情報処理推進機構（IPA）は3月31日、2021年度の中小企業のセキュリティ対策状況を調べた結果を発表した。2021年10～12月に全国の中小企業を対象にウェブでアンケートを行い、4074社が回答している。
まず直近の過去3期のセキュリティ投資は、「100万円未満」が49.2％で最も多く、これに「投資をしていない」の33.1％が続いた。併せて尋ねた「直近過去3期のIT投資額」も同じ結果だった。
情報セキュリティ対策投資を行わなかった理由（出典：IPA）
セキュリティに投資しない理由で最も多いのは「必要性を感じない」の40.5％だった。これに「費用対効果が見えない」（24.9％）、「コストがかかりすぎる」（22.0％）が続いた。従業員101人以上では「その他」の割合が高く、「親会社の投資になる」といった回答が多かったという。
2020年度の情報セキュリティ被害の有無では、84.3％が「被害なし」と回答した。何らかの被害に遭った企業は5.7％で、最多被害は「コンピュータウイルスに感染」の2.7％だった。想定されるウイルスの侵入経路は、「電子メール」が62.2％で最も高く、「インターネット接続（ホームページ閲覧など）」（45.9％）、「自らダウンロードしたファイル」（23.4％）が続く。
感染あるいは発見したコンピューターウイルスの想定される侵入経路（出典：IPA）
2016年度の前回調査と比較した各種セキュリティ対策の実施状況は、2021年度調査でおおむね実施率が増加した。特に「情報セキュリティ対策の定期的な見直し」は17.4％で前回から11％ポイント以上増加した。一方で、セキュリティ製品やサービスの導入状況に大きな変化は見られなかった。
取引先からの情報セキュリティに関する条項や取り引き上の要請の有無は、63.2％が「ない」と回答した。「ある」は26.1％で、内訳は「秘密保持」（93.8％）、「契約終了後の情報資産の扱い（返却、消去、廃棄など）」（36.3％）、「情報セキュリティに関する契約内容に違反した場合の措置」（32.4％）などだった。
