関西を拠点に多くの企業のセキュリティ対策のご支援しており、日々の活動の中で、「関西の企業は実際にどのような考えを持ち、どんな対策を進めているのか」といったご質問をいただく機会が数多くあります。
本記事では、先日NRIセキュアが開催したセミナー「Kansai Security Update 2025」の内容を基に、関西地域の企業が直面する特有のリスクと、それに対して実践されている効果的なセキュリティ施策を解説します。皆様の今後のセキュリティ戦略を考える上での一助となれば幸いです。
もはや言うまでもありませんが、サイバー攻撃は事業継続を脅かす重大な経営リスクとして完全に定着しています。この点は、関西でも首都圏でも変わりありません。
経済産業省が策定した「サイバーセキュリティ経営ガイドライン」においても、経営層が主体的に取り組むべき課題として、以下の「3原則」が示されています。
特にランサムウェアによる被害は深刻化しています。データによると、被害に遭った企業の半数が、調査や復旧に1,000万円以上の費用を要しています。これに加えて、事業停止による機会損失を含めると、その被害額は計り知れないものとなります。
さらに、ある調査では約6割の企業が直近1年で何らかのインシデントを経験しているというデータもあり、サイバー攻撃は、もはや単なるITの問題ではなく、企業の存続を左右する経営リスクそのものなのです。
関西圏の企業が直面するリスクは、単に首都圏と同じではありません。この地域特有の産業構造が、サイバー攻撃による「被害の規模」と「インシデントの顕在化率」を増大させる要因となっています。
関西圏には、大手製造業を頂点とするサプライチェーンが密集しています。これは地域の強みである一方、セキュリティ上の弱点にもなり得ます。IPAが発表する「情報セキュリティ10大脅威」でも常に上位にランクインする「サプライチェーンの弱点を悪用した攻撃」の格好の標的となりやすく、対策が手薄になりがちな取引先企業が攻撃の起点として狙われるケースが後を絶ちません。
工場の生産ラインを制御するOT（Operational Technology）システムや、長年稼働しているレガシーシステムも大きなリスク要因です。これらのシステムは長期稼働を前提に設計されているため、脆弱性が放置されがちです。IT環境との接続点を経由して侵入された場合、生産ラインの停止という事業に直結する深刻な事態を引き起こす可能性があります。
多くの関西圏の企業が「IT人材不足」や「セキュリティ投資予算の確保難」を課題として挙げています。この悩みは首都圏でも耳にしますが、「関西では東京以上の声を聞いています」というのが私の率直な実感です。こうした状況は、攻撃者側から見れば「対策の優先順位が低く、攻めやすいターゲット」と映ってしまい、攻撃を誘引する一因となっています。
こうしたリスクに対し、関西の企業はどのような考え方で対策を進めているのでしょうか。
関西企業のアプローチは、大きく二つの傾向に分けられます。
この「等身大」のアプローチの中で、特に多くの企業が取り組んでいる具体的な5つの施策をご紹介します。
場当たり的な対策から脱却し、戦略的にセキュリティレベルを向上させるため、「セキュリティ中期計画」を策定する企業が増えています。これは、自社の「リスクの可視化と現状把握」から始め、対策の優先順位を明確にすることで、限られたリソースを最も効果的な施策に集中させ、投資対効果を最大化することが目的です。
加えて、万が一インシデントが発生した際に「外部から『きちんとセキュリティ対策をしていたのですか？』と問われた時に、計画に基づき実行していた」と説明責任を果たす上でも、この中期計画は不可欠なものとなりつつあります。
検討は、以下のようなステップで進められることが一般的です。
最近のインシデント傾向を踏まえ、多くの攻撃を防ぐ効果が実証されている基本的な対策を、グループ会社も含めて徹底することが極めて重要です。
特に優先して実施すべき「必須対策」として、以下の3点が挙げられます。
これらの基本的な対策が完了した企業では、次のステップとして「内部不正（情報持ち出し）への対策」や、自社の公開資産の攻撃対象領域を管理する「ASM（Attack Surface Management）」への関心が高まっています。
「100%の防御」は非現実的です。今や「侵入されること」を前提とし、被害を最小限に抑え、迅速に事業を復旧させる「サイバーレジリエンス（回復力）」の向上が不可欠です。
多くの企業では既に自然災害等を対象としたBCP（事業継続計画）を策定済みですが、サイバー攻撃への対応はCSIRTが中心となり、既存のBCPとは分断されがちです。重要なのは、この両者を「連結させること」「システムの復旧見込み」という情報が、経営層が事業継続戦略（代替生産の開始、サプライヤーへの連絡等）を決定するための重要なインプットとなる、という情報連携の仕組みを平時から定義し、訓練しておくことが肝要です。
特にガバナンスの徹底が難しい海外拠点などに対し、自己点検やヒアリング調査だけでは実態を正確に把握できないという課題認識が広がっています。そのため、「実機の設定値を直接評価する点検」へと舵を切る企業が増えています。
このアプローチは、現地訪問が難しい場合でも、例えば本社が用意したマニュアルに基づき現地担当者に設定ファイル（コンフィグ）をエクスポートしてもらい、それを専門家がリモートで分析するといった、現実的かつ効果的な手法で実施可能です。
2026年下期には、経済産業省による「サプライチェーン強化に向けたセキュリティ対策評価制度」の一部運用が開始予定です。これは、取引条件として参照される可能性があり、今から準備を進める必要があります。
本記事の要点を改めて整理します。
皆様の事業戦略と連動した計画的なセキュリティ対応は、もはや避けては通れない経営のアジェンダです。私たちNRIセキュアは、関西に根差す皆様のビジネスパートナーとして、こうした取り組みを力強く伴走支援いたします。
些細なことでも構いませんので、何かお困りのことがございましたらご連絡いただければ幸いです。個別テーマのご相談でも、ぜひお気軽にお声がけください。