情報セキュリティは、需要が構造的に増え続けている数少ない分野のひとつです。攻撃が止まない以上、守る側の需要も止まりません。本稿では、警察庁と独立行政法人情報処理推進機構(IPA)が公表している資料をもとに、被害の実態と脅威の傾向を確認し、この分野の事業を承継・譲渡する際に論点になることを整理します。
被害の実態|ランサムウェア226件と中小企業6割
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年におけるランサムウェアの被害報告件数は226件で、依然として高水準で推移しています。長期にわたり企業活動が阻害され、国民生活に影響を及ぼした被害も複数発生したとされています。
被害企業の組織規模別では、前年と同様に中小企業が約6割を占めます。業種別では製造業が約4割を占め、続いて卸売・小売業、サービス業、情報通信業が上位ですが、さまざまな業種で被害が確認されているとされています。
この「中小企業が約6割」という数字は、情報セキュリティ市場の裾野がどこにあるかを示しています。大企業だけでなく、これまでセキュリティ投資を後回しにしてきた中小企業こそが、いま最も対策を必要としている層だということです。
侵入の経路についても、同資料は被害組織へのアンケート結果として、VPN(Virtual Private Network)機器が6割以上を占める状況であると報告しています。近年は、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっているとされています。
被害のコストと復旧までの時間
警察庁の同資料は、被害の深刻さを具体的な数字で示しています。令和7年にランサムウェア被害に遭った企業・団体等へのアンケート結果によると、令和6年に引き続き調査費用・復旧費用が高額化しており、復旧に総額1,000万円以上を要した組織の割合は全体の5割を超えました。
復旧に要した期間についても、1か月未満で復旧した組織の割合は全体の5割強にとどまり、被害が長期化する傾向にあるとされています。同資料は、被害組織の経営に与える影響は決して小さくないと考えられ、業種によっては国民の生活にも大きく影響を与えることとなる、と述べています。
また、同資料は、サイバー攻撃を想定した業務継続計画(BCP)を策定済の組織は少ないことにも触れています。攻撃を完全に防ぐことが困難である以上、被害を前提とした体制の構築が必要であるという指摘です。
これらの数字は、セキュリティ事業者にとって説得力のある材料になります。対策への投資額と、被害を受けた場合の損失額を並べて比較できるからです。
IPAが示す2026年の脅威
独立行政法人情報処理推進機構(IPA)が2026年1月に公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として次の順位が示されています。第1位「ランサム攻撃による被害」、第2位「サプライチェーンや委託先を狙った攻撃」、第3位「AIの利用をめぐるサイバーリスク」、第4位「システムの脆弱性を悪用した攻撃」、第5位「機密情報を狙った標的型攻撃」。
以下、第6位「地政学的リスクに起因するサイバー攻撃(情報戦を含む)」、第7位「内部不正による情報漏えい等」、第8位「リモートワーク等の環境や仕組みを狙った攻撃」、第9位「DDoS攻撃(分散型サービス妨害攻撃)」、第10位「ビジネスメール詐欺」と続きます。
第2位の「サプライチェーンや委託先を狙った攻撃」は、対策の範囲が自社にとどまらないことを意味します。取引先や委託先の水準まで含めて管理する必要があるということであり、これはセキュリティ事業者にとって新しい需要の源泉です。
第3位に「AIの利用をめぐるサイバーリスク」が入った点も、この1〜2年の変化を反映しています。攻撃側がAIを利用するという側面と、自社がAIを業務に利用することで生じるリスクの両面があり、いずれも対応の枠組みが確立していない領域です。
需要側の変化|委託先としての責任
セキュリティ需要が増えている背景には、企業間の関係の変化もあります。総務省「令和7年通信利用動向調査」(令和8年5月29日公表)によると、クラウドサービスを一部でも利用している企業の割合は8割を上回り、全社的に利用している企業の割合も60.0%となりました。テレワークを導入している企業の割合も50.1%です。
業務がクラウド上で行われ、働く場所が分散すれば、守るべき境界は社内のネットワークだけではなくなります。前述のIPAの第8位「リモートワーク等の環境や仕組みを狙った攻撃」は、この変化に対応するものです。
さらに、取引先から自社のセキュリティ体制について確認を求められる場面が増えています。委託先を狙った攻撃が脅威の第2位に挙がる状況では、発注する側が委託先の体制を確認するのは当然の行動だからです。この流れは、中小企業にとって「取引を続けるために必要な投資」としてセキュリティ対策を位置づけ直すことにつながります。
つまり、セキュリティ需要は、自主的な投資から取引条件へと性質を変えつつあります。これは、市場の裾野が構造的に広がることを意味します。
事業承継の観点で何が論点になるか
帝国データバンクの2025年の調査では、国内企業の後継者不在率は50.1%とされています。情報セキュリティの分野は比較的新しい業種であり、後継者不在よりも、成長のための体制や販売網を求めて他社と組むという動機での譲渡が多いのが特徴です。
いずれの動機であっても、整理しておきたいのは次のような点です。
- 売上の構成(製品販売・監視サービス・診断・コンサルティング・教育)と、それぞれの推移
- 継続契約(監視・運用)の件数、契約期間、月額の水準
- 顧客の構成と、上位数社への売上依存度
- 技術者の人数、保有資格、対応可能な領域
- 取り扱っている製品のベンダーとの契約(代理店契約の内容と、経営権の異動に関する定め)
- 自社で開発しているツールやサービスの知的財産権の帰属
- 顧客から預かる情報の管理体制と、認証の取得状況
- インシデント対応の実績と、その記録
委託先としてのセキュリティ要求が強まっている背景はBPO・コールセンター業界の動向でも触れています。とりわけ、製品ベンダーとの代理店契約は確認すべき事項です。代理店契約に、支配株主の変更を通知事項や解除事由とする条項が置かれている場合、承継の進め方そのものに影響します。
また、この業界では技術者の資格と実績が事業の信用そのものです。誰がどの資格を持ち、どの案件を担当してきたのか。そして、その方が承継後も在籍する見込みがあるのか。引き継ぐ側は、この点を最も丁寧に確認します。情報漏えいのリスク管理についてはM&Aの情報漏洩に関する記事もあわせてご覧ください。
まとめ|需要が続く市場だからこそ
情報セキュリティ業界の現在地を公表資料で確認すると、令和7年のランサムウェア被害報告件数は226件、被害企業の約6割が中小企業でした。復旧に総額1,000万円以上を要した組織は5割を超え、1か月未満で復旧できた組織は5割強にとどまります。IPAの「情報セキュリティ10大脅威 2026」では、委託先を狙った攻撃が第2位、AIをめぐるリスクが第3位に挙げられました。
需要が構造的に増えている市場では、規模を拡大したい事業者が既存の事業者を取り込もうとする動きが活発になります。特定の領域や業界に強いセキュリティ事業者は、その意味で価値のある存在です。
技術者が在籍し、契約が続いているうちであれば、事業の価値は明確に伝わります。当社プラチナパートナーズは、成功報酬型のもと、情報セキュリティ事業を含む中小企業の事業承継・会社売却をご支援しています。
本稿の記述は執筆時点(2026年9月)の公表資料に基づきます。最新の情報は各所管官庁の公表をご確認ください。