警察庁が2026年3月に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害企業133件のうち、セキュリティ監査を「実施していなかった」企業は73件・55%にのぼります。外部・内部の両方を実施していた企業は19%にとどまり、被害企業の多くが「点検なし」でリスクを抱えていた実態が明らかになっています。
調査概要
警察庁が令和7年3月13日（2026年3月13日）に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」の資料編データ（P49）をもとにした分析結果です。対象：ランサムウェア被害企業・団体のうちセキュリティ監査状況を回答した133件。監査実施状況：外部・内部両方実施25件（18.8%）・外部監査のみ8件（6.0%）・内部監査のみ27件（20.3%）・監査なし73件（54.9%≒55%）。
ひとことで言うと？
被害に遭った企業の半数以上が、被害を受けるまで一度もセキュリティ監査を実施していませんでした。監査には「外部の専門家による脆弱性診断・ペネトレーションテスト」と「内部担当者によるチェックリスト確認」の2種類があります。両方を実施していた企業はわずか19%で、「何が危ないかを把握しないまま攻撃を受ける」という状態が多くの被害企業に共通しています。セキュリティ監査は「点検を受けていない車で高速道路を走る」状態のリスクを可視化する手段です。
インパクトデータ：セキュリティ監査「実施なし」55%（令和6年・警察庁）
警察庁の資料によると、ランサムウェア被害企業133件のうち55%（73件）がセキュリティ監査を実施していませんでした。一方、外部・内部両方の監査を実施していた企業（19%）でも被害を受けているケースがあり、監査をしているから100%安全というわけではありません。しかし監査を行うことで脆弱性の事前発見・優先対策の実施が可能になり、被害リスクを下げる効果があります。まず内部チェックリストから始め、次のステップで外部診断を検討するアプローチが現実的です。
このデータをプレゼンで使うには？
①誰に向けて話すか②次のスライドで何を話すか、を入力するだけで、このインパクトデータを使ったプレゼン冒頭のトークスクリプトを生成AIに作ってもらうためのプロンプトが自動生成されます。生成されたプロンプトをそのままChatGPTやClaudeなどに貼り付けてください。
よくある質問
Q. セキュリティ監査を受けたことがない企業が最初に取り組むべきことは何ですか？
A. 最初のステップとして無料・低コストでできることは①IPA「5分でできる！情報セキュリティ自社診断」の実施（チェックリスト形式・無料）、②NISC（内閣サイバーセキュリティセンター）「サイバーセキュリティお役立ちツール」の活用、③「サイバーセキュリティクラウド」等が提供するクラウドの簡易診断ツールの利用、の3点です。次のステップとして、予算確保後に外部の脆弱性診断会社によるネットワーク診断（10〜50万円程度〜）・Webアプリ診断を依頼することを推奨します。
Q. セキュリティ監査と脆弱性診断はどう違いますか？
A. セキュリティ監査は「組織全体の情報セキュリティ管理体制・運用ルール・人的対応が適切か」を評価するプロセス（書類・インタビュー中心）です。脆弱性診断は「システム・ネットワーク・アプリケーションに攻撃者が悪用できる技術的な欠陥があるか」を自動・手動ツールで調べるプロセス（技術検査中心）です。ランサムウェア対策の観点では、脆弱性診断（特にVPN機器・外部公開サービスの診断）が優先度が高く、監査は組織ルールの整備状況を確認するために補完的に使います。
Q. このデータはどこから取得できますか？
A. 警察庁が令和7年3月13日（2026年3月）に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」の資料編P49から取得できます。CSVデータはR06_jousei_data_P49_2.csv（被害企業・団体等の情報セキュリティ監査の実施状況）として警察庁のサイバーセキュリティ統計ページで公開されています。
本記事のグラフ・数値・データ表は、出典として本記事へのリンク（「出典：DataSlide」＋記事URL）を明記いただければ、ブログ・資料・SNS等で自由に転載いただけます。事前連絡は不要です。
