日本企業の42%が、レジリエンスへの自信を判断できず
サイバーセキュリティ分野のグローバルリーダーであるESET（本社：スロバキア）は、2026年2月から3月にかけて、日本を含む世界13か国・4,400社の中小企業（保有端末数1,000台以下）のITおよびセキュリティ意思決定者、または意思決定に関与する担当者を対象に実施した「ESET SMBサイバーセキュリティレディネス指標（2026年日本版）」を公開しました。
本調査は、中小企業におけるサイバーセキュリティの対応状況（レディネス）、脅威認識、AIの活用とリスク認識、予算・人材課題、インシデント対応能力について調査したものです。日本では、インシデント経験率が約半数に達する一方で、サイバーレジリエンス（回復力・適応力）への自信は世界最低水準にとどまり、日本市場特有の傾向が明らかになりました。
ESET SMBサイバーセキュリティレディネス指標（2026年日本版）全文はこちらからご覧ください。
調査結果の主なポイント
- 47%が1年以内にインシデントを経験、レジリエンスへの自信について「どちらともいえない」は42%で世界最多
- 最も警戒されるのは「ランサムウェア」、実際のインシデントの主な要因は「基本的な管理不備」
- 中小企業の80%がAIを導入、「シャドーAI」対策の未整備が新たな潜在リスク
1. 47%がインシデントを経験、レジリエンスへの自信について「どちらともいえない」は42%で世界最多
日本の中小企業の47%が過去12カ月以内にサイバーセキュリティインシデントを経験しており、世界平均（45%）を上回りました（図1）。一方、自社のサイバー攻撃に対するレジリエンス（対応・適応力）について「非常に自信がある」と回答した企業はわずか5%にとどまり、調査対象13か国中で最も低い数値となりました（米国43%、英国38%、グローバル平均26%）（図2）。日本企業は「どちらともいえない」と回答した割合は42%と最も高く、自社のセキュリティ体制について明確に評価できていない可能性が示されました。
2. 最も警戒されるのは「ランサムウェア」、実際のインシデントの主な要因は「基本的な管理不備」
今後最も懸念されるサイバー脅威として、日本の中小企業の上位回答は「ランサムウェアおよびマルウェア（49%）」、「AIを悪用したマルウェア（29%）」、「スパイウェア（24%）」（表1左）でした。一方、実際のインシデント要因（攻撃者に利用された侵入口）は、「セキュリティ監視の不足（29%）」、「不適切なアクセスアカウント管理（25%）」、「ゲートウェイとなる旧式のシステム（21%）」（表1右）が上位となり、「可視化不足」や「アカウント管理の甘さ」といった、「基本的な管理不備」が依然大きな課題であることが明らかになりました。
| 日本企業の懸念が高い脅威（上位） | 日本企業のインシデントの主な要因（上位） |
|---|---|
| １． ランサムウェアおよびマルウェア（49%） ２． AIを悪用したマルウェア（29%） ３． スパイウェア（24%） ４． フィッシング / スピアフィッシング（23%） ５． ビジネスメール詐欺（BEC）（21%） | １． セキュリティ監視の不足（29%） ２． 不適切なアクセスアカウント管理（25%） ３． ゲートウェイとなる旧式のシステム（21%） ４． 脆弱なパスワード（20%） ５． フィッシングキャンペーン（20%） |
表1：日本企業の懸念が高い脅威と、インシデントの主な要因
3. 中小企業の80%がAIを導入、「シャドーAI」対策の未整備が新たな潜在リスク
日本の中小企業の80%が業務でAIを活用しており、グローバル平均（73%）を上回りました（図3）。一方、35%の企業では、従業員による承認外のAI利用（シャドーAI）を制限・管理する明確なAIポリシーが整備されていません（図4）。従業員が個人のブラウザ等から無許可でパブリックAIに社内データや個人情報を入力しているケースが多発しており、機密情報漏えいの問題となっています。
イーセットジャパン株式会社 代表取締役社長 永野 智のコメント
「今回の調査では、日本の中小企業におけるサイバーセキュリティの特徴が明らかになりました。自社のサイバーレジリエンスについて、40%を超える企業が『どちらともいえない』と回答しています。これは、自社のセキュリティ体制を客観的に評価できるだけの可視性や確信を十分に持てていないことを示す一方で、サイバー攻撃の現実を認識し、安易に安全だと判断していない姿勢の表れとも言えます。また、日本の中小企業が抱える課題として、『人材・スキル不足』（36%）や『複雑さ・統合の課題』（20%）が上位に挙げられました。多様なIT製品やクラウドサービスを利用する現在の環境において、自社だけで24時間365日の監視や高度なインシデント対応を担うことは容易ではありません。
効果的なセキュリティ対策の第一歩は、自社のIT資産を可視化し、不要なアカウントの削除、OSやソフトウェアの更新、アクセス権限の見直しといった基本的な衛生管理（サイバー・ハイジーン）を徹底することです。その上で、限られたリソースの中でも防御力を高めるために、『MDR（Managed Detection and Response：マネージド検知・対応）』や外部のサイバーセキュリティ専門家による運用支援サービスを活用することも有効な選択肢になると考えています。」
「ESET SMBサイバーセキュリティレディネス指標 2026年版（日本版）」の全文はこちらからご覧ください。
ESETのリサーチに関する最新ニュースは、WeLiveSecurity.com、X（旧Twitter）、BlueSky、Mastodonでもご確認いただけます。
ESETについて
ESETは、企業や社会インフラ、そして個人ユーザーを保護し、AI活用が進むデジタル社会において、より高いレジリエンス（回復力・適応力）と信頼の実現を支援するグローバルなサイバーセキュリティ企業です。35年以上にわたるサイバーセキュリティの知見、25年以上におよぶAI技術の研究開発実績、11カ所のグローバルR&Dセンターを基盤に、進化するサイバー脅威への対策とAIエコシステム全体の安全性向上に貢献する独自技術を開発しています。科学的根拠に基づく先進的かつ予防的なアプローチのもと、専門家による監督を維持しながら、シンプルで高い保護性能を提供しています。EUに本社を置く非上場の独立系企業として、世界178の国と地域で数百万のユーザーおよび50万以上の組織を保護しています。ESETは、責任あるAIの活用とお客様からの信頼を重視し、テクノロジーがもたらす成長と発展を支えています。詳細は、イーセットジャパンのウェブサイトwww.eset.com/jpをご覧ください。また、イーセットジャパンのソーシャルメディアをフォローしてください。