情報セキュリティ株に再評価余地、不正アクセス多発で需要拡大局面

不正アクセス多発で強まる防御投資の必然

株式市場で「情報セキュリティ」が注目テーマとして再浮上している背景には、単発の材料ではなく、被害統計、国内大型事案、監督当局の注意喚起が同時に重なった構図があります。サイバー攻撃は企業のIT部門だけの問題ではなく、顧客情報、決済、物流、自治体サービス、金融システムを止める経営リスクになっています。

2026年9月には、地方公共団体情報システム機構が利用するファイル転送サービスへの不正アクセスで、LGWAN電子証明書の利用団体などに関する情報24万6074件が漏洩した可能性が公表されました。同じ月にはカーシェア大手のタイムズカーでも、本人確認書類約160万件を含む個人情報の漏洩可能性が発表されています。生活インフラに近いサービスで被害が見える化したことは、セキュリティ投資を後回しにできない空気を強めました。

投資テーマとして重要なのは、事件が起きた企業だけでなく、再発防止に向けた支出が幅広い業種へ波及する点です。WAF、脆弱性診断、ID管理、EDR、SOC、MDR、従業員教育、インシデント対応支援など、関連需要は一つの製品に閉じません。テーマ株を見る際も、ニュースへの瞬間的な反応より、どの企業が継続課金型の収益を積み上げられるかが焦点になります。

漏洩拡大を招く攻撃手口と企業の弱点

認証情報と脆弱性を突く侵入口

近年の不正アクセスは、映画のような高度な侵入劇だけではありません。盗まれたIDとパスワード、未修正の脆弱性、外部委託先のシステム、設定ミスのあるクラウド環境など、現実的で再現性の高い入口が狙われています。VerizonのDBIRは、世界のインシデント分析を通じて、認証情報の悪用、脆弱性の悪用、第三者経由の侵害が重要な論点であることを示しています。

企業側の弱点は、技術不足だけでは説明できません。事業部門が独自にSaaSを導入し、情報システム部門が把握しきれないまま運用されるケースが増えています。M&A後に旧システムが残る企業、海外子会社の管理水準が本社と異なる企業、取引先とファイルをやり取りする仕組みが古い企業も、攻撃者にとっては侵入口になり得ます。

JPCERT/CCは2026年10月、Oracle PeopleSoftの脆弱性を悪用する攻撃への注意喚起を出しました。基幹業務システムや人事システムは、業務継続のため停止しにくく、更新も慎重になりがちです。そのため、パッチ適用の遅れ、外部公開設定、ログ監視の不足が重なると、侵害の発見が遅れます。ここに脆弱性管理サービスや外部監視サービスの需要が生まれます。

個人情報保護委員会の令和7年度年次報告によれば、漏洩等報告の受付件数は1万9417件でした。数字が示すのは、情報漏洩が一部の大企業だけの特殊事案ではないという現実です。報告義務の浸透によって表面化した面もありますが、発見、報告、調査、再発防止までの対応負荷は確実に増しています。

AI悪用で複雑化する漏洩被害

攻撃側の変化として見逃せないのが、AIの悪用です。IBMの2026年版データ侵害コスト調査は、悪意ある侵害の4分の1がAIを利用したものだったとし、AIを使った侵害の平均コストは600万ドルとしています。生成AIで作られるフィッシングメールは自然な文体になり、社内文書や取引先名を踏まえた標的型メールも作りやすくなっています。

CrowdStrikeの2026年グローバル脅威レポートは、検知された脅威の大半がマルウェアを使わない手口だったと指摘しています。これは従来型のウイルス対策だけでは守り切れないことを意味します。正規のIDでログインし、通常の管理ツールを悪用し、短時間で権限を広げる攻撃には、端末、ID、クラウド、ログを横断して監視する仕組みが必要です。

MandiantのM-Trends 2026では、侵入から発見までの期間が短縮傾向にある一方で、攻撃者の行動も速くなっていることが示されています。検知が早まっても、初動対応が遅れれば被害は拡大します。ここで重要になるのは、ツールを入れるだけでなく、誰がアラートを見て、どの権限を止め、どの範囲を隔離するかを事前に決めておくことです。

FBIの2025年IC3レポートでは、苦情件数が85万9532件、報告損失額が208億7700万ドルに達しました。金額の大きさは、サイバー犯罪が企業収益を直接削る産業化した犯罪になったことを示します。投資家の視点では、セキュリティ支出は景気敏感なIT投資というより、事業継続と規制対応のための不可避コストに近づいています。

情報セキュリティ関連株に向かう需要の内訳

WAFと脆弱性管理の常時化

国内市場の広がりも数字に表れています。矢野経済研究所は、2024年度の国内情報セキュリティ市場規模を1兆1191億円とし、2029年度には1兆6713億円へ拡大すると予測しています。年ごとの伸び率だけを見ると派手なテーマに見えにくいかもしれませんが、企業のIT予算に深く組み込まれ、継続的に積み上がる性質があります。

まず需要が向かいやすいのは、外部公開システムの防御です。EC、予約、会員管理、自治体申請、金融取引など、Webアプリケーションは顧客接点そのものです。WAFやボット対策、DDoS対策、API保護は、攻撃を受けてから導入するのでは遅い領域になっています。クラウド移行で公開面が広がるほど、常時監視型のサービスが評価されやすくなります。

次に伸びるのが、脆弱性管理と資産管理です。企業は自社のサーバー、クラウド、端末、SaaS、外部委託先を正確に把握しなければ、パッチ適用の優先順位を決められません。攻撃者は新しい脆弱性だけでなく、古い既知の弱点も利用します。したがって、診断を年1回実施するだけでは不十分で、継続的なスキャンと修正管理が求められます。

この領域で注目すべき収益モデルは、単発の診断収入よりも、月額課金、運用代行、追加解析、緊急対応を組み合わせた契約です。株式市場では「セキュリティ関連」というラベルで一括りにされがちですが、売上の質は企業ごとに大きく異なります。高成長でも人手依存の受託比率が高い会社と、ソフトウェアの粗利を積み上げる会社では、利益率の見え方が変わります。

SOCとMDRを押し上げる人材不足

EDRやMDRも重要な成長領域です。ITRは国内EDR市場について、2024年度の市場規模を233億円、2029年度を662億円と予測しています。端末の挙動を監視するEDRは導入が進みましたが、アラートが増えすぎると社内だけでは処理しきれません。そこで、外部の専門家が監視と初動対応を担うMDRの需要が高まります。

SOC運用は、企業が自前で人材を抱えるには負担が大きい領域です。深夜や休日も含めた監視体制、攻撃手口への知見、ログ解析、復旧支援、法務や広報との連携が求められます。人材採用が難しい中堅企業ほど、監視運用を外部サービスとして購入する動きが強まりやすいです。これはセキュリティ専業企業だけでなく、SIer、通信事業者、クラウド運用会社にも追い風です。

金融庁がサイバーセキュリティを継続的な監督テーマとして掲げていることも見逃せません。金融機関は顧客資産を扱うため、攻撃被害が即座に信用問題へつながります。監督業種で基準が引き上がると、取引先にもセキュリティ水準の証明が求められます。大企業から中堅企業へ、さらにサプライチェーン全体へ支出が広がる流れです。

ただし、テーマ物色では「どこまでが本業の成長か」を見極める必要があります。セキュリティ商材を取り扱っていても、自社開発ではなく販売代理中心の会社は、売上が伸びても利益率が限定的になる場合があります。逆に、教育、診断、運用、クラウド防御を組み合わせ、顧客単価を上げられる会社は、インシデント増加を中期的な契約拡大につなげやすいです。

材料株相場で警戒すべき評価の行き過ぎ

情報セキュリティは構造的な成長テーマですが、株価が常に右肩上がりになるわけではありません。大型漏洩や官公庁の注意喚起が出ると、関連銘柄に短期資金が流れやすくなります。一方で、実際の受注、売上計上、利益貢献には時間差があります。ニュース直後の急騰局面では、期待だけが先行してPERやPSRが膨らみやすい点に注意が必要です。

また、セキュリティ需要は増えても、すべての企業が同じように恩恵を受けるわけではありません。海外製品の仕入れ価格、円安、人件費、エンジニア採用費、クラウド利用料が利益を圧迫する場合があります。攻撃が増えるほどサポート負荷も増えるため、運用体制を拡張できない会社は、売上成長ほど利益が伸びない可能性があります。

もう一つのリスクは、競争の激化です。EDR、SASE、ID管理、クラウドセキュリティには海外大手が強く、国内企業は導入支援、運用、ローカル対応、規制理解で差別化する必要があります。純粋なプロダクト競争ではなく、顧客の業務を理解し、事故時の説明責任まで支えられるかが評価軸になります。

中期的には、法制度や監督指針の強化が需要を下支えする可能性があります。個人情報保護、重要インフラ、金融、医療、自治体システムでは、セキュリティ対策が任意の投資から説明責任を伴う経営課題へ変わっています。投資家は、テーマの強さだけでなく、各社がその制度変化をどのサービスに落とし込んでいるかを確認すべきです。

投資家が決算で確認すべきセキュリティ指標

情報セキュリティ関連株を見る際は、まず継続収益比率、解約率、顧客単価、受注残、粗利率を確認したいところです。事故対応や診断のスポット売上だけで成長している場合、翌期の反動が出ることがあります。一方、MDRやクラウド型防御サービスの契約が積み上がる会社は、売上の見通しが立ちやすくなります。

次に、顧客層の広がりです。金融、自治体、医療、製造、物流など、止められない業務を抱える業界で採用が増えているかは重要です。大企業向けだけでなく、中堅企業向けに導入しやすい価格帯と運用支援を持つ企業は、セキュリティ人材不足を追い風にできます。

最後に見るべきは、材料の鮮度ではなく、対策需要の持続性です。不正アクセスと情報漏洩は、企業がデジタル化を進める限り消えないリスクです。短期のテーマ株物色に乗るだけでなく、決算資料で収益モデルを確かめ、実需を利益に変えられる企業を選別する局面に入っています。

参考資料:

• IBM Newsroom: 2026 Cost of a Data Breach Report
• Verizon: 2026 Data Breach Investigations Report
• FBI IC3: 2025 Internet Crime Report
• CrowdStrike: 2026 Global Threat Report
• Google Cloud Mandiant: M-Trends 2026
• JPCERT/CC: Oracle PeopleSoftの脆弱性に関する注意喚起
• デジタル庁: LGWAN電子証明書システムに関する不正アクセス公表
• タイムズモビリティ: 個人情報漏えい等の可能性に関する第三報
• 個人情報保護委員会: 令和7年度年次報告
• 金融庁: 金融分野におけるサイバーセキュリティ
• 矢野経済研究所: 情報セキュリティ市場に関する調査
• ITR: 国内EDR市場規模推移および予測