中小企業にUTMは必要？狙われる実態と、国の支援制度を含めた対策の選び方

確認したいポイント	結論	詳細
中小企業も狙われている？	被害の3分の2が中小企業	警察庁の集計では、令和7年上半期の中小企業の被害が過去最多となりました。
対策が進まない理由は？	人・予算・知識の3つの不足	専任者がいないまま、何から手をつけるかが決まらない状態が続きます。
UTMは中小企業向き？	条件が合えば有効	1台で複数機能をまかなえる反面、運用まで任せられる契約かが分かれ目です。

この記事でわかること

• 警察庁の統計が示す、中小企業の被害の実態
• UTMが中小企業に合う条件と、合わない条件
• 費用をかけずに始められるSECURITY ACTIONという制度
• 監視・駆け付け・保険をまとめた国の支援サービスの枠組み
• 従業員規模ごとの現実的な進め方と、業者選びの基準

何から始めるべきかの整理からご相談ください いま何が足りていないのかの整理からお手伝いします。機器の導入をすすめる前に、現状の確認から行います。 お問い合わせはこちらから。

中小企業が狙われている実態

被害の3分の2が中小企業

警察庁の集計によると、令和7年上半期に報告されたランサムウェアの被害は116件で、半期の件数として過去最多に並びました。

規模別の内訳を見ると、同期の中小企業の被害は77件で過去最多となっています。全体の3分の2近くが中小企業です。大企業が狙われるという印象とは、実態が異なります。

業種別では製造業が多くを占めますが、卸売・小売、サービス、情報通信など幅広い業種で被害が確認されています。特定の業界だけの問題ではありません。

参照：警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」

なぜ規模の小さい会社が狙われるのか

狙い撃ちされているわけではありません。攻撃する側は、インターネット上を機械的に探索し、弱い設定のまま放置されている機器を無差別に見つけています。

その結果、対策が手薄になりがちな中小企業が相対的に多く引っかかります。会社の規模や知名度は、探索の条件に入っていません。

警察庁の調査では、感染経路が判明した事案の大半がVPN機器やリモート接続を経由していました。メールの添付ファイルを開いて感染するというイメージとは、実態が異なります。

取引先経由で広がるという問題

もう一つの背景がサプライチェーンです。大企業に直接侵入するのが難しくても、取引のある中小企業を経由すれば入りやすくなります。

自社の被害だけでなく、取引先にまで影響が及ぶという点で、これは事業上のリスクです。実際、取引先からセキュリティ対策の実施状況を問う調査票が届く企業が増えています。

対策が不十分と判断されると、取引の継続に影響する場合もあります。技術的な必要性とは別に、事業を続けるための要件になりつつあります。

関連記事：UTMの耐用年数は何年？法定耐用年数と実際の寿命、買い替えの判断基準を解説

中小企業が抱える3つの制約

担当できる人がいない

多くの中小企業では、情報システムの専任者がいません。総務や経理の担当者が兼務している、あるいは詳しい社員が個人的に対応しているという状況が一般的です。

製品を導入しても、ログを見る人も警告に対応する人もいない。この状態では、何を入れても効果は限定的になります。

予算に限りがある

効果が数字で見えない対策に、毎月の固定費を割くのは経営判断として難しい面があります。導入しても何も起きないのが正常な状態であるため、費用対効果を説明しにくい性質があります。

限られた予算をどこに配分するかという判断が、大企業以上に重要になります。

だからこそ、費用のかからない基本の対策を先に済ませてから、足りない部分に予算を充てる順序が合理的です。順序を逆にすると、高い買い物をしても弱点が残ります。

何から手をつけるかわからない

情報は溢れていますが、自社にとって何が必要かを判断する基準がありません。営業提案を受けても、それが妥当なのか判断できないまま話が進みます。

この状態で高額な長期契約を結ぶのが、最も避けたい事態です。順序を決めるところから始める必要があります。

関連記事：UTMとウイルス対策ソフトの違いは？守る場所と防げる範囲を比べて解説

UTMは中小企業に合っているのか

合っている点

1台で複数の機能をまかなえるため、個別に製品を導入して管理する手間が省けます。専任者がいない環境では、この点は現実的な利点です。

また、ネットワークにつながる機器をまとめて守れるという特性があります。複合機、防犯カメラ、NASなど、端末用の対策ソフトを入れられない機器が社内にあるなら、これらを守る手段は入口の対策以外にありません。

検査の処理は機器側で行われるため、個々のパソコンの動作が重くなることもありません。台数が増えるほど、この点は運用面の利点になります。

合わない点

社内にサーバーや共有フォルダーがなく、業務がクラウドサービスで完結している環境では、守る対象が社内に存在しません。社外で働く時間が長い会社も同様で、通信の多くが社内を経由しません。

契約が5年や7年に及び、途中で解約できないという点も、環境の変化が速い小規模な会社にとっては負担になります。

導入前に確認しておく条件

判断の材料は次のとおりです。社内にサーバーや共有フォルダーがあるか。対策ソフトを入れられない機器がどれだけあるか。端末の台数と管理の状況。そして、運用を誰が担うのか。

最後の項目が最も重要です。警告が出たときに誰が対応するのかが決まっていない契約は、費用が無駄になります。運用まで含まれた契約かどうかを確認してください。

関連記事：UTMは必要ない？不要と言われる理由と、導入すべき企業の判断基準を解説

何から始めるべきかの整理からご相談ください 社内の機器構成を伺えば、入口の対策が必要かどうかを具体的にお伝えできます。無理に導入をおすすめすることはありません。 お問い合わせはこちらから。

費用をかけずに始められるSECURITY ACTION

IPAが運営する自己宣言制度

情報処理推進機構が運営している、中小企業向けの制度です。情報セキュリティ対策に取り組むことを自ら宣言するもので、登録費用は無料、審査もありません。

宣言するとロゴマークを使えるようになり、名刺やウェブサイトに掲載できます。取引先に対して、対策に取り組んでいることを示す材料になります。

取引先から対策状況を問われる機会が増えているなかで、費用をかけずに示せる手段があるという点は知っておく価値があります。

一つ星と二つ星の違い

段階が2つあります。一つ星は、IPAが示す情報セキュリティ5か条に取り組むことを宣言するものです。二つ星は、自社診断を実施したうえで情報セキュリティ基本方針を定めて公開する必要があります。

同時に両方を宣言することはできません。まず一つ星を宣言し、体制が整った段階で二つ星に進むという順序が現実的です。一つ星であれば、手続き自体は短時間で終わります。

参考記事：まずはここから。SECURITY ACTION「一つ星」で始めるセキュリティ対策｜ITワークラボ

補助金の必須要件になっている

見逃せないのがこの点です。デジタル化・AI導入補助金の交付申請では、SECURITY ACTIONの自己宣言が全枠共通の必須要件とされています。

補助金を使ってITツールを導入したい企業は、申請の前にこの宣言を済ませておく必要があります。宣言していないと、要件を満たさず不採択になります。

2026年から手続きが変わった点に注意

運用が変更されています。2026年3月末までに申し込んだ旧来の自己宣言IDは、第1次公募回でのみ使用でき、第2次公募回以降は使えません。該当する場合は、新しい管理システムで改めて申し込む必要があります。

加えて、自己宣言の申し込みに使ったGビズIDと、補助金申請に使うGビズIDは同一である必要があります。宣言は総務の担当者、補助金申請は代表者というように分かれていると、要件を満たせません。

以前に宣言した経験がある企業ほど、この変更に気づかず申請に進んでしまう可能性があります。

参照：IPA「デジタル化・AI導入補助金（旧：IT導入補助金）とSECURITY ACTION」

国が用意した中小企業向けの枠組み

監視・駆け付け・保険をひとまとめにしたサービス

あまり知られていませんが、中小企業向けのセキュリティサービスを国が制度として整備しています。IPAが2021年春から運用している「サイバーセキュリティお助け隊サービス」です。

中小企業に必要な対応をワンパッケージにまとめたもので、機器やソフトによる監視、異常が起きたときの駆け付け支援、そして被害に遭ったときの簡易な保険が含まれます。

提供するのは民間の事業者ですが、IPAが定めた基準を満たしたサービスに認定マークが付与される仕組みです。経済産業省も普及を後押ししています。

監視の種類が選べる

サービスは、ネットワークを監視する型、端末を監視する型、そして両方を併用する型に分かれています。自社の環境に合わせて選べる構成です。

社内にサーバーや共有機器があるならネットワーク監視型、端末の持ち出しが多いなら端末監視型という選び分けが基本になります。

両方を併用する構成も選べます。守るべきものが社内にも社外にもある環境では、この形が実態に合います。

価格と内容を一覧で比較できる

この制度の実用的な点は、IPAのサイトで各サービスの価格と内容を横並びで確認できることです。初期費用と月額、初年度の総額が示されており、提供事業者を対象地域から探すこともできます。

営業提案を受ける前にこの一覧を見ておくと、提示された金額が妥当かを判断する基準になります。

UTM単体との違い

最大の違いは、機器だけでなく人の対応が含まれている点です。異常を検知したときに専門の事業者が対応し、必要に応じて駆け付ける体制が前提になっています。

専任の担当者がいない中小企業にとって、機器を置くだけの契約より現実的な選択肢になり得ます。UTMを導入する場合も、この水準の支援が含まれているかを比較の基準にしてください。

参照：IPA「サイバーセキュリティお助け隊サービス制度」

何から始めるべきかの整理からご相談ください どの選択肢が自社に合うかの比較からお手伝いします。制度の内容についてのご質問だけでも構いません。 お問い合わせはこちらから。

補助金を使う場合の注意点

セキュリティ対策推進枠という枠組み

デジタル化・AI導入補助金には、セキュリティ対策そのものを支援する枠が設けられています。中小企業がサービスを導入する際の費用の一部が補助される仕組みです。

補助を受けられるのは、導入の前に交付決定を受けた場合のみです。先に契約してから申請するという進め方は通用しません。

対象になるサービスは限定されている

ここが誤解されやすい部分です。この枠で補助の対象になるITツールは、IPAが公表するお助け隊サービスのリストに掲載され、かつIT導入支援事業者が提供し事務局に事前登録されたものに限られます。

つまり、どんなセキュリティ製品でも補助金が使えるわけではありません。「補助金でUTMを導入できます」という説明を受けた場合は、その製品が対象リストに含まれているかを確認してください。

手続き上の落とし穴

先に触れたとおり、SECURITY ACTIONの自己宣言が必須要件です。加えて、宣言に使ったGビズIDと申請に使うGビズIDを一致させる必要があります。

GビズIDプライムの発行には数週間かかることがあります。申請を考え始めた時点で手続きを進めておいてください。締切間際に気づいて間に合わなかった、という事例は実際にあります。

従業員規模ごとの現実的な進め方

従業員10名未満の場合

この規模であれば、まず基本の徹底が最優先です。OSとソフトウェアを最新に保つ、ウイルス対策ソフトを入れる、パスワードを強化する、共有設定を見直す。これらは費用がほとんどかかりません。

SECURITY ACTIONの一つ星を宣言するところから始めると、何をすべきかが整理されます。社内に共有サーバーがなく、クラウド中心の業務であれば、入口の機器の優先度は下がります。

従業員10〜50名の場合

この規模になると、社内にサーバーや共有フォルダーを置いている会社が増えます。複合機やネットワーク機器の台数も増え、個別の管理が難しくなってきます。

入口の対策を検討する意味が出てくる規模です。ただし、機器を置くだけではなく、監視と対応が含まれた形を選ぶことが重要になります。お助け隊サービスの一覧で価格水準を確認したうえで比較してください。

従業員50名以上・複数拠点の場合

拠点間の通信、社外で働く従業員、取引先からの要求。考慮すべき要素が一気に増えます。入口の対策と端末側の対策を組み合わせた構成が現実的になります。

この規模では、対策の全体像を設計できる相手と組むことが結果を左右します。個別の製品を売る相手ではなく、環境全体を見て提案できるかどうかが判断基準です。

あわせて、社内での役割分担も決めておいてください。外部に任せる範囲と、自社が最終的に判断する範囲を明文化しておかないと、問題が起きたときに対応が止まります。

業者を選ぶときの確認項目

運用まで担ってくれるか

最も重要な確認事項です。機器を設置して終わりなのか、ログの確認や更新、警告への対応まで含まれるのかを明確にしてください。

監視していますという説明だけでは不十分です。どのような頻度で何を報告してくれるのか、異常があったときに誰が何をするのかを具体的に確認してください。

契約内容を分解して確認する

月額の中身を、機器のリース料、ライセンス料、保守サポート、監視サービスに分けて示してもらいます。それぞれの期限も確認してください。

5年契約でもライセンスが年単位で更新される場合があります。期限が揃っていないと、途中で守られていない期間が生じます。

質問に答えられるかを見る

次の質問が有効です。「いま使っているルーターの機能では何が足りないのか」「この製品は補助金の対象リストに載っているのか」「警告が出たら誰がどう対応するのか」「5年間の総額はいくらか」。

具体的に答えられるかどうかで、その業者の力量は判断できます。答えが曖昧なまま契約を急がせる相手とは、長期の契約を結ばないでください。

まとめ｜制度を知ったうえで順序を決める

警察庁の統計では、令和7年上半期のランサムウェア被害116件のうち、中小企業が77件を占め過去最多となりました。規模が小さいから狙われないという前提は、数字の上で成り立ちません。

一方で、いきなり高額な機器を導入するのが最善とも限りません。まず無料でできるのがSECURITY ACTIONの宣言で、補助金を使う場合は必須要件にもなっています。2026年から手続きが変わっている点は特に注意してください。

そして、監視から駆け付け、簡易保険までをまとめたお助け隊サービスという枠組みが国の制度として整備されています。価格と内容をIPAのサイトで横並びに比較できるため、提案を受ける前に目を通しておく価値があります。

UTMを検討する場合も、この水準の支援が含まれているかが判断の基準になります。機器を置くだけの契約ではなく、警告に対応してくれる体制があるか。専任の担当者がいない中小企業にとっては、ここが最も重要な条件です。

何から始めるべきかの整理からご相談ください 複合機やネットワーク環境を含めて、オフィス全体から必要な対策を整理してご提案します。株式会社ライドにご相談ください。 お問い合わせはこちらから。