サイバー攻撃が企業活動そのものを止める経営リスクとなっている。ランサムウエア（身代金要求型ウイルス）やサプライチェーンを狙う攻撃が相次ぎ、生産、物流、医療、行政サービスに影響が広がる。企業の間では、セキュリティーを単なるコストではなく、事業継続と成長を支える投資と捉える動きが強まった。政府も取引先の対策水準を可視化する制度や能動的サイバー防御の具体化を進める。侵入を完全に防ぐだけでなく、被害を抑え、早期に復旧できる体制づくりが焦点となる。

被害は事業継続を直撃
　2025年秋にサイバー攻撃を受けたアサヒグループホールディングスでは、国内の受注や出荷、顧客対応などが停止した。攻撃者はネットワーク機器の脆弱（ぜいじゃく＝ルビ）なパスワードを突破口に管理者権限を奪い、ランサムウエアを実行したとみられる。システムを切り離し、手作業で受注・出荷を続けたが、物流の正常化は26年2月までかかった。7月には顧客の連絡先約152万5000件などが流出した可能性も公表した。アスクルでも前年、ランサムウエアによりサービス停止と情報漏えいが発生した。

　今年に入っても被害は続く。ニチレイは7月のサイバー攻撃で、冷蔵倉庫の入出庫や冷凍食品の出荷に影響を受けた。白梅豊岡病院では3月、電子カルテなどが使えなくなり、厚生労働省の支援チームがVPNの脆弱性を指摘した。東京都の事業を受託する調査会社への攻撃では、都民約1万8000人分の情報が影響を受けた。山形県のIT事業者でも、ネットワーク機器の管理者認証情報が推測または窃取された可能性が示された。大企業だけを守っても、委託先や取引先の弱点から被害が連鎖する構図が鮮明になっている。

市場1兆円へ、投資拡大
　対策投資は拡大する。IDC Japanによると、24年の国内セキュリティーソフトウエア市場は前年比14.6％増の5861億円だった。25年上半期も前年同期比14.1％増の3272億700万円となった。生成AI（人工知能）の活用やクラウド移行に伴い、ID管理、認証、アクセス管理、データ保護への需要が伸びる。29年には1兆307億円に達し、24年から年平均12.0％で成長する見通しだ。

　ただ、投資と実装には開きがある。日本情報経済社会推進協会（JIPDEC）の企業調査では、45.8％がランサムウエアの被害経験を回答し、感染企業の8割超に金銭的な損害が生じた。復旧できた企業の4分の1は1カ月以上を要した。一方、ゼロトラスト関連製品の導入率は3割未満にとどまる。多要素認証やSOC（セキュリティー・オペレーション・センター）、SIEM、XDRなどを組み合わせ、継続的に運用する力が問われる。

　情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」では、組織向けの1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃となった。身代金を支払った企業の割合は低下したものの、機密情報の流出や復旧の長期化を含めた損失は重い。バックアップを保存するだけでなく、実際に復元できるかを確認する訓練も欠かせない。

対策水準、取引条件に
　サプライチェーン防御では、政府が準備する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」が重要になる。一般的な脅威への対策を求める「★3」は専門家の確認や助言を伴う自己評価、より高度な「★4」は侵入後の被害抑制や事業継続を含む第三者評価を想定する。27年3月ごろの制度開始を予定している。

　発注企業が取引先に必要な段階を示し、対策状況を共通の尺度で確認できるようにする。セキュリティーは各社の自主的な取り組みから、調達や契約の条件へ移りつつある。中堅・中小企業には負担となる一方、対策を取引上の強みに変える機会にもなる。ソフトウエア部品表（SBOM）を使った脆弱性管理など、製品やサービスを供給する側の責任も重くなる。

　企業には、古いVPNや不要な接続経路の廃止、IDと権限の厳格な管理、端末監視、ネットワーク分離、バックアップ、復旧訓練を一体で進める必要がある。クラウドや社外端末を前提とするゼロトラストに加え、工場、物流設備、社会インフラを守るOT（オペレーショナルテクノロジー）セキュリティーも事業継続の柱となる。

能動的防御、実施段階へ
　政策面では、能動的サイバー防御を盛り込んだサイバー対処能力強化法が10月1日に施行される。重要インフラ事業者による特定重要電子計算機の届け出やインシデント報告、官民の情報共有、通信情報の分析、攻撃に使われるサーバーの無害化などを進める。制度の成立から、実効性を高める運用の段階に入る。

　中長期では、量子コンピューターに備えた耐量子計算機暗号（PQC）への移行も避けられない。暗号方式だけでなく、証明書、鍵、機器、保管データを洗い出し、更新計画を立てる必要がある。経営層が平時から指揮系統と復旧手順を確認し、取引先を含めて備えを続けられるか。セキュリティー投資の成否は、製品の導入数ではなく、被害を受けても事業を続けられる力で測られる時代を迎えた。