サイバー被害、最も多い業種は製造業。2026年度「SCS評価制度」が始まる

ランサムウェアの被害業種で、製造業が最多となっています。攻撃は取引先を経由してサプライチェーン全体に及び、中小企業の被害も増えています。2026年度には、企業のセキュリティ対策状況を星の数で格付けする「SCS評価制度」が始まります。自社だけでなく、供給網全体の備えが問われます。

被害業種の最多は製造業

警察庁によると、2024年のランサムウェアの被害報告件数は222件で、高水準が続いています。業種別では製造業が最多で、約3割を占めます。^※1

規模別では、大企業の被害が減少する一方、中小企業の被害は前年比37％増加しました。攻撃ツールを他者に提供するRaaSという仕組みで攻撃者の裾野が広がり、対策が比較的手薄な中小企業が狙われています。^※1

感染経路は、VPN機器やリモートデスクトップからの侵入が8割以上を占めています。^※1

被害は「サプライチェーン全体」に及ぶ

製造業の被害が重いのは、多くの取引先とつながる供給網の広さゆえです。1社への侵入が、取引先全体へ波及しかねません。被害は長期化・高額化しており、調査・復旧に1,000万円以上を要した組織は37％から50％へ増加しました。^※1

一方で、備えは追いついていません。大きな被害を受けた組織のうち、サイバー攻撃を想定したBCP（事業継続計画）を策定していたのは11.8％にとどまります。^※1

さらにものづくり白書では、リスク分析で意識するサプライチェーンの範囲が2、3社先までにとどまる事業者が9割強と、供給網の可視化も浅いのが実態です。^※2

2026年度、SCS評価制度が始まる

こうした中、経済産業省とIPA（情報処理推進機構）は、「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」の整備を進めています。企業のセキュリティ対策状況を★3から★5の5段階で格付けし、可視化する仕組みです。

★3は専門家の確認を経た自己評価、★4は第三者機関による評価を求めます。^※3 2026年度末頃の開始が目指されています。^※3

発注側の大企業にとっては、自社の格付けにとどまらず、取引先に一定の水準を求める動きにつながります。供給網全体でセキュリティ水準を底上げできるかが、次の課題となります。

※1　警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」（令和7年3月）― ランサムウェア被害報告222件、業種別は製造業が最多（約3割）、中小企業の被害は前年比37％増、感染経路の8割以上がVPN機器・リモートデスクトップ、調査・復旧に1,000万円以上を要した組織は37％→50％に増加、大きな被害を受けた組織のサイバー攻撃想定BCP策定は11.8％
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf

※2　経済産業省・厚生労働省・文部科学省「2025年版ものづくり白書（概要）」― リスク分析で意識するサプライチェーンの範囲は直接取引先及び2、3社先までが9割強
https://www.meti.go.jp/report/whitepaper/mono/2025/pdf/gaiyo.pdf

※3　経済産業省・IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する制度構築方針」― ★3〜★5の5段階評価、★3は専門家確認付き自己評価・★4は第三者評価、2026年度末頃の開始を目標
https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html