サイバーセキュリティお助け隊（令和2年度中小企業向けサイバーセキュリティ対策支援体制構築事業）の報告書について

事業概要

2019年度（令和元年度）に引き続き2020年度（令和2年度）においても、中小企業のサイバーセキュリティ対策を支援する仕組みの構築を目的とし、全国13地域・2産業分野の中小企業を対象に、損害保険会社、ITベンダー、セキュリティ企業、地域の団体等が実施体制を組み、実証事業（サイバーセキュリティお助け隊）を実施しました。
本事業の実施を通じて、中小企業のセキュリティ対策の促進や意識喚起、攻撃実態や対策ニーズ把握を行い、中小企業等に必要なセキュリティ対策の内容（対応範囲や費用等）、マーケティング方法や支援体制、中小企業等向けのサイバーセキュリティ対策の一つとして提供するセキュリティ簡易保険サービスのあり方、実証終了後のサービス提供の可能性等の検討を行い、報告書にまとめました。

2020年度実証のポイント

2019年度の事業では、全国8地域で計1,064社の中小企業が参加し、実証に取り組んだ結果、延べ128件のインシデント対応支援が発生し、そのうち18件の駆けつけ支援を実施しました。
2020年度は、2019年度事業の結果を踏まえ、地域特性・産業特性を考慮したマーケティングを行うため、13地域（24道県）と2産業分野の中小企業等を対象に実施するとともに、2021年度以降の民間でのサービス展開に繋げるべく、サービス内容のスリム化や導入・運用負荷を下げる検討を推進しました。

• 2019年度事業についてはこちら

実証対象一覧

全国13地域・2産業分野で事業主体が実施体制を組織し、中小企業に本事業を周知し、参加を呼びかけることで、計 1,117社の中小企業が実証に参加しました。
実証を行った対象地域/産業分野、実施体制、実証参加企業数は以下のとおりです。

①北海道

②宮城、山形、秋田、青森

③岩手

④岩手、宮城、福島

⑤千葉、埼玉

⑥千葉

⑦岐阜を中心とする中部エリア(岐阜、愛知、三重、静岡)

⑧愛知、岐阜、三重

⑨滋賀、奈良、和歌山

⑩香川

⑪福岡を中心とする九州圏（福岡、佐賀、長崎、熊本、大分、宮崎）

⑫熊本

⑬沖縄

⑭防衛・航空宇宙産業（関東地方、中部地方、関西地方）

⑮自動車産業（静岡県、広島県等）

1. ※
   対象地域の北から順に記載

実証参加企業の属性

実証参加企業の属性は以下のとおりです。
計 1,117社の実証参加企業の業種別内訳は、「製造業」が24.1%で最も多かったものの、「卸売業・小売業（13.6%）」や「サービス業（10.2%）」など、様々な業種の中小企業が参加しました。
実証参加企業の従業員数別内訳としても、「1～5人」が24.3%、次いで「21～50人」が20.2%であったものの、「201人～300人」も3.1%含まれるなど、多様性がありました。

中小企業におけるセキュリティ対策状況等の実態把握

セキュリティ機器等によるサイバー攻撃の実態把握

実証参加企業1,117社に対して、各事業主体が選定したセキュリティ機器（UTM 機器、EDR ソフト等）を実証参加企業に設置（延べ1,190社）することで実態を把握しました。
各事業主体が実施した取組みは以下のとおりです。

東日本電信電話

東北インフォメーション・システムズ

富士ソフト

デジタルハーツ

富士ゼロックス

SOMPOリスクマネジメント株式会社

MS&ADインターリスク総研

名古屋商工会議所

大阪商工会議所

高松商工会議所

BCC

西日本電信電話

沖電グローバルシステムズ

PFU

東京海上日動リスクコンサルティング

合計

相談・インシデント対応ほか技術的支援の状況

本事業では事業主体ごとに実証参加企業からの実証に関する相談受付および対応等の実施体制（コールセンター）を構築し支援を実施しました。
セキュリティ機器による検知、および脆弱性診断等の結果に基づき、合計293件のインシデント対応ほか技術的支援を行いました。対応件数および内訳は以下のとおりです。

＜相談・インシデント対応ほか技術的支援の状況＞

全体まとめ

中小企業のセイバーセキュリティ対策の実態

• 本実証事業においても、2019年度事業と同様に、業種や規模を問わずサイバー攻撃の脅威にさらされており、ウイルス対策ソフト等の既存対策だけでは防ぎきれていない実態が明らかとなった。
• インシデント対応ほか技術的支援は、2020年度は新型コロナウィルス感染症拡大の影響もあり、当初からリモートによる管理可能なサービス提供が多く行われたこともあり、概ねリモートによる支援対応となった。
• インターネット上に公開しているホームページやサービスサイト等の脆弱性診断において、対象企業のほとんどで何らかの脆弱性（弱点）が発見された。加えて、そのうち概ね2割の企業においては重大なインシデントに繋がる可能性があると診断された。
• セキュリティ対策上の課題としては、専門人材の不足、社員や専門人材に対する教育がなされていない、費用を捻出することが困難といった声が寄せられた。
• セキュリティ対策について予算は全くかけていない、あるいは最低限のみ対策費用をかけているという企業が多かった。セキュリティ対策に支払可能な金額としては、月額1万円程度と回答する中小企業が多かった。

セキュリティ簡易保険サービスのあり方

• 各事業主体における検討の結果、①サイバー保険は製品やサービスの付帯保険として提供され、中小企業にとって加入しやすい価格帯とする、そして②インシデントが発生した場合の賠償費用やフォレンジック等の本格的な調査・対処費用については、任意保険として提供するという考え方が多数であった。

実証終了後のサービス提供の可能性

実証事業の過程で中小企業のニーズにマッチした民間サービスの開発が進められる中で、IPAでは、本実証事業の結果等を踏まえ、相談窓口、異常の監視、緊急時の対応支援、簡易サイバー保険などの各種サービスをワンパッケージで安価に提供することを要件としてまとめた「サイバーセキュリティお助け隊サービス基準」を2021年2月に策定・公表しました。
同基準を満たすサービスには、「サイバーセキュリティお助け隊マーク」の利用を許諾し、ブランド管理を行うとともに普及を促進します。

• サイバーセキュリティお助け隊サービス

報告書のダウンロード

• 成果報告書（全体版）(PDF:2.9 MB)
• 成果報告書（概要版）(PDF:2.0 MB)
• 別紙1　サイバーセキュリティお助け隊 実証参加企業事例集(PDF:660 KB)

各事業主体の成果報告書

東日本電信電話株式会社

東北インフォメーション・システムズ株式会社

富士ソフト株式会社

株式会社デジタルハーツ

富士ゼロックス株式会社

SOMPOリスクマネジメント株式会社

MS&ADインターリスク総研株式会社

名古屋商工会議所

大阪商工会議所

高松商工会議所

株式会社BCC

西日本電信電話株式会社

沖電グローバルシステムズ株式会社

株式会社PFU

東京海上日動リスクコンサルティング株式会社