サイバー脅威の実態と対策　～中小・中堅企業が把握すべき対策の全体像～

32% サイバー攻撃被害経験企業

55% 侵入経路1位 VPN脆弱性

4.8% サイバー保険加入率（中小）

サイバー攻撃の脅威実態

「攻撃を受けるかどうか」はもはや確率論ではなく「いつ受けるか」の問題です。2025年現在、国内企業の32%が過去に攻撃を受けており、中小企業の4社に1社が直近1年で何らかのインシデントを経験しています。これまではサイバー攻撃というと未知なる恐怖というイメージが強かったですが、実際に攻撃を受けて被害に遭った事例も増えてきたので、その実態もある程度明らかになりつつあり、具体的で効果的な防衛や対策も見えてきています。

■ 被害統計サマリー

指標	数値	出典・備考
サイバー攻撃被害経験企業（全規模）	32%	帝国データバンク 2025年調査
直近1年でインシデント経験（中小企業）	23%（約4社に1社）	IPA 中小企業情報セキュリティ実態調査
攻撃後の情報漏えい率	79%	警察庁統計
被害後に取引先へも影響	約70%	IPA調査
被害額平均	73万円（最大1億円）	各種調査報告
復旧期間平均	5.8日	各種調査報告
ランサムウェア被害の中小企業割合	約60%	警察庁 サイバー警察局

■ ランサムウェア 侵入経路ランキング（警察庁統計）

第１位　VPN機器の脆弱性（52％）

第２位　リモートデスクトップ（RDP）（～28％）

第３位　メール（～15％）

※重要：VPN（5〜7割の企業が保有）とRDP（約5割が稼働）を合わせると、国内企業のほぼ全域がランサムウェアの主要侵入口を保有している状態。パッチ未適用・MFA未設定が典型的な被害パターン。

 侵入を防ぐ技術的対策

侵入経路TOP3それぞれに対する具体的対策を優先順に示します。どれか一つではなく、三層の入口対策を組み合わせることが重要です。

■ 侵入経路別 対策チェックリスト

1位対策：VPN機器	2位対策：RDP	3位対策：メール
• パッチ・ファームウェアの即時適用（公表後ゼロ遅延を目標） • 多要素認証（MFA）の必須化 • パッチ適用と同時にパスワード変更 • 機器の全棚卸し（管理外の古い機器を発見・排除） • 管理インターフェースを特定IPのみに限定 • 前段へのIPS設置で脆弱性悪用通信を暫定遮断	• RDPをインターネット直接公開禁止（ポート3389を完全遮断） • 社外アクセスはVPN経由のみに限定 • MFA必須化 ＋ アカウントロックアウト設定 • 許可IPリスト（ホワイトリスト）の設定 • 不要なRDPの完全無効化（設定上OFFでも要確認） • BlueKeep等の重大脆弱性パッチ適用確認	• EDR導入による端末挙動の常時監視 • メールセキュリティゲートウェイの設置 • RDP構成ファイル添付メールへの社員教育 • 不審メールの報告フロー整備 • 定期的なフィッシング訓練の実施 • クラウドメールのMFA必須化

■ EDR製品 総合比較（2025年版）

メール・ファイルレス攻撃への最終防衛線としてEDRの導入が不可欠です。端末の挙動を常時監視し、侵入後の横展開・暗号化を阻止します。

製品名	信頼性	コスパ	運用しやすさ	特徴・推奨規模
SentinelOne ★推奨	★★★★★	★★★★★	★★★★★	Rollback自動復旧機能。Gartner 5年連続リーダー。中小〜大企業
Cybereason（国内No.1）	★★★★☆	★★★☆☆	★★★★☆	完全日本語対応。国内サポート充実。情シス少数企業に最適
CrowdStrike（大企業向け）	★★★★★	★★★☆☆	★★★☆☆	グローバル脅威インテリジェンス。多拠点・海外展開企業向け

※EDR運用のポイント：EDRは導入して終わりではなく継続的な運用・管理が必要です。運用担当者が少ない場合はMDR（マネージドEDR）サービスを活用し、専門事業者に監視・初動対応を委託するアプローチが効果的です。

サイバー保険と総合防衛戦略

■ 国内主要サイバー保険 比較（2025年）

	東京海上日動 サイバーリスク保険	三井住友海上 サイバープロテクター	損保ジャパン サイバー保険
総合評価	🥇 総合力No.1	🥈 コスパ最強	🥉 初動対応
補償開始	被害発生後	被害発生後	漏えい「疑い」段階から
フォレンジック調査	◎	◎	◎
事業中断補償	〇	〇（ワイドプラン）	〇
最大の特徴	専門家緊急ホットライン完備 情シス不在の中小企業に最適	セキュリティ対策申告で 最大60%割引制度あり	SOMPOセキュリティ専門会社と連携 医療機関向け専用プランあり
24時間対応	◎	◎	◎

※保険選びの重要チェックポイント ・「おそれ段階」から補償が始まるか  ・フォレンジック調査費用が対象か  ・事業中断による売上損失が補償されるか  ・24時間ホットライン対応か  ・複数社の相見積もりを必ず実施

■ 総合防衛戦略：三層防衛モデル

第1層 入口対策 • VPN即時パッチ適用 • RDP外部公開禁止 • MFA必須化 • フィッシング教育

第2層 侵入後対策 • EDR導入・常時監視 • セグメント分離 • 非同期バックアップ • 自動検知・遮断

第3層 残存リスク対策 • サイバー保険加入 • 損害賠償補償 • 事業中断補償 • フォレンジック費用

※結論 現代のサイバーリスク管理に「銀の弾丸」は存在しません。入口対策（VPN・RDP・メール）で侵入確率を下げ、EDR・バックアップ体制で侵入後の被害拡大を食い止め、サイバー保険で残存リスクの経済的損失を補填する——この三層を組み合わせることが2025年以降の標準的なリスク管理です。「攻撃を受けるかどうか」ではなく、「攻撃を受けた後、事業を継続できるか」が問われる時代に入っています。