サイバー防御「サボる企業」が得をする？ 経済学で見えた「企業努力」の残酷な現実

サイバー攻撃は「1社の事故」ではなくなった

　サイバー攻撃が新たな段階に入った。2026年秋には、日本でも不正アクセスや情報漏えい、企業活動の停止が相次ぎ、サイバー攻撃は、もはや一部の企業に限られた問題ではなくなった。

　これまで、サイバー攻撃への対策は、個々の企業の情報管理やシステム管理の問題として扱われることが多かった。しかし、今やそれでは対処できない。サイバー攻撃は、企業の活動を停止させるだけでなく、社会全体の機能を麻痺させる可能性があるからだ。

　しかも、最近のサイバー攻撃は、AIを用いて行われている可能性が強い。そのため、攻撃側の能力が圧倒的に強くなってしまった。

　では、「どうしようもない」と思われるかもしれないが、そうではない。

　地震や大雨の発生、それ自体を抑えることはできない。しかし、だからといって何もしなくて良いことにはならない。可能な限りの備えをすべきだ。それと同じことが、サイバー攻撃についても言える。そのためには、まずこの問題のメカニズムを分析する必要がある。

1社の障害が取引先へ“連鎖”する

　デジタル化によって、経済活動と日常生活の効率性は著しく高まった。しかし、その反面で、社会は相互に結びついた情報システムに依存するようになった。その結果、1つの企業の障害が、取引先や利用者を通じて社会全体に波及する構造が生まれたのである。

　今後は、企業の競争力を評価する際に、サイバー攻撃に対する防御能力が重要な要素となる。特に、金融、医療、通信、物流などの分野では、サービスの価格や品質だけでなく、安全性と、攻撃を受けた後の事業継続能力が問われるようになる。

　ここで重要なのは、攻撃を完全に防げる企業は、もはや存在しないということだ。

　いかに防御を強化しても、侵入される可能性は残る。したがって、侵入を防止する能力だけでなく、攻撃による被害を限定し、速やかに事業を復旧できる能力が不可欠となる。

　サイバー攻撃への対策は、企業の経営戦略であると同時に、社会の安全を維持するための基本的な条件となった。 【次ページ】なぜ「守る企業」ほど報われにくい？ 経済学で見える矛盾