本調査は、自社のITシステム運用に関与する担当者523人を対象に実施された。調査期間は2026年6月22日から7月6日だ。

　調査によると、セキュリティインシデントの経験がある企業は37.1％に上る。経験した内容の上位は「クライアントPCのウイルス感染」が49.0％と最も多く、「サーバ／社内システムのウイルス感染・不正アクセス」が26.3％、「ランサムウェア攻撃」が25.8％と続いた。

　インシデント発生時の被害への不安としては、「重要データや業務システムが利用できなくなること」が73.6％を占めた。次いで「個人情報・機密情報が漏えいすること」が63.1％、「バックアップから復旧できるかどうか」が59.8％だった。業務停止による事業継続への懸念が現れている形だ。

　しかし、こうした不安への備えは追い付いていない。「対応手順・役割分担・連絡体制、復旧手順が整備され、訓練も実施」している企業は全体の7.6％に過ぎない。「対応手順等は整備したが、訓練は不十分」と答えた企業は26.4％、「バックアップなど一部の備えはあるが、対応方針・手順等は未整備」と答えた企業は37.5％だった。多くの企業がツールの導入や部分的な備えにとどまり、有事に機能する状態を構築できている企業は極めて少ないのが実情だ。

　自社の対策レベルの自己評価でも、アンチマルウェアソフトウェアの導入など「最低限の対策のみ」を実施する企業が33.3％、ガイドライン策定や講習会を実施する「標準的な対策」の企業が36.9％で、合わせて70.2％の企業が初期段階にとどまっている。

運用開始が迫るSCS評価制度への備えと立場の差

　2027年3月ごろの運用開始が計画されている「SCS評価制度」（サプライチェーン強化に向けたセキュリティ対策評価制度）への準備状況にも変化があった。「制度の概要を把握し、準備を進めている」と回答した企業は、前回調査（2025年12月～2026年1月実施）時の8.3％から18.7％へと倍増した。「情報収集段階」の企業は33.4％から25.8％へと減少しており、企業の関心が具体的な準備段階へと進んでいることを示している。

　サプライチェーンにおける立場別に見ると、準備を進めている企業の割合は「委託元・委託先双方」の立場の企業が26.4％、「委託先企業（受注側）」が24.5％、「委託元企業（発注側）」が18.6％だった。取引条件に影響する可能性がある委託先で、外部からの要求に応えるための準備が先行している傾向がある。

　自社対策レベルが高い企業ほど、SCS評価制度の準備に着手している割合が高いことも確認された。外部からの評価要件に準拠するためには、日頃からのセキュリティ対策が前提条件であることが推測される。

上流工程への関与拡大と拭いきれない情シス依存

　調査では、新規システム導入時のセキュリティ対策のアプローチに関する問いも設けられた。要件定義や設計の段階から情報システム部門またはセキュリティ担当者が関与している企業は、「常に関与」が37.7％、「重要案件のみ関与」が22.4％で、合計60.1％の企業が「セキュリティバイデザイン」（システムの導入・実装時からセキュリティ対策を組み込む考え方）を取り入れている。

　システム構築の上流工程からセキュリティを検討する動きは広がりを見せているが、組織体制には偏りが見られる。セキュリティ対策の主導部門に関する設問では、「情報システム部門が全社横断で主導している」が71.1％と突出しており、「セキュリティ専任部門あるいは担当者が主導している」の15.9％を大きく引き離した。

　システム導入や開発での役割と責任については、過半数となる52.6％の企業が「セキュリティ対応は情報システム部門任せで、経営層や事業部門との連携に課題がある」と回答した。経営層や事業部門を含めて役割や責任が明確で、部門横断で連携している企業は18.0％に過ぎない。

　体制や運用面の課題として「自社内の専門知識や知見が不足している」が45.7％、「セキュリティ対策できる体制・人材・リソースが無い」が43.6％と高い割合を示した。限られた人員と専門知識で情報システム部門が重責を担う構造が続いており、全社横断的なセキュリティガバナンスの構築が多くの企業にとって急務となっている。