動・成長に必須な費用）と位置づけることが重要だと明記しています。直接の利益は計算できないが、企業活動のコストや損失を減らすために必要不可欠な支出だ、という整理です。
3原則の自己チェック9項目（付録A-1）
ガイドラインの付録には、経営者本人が答えるためのチェックシートが付いています。以下の9項目に「はい」と言えるかを確認してみてください。お金は1円もかかりません。
- 経営判断において、考慮すべき重要リスクの一つとしてサイバーセキュリティリスクを位置づけ、事業継続のためのセキュリティ投資の必要性を認識している
- 対策の実施を通じてリスクを許容可能な水準まで下げることが、経営者としての責務だと認識している
- 指示した対策が適切に実施されていることを定期的に確認し、できていない場合は対応を促している
- 委託関係にとどまらない多様なつながりが、自社と社会のセキュリティに重大な影響を及ぼしうると認識している
- リスクを洗い出す対象範囲に、グループ企業や外部委託先まで含まれていることを確認している
- 全ての企業が加害者となり得ること、各社で総合的な対策を徹底する必要があることを理解し、実践状況を確認している
- インシデント発生時に備え、平時から関係者とリスクについて話し合うことを心がけている
- 事故が起きたときに社内で対応を担う関係者を把握し、緊急時に連絡が取れるよう備えている
- 自社や委託先で事故が起きた際、どのような情報発信をすれば社外の信頼を維持できるか理解している
答えられない項目があっても問題ありません。答えられない項目こそが、そのまま来年の宿題になります。
指示すべき重要10項目とは？何から手をつける？
重要10項目は、経営者がCISO等に「指示」する内容です。ここでの指示は投げっぱなしではなく、実施方針の検討、予算と人材の割り当て、実施状況の確認、問題の把握と対応まで含みます。中小企業がすべてを一度に満たすのは現実的ではないので、優先度を添えて整理します。
| 指示 | 何を指示するか | 怠ると起きること | 中小企業の優先度 |
|---|---|---|---|
| 指示1 対応方針の策定 | リスクを経営リスクとして認識し、組織全体の対応方針（セキュリティポリシー）を策定させ、対外的に公表させる | 対応が一貫せず、責任の所在も不明確になる。宣言がないとステークホルダーに姿勢が伝わらない | 最優先 |
| 指示2 リスク管理体制の構築 | 各関係者の役割と責任を明確にし、既存の内部統制やリスク管理体制と整合させる | 責任の所在が曖昧になり、事故時に被害が拡大する | 最優先 |
| 指示3 資源（予算・人材）の確保 | 必要な予算と人材を確保する。全役職員のスキル向上策も実施させる | 予算がないと社内対応も外部委託もできず、人材も定着しない | 最優先 |
| 指示4 リスクの把握と計画の策定 | 守るべきデジタル環境・サービス・情報を特定し、脅威と影響度からリスクを識別させる。サイバー保険や専門ベンダーへの委託も含めて計画を立てさせる | 他社事例やベンダー提案に流され、自社の実態に合わない計画になる | 高 |
| 指示5 対応する仕組みの構築 | 資産・構成・パッチ管理、シャドーITの防止、多層防御、脆弱性診断、ログの収集分析、検知時の遮断の仕組みを導入させる | 守るべきものが守られない。侵入されても気づけない | 高 |
| 指示6 PDCAによる継続的改善 | 対策が継続的に実施されているかを定期的に把握し、改善させる | 一度やって終わりになり、環境変化に追いつけなくなる | 中 |
| 指示7 緊急対応体制の整備 | 初動対応・影響範囲の特定・再発防止を担う体制（CSIRT等）を整備させ、通知先と開示内容を把握させ、実践的な演習も実施させる | 原因調査が進まず、開示が遅れて損害賠償や罰則につながる | 最優先 |
| 指示8 事業継続・復旧体制の整備 | インシデントによる被害に備えた事業継続と復旧の体制を整備させる | 止まった業務をいつ戻せるか誰も答えられなくなる | 高 |
| 指示9 サプライチェーン全体の把握と対策 | 取引先・委託先の対策状況を把握させ、契約で役割と責任範囲を明確にさせる | 弱い会社を踏み台にされ、自社が加害者になる | 高 |
| 指示10 情報の収集・共有・開示 | 脅威に関する情報を収集・共有し、自社の取り組みを開示させる | 新しい手口に気づけず、社外からの信頼も得られない | 中 |
見落とされがちですが、ガイドラインはこう添えています。「自組織での対応が困難又は専門事業者による実施が適切と判断される取組については、その一部を外部委託によって実施することも検討する」。つまり10項目すべてを自社の人員でやることは求められていません。「自社でやる／外に出す」の切り分けを決めることも、指示3に含まれる経営者の仕事です。
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方
▶ 関連記事：セキュリティポリシーの作り方｜中小企業向けテンプレート解説
対策を怠ると、実際にいくら失う？──ガイドライン本文にある損害額の試算
意外に知られていませんが、ガイドラインの本文には損害額の試算表が載っています。日本ネットワークセキュリティ協会（JNSA）の『インシデント損害額調査レポート2021』から引用されたものです。上位に表示される解説記事のほとんどが、この表に触れていません。
| インシデントの種類 | 損害額 | 内訳 |
|---|---|---|
| 大規模なマルウェア感染 | 3億7,600万円 | 事故原因・被害範囲の調査費用 1億円／従業員端末・サーバー等の入れ替え費用 1.42億円／再発防止費用 5,000万円／利益損害 8,400万円（休止中に得られたはずの売上） |
| ECサイトからのクレジットカード情報等の漏えい | 9,490万円 | 事故対応費用 2,890万円（再発防止策の導入を含む）／利益損害 3,000万円／賠償損害 3,600万円（損害賠償請求額） |
| 軽微なマルウェア感染 | 600万円 | 事故原因・被害範囲の調査費用 500万円／再発防止策 100万円 |
中小企業の経営者に見ていただきたいのは、いちばん下の行です。「軽微な」感染でも600万円かかり、そのうち500万円は調査費用です。数億円という数字は遠く感じても、600万円は多くの中小企業にとって現実的な打撃の大きさでしょう。
調査費用は「何が起きたかを知るための費用」であって、失ったものが戻ってくる費用ではありません。500万円を払って分かるのは「どの端末が感染し、どこまで情報が出た可能性があるか」までです。盗まれた情報も、止まっていた期間の売上も戻りません。しかもログ（操作や通信の記録）が残っていなければ、「特定できない」という結論しか出ないことがあります。
金額に表れない損害はどうなる？──信用は数字にも出ている
損害額の試算に含まれていないのが、信用の低下です。これは感覚的な話ではなく、数字で測られています。
シンクタンクの日本サイバーセキュリティ・イノベーション委員会（JCIC）が、2014年7月から2021年末までに「不正アクセス」「情報漏洩」といった文言を含む適時開示を行った上場企業47社を調べたところ、被害の開示後に株価は徐々に下がり、50日後には平均で6.3%下落していました。IT系の企業ほど影響が大きかったとされています。
上場していない中小企業に株価はありませんが、同じことが「取引の停止」や「新規の商談が止まる」という形で現れます。とくに製造業では、取引先から対策状況の確認や監査を求められる場面が増えており、事故の履歴はそのまま次の受注に影響します。信用の回復には、調査費用のような「支払えば終わる」性質がありません。
▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方
▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較
中小企業の現実はどうなっている？
では、実際の中小企業はどこまでできているのでしょうか。IPAが2025年5月に公表した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（有効回答4,191件）の数字を見ると、ガイドラインが求める水準と現実の間には大きな差があります。
| 調査項目 | 結果 |
|---|---|
| セキュリティ対策の組織体制 | 「組織的には行っていない（各自の対応）」が69.7%。「専門部署（担当者）がある」は9.3%、「兼務だが担当者が任命されている」は21.0% |
| 困ったときの相談先 | 「特にない」が50.8%。社内の担当者27.7%、社外のIT関連業者・営業18.2% |
| 従業員への情報セキュリティ教育 | 「特に実施していない」が63.6% |
| インシデント発生時の対応方法 | 「決まっていない」が37.3% |
| セキュリティ投資 | 全体の約7割が「投資していない」または「わからない」。投資していても約2割が100万円未満 |
| SECURITY ACTION | 認知度は約10%。一つ星の宣言は3.8%、二つ星は2.0% |
| サイバー保険 | 認知している中小企業の経営者は33.5%。認知していても85.5%が加入したことがない |
つまり重要10項目のうち「指示1 対応方針の策定」「指示2 体制の構築」「指示7 緊急対応体制の整備」の3つが、7割前後の会社で手つかずということです。逆に言えば、この3つはほとんどお金をかけずに着手でき、しかも同業他社より一歩前に出られる領域だということでもあります。
▶ 関連記事：今すぐ確認！自社のセキュリティレベルを10分で診断する方法
なぜ投資が進まない？──「必要性を感じない」が44%
同じIPAの調査で、投資していない理由も聞かれています。「必要性を感じていない」が約44%、「費用対効果が見えない」と「コストがかかりすぎる」を合わせると45%超でした。
ここで興味深いのが、中小企業が「あったら使いたい」と答えたサービスの順位です。
- 1位：経営層向けの手引書 1,210件（28.9%）
- 2位：経営層への教育 926件（22.1%）
- 3位：セキュリティ状況の可視化サービス 780件（18.6%）
- 最下位：企業専属のセキュリティコンサルタント 234件（5.6%）
つまり中小企業が求めているのは高価な専門家ではなく、「何をどの順番でやればいいか」を示してくれるものだということです。サイバーセキュリティ経営ガイドラインは、まさにその1位の要望に応える無料の文書です。
そして「費用対効果が見えない」という声にも、実は答えが出ています。同じ調査では自社診断の点数と被害額をクロス集計しているため、対策の水準と実際の損害の関係が数字で見えます。
| 自社診断の点数 | 企業数 | 平均被害額 | 最大被害額 | 被害の影響が「特になし」 |
|---|---|---|---|---|
| 100点（満点） | 31社 | 約39万円 | 500万円 | 22.6% |
| 70〜99点 | 96社 | 約162万円 | 3,000万円 | 17.7% |
| 50〜69点 | 96社 | 約180万円 | 8,000万円 | 12.5% |
| 49点以下 | 302社 | 約96万円 | 1億円 | 11.6% |
この表は平均値ではなく最大値の列を見てください。平均額は点数の順にきれいには並びませんが、最大値だけは500万円 → 3,000万円 → 8,000万円 → 1億円と一貫して増えています。小規模企業者に限ると、70点以上（59社）の最大被害額は100万円、69点以下（391社）は5,000万円で50倍の差がありました。
ここから言えることは1つです。対策は「攻撃に遭う確率」を下げる以上に、「遭ったときに耐えられる範囲に収まるか」を決めています。経営者にとっては、こちらのほうが重要な意味を持つはずです。
▶ 関連記事：中小企業が実施するべきセキュリティ対策とは？
社長が最初にやる7つのことは？
重要10項目を上から順に片付けるのは現実的ではありません。中小企業の実態（体制なし69.7%、相談先なし50.8%、対応方法が未定37.3%）に合わせて、着手する順番を並べ替えます。1〜3番と6番は、ほぼお金がかかりません。
| 順番 | やること | 対応する指示 | 費用の目安（税別） |
|---|---|---|---|
| 1 | セキュリティを「経営リスクの一つ」と社内に宣言し、担当を1人決めて社内に周知する（専任でなく兼務でよい） | 指示1・2 | 0円 |
| 2 | SECURITY ACTIONを宣言し、情報セキュリティ6か条（OS更新／ウイルス対策／パスワード／共有設定／バックアップ／脅威の把握）を1つずつ確認する | 指示1 | 0円 |
| 3 | 守るべき情報と、社内のパソコン・スマホ・クラウドサービスの一覧を作る（誰が何を使っているか） | 指示4 | 0円〜。ツールを使うなら月500円/台程度 |
| 4 | バックアップを「本当に戻せる」状態にし、ログを「後から追える」状態にする | 指示5・8 | 月1,000円〜3,000円程度 |
| 5 | EDR（侵入後のふるまいを検知する仕組み）と24時間365日の監視を入れる | 指示5・7 | 月1,000円/台〜 |
| 6 | 事故が起きたときの連絡先と手順を紙1枚にして、全員が見える場所に貼る | 指示7 | 0円 |
| 7 | 年1回、従業員教育と標的型メール訓練を実施し、結果を経営会議で報告する | 指示3・6 | 月18,000円〜（50名以下） |
6番の「紙1枚」に書くこと
お金がかからないのに効果がいちばん大きいのが、この紙1枚です。異常に気づいた社員が、最初に何をすればいいか分からずに時間が過ぎるのが、被害を大きくする最大の原因です。
- 社内で最初に連絡する人の名前と携帯番号（不在時の代理も）
- 外部の相談先（保守業者・販売店・当社などの連絡先。夜間休日の窓口も）
- IPA 情報セキュリティ安心相談窓口（03-5978-7509）と、最寄りの警察のサイバー犯罪相談窓口
- 「やってはいけないこと」＝画面の指示に従わない、表示された番号に電話しない、慌てて電源を切らない（記録が消えます）
- 「やること」＝画面を写真に撮る、LANケーブルを抜く／Wi-Fiを切る、その端末を触らない
- 取引先や顧客の情報を扱っているシステムはどれか（報告義務の判断に必要）
記録（ログ）は、後からさかのぼって取ることができません。事故が起きてから「先月の通信記録を見たい」と言っても、保存していなければ存在しません。上の表の4番は「あとで」になりやすい項目ですが、4番だけは事後に取り返しがつかないことを覚えておいてください。
▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト
▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方
「やったつもり」を防ぐには？──実践状況の測り方
ガイドラインを読んだあと、多くの会社が「たぶんできている」で止まります。点数にしてしまうのが、いちばん確実な防ぎ方です。いずれも無料で使えます。
| 手段 | 何ができるか | 対象 | 費用 |
|---|---|---|---|
| サイバーセキュリティ経営可視化ツール Ver2.1（IPA） | 40問に答えると実践状況がレーダーチャートで表示される。業種平均値との比較や、過去の診断結果との比較、グループ会社同士の重ね合わせ表示も可能。Ver3.0の付録A-2に対応 | 原則として従業員300名以上を想定（300名未満でも利用は可能） | 無料（Excel） |
| SECURITY ACTION（IPA） | 一つ星＝情報セキュリティ6か条に取り組むことを宣言。二つ星＝25項目の自社診断＋情報セキュリティ基本方針の策定と外部公開。ロゴマークが使える | 企業規模・業種を問わない。中小企業はここから | 無料・審査なし |
| 5分でできる！情報セキュリティ自社診断（IPA） | 25項目に答えて点数を出す。前章の「点数×被害額」と同じ指標なので、自社の位置が分かる | これから取り組む会社 | 無料 |
また、重要10項目を実際にどう進めるかについては、IPAが「サイバーセキュリティ経営ガイドライン Ver3.0 実践のためのプラクティス集 第4版」（2023年10月31日公開）を出しています。全体はCISOや担当者向けですが、第1章は経営者向けにまとめられているので、社長さまはここだけ読めば十分です。
可視化ツールは「原則として従業員300名以上」を想定したツールです。30名の会社が40問すべてに答えようとすると、答えられない項目ばかりで手が止まります。中小企業はSECURITY ACTIONの二つ星（25項目の自社診断＋基本方針の公開）を到達目標にするほうが現実的で、そのほうが補助金の要件も同時に満たせます。
▶ 関連記事：取引先から「セキュリティ対策の証明を求められた」ときの対応法
2026年以降、経営者が押さえるべき期限は？
ガイドライン自体に期限はありませんが、関連する制度には期限があります。とくに補助金と評価制度は、準備を始める時期を逆算しないと間に合いません。
| 制度 | 時期 | 経営者がすること |
|---|---|---|
| サイバー対処能力強化法（能動的サイバー防御法） | 主要部分が2026年10月1日施行 | 直接の対象は政令で指定された基幹インフラ事業者に限られます。ただしその納入元・委託先として、ログの提供や夜間休日の連絡窓口を求められる可能性があるため、指示7・9の準備を進めておく |
| SCS評価制度（★3・★4） | 2026年度下期に評価用ガイドを公表、運用開始は2027年度（2027年4月以降）の想定 | 取引条件になる見込み。★3は要求事項26項目・専門家確認付き自己評価・有効期限1年。記録の蓄積が要るので、着手は1年前から |
| デジタル化・AI導入補助金2026 | 公募回ごとに締切 | 交付申請までにSECURITY ACTIONの自己宣言IDとGビズIDが必須。交付決定前に発注すると対象外になる |
| 個人情報保護法の漏えい等報告 | 事故発生時 | 速報はおおむね3〜5日以内、確報は30日以内（不正の目的による場合は60日以内）。「漏えいしたおそれ」でも対象で、不正の目的による行為なら1人分でも報告義務がある |
▶ 関連記事：SCS評価制度とは？★3・★4の違いと26の要求事項・2027年度の運用開始に向けて中小企業がやるべきこと
▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方
予算はいくら組めばいい？（従業員30名・PC30台のモデル）
「投資として計上する」と言われても、いくらが妥当なのか分からないという声をよくいただきます。従業員30名・パソコン30台の会社を想定した、現実的な組み方の一例をお示しします（税別・当社取扱の実際の価格です）。
| 項目 | 年額の目安 |
|---|---|
| EDR＋24時間365日監視（月1,000円／台 × 30台） | 360,000円 |
| IT資産管理・操作ログ（月500円／台 × 30台） | 180,000円 ＋ 初期30,000円 |
| セキュリティ教育・標的型メール訓練（50名以下 月18,000円） | 216,000円 ＋ 初期100,000円 |
| クラウドバックアップ（100GB） | 36,200円 |
| 初年度 合計 | 約922,000円（月あたり約77,000円） |
| 2年目以降 | 年792,000円（月あたり約66,000円） |
| 参考：軽微なマルウェア感染1件の損害額／感染調査（300台まで） | 600万円 ／ 298,000円 |
つまり4つ全部そろえても、年間の費用は「軽微な感染1件」の損害額の6分の1程度です。ガイドラインが「投資」と表現しているのは、こういう構造を指しています。
補助金でどこまで下がる？
デジタル化・AI導入補助金2026を使えば、この費用を大きく下げられます。
- 通常の枠：補助上限最大450万円、補助率は原則1/2、小規模事業者は要件により最大4/5
- セキュリティ対策推進枠：5万円〜150万円、補助率は小規模事業者2/3・中小企業1/2、サービス利用料を最大2年分まとめて対象にできる（IPA「サイバーセキュリティお助け隊サービスリスト」掲載品に限る）
- 交付申請までにSECURITY ACTIONの自己宣言IDとGビズIDが必要
補助金の要件と補助率は年度・公募回ごとに変わります。また交付決定前に発注・契約したものは対象外になるため、「先に導入して後から申請」はできません。最新の公募要領のご確認と、必要に応じて専門家へのご相談をおすすめします。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説
体制づくりに使えるサービスは？
重要10項目のうち、「自社でやる」と「外に出す」の切り分けが経営者の判断です。当社で取り扱っている、中小企業でも手が届くサービスを、どの指示に対応するかという視点で並べます。
| 項目 | セキュリオ | セキュリティお助けパック | Sophos MDR | LANSCOPE | データお守り隊 |
|---|---|---|---|---|---|
| 何が手に入るか | 従業員教育・標的型メール訓練・アンケート | UTM＋端末保護＋24時間監視＋駆けつけ | 世界8拠点のSOCによる検知と対応の代行 | パソコン・スマホの棚卸しと操作ログ | EDR＋AIによる24時間365日監視 |
| 対応する指示 | 指示3・6 | 指示5・7・8 | 指示5・7 | 指示4・5 | 指示5・7 |
| 提供形態 | クラウド（日本製） | マネージド（機器＋運用込み） | フルマネージドMDR | クラウド（SaaS） | EDR＋SOC付き |
| 料金（税別） | 50名以下 月18,000円／50名超は1人 月360円〜 | ネットワーク型 月9,800円／端末型 1ユーザー 月1,400円 | 要見積り（MDR／MDR Plus の2プラン） | 月500円／台（ライトA 300円・ライトB 400円） | 1ユーザー 月1,000円（Control 1,100円／Complete 1,660円） |
| 初期費用 | 100,000円 | 60,000円（統合型は80,000円） | 要見積り | 30,000円／契約 | 0円 |
| 24時間365日の監視 | — | 〇（AIによる監視） | 〇（平均応答38分） | — | 〇（AIによる監視） |
| サイバー保険 | — | 最大100万円 | — | — | 最大50万円 |
| 向いている会社 | 人の教育から始めたい会社 | 機器も運用もまとめて任せたい会社 | 検知だけでなく対応まで任せたい会社 | 何がどこにあるか把握したい会社 | 1台からEDRを入れたい会社 |
| 注意点 | 50名以下だと1人あたりが割高 | EDRが1台1,400円はやや割高 | MDRチームからの連絡は原則英語（当社が日本語で支援） | 操作ログの保存は標準2年 | 海外製で画面が英語表記の箇所がある |
| 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
もう1つ、ガイドラインが指示9で名前を挙げているものがあります。「サプライチェーン上での対策の底上げの手段として、サイバーセキュリティお助け隊等の中小企業向け施策を活用する」という記述です。上の「セキュリティお助けパック」は、このIPA「サイバーセキュリティお助け隊サービス」に登録済みのサービスなので、補助金のセキュリティ対策推進枠の対象にもなります。
▶ 関連記事：セキュリティ教育ツール徹底比較｜eラーニング＋標的型メール訓練を統合する3製品の選び方
▶ 関連記事：EDR徹底比較｜CrowdStrike vs SentinelOne vs Sophos｜中小企業に最適なのは？
▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方
よくある質問
Q. 従業員20名の会社ですが、経営ガイドラインを読むべきですか？
A. ガイドライン自体は「小規模事業者を除く」とされているため、20名以下の会社は主たる対象ではありません。まずはIPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」とSECURITY ACTIONから始めるのが現実的です。ただし経営ガイドラインの「3原則」（投資と考える／取引先まで見る／普段から話しておく）という考え方は規模を問わず有効なので、概要の数ページだけ目を通しておくと判断に役立ちます。
Q. セキュリティに詳しい社員がいません。誰を担当に決めればいいですか？
A. 詳しい人ではなく、社内の情報を把握している人を選んでください。総務や経理の方が兼務で構いません。ガイドラインが求めているのは技術力ではなく「責任の所在が明確になっていること」です。技術的な部分は外部に委託でき、ガイドライン自身も「専門事業者による実施が適切と判断される取組は外部委託も検討する」と述べています。むしろ担当者を決めたあとに大切なのは、その人が困ったときに聞ける外部の相談先を用意することです（IPAの調査では50.8%の中小企業が「相談先が特にない」と答えています）。
Q. 「うちは狙われない」と思っています。本当に必要ですか？
A. 攻撃者が選ぶ基準は「価値ある情報を持っているか」ではなく「入りやすいか」です。攻撃の仕組みが分業化・サービス化した結果、攻撃者は最初、相手の会社名すら知りません。加えてガイドラインが指摘しているのは、自社の対策不足が原因の場合、自社がサプライチェーンの他企業にとって加害者の立場になるという点です。自社の被害額だけでなく、取引先の業務を止めてしまうリスクを含めてご判断ください。
Q. 対策していても事故は起きます。それでも責任を問われるのですか？
A. 「事故が起きたこと」ではなく「その当時の技術水準に見合う対策をしていたか」が問われます。対策していたうえで被害に遭った場合と、公的機関が必要性を示している対策を何もしていなかった場合では、扱いが変わります。ガイドラインも「体制が組織の規模業務内容に鑑みて適切だったか」という書き方をしており、大企業と同じ対策を求めているわけではありません。30名の会社なら30名相応の体制で構いません。
Q. CISO（セキュリティ責任者）を置く余裕がありません。
A. 専任の役員を置く必要はありません。ガイドラインは「CISO等」という書き方をしており、社長ご自身が兼ねる、あるいは総務部長が兼務するという形も含まれます。重要なのは肩書きではなく、（1）責任の所在が社内で明確になっている、（2）その人が経営会議に報告する場がある、の2点です。この2つがあれば、指示2は実質的に満たせます。
Q. セキュリティの予算を社内で通す説明はどうすればいいですか？
A. 「損害額と比べる」のがいちばん通りやすい説明です。ガイドライン本文に載っている試算では、軽微なマルウェア感染1件で600万円（うち調査費用500万円）。一方、30名の会社が主要な対策を4つそろえても年間90万円台です。加えてIPAの調査では、自社診断が49点以下の中小企業の最大被害額は1億円、100点の企業は500万円でした。「確率を下げる話」ではなく「遭ったときに耐えられる金額に収める話」として説明すると、経営会議での納得感が上がります。
Q. まず何から相談すればいいですか？
A. 「今どこまでできているか分からない」という状態からのご相談で構いません。実務としては、（1）SECURITY ACTIONの宣言、（2）パソコンとクラウドサービスの棚卸し、（3）事故が起きたときの連絡先を紙1枚にする、の3つから始めると、費用をほとんどかけずに重要10項目のうち3つに着手できます。そのうえで、補助金が使える範囲で監視やバックアップを足していく形が、いちばん無理のない進め方です。
まとめ
サイバーセキュリティ経営ガイドラインは、経営者向けに書かれた無料の文書です。
ポイントは「読むと参考になる資料」ではなく、万一のときに経営者の責任を判断する“ものさし”になるという点でした。
善管注意義務の判断基準は「その当時の技術水準」であり、経済産業省やIPAが必要性を示している対策をしていたかが問われます。
対象は大企業および中小企業（小規模事業者を除く）で、小規模事業者やこれから取り組む会社は「中小企業の情報セキュリティ対策ガイドライン」とSECURITY ACTIONから始めるのが現実的です。
中身は「3原則」と「重要10項目」の2階建てで、10項目すべてを自社の人員でやることは求められていません。
ガイドライン本文には損害額の試算も載っており、軽微なマルウェア感染1件でも600万円、うち500万円が調査費用です。
一方でIPAの調査では、中小企業の69.7%が「各自の対応」、50.8%が「相談先が特にない」という状態でした。
つまりお金をかけずに着手できる「担当を決める」「宣言する」「連絡先を紙1枚にする」の3つだけで、多くの会社より一歩前に出られます。
記録（ログ）だけは後からさかのぼって取れないため、そこだけは早めに手を打ってください。
費用は30名規模で年間90万円台からが目安で、デジタル化・AI導入補助金を使えばさらに下げられます。
株式会社アーデントでは、「何から手をつけるか」の整理から、補助金を活用した導入、導入後の運用までまとめてご支援しています。「まだ何も決まっていない」という段階からでも、お気軽にご相談ください。
▶ 関連記事：SECURITY ACTIONとは？宣言のやり方と補助金の申請要件
▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？
▶ 関連記事：MSS・SOC・MDRの違いと費用相場・選び方