まず、SECURITY ACTIONを宣言した企業（244社）に、そのきっかけを聞いた結果です。

そして、まったく別の制度である「サイバーセキュリティお助け隊サービス」を導入した企業（102社）に、同じ質問をした結果がこちらです。

制度が違っても、1位も2位も同じでした。「補助金の申請要件だったから」と「取引先に言われたから」。どちらも自分の判断で始めたものではありません。

調査では、全4,191社に対して「現状以上の情報セキュリティ対策を実施するためには、どのような効果が期待できれば対策を行うと思いますか」と聞いています。答えの上位はこうでした。

ここで注目したいのは、「助成金・補助金の獲得」が21.2%で3位に入っていること。そして「サイバーインシデント発生時の復旧コスト削減」が9.4%で、その半分以下だということです。

報告書は、この結果にこう書いています。

そしてもうひとつ。まだSECURITY ACTIONを宣言していない企業（3,947社）に「どんなきっかけがあれば宣言するか」と聞いた結果も、同じ方向を向いていました。

すでに宣言した企業も、まだ宣言していない企業も、動く理由は「外から言われること」でした。

調査では、ISMS認証を取っている企業と取っていない企業、セキュリティ体制を整えている企業と整えていない企業で、「対策に期待する効果」がどう違うかもクロス集計しています。

ISMSを取得している企業が期待するのは「認証の取得」。取得していない企業が期待するのは「助成金・補助金の獲得」。セキュリティ体制についても、まったく同じ分かれ方をしていました。

そして、セキュリティ体制を「組織的には行っていない」企業は69.7%。小規模企業者に限れば84.5%です。つまり7割前後の企業が、「補助金が最大の動機」の側にいます。

補助金目当てで制度に入った企業は、その後どう感じているのか。お助け隊サービスを導入した102社に「導入して良かった点」を聞いた結果がこちらです。

入るときの動機は「補助金の申請要件」だったのに、入ってからの評価は「まとめて対策できる」「導入が楽」「コストが下がった」という実利になっています。報告書も「サービスの導入によりコスト削減となっているケースがあることが読み取れる」と書いています。

SECURITY ACTIONの側でも、似た数字が出ています。

宣言した企業の9割近くが、その状態を維持できていると答えています。きっかけが補助金でも、始めてしまえば続いている。維持できなかった企業（31社）の理由は「専門知識の不足」54.8%、「コストが高い」45.2%でした。

ここまでの数字は、すべて「制度を知っていた企業」の中の話です。では、どれだけの企業が知っているのか。

SECURITY ACTIONを宣言している企業は、全体の5.8%。お助け隊サービスを導入しているのは2.4%です。

宣言していない3,947社に理由を聞くと、1位はこうでした。

いちばん多い理由が「知らなかった」（38.6%）。制度の中身を評価して見送ったのではなく、存在を知らなかったという企業が4割近くいます。

さらに、お助け隊サービスを知らなかった企業（3,561社）に、サービス内容を説明したうえで「導入したいと思うか」と聞いた結果はこうでした。

説明を聞いても、導入したいと思うのは1割未満。「わからない」が3割強で、報告書は「サービス内容のより丁寧な説明が必要」と結論づけています。

ここまで見てきたことを、もう一度まとめます。

「補助金がもらえるからセキュリティ対策をする」と聞くと、動機が不純だと感じるかもしれません。でも数字を最後まで追うと、別の景色が見えてきます。

従業員5名の会社に「サイバー攻撃に備えましょう」と言っても、動きません。この調査で、被害時の復旧コスト削減を動機に挙げた企業は9.4%しかいませんでした。一方で補助金という入口を用意すると、54.9%が動く。そして入った企業の36.3%が「コストが下がった」と答え、9割近くが続けている。

つまり補助金は、動機として不純なのではなく、実務的に機能している導線だということです。問題があるとすれば、その導線の存在を1割の企業しか知らないことのほうでしょう。