サイバー犯罪情勢と京都府警察における取り組み―官民連携を中心に

多様化するサイバー脅威、中小企業にも広がる被害

日比：
次に、企業を取り巻くサイバー脅威の動向について伺います。はじめに私のほうから日本全体の動向を紹介します。以下は、IPA（独立行政法人情報処理推進機構）が毎年公表している「情報セキュリティ10大脅威」のランキングです^※2。

図表5：セキュリティ脅威の多様化・複雑化

^{※2 図版出典：独立行政法人情報処理推進機構
https://www.ipa.go.jp/security/10threats/10threats2025.html}

2025年版の組織向け脅威では、「地政学的リスクに起因するサイバー攻撃」が7位に初登場しました。さらに最新の2026年版では「AI（人工知能）の利用をめぐるサイバーリスク」が3位に初登場しています。サイバー脅威は、従来の攻撃手法に加え、地政学リスクやAIの悪用といった新たな要素を取り込みながら、複雑化しています。

一方で、脆弱性の悪用やDDoS攻撃といった従来型の手法も、依然として上位に位置しています。特に、ランサムウェア攻撃とサプライチェーン攻撃は、ここ数年にわたり1位と2位を占め続けており、企業にとって警戒すべき代表的な脅威です。ランサムウェアの被害は大企業に限らず、中小企業にも広がっています。

こうした全国的な傾向を踏まえ、府内の状況について伺います。府内企業から寄せられる相談の中で、サイバー攻撃による被害にはどのような事例があるのでしょうか。

塩野：
府内でもランサムウェア被害は毎年確認されており、企業規模を問わず相談が寄せられています。その他にも、ホームページの改ざん、SNSアカウントへの不正ログインや不審な投稿、メールアカウントの悪用、サポート詐欺を端緒とする不審なソフトウェアのダウンロードなど、相談内容は多岐にわたります。

また、近年は社長をかたるフィッシングメールに社員が応じてしまったという相談も増えています。実際の被害に至った事案だけでなく、不審なメールを受信した段階で寄せられる相談も少なくありません。

予算・人材が限られる中小企業、まず何から始めるべきか

日比：
PwCにも社長をかたるメールをはじめ、同様の手口に関する相談が複数寄せられています。攻撃の手口は年々巧妙化しており、多くの企業が対応に難しさを抱えているのが実情です。

PwCコンサルティングが中堅・中小企業を対象に実施した調査でも、セキュリティ上の課題として「予算・人材不足」「何から着手すべきかわからない」「教育・リテラシー不足」が上位に挙がりました。背景には、専門的な知見や対応体制の不足があります^※3。

図表6：中堅・中小企業におけるセキュリティ課題

^{※3 出典：2025年11月に実施した市場調査（日本全国の売上高100億～3,000億円未満の上場企業の経営層またはIT／サイバーセキュリティ責任者686人対象）を基にPwC作成
https://www.pwc.com/jp/ja/services/digital-trust/cyber-security-consulting/rural-revitalization-cyber-security/small-and-medium-enterprises.html}

こうした課題は、都市部や特定業種に限らず、地域企業にも共通するものだと考えています。京都府内の企業からの相談でも、同様の課題は見られますか。

塩野：
京都府内の企業からも、「予算や人材を十分に確保できない」「どこから着手すればよいかわからない」という声は数多く聞かれます。ランサムウェア攻撃などの被害が大きく報じられるなか、「危機感は抱きつつも、自社として何を優先すべきか判断がつかない」という悩みです。

そのような場合には、京都府警察から講師を派遣して社内向けのセミナーを行う他、産学公連携の取り組みを紹介することもあります。

予算や人材の確保は中長期的な課題ですが、すぐに着手できる対策もあります。例えば、パスワードを長く複雑なものに設定する、不要なアカウントを削除する、アクセス権限を必要な担当者に限定する、といった基本的な対策です。まずはチェックシートなどを活用して自社のリスクを洗い出し、費用や工数を大きくかけずにできることから取り組むことが重要です。

そのような中で具体的な支援として紹介しているのが、「京都事業者サイバーセキュリティ支援ネットワーク（以下、KBCS）」です。KBCSは、京都府、京都市、京都府警察、経済団体、企業、大学などが連携し、府内の中小企業に対して情報セキュリティに関する助言、相談対応、情報提供を行う産学公連携の組織です。

^{京都事業者サイバーセキュリティ支援ネットワークWebサイト
https://www.ksisnet.kyoto/}

KBCSでは総会などを通じた情報共有に加え、メールマガジンの配信、講師派遣、IT相談窓口、アンケート形式による自社診断、メール訓練などを実施しています。詐欺メールやマルウェアの手口は日々変化しています。まずは必要な情報を得ることから始め、「何かしなければ」という危機感を、自社のセキュリティ強化に具体化していただきたいと考えています。

地域連携と制度整備で、中小企業のセキュリティ対策を後押し

日比：
KBCSのように、地域企業のセキュリティ対策を進める上では、警察や自治体、金融機関、学術機関、民間企業がそれぞれの知見を持ち寄ることが重要です。PwCコンサルティングもKBCSに参画し、京都府警察や加盟企業と連携しながら、地域企業のセキュリティ対策強化に取り組んでいます。

PwCとしてもこれまで多くの企業を支援してきた知見を各地域・各企業の特性や規模に合わせて提供し、実効性のあるサイバーセキュリティ対策の実現につなげていきたいと考えています^※4。

^{※4 https://www.pwc.com/jp/ja/services/digital-trust/cyber-security-consulting/rural-revitalization-cyber-security/small-and-medium-enterprises.html}

こうした地域での連携に加え、国レベルでも、企業のセキュリティ対策を後押しする動きが進んでいます。特にサプライチェーン全体のリスク管理が重視されるなか、中堅・中小企業も取引先からセキュリティ対策の状況を問われる場面が増えていくと考えられます。

その一つが、経済産業省などが構築を進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です^※5。同制度は企業のセキュリティ対策状況を共通基準で評価し、その水準を星（★）の数で示すことで、取引先間で対策レベルを確認しやすくする仕組みです。

図表7：サプライチェーン強化に向けたセキュリティ対策評価制度

^{※5 https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html}

評価の段階は、既存のIPA「SECURITY ACTION」による星1・星2を前段階とし、新たにSCS評価制度として星3から星5までを設ける形で整理されています。まずは2026年度末ごろに星3・星4の運用開始が予定されており、星5は今後検討される見通しです。星3は、全てのサプライチェーン企業が最低限実施すべき対策として、一般的なサイバー攻撃に対処できる水準と位置づけられています。今後、企業間取引で星3以上への対応を求められる場面が増えると見込まれ、多くの企業にとって対応が課題となります。

このように、平時から企業のセキュリティ対策を底上げする動きが広がる一方で、実際に被害が発生した際の初動対応も重要です。企業から相談や被害届が寄せられた場合、京都府警察ではどのように対応し、企業を支援しているのでしょうか。

塩野：
警察に相談すると、「捜査のために業務が止まってしまうのではないか」と不安に思われる企業もあります。しかし、実際には企業活動への影響をできる限り抑えながら、状況確認と証拠保全を進めます。

具体的には、関係者への聞き取り、感染が疑われるサーバーや端末の確認、システム構成や利用サービス、委託先の有無、ログの保存状況などを確認します。その上で、残っているログを消失させないために、どのように保全するかを企業と相談しながら対応します。

被害の状況や感染の有無は、企業ごとに異なります。システムを止めることが難しい場合や、ログの抽出に時間がかかる場合もありますので、企業の要望や事業への影響を踏まえながら、一つ一つ確認していきます。捜査が企業にとって過度な負担にならないよう配慮することを重視しています。

また、警察が他社で同様の事案を把握している場合には、その情報を踏まえて、手口の解明や感染経路の特定につながる助言ができることもあります。ランサムウェアについても、一部の種類では復号ツールを試せる場合があります。状況に応じて必要な助言や支援を行いながら、企業の事業継続を妨げない形で対応を進めています。