人を増やさず回す、4つのレバー

2026年9月4日

IT人材不足時代のセキュリティ運用、現実的な解

業界動向

「セキュリティの専任者を置きたいが、採用できない」――これは中小企業の悩みというより、もはや前提条件です。セキュリティ人材の不足は全国的な課題で、大手企業ですら奪い合いの状態。中小企業が正面から採用競争に挑むのは現実的ではありません。この記事では、「人を増やす」以外の4つのレバー――減らす・任せる・借りる・育てる――で、兼任担当でも回るセキュリティ運用の組み立て方を解説します。

データで見る現状：「専任がいない」のはあなたの会社だけではない

IPA（情報処理推進機構）が2025年5月に公表した「2024年度中小企業における情報セキュリティ対策に関する実態調査」（4,191社対象）を見ると、中小企業の現在地がよく分かります。OSやウイルス対策ソフトの最新化を実施している企業は約7割まで来ている一方、セキュリティの担当は総務や情報システムとの兼任が大半というのが実情です。国も手をこまねいているわけではなく、経済産業省は2025年5月にサイバーセキュリティ人材の育成促進に関する検討会の取りまとめを公表し、「人材が足りない前提」での支援策が次々に動き出しています。

同じ調査には、見逃せない前向きな数字もあります。取引先からセキュリティ対策の要請を受けた企業は1割強に達し、そしてセキュリティ体制を整備している企業の約6割が「取引につながった」と答えているのです。つまり、限られた人手でも「体制がある」と示せることは、守りだけでなく商談の武器になり始めています。取引先からの要請への向き合い方は「取引先からセキュリティ対策を求められたら、どう答えるか」で解説しています。

発想の転換が出発点です。「専任者を採用してから対策する」と考えると、永遠に始まりません。順番は逆で、「兼任でも回る運用を設計し、それを回しながら少しずつ厚くする」。IPAの10大脅威2026に並ぶ脅威（「情報セキュリティ10大脅威2026、中小企業に関わる5つ」）は、専任者の着任を待ってはくれません。

現実解は4つのレバー：減らす・任せる・借りる・育てる

図1：人を増やさず運用を回す4つのレバー

レバー①減らす：守る対象を棚卸しする

運用の負担は、守る対象の数に比例します。使っていない機器やサービスの廃止、放置されたアカウントの削除、実態に合わないルールの整理――攻撃される面を減らすことは、そのまま運用の仕事を減らすことです。人手が足りない会社ほど、最初にやるべきは「増強」ではなく「断捨離」です。

レバー②任せる：人の記憶と注意を、仕組みに移す

OSの自動更新、画面の自動ロック、バックアップの自動実行、期限の自動通知。「人が覚えておく」「人が気をつける」に頼る仕事を、片っ端から自動化・仕組み化します。人がやるべきことを「異常があったときの判断」だけに絞れば、兼任でも運用は成立します。

レバー③借りる：外部サービスと公的支援を組み込む

2026年は、借りられる先が目に見えて増えています。中小企業向けにサイバー攻撃対処をワンパッケージで提供する「サイバーセキュリティお助け隊サービス」、2026年8月に始まったIPAのセミナー共催・講師の無償派遣、情報処理安全確保支援士（RISS）など外部専門人材のスポット活用。費用がかかるものは、デジタル化・AI導入補助金2026のセキュリティ対策推進枠との併用も検討できます（「中小企業のIT補助金、2026年度の活用方法」）。夜間・休日の監視のように「自社では物理的に無理」な部分から外に出すのが定石です。

レバー④育てる：専任を「採る」のではなく、兼任者に「時間を渡す」

採用が難しいなら、今いる兼任者が動ける環境を作るほうが早い。ポイントは、スキルより先に時間の確保です。「セキュリティ業務は週1時間、この枠でやる」と経営が明示的に認めるだけで、後回しの連鎖は止まります。学びは無償のセミナーや公的資料で十分に始められます。SECURITY ACTIONの宣言からSCS評価制度の★1・★2につなげる道筋（「SCS評価制度、開始前にやっておく5つの準備」）は、兼任体制のままでも到達できる現実的な目標です。