直近3期（過去3年）の情報セキュリティ対策投資について聞いた結果、「投資していない」と答えたのは2,623社。全体4,191社の62.6%にあたります。

では、なぜ投資しないのか。ここが本題への入口になります。

そして「必要性を感じていない」と答えた1,162社に、さらに理由を聞いています。

もうひとつ、レポートが率直に書いている数字があります。「現状以上の対策を実施するには、どんな効果が期待できれば行うか」という質問で、3位に「助成金・補助金の獲得」（886件・21.2%）が入りました。レポートはこれを「情報セキュリティ対策を必要な投資と捉えるよりむしろ、助成金・補助金を獲得するための手段としてとらえている実態」と表現しています。

結果を見てください。点数が上がるほど、被害の「最大額」が小さくなります。

500万円 → 3,000万円 → 8,000万円 → 1億円。点数が下がるにつれて、最大被害額がきれいに階段を上がります。100点と49点以下では20倍の差です。

小規模企業者（n=450）では、差はもっと極端でした。

同じ調査は、ISMS認証・Pマーク・セキュリティ体制の整備・取引リスクの認識についても、同じように効果を検証しています。ところが結果はまったく違いました。

レポートの記述は、そっけないほど率直です。「第三者評価制度の取得有無によりサイバーインシデントの被害経験、被害の大きさ（内容、被害額）、サプライチェーンへの影響の低減に関して関係性が見られなかった」。セキュリティ体制の整備についても「効果が見られなかった」と書いています。

その代わり、まったく別の効果が出ていました。

この結果は、こう読めます。認証や体制は「守り」ではなく「営業」の道具として効いていた。取引先がセキュリティを求めてくる場面で、持っているかどうかが仕事の獲得を左右している——という構図です。

被害の最大額を20〜50分の1にしていた25項目。特別なものは1つもありません。実施率とともに並べます。

並べてみると、最も実施率が高い項目でも5割強。そして下の3つ（社内共有の仕組み・緊急時の体制・ルールの明示）は2割弱しかありません。この3つはいずれもお金がかからず、決めて書けば終わる種類のものです。

そして、この診断を含む「SECURITY ACTION」という宣言制度の認知度は、全体の1割程度でした。宣言していない理由の1位は「知らなかった」1,523件（38.6%）。宣言した企業のきっかけの1位は「補助金や助成金の申請要件」（54.9%）です。

ここまで見てきたことを、もう一度まとめます。

「セキュリティ対策は必要だ」と言われても、多くの経営者が動かない理由は、この調査がはっきり書いています。効果が見えないからです。4,191社のうち2,623社が投資しておらず、その4人に1人が「費用対効果が見えない」を理由に挙げました。

この調査の価値は、その問いに数字で答えようとしたことにあります。しかも答えは、高価な製品を買えという話ではありませんでした。OSを更新する。バックアップを取る。ルールを決めて紙に書く。そういう25項目の点数が、会社が傾くような大事故と、そうでない事故を分けていた、というだけです。