セキュリティ対策を何から始めればよいか分からず、担当者が決まらないまま時間が過ぎている企業は少なくありません。

この記事は、情報システムやセキュリティの専任者を置いていない企業の経営者、総務・情シス担当者に向けて書いています。なお本記事では、中小企業庁が定める基準に当てはまる企業を念頭に置き、以降は単に「企業」と表記します。

引用元：中小企業庁「中小企業・小規模企業者の定義」 https://www.chusho.meti.go.jp/soshiki/teigi.html

この記事では、セキュリティ顧問を入れるべき7つのサインを最初に示したうえで、社内に残すことと外に頼むことの線引き、漏えい・ランサムウェア被害の実態、選び方までを解説します。

専任者がいなくても、サインに気づいた時点でセキュリティ顧問への相談を検討しましょう！

まず、企業の状況ごとに検討したい対応を一覧で示します。

この早見表は、本記事で紹介する公的機関の調査結果をもとにした、株式会社Last Scene独自の目安です。確定した診断結果を示すものではありません。

実際にどの対応が適切かは、保有する情報の種類や取引先との契約内容によって変わります。自社の状況に近いものがないか、まず確認しましょう。

セキュリティ顧問を入れるべき7つのサイン

セキュリティ顧問への相談を検討すべきサインは、大きく分けて7つあります。

取引先からの要求や補助金の要件といった対外的なきっかけ、投資判断者の不在や経営方針の未策定といった社内の体制、過去のインシデント経験やBCP未整備、そして生成AIやAIで作ったアプリの運用です。

対外的なきっかけから分かるサイン

取引先からセキュリティチェックシートの提出やISMS取得状況の確認を求められた場合、自社だけでの対応が難しいサインです。

補助金や助成金の申請要件としてSECURITY ACTIONの宣言を求められたことをきっかけに、宣言に踏み切る企業も少なくありません。

引用元：IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」（SECURITY ACTION宣言のきっかけに関する設問結果） https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf

社内の体制から分かるサイン

セキュリティ対策の投資判断ができる人が社内にいない場合、外部の視点が必要なサインです。

経営者がリーダーシップを取ってサイバーセキュリティリスクを認識し、対応方針を策定できているかどうかも確認のポイントです。

引用元：経済産業省・IPA「サイバーセキュリティ経営ガイドラインVer3.0」 https://www.meti.go.jp/policy/netsecurity/mng_guide.html

過去にウイルス感染や不正アクセス、情報漏えいを経験したことがある場合も、同じ被害を繰り返さないための体制づくりを検討するサインです。

サイバー攻撃を想定した業務継続計画を策定済みの組織は、警察庁の調査で約18%にとどまっています。策定していない場合は、顧問と一緒に整備を進める目安になります。

引用元：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf

生成AIやAIで作ったアプリの運用から分かるサイン

IPAは2026年1月29日、「情報セキュリティ10大脅威2026」の組織編を公表しました。2026年版では、AIの利用をめぐるサイバーリスクが初めて選出され、3位にランクインしています。

引用元：IPA「情報セキュリティ10大脅威2026」を決定 https://www.ipa.go.jp/pressrelease/2025/press20260129.html

社内で生成AIの利用が広がっている場合や、AIで作ったアプリ・社内ツールを公開・運用する機会が増えている場合は、確認すべき項目も増えているサインです。

公開範囲の設定や認証の有無など、AIで作ったアプリや社内ツールの状況を確認したい場合は、セキュリティ顧問サービスでも診断を受け付けています。

自社が受けた場合の影響額を試算する

計算式は「1か月の売上高 ÷ 1か月の営業日数 × 平均復旧期間5.8日 ＋ 平均被害額73万円」です。復旧期間と被害額は、IPAの実態調査が示す平均値を使っています。

たとえば1か月の売上高が600万円、月の営業日数が20日の企業であれば、600万円÷20日×5.8日で約174万円となり、これに73万円を足した約247万円が目安になります。

同じ条件で1か月の売上高が1,200万円の企業であれば、1,200万円÷20日×5.8日で約348万円となり、これに73万円を足した約421万円が目安になります。

引用元：IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」（被害額・復旧期間の平均値を使用） https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf

この金額は本記事独自の概算であり、確定した被害額ではありません。業種や保有データ、復旧にかかる人件費によって大きく変わることを前提に参考にしましょう。

該当するサインの数をチェックする

• 取引先からセキュリティ対策の証明を求められたことがある
• 補助金・助成金の申請要件でSECURITY ACTIONの宣言を求められたことがある
• セキュリティ対策の投資判断ができる担当者が社内にいない
• 経営者がサイバーセキュリティへの対応方針を示せていない
• 過去にウイルス感染や不正アクセスを経験したことがある
• サイバー攻撃を想定したBCPを策定していない
• 生成AIの利用やAIで作ったアプリ・社内ツールの公開が増えている

2つ以上当てはまる場合は、セキュリティ顧問への相談を検討する目安になります。

Web・モバイルアプリ・AIアプリの実績多数

Last Sceneへお任せください！

• 開発は丸投げしたいがプロジェクトができるか不安
• リードエンジニアがいない
• パフォーマンスはもちろんのことコストにもこだわりたい

八木（Last Scene）

大規模アプリ開発や、0からのサービス開発など
案件の規模に合わせた最適なご提案が可能です。

事例・相見積りの問い合わせはこちら

セキュリティ顧問のご相談は、LINEの友だち追加から気軽にどうぞ。 LINEで相談する

社内に残す業務と外部に任せる選択肢を比較する

すべてのセキュリティ対策を自社だけで担う必要はありません。社内に残す部分と外部に任せる部分を線引きしたうえで、専任者がいない企業が取り得る選択肢を比較しましょう。

IPAのガイドブックは、基本的な対策を進めるために、兼務でもセキュリティ担当者を1人は確保するよう求めています。従業員への周知やパスワード管理などの基本的な対策は、社内の担当者が窓口になって進める形が前提です。

一方で、技術的・専門的な対策や、内部だけでは対応が難しい診断については、外部の専門家に相談することを同じガイドブックが勧めています。

引用元：IPA「中小企業のためのセキュリティ人材確保・育成の実践ガイドブック」 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_1.pdf

担当者の配置や従業員への周知は社内に残しつつ、技術的な診断やインシデント対応の専門知識は外部に任せる形が現実的です。ここからは、専任者を置けない企業が取り得る5つの選択肢を見ていきます。

兼任で対応する

総務や情シス担当者がセキュリティ対策を兼任するのは、最も始めやすい方法です。ただし専門知識の習得には時間がかかり、日々の業務と並行して対応し続けるのは負担になります。

外部ベンダーにスポットで依頼する

ウイルス対策ソフトの導入やネットワーク構築など、特定の作業だけを外部ベンダーに依頼する方法もあります。一時的な対応はできますが、継続的な監視や経営判断への助言までは期待しにくい形態です。

サイバーセキュリティお助け隊サービスを使う

IPAが品質基準を設けた事業者が提供する「サイバーセキュリティお助け隊サービス」は、相談窓口や簡易診断などをワンパッケージで受けられる制度です。2021年春の制度開始以降、累計導入企業数は約10,900社に上ります（2026年3月末時点）。

引用元：IPA「サイバーセキュリティお助け隊サービス制度」 https://www.ipa.go.jp/security/sme/otasuketai/index.html

お助け隊サービスは、相談窓口やシステムの異常監視、緊急時の対応支援などをワンパッケージで提供する制度です。

引用元：IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」（お助け隊サービスの提供内容に関する設問） https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf

費用を抑えて基本的な対策を整えたい企業に向いています。経営判断の整理まで相談したい場合は、顧問などほかの選択肢も比較しましょう。

セキュリティ顧問に伴走してもらう

セキュリティ顧問は、経営者の意思決定に寄り添いながら、継続的に対策の優先順位を一緒に整理する関わり方です。投資判断、取引先への説明資料の整備、インシデント発生時の初動まで、幅広く相談できます。

顧問は「何でも屋」ではなく、経営判断を一緒に整理するパートナーだと考えましょう。

CSIRTを自社で構築する

人員の確保や教育にコストがかかるため、ある程度の規模に育ってから検討する企業が多い選択肢です。

ここまでの選択肢を、向いている企業や経営判断への関与の度合いで整理します。

この比較は株式会社Last Scene独自の整理であり、実際の費用や対応範囲は依頼先によって異なります。確定した金額を示すものではありません。

スポット診断から顧問契約に移る流れ

まずはスポット診断で現状を把握する

顧問契約の前に、まずスポットでの診断を受けて自社の状況を把握する進め方もあります。

診断で見つかった項目をもとに、自社で対応する部分と、継続して相談したい部分を整理できます。

実際の診断事例では、依頼した企業が特定されない形で結果が公開されています。

予約・応募管理・申込フォームなど、実務で使われている社内ツール4本を診断した結果、次の不備が見つかりました。

• ログインなしで外部から呼び出せる処理が6本見つかった
• 認証なしで送信できる通知の入口が5本見つかった
• 「直した」はずの修正が、3日間本番環境に反映されていなかった

引用元：株式会社Last Scene「セキュリティ顧問」診断事例 https://lastscene.co.jp/security-advisor/

「ちゃんと動いている」ツールでも、公開範囲や認証の設定は個別に確認しないと気づきにくいものです。

診断から顧問契約に移る目安

診断後も定期的な確認が必要な場合や、公開後の状態を継続して見てほしい場合は、顧問契約に移る目安になります。

契約前に、対応範囲と相談できる頻度を確認しておくと、スポットから継続契約への切り替えで迷いにくくなります。

セキュリティ顧問サービスのページでは、診断から契約までの流れを紹介しています。

Web・モバイルアプリ・AIアプリの実績多数

Last Sceneへお任せください！

• 開発は丸投げしたいがプロジェクトができるか不安
• リードエンジニアがいない
• パフォーマンスはもちろんのことコストにもこだわりたい

八木（Last Scene）

大規模アプリ開発や、0からのサービス開発など
案件の規模に合わせた最適なご提案が可能です。

事例・相見積りの問い合わせはこちら

セキュリティ顧問のご相談は、LINEの友だち追加から気軽にどうぞ。 LINEで相談する

漏えい・ランサムウェア被害の実態

ランサムウェア被害226件、情報セキュリティ10大脅威2026に見る組織への脅威

警察庁の発表によると、令和7年のランサムウェアの被害報告件数は226件でした。このうち小規模な企業が143件と、全体の約6割を占めています。

復旧に総額1,000万円以上を要した組織の割合は、全体の5割を超えています。専任の担当者を置きにくい規模の企業ほど、被害が長期化しやすい状況がうかがえます。

引用元：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf

IPAが決定した「情報セキュリティ10大脅威2026」の組織編では、1位はランサム攻撃による被害、2位はサプライチェーンや委託先を狙った攻撃でした。3位には、AIの利用をめぐるサイバーリスクが初めて選出されています。

引用元：IPA「情報セキュリティ10大脅威2026」を決定 https://www.ipa.go.jp/pressrelease/2025/press20260129.html

取引先を踏み台にした攻撃が上位に入っていることから、自社だけでなく取引先を含めた対策が求められています。

漏えい時は年間1.9万件超が報告される義務の重さ

個人情報保護法では、個人データの漏えい等が発生した場合、個人情報保護委員会への報告が義務付けられています。令和6年度に処理された漏えい等報告の件数は19,056件でした。

引用元：個人情報保護委員会「令和6年度個人情報保護委員会 年次報告」 https://www.ppc.go.jp/aboutus/report/annual_report_2024/

投資していない企業は6割超、被害後も8割超が対策を強化せず

IPAの調査では、直近過去3期の情報セキュリティ対策投資額について「投資していない」と回答した企業が62.6%に上りました。理由は「必要性を感じていない」が44.3%で最も多くなっています。

引用元：IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」 https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf

サイバーインシデントの経験があると回答した企業は23.3%で、被害額の平均は73万円、最大は1億円でした。復旧までの期間は平均5.8日、最長で360日を要した企業もありました。

ところが、被害経験を踏まえて対策を強化したと回答した企業は13.6%にとどまり、86.4%は強化していません。

引用元：IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」 https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf

SECURITY ACTIONを知っている企業は10.4%、サイバーセキュリティお助け隊サービスを知っている企業も7.0%にとどまり、専任者がいない企業ほど使える制度に気づきにくい状況です。

引用元：IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」 https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf

Web・モバイルアプリ・AIアプリの実績多数

Last Sceneへお任せください！

• 開発は丸投げしたいがプロジェクトができるか不安
• リードエンジニアがいない
• パフォーマンスはもちろんのことコストにもこだわりたい

八木（Last Scene）

大規模アプリ開発や、0からのサービス開発など
案件の規模に合わせた最適なご提案が可能です。

事例・相見積りの問い合わせはこちら

セキュリティ顧問のご相談は、LINEの友だち追加から気軽にどうぞ。 LINEで相談する

セキュリティ顧問に相談できること

経営ガイドラインの3原則・重要10項目に沿った体制づくり

サイバーセキュリティ経営ガイドラインが示す3原則は、経営者のリーダーシップ、サプライチェーン全体への目配り、社内外とのコミュニケーションです。

重要10項目についても、自社がどこまで対応できていて、何を優先すべきかを顧問の視点で棚卸しできます。

引用元：経済産業省・IPA「サイバーセキュリティ経営ガイドラインVer3.0」 https://www.meti.go.jp/policy/netsecurity/mng_guide.html

情報セキュリティ対策ガイドラインの6か条を実践に落とし込む

IPAは2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」を第4.0版に改訂しました。従来の5か条に「バックアップを取ろう」が加わり、情報セキュリティ6か条になっています。

引用元：IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 https://www.ipa.go.jp/security/guide/sme/about.html

6か条を知っていても、自社のどの業務に当てはめるかまでは判断しづらいものです。顧問が入ることで、自社の業務フローに沿った形に落とし込みやすくなります。

投資判断とIT予算配分の整理

「何に、いくら使うべきか」を社内だけで判断するのは難しいものです。顧問に相談すれば、自社の事業内容やリスクに応じた優先順位を一緒に検討できます。

インシデント対応とBCPの整備

被害が起きた際の初動対応や、業務継続計画の整備を事前に顧問と準備しておけます。

警察庁も、連絡先を整理しておくことで被害発生時の連携が円滑になるとしています。

引用元：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf

取引先からのセキュリティ要求への対応

取引先からの要求に応じた体制整備は、顧問がいることで対応のスピードが上がります。

システム開発の要件定義を外部に依頼する際も、セキュリティ要件を盛り込んだ仕様を事前に整理しておくと、発注後のやり直しを防げます。

セキュリティ顧問の選び方

対応範囲を確認する

診断だけなのか、投資判断やインシデント対応まで伴走してくれるのか、契約前に確認しましょう。

システム開発会社の選び方と同様に、契約前に対応範囲をすり合わせておくことが重要です。

実績や契約形態を確認する

自社と近い業種・規模の企業を支援した実績があるか確認しましょう。単発のコンサルティングなのか、継続的な顧問契約なのかによって、関わり方が大きく変わります。

受託開発会社の選び方を参考に、契約形態ごとの違いを整理しておくと比較しやすくなります。

相性やコミュニケーション頻度を確認する

経営者と直接やり取りできるか、月に何回相談できるかなど、日常的なコミュニケーションの頻度を確認しましょう。

システム開発の発注ガイドでも触れているとおり、発注前のすり合わせが後のトラブルを防ぎます。

よくある質問

セキュリティ顧問とコンサルティング会社の違いは？

コンサルティング会社は特定のプロジェクト単位で関わることが多く、顧問は継続的に経営判断へ伴走する点が異なります。

どちらが適しているかは、自社が求める関わり方の頻度によって変わります。

社内にIT担当者がいても顧問は必要？

IT担当者がいても、セキュリティに特化した知見や経営判断への助言は別の専門性です。

兼任のIT担当者の負担を減らす目的でも、顧問への相談は選択肢になります。

契約前に何を準備すればいい？

現在使っているシステムやサービスの一覧、過去のインシデントの有無、取引先からの要求内容を整理しておきましょう。

準備が難しい場合も、まずは現状を一緒に整理するところから相談できます。

まとめ｜7つのサインに気づいたらセキュリティ顧問への相談を検討しましょう

セキュリティ顧問を入れるべきサインは、取引先からの要求や補助金の要件、社内の投資判断者不在、経営方針の未策定、インシデント経験、BCP未整備、そして生成AIやAIで作ったアプリの運用の7つです。

ランサムウェア被害は226件、うち約6割を小規模な企業が占め、復旧に1,000万円以上を要した組織は5割を超えています。

セキュリティ対策に投資していない企業は6割を超え、被害を受けても8割超が対策を強化していません。

専任者がいない企業には、兼任、外部ベンダー、お助け隊サービス、セキュリティ顧問、CSIRT構築という選択肢があります。まずはスポット診断で現状を把握し、継続的な確認が必要になった段階で顧問契約に移る進め方も選べます。

情報セキュリティ10大脅威2026では、ランサム攻撃とサプライチェーン攻撃が上位を占め、AIの利用をめぐるサイバーリスクも新たに上位に入りました。脅威は年々変化しているため、一度対策を整えて終わりにはできません。

サインに複数当てはまったら、専任者を置く前にまず顧問へ相談しましょう！

相談前の準備チェックリスト

1. 直近の被害経験とその内容を整理する
2. セキュリティ対策の投資額をこの3年で振り返る
3. 取引先からの要求内容を書き出す
4. 社内で投資判断ができる人を確認する
5. 相談したい範囲が診断だけか、継続支援かを決める

株式会社Last Sceneでは、専任のセキュリティ担当者がいない企業に向けて、現状の棚卸しから対策の優先順位づけまで伴走しています。

取引先からの要求への対応や、インシデント発生時の初動整理に加えて、AIで作ったアプリや社内ツールの診断も行っています。

対策の進め方や相談できる範囲を知りたい段階でも相談できますので、まずは実現したいことをお聞かせください。

Web・モバイルアプリ・AIアプリの実績多数

Last Sceneへお任せください！

• 開発は丸投げしたいがプロジェクトができるか不安
• リードエンジニアがいない
• パフォーマンスはもちろんのことコストにもこだわりたい

八木（Last Scene）

大規模アプリ開発や、0からのサービス開発など
案件の規模に合わせた最適なご提案が可能です。

事例・相見積りの問い合わせはこちら

セキュリティ顧問のご相談は、LINEの友だち追加から気軽にどうぞ。 LINEで相談する