株式会社ミツモアは、企業の意思決定者層458人を対象に実施した「サプライチェーンセキュリティに関する実態調査（第2回）」の結果を公表した。2026年9月以降に相次いだ個人情報漏洩の報道を受けてセキュリティへの危機感が高まった企業は大企業で90.0％に達した一方、中小企業では56.3％にとどまった。さらに、報道後に顧客情報の管理ルールを見直した企業は大企業48.2％に対して中小企業は7.1％と低水準であり、意識と実行の間に大きな開きがある実態が明らかになった。

報道による危機感の高まりと対策実施状況の差

調査によると、一連の報道を受けて危機感が「大きく高まった」と回答した企業は、大企業55.5％に対し中小企業21.4％と約2.6倍の差が開いた。「少し高まった」を合わせると中小企業でも56.3％と半数を超えている。

しかし、実際の行動には結びついていない状況がみられる。報道後に保管期間や閲覧範囲といった顧客情報の管理ルールを見直した中小企業は7.1％で、大企業の48.2％を大きく下回った。また、顧客情報の管理ルールや社内システムの見直し、取引先への確認のいずれかを行った（検討を含む）割合も、大企業77.9％に対して中小企業は22.3％にとどまり、中小企業では「特に動きはない」が37.1％で最多となった。

対策が進まない背景にある専門知識の不足

中小企業が対策に踏み出せない要因として、着手の仕方が分からない状況が挙げられている。報道を受けた動きとして「対策が必要だと感じているが、何から手をつければよいかわからない」と回答した中小企業は全体（n＝224）で26.8％、危機感が高まった中小企業では37.2％に達した（大企業は6.8％）。

対策を進める上での最大の壁（1つだけ選択）について尋ねたところ、「何から手をつければよいかわからない」と答えた中小企業（n＝60）では「専門知識の不足」が40.0％で最も多く、「何をしていいかわからない」（21.7％）と合わせて61.7％を占めた。中小企業全体（n＝229）の比較では以下の結果となっている。

• 予算の不足（コスト）：大企業21.8％、中小企業29.7％
• 専門知識の不足：大企業42.4％、中小企業26.2％
• 担当者の不在：大企業14.4％、中小企業6.6％
• 経営層の理解不足：大企業9.6％、中小企業3.9％
• 何をしていいかわからない：大企業5.2％、中小企業14.8％
• あてはまるものはない：大企業6.6％、中小企業18.8％

中小企業全体でも「専門知識の不足」と「何をしていいかわからない」を合わせると41.0％となり、「予算の不足」を上回っている。

大企業が求める要件と中小企業の実施状況における格差

大企業の88.2％は取引先に何らかのセキュリティ対策を取引条件として求めている。大企業が求める対策と中小企業が実施している対策を同じ11項目で比較すると、「多要素認証・ID管理」「業務端末の管理」「事故時の報告体制の整備」「従業員へのセキュリティ教育」で差が大きく、ミツモアはこの差を「セキュリティ要件格差」と定義している。一方、「ウイルス対策ソフト」と「データのバックアップ」は中小企業の実施率が大企業の要求率を上回った。

実際に取引先から要件を求められている中小企業（n＝74）においても、求められた対策をすべて実施できている企業は56.8％で、43.2％は未実施の対策を抱えており、1つも実施していない企業も12.2％あった。

また、過去3年間に取引先の対策不備を理由に取引見直しや改善要求などを行った大企業は72.9％に達する一方、それを理由に取引を断られた・減らされたと認識している中小企業は5.2％にとどまった。報道後に取引先の対策を確認した大企業は36.3％だったが、確認を受けたと認識する中小企業は2.7％にとどまり、認識のずれが存在している。

課題解決に向けた具体的な提示の必要性

今後1年以内の対策予定について「特にない」と回答した中小企業は58.5％と、大企業（12.2％）の約4.8倍となった。危機感を持つ中小企業のうち直近1年で新たな対策を実施した企業も23.0％（前回27.8％）にとどまり、報道による危機感だけでは行動につながりにくい傾向がうかがえる。

一方で、取引先から要件を求められている中小企業では71.6％が今後1年以内に新たな対策を予定・検討しており、求められていない中小企業（17.9％）の約4倍となった。発注側が求める対策を具体的に示し、中小企業側が自社の対策状況と照らし合わせることが、格差解消の契機になると分析されている。

本記事は株式会社ミツモアの発表をもとに作成。