【IPA・総務省データ】情報セキュリティの専門部署がある中小企業は2024年時点で9.3%｜情報システム部の設置実態と業務範囲

---

情報システム部について調べているとき、こんな疑問が出てきませんか。

• 情報システム部って、自社の規模だと置くのが普通なのでしょうか
• 他社はどれくらいの人数や体制で回しているのでしょうか
• 「うちには専任がいない」のは遅れているのか、それとも普通なのか

先に結論を書きます。独立した部署として情報システム部を置いている企業は、実はごく一部です。 多くの会社は、他の業務と兼務の担当者を置くか、担当者すら決めずに各自で対応しています。

この記事では、IPA・総務省・経済産業省の公的調査だけを根拠に、情報システム部の設置実態と業務範囲を整理します。

読み終えるころには、自社の体制が世の中のどのあたりにあるかを、社内で説明できるようになります。

---

情報システム部は社内ITの企画・運用・サポートをまとめて担う部署

情報システム部は、社内のITに関する企画から日々の運用、社員からの問い合わせ対応までをまとめて担う部署です。担当する範囲を決めるのは、その会社が実際に使っているITの中身です。

まずは公的な調査をもとに、いまの企業が何を管理対象にしているのかを見ていきましょう。

業務範囲はIT戦略・インフラ運用・セキュリティ対策・ヘルプデスクの4領域に整理できる

情報システム部の仕事は、IT戦略・企画、インフラ運用・保守、セキュリティ対策、ヘルプデスクの4領域に整理できます。ただし、この区分を定めた公的な定義はありません。実務でよく使われる整理の一例として読んでください。

そのうえで、各領域に実際の業務が発生していることは、公的調査の数値からも確認できます。総務省「令和7年通信利用動向調査」の数値を当てはめると、次のようになります。

• IT戦略・企画: クラウドサービスを利用している企業は2025年時点で83.5%
• インフラ運用・保守: テレワークを導入している企業は2025年時点で50.1%
• セキュリティ対策: 何らかのセキュリティ対策を実施している企業は2025年時点で98.3%
• ヘルプデスク・教育: セキュリティの社員教育を実施している企業は2025年時点で54.7%

なお、この調査の対象は常用雇用者100人以上の企業です。100人未満の企業の実態は、この調査だけでは分かりません。またセキュリティの2項目は、インターネットを利用している企業（n=2,480）を母数とする複数回答の値です。

情報システム部は情シスとも呼ばれ、日々の仕事の中身は会社や担当者によって幅があります。4領域のうちどこに時間を使うかは、自社の状況で変わると考えてください。

クラウド利用率は2025年時点で83.5%に達し、管理対象は自社サーバーから社外サービスへ移った

情報システム部が管理する対象は、この15年で大きく移りました。総務省「通信利用動向調査」のクラウドサービス利用率は、2010年の13.7%から2025年の83.5%まで上がっています。

途中の推移は次のとおりで、一貫して上昇してきました。

• 2016年: 46.6%
• 2017年: 56.9%
• 2021年: 70.4%
• 2023年: 77.7%

出典: e-Stat「通信利用動向調査」統計表（2010年・2016年）／総務省「平成29年通信利用動向調査の結果」／総務省「令和3年通信利用動向調査の結果」／総務省「令和5年通信利用動向調査の結果」／総務省「令和7年通信利用動向調査」別紙1

ただし伸び方には変化があります。2010年から2016年までは年平均5ポイントを超える上昇でした。一方、2021年から2025年までは年平均3ポイント程度にとどまります。

なお2010年と2016年の値はe-Statの統計表から、2017年以降は公表資料からとっています。同じ調査でも集計基準が違うため、値は完全には一致しません。2016年はe-Statで46.6%、公表資料では46.9%です。この推移は水準の傾向を見る目的で使ってください。

この推移から読み取れるのは、クラウドが「導入を検討する対象」ではなく「すでに社内にある前提の設備」になった点です。情報システム部の仕事の重心も、入れるかどうかを決める段階から、増えたサービスのアカウント・権限・費用を管理する段階へ移っています。

出典: 総務省「令和7年通信利用動向調査」別紙1／同 別紙2（別紙の図表は無回答を除いて集計）／e-Stat「通信利用動向調査」統計表／総務省「平成29年通信利用動向調査の結果」／総務省「令和3年通信利用動向調査の結果」／総務省「令和5年通信利用動向調査の結果」

情報セキュリティの専門部署がある企業は2024年時点で9.3%にとどまる

ここからが本題です。IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」を見てみましょう。情報セキュリティ対策の体制として「専門部署（担当者）がある」と答えた中小企業等は、2024年時点で9.3%でした。

「兼務だが、担当者が任命されている」は21.0%です。「組織的には行っていない（各自の対応）」は69.7%でした（いずれもn=4,191）。

先にお断りしておきます。この調査が聞いているのは情報システム部門全般ではなく、情報セキュリティ対策の体制です。 ただし専門部署の有無を規模別に聞いた数少ない公的データのため、設置実態を推し量る代替指標として扱います。

調査方法にも触れておきます。この調査はWebアンケートモニタ調査で、中小企業庁の定義に基づく中小企業・小規模企業者に絞り込んだ回答です。回答企業の3分の2は小規模企業者（n=2,775／全体n=4,191）で、統計調査とは母集団の作り方が異なります。

企業規模別の専門部署設置率は小規模4.4%・100名以下14.8%・101名以上34.6%と開く

専門部署の有無は、企業規模ではっきり分かれます。同じ2024年度の調査を規模別に見ると、専門部署（担当者）がある割合は規模が上がるほど段階的に高くなります。

区分の定義とあわせて示すと、次のとおりです。

• 小規模企業者（商業・サービス業1〜5名／製造業その他1〜20名、n=2,775）: 4.4%
• 中小企業100名以下（商業・サービス業6〜100名／製造業その他21〜100名、n=1,121）: 14.8%
• 中小企業101名以上（全業種101名以上、n=295）: 34.6%

全体では9.3%ですから、規模の小さい層が全体の水準を押し下げている構図です。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」（2024年10月25日〜11月6日実施、Webアンケートモニタ調査、n=4,191）

ここから読み取れるのは、専門部署の設置が規模の関数になっているという点です。従業員が数名の会社で情報システム部を置いていないことは、遅れているのではなく多数派の姿だと分かります。

規模が大きくなるとき先に増えるのは専任部署ではなく兼務担当者

規模が大きくなったとき、企業がまず取る手当ては部署の新設ではありません。IPAの2024年度調査で同じ3区分の兼務担当者の割合を見ると、規模が上がるほど大きく伸びています。

区分ごとに、兼務と「組織的には行っていない（各自の対応）」の割合を並べます。

• 小規模企業者: 兼務11.1%／組織的には行っていない84.5%
• 中小企業100名以下: 兼務37.6%／組織的には行っていない47.6%
• 中小企業101名以上: 兼務51.9%／組織的には行っていない13.6%

専任は4.4%から34.6%へ30.2ポイント増えます。これに対し兼務の伸びは40.8ポイントで、専任を上回ります。

この対比から読み取れるのは、規模の拡大に対する最初の手当てが「独立した部署をつくること」ではなく「既存の誰かに担当を割り当てること」だという点です。101名以上の区分でも専任は3社に1社、過半数の51.9%は兼務で回している計算になります。情報システム部という独立部署の成立は、101名規模を超えてもまだ標準ではありません。

つまり、担当者が一人だけ、あるいは他業務と兼任という状態は、例外ではなく多くの会社が通る段階だということです。ただし101名以上の区分はn=295と他区分より小さく、比率の振れ幅が大きい点には注意してください。

情報システム部の設置率を正面から示した公的統計は、現在は見当たらない

ここで、この記事が使っているデータの限界をはっきりさせておきます。「企業のうち何%が情報システム部を置いているか」を直接聞いた公的統計は、現在実施されているものの中には見当たりません。

いま続いている官公庁の調査で情報システム部門に触れているのは2か所だけです。1つは、IPAがセキュリティ体制の設問として専門部署の有無を聞いている箇所（全体9.3%、101名以上34.6%）です。

もう1つは、経済産業省がIT人材需給推計の対象に「ユーザー企業の情報システム部門の人材」を含めている箇所（2030年の需給ギャップ44.9万人）です。

過去にさかのぼると、経済産業省「情報処理実態調査」が情報処理関係の要員数やIT関連支出を調べていました。ただしこの調査は平成30年度以降実施されておらず、平成29年調査が最後です。現在の設置実態を語る材料には使えません。

この空白自体が、情報システム部の位置づけを示しているとも読めます。組織として制度化されている部署なら、設置率を継続して調べる統計が整備されているはずだからです。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」／経済産業省「IT人材需給に関する調査」報告書（2019年公表）／経済産業省「情報処理実態調査」

セキュリティ対策の実施率98.3%は、体制が整っていることを意味しない

ここまでの数値を見て、違和感を持った方がいるかもしれません。総務省「令和7年通信利用動向調査」では、何らかのセキュリティ対策を実施している企業は2025年時点で98.3%、特に実施していない企業は1.7%です。

一方でIPAの調査では、69.7%が「組織的には行っていない」と答えていました。この2つは矛盾しているわけではなく、見ている企業の範囲が違います。 公表値を自社に当てはめる前に、その違いを押さえておきましょう。

総務省の98.3%とIPAの69.7%が食い違う理由は調査の母集団にある

差の主な理由は母集団です。総務省の調査は前述のとおり常用雇用者100人以上の企業が対象で、なかでもセキュリティの設問はインターネットを利用している企業（n=2,480）が母数です。IPAの調査は小規模企業者を含む中小企業全体を対象にしています。

総務省の調査では、2025年時点で98.3%が何らかの対策を実施していました。未実施は1.7%にすぎません。一方のIPAの調査では、2024年時点で69.7%が組織的には行っておらず、専門部署がある企業は9.3%です。

同じ「セキュリティ対策」という言葉でも、母集団をどこに置くかで結果がほぼ逆になります。自社の規模から離れた調査の数値を基準にすると、体制の実態を見誤ります。

ただし差のすべてを母集団で説明することはできません。総務省の98.3%は複数回答の「何らかの対策」で、ウイルス対策ソフトの導入のような単発の措置も含まれます。調査年も設問も調査方法も異なる点は割り引いて読んでください。

社員教育は総務省で実施54.7%、IPAでは63.6%が未実施と結果が反転する

同じ反転は、社員教育でも起きています。総務省の調査では、2025年時点で54.7%がセキュリティの社員教育を実施していました。一方のIPAの調査では、2024年時点で63.6%が「特に実施していない」と答えています。

常用雇用者100人以上の企業では約半数が実施、中小企業全体では約6割が未実施ですから、受ける印象はほぼ逆になります。教育は担当者を決めて継続する必要がある業務のため、体制の有無がそのまま実施率に表れやすい項目です。

ここから読み取れるのは、指標そのものより「どの企業を数えた値か」を先に確認すべきだという点です。自社の規模に近い調査を選んで比べてください。

セキュリティ投資をしていない・わからない中小企業は約7割

体制がないことは、予算がないことと表裏です。IPAの調査には、直近過去3期の情報セキュリティ対策投資額をたずねた設問があります。「投資していない」または「わからない」と答えた中小企業等は、2024年時点で約7割でした（n=4,191）。

同じ調査では、従業員へのセキュリティ教育を特に実施していない企業が63.6%です。投資額を把握していない企業がこれだけあるのは、担当者を決めて予算を管理する主体が置かれていない状態の表れです。

情報システム部の話が「コスト部門扱いで予算が付かない」という課題に行き着きやすいのも、この構造が背景にあります。増員の相談は、予算の相談と同時に進めるのが現実的です。

出典: 総務省「令和7年通信利用動向調査」別紙2（別紙の図表は無回答を除いて集計）／IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」／同調査 報告書概要

情報システム部が守る前提は業種によって大きく変わる

体制を左右するのは企業規模だけではありません。同じ情報システム部でも、守る対象や働き方の前提は業種によって変わります。

ここでは総務省「令和7年通信利用動向調査」の産業分類別の集計から、業種差の大きさを2つの指標で確認します。

クラウド利用率の業種差は金融・保険業96.2%と運輸業・郵便業78.3%の17.9ポイント

まずクラウドです。2025年時点のクラウドサービス利用率は、最も高い金融・保険業で96.2%、最も低い運輸業・郵便業で78.3%でした。 全体は83.5%です。

差は17.9ポイントあります。ただし最も低い運輸業・郵便業でも8割近くが利用しており、業種を問わずクラウドは行き渡ったと言える水準です。

情報システム部の視点で見ると、クラウドを使うかどうかで業種を分ける段階は終わっています。どの業種でも、社外にあるサービスのアカウントや権限を管理する仕事は発生していると考えてよさそうです。

テレワーク導入率の業種差は60.3ポイントで、クラウドの3倍以上開く

一方、働き方の分散度は業種で大きく違います。2025年時点のテレワーク導入率は、情報通信業92.8%に対し運輸業・郵便業32.5%で、差は60.3ポイントです。 全体は50.1%でした。

出典: 総務省「令和7年通信利用動向調査」別紙2（常用雇用者100人以上が対象、無回答を除く集計）

上位と下位に並ぶ業種はクラウドと共通していますが、格差の幅は約3.4倍違います。規模でも差は出ており、2024年時点では従業者2,000人以上の企業で82.1%が導入していました（従業者規模別で最も高い区分）。

この2つの指標の差から読み取れるのは、情報システム部が守るべき端末とネットワークの前提が業種ごとに異なる点です。現場作業を伴う業種では働き方の分散が進みにくく、社内の設備を守る比重が残ります。

なお、テレワークの設問は「制度として導入しているか」を問うものです。実際に何人が使っているか、どの職種が対象かまでは示されません。

出典: 総務省「令和7年通信利用動向調査」別紙1／同 別紙2／総務省「令和6年通信利用動向調査報告書（企業編）」

情報システム部の有無は、ツールの導入差よりも全社での活用差に表れる

「そもそも情報システム部を置く意味は何か」という問いへの答えは、ここまでのデータから見えてきます。ツール自体は、規模を問わずすでに入っているからです。

IPA「DX動向2026」によると、何らかの形でDXに取組んでいる企業は2025年度調査で75.7%でした。この調査はIPAが2026年4月中旬から6月中旬に実施し、報告書の中では2025年度調査と表記されています。この数値を規模別に分解すると、体制の差がはっきり出てきます。

DXに取組む企業は従業員1,001人以上で98.7%、100人以下では41.6%にとどまる

規模による差は大きいです。DXに取組んでいる企業の割合は、従業員1,001人以上で98.7%、100人以下で41.6%と、2倍以上の開きがあります。 全体は75.7%です（いずれも2025年度調査）。

大企業ではほぼ全社が取り組んでいる一方、100人以下では半数以上が着手していません。ただし、その理由を体制の不足だけで説明するのは早計です。

100人以下の企業がDXに取組まない理由として最も多かったのは、「自社がDXに取組むメリットがわからない」で54.0%でした。人がいないという問題の手前に、必要性が社内で共有されていないという段階があると分かります。

クラウド利用率の規模差24.4ポイントに対し、DX取組率の規模差は57.1ポイントに広がる

2つの格差を並べると、差の性質が見えてきます。総務省の調査による2025年時点のクラウド利用率は、資本金1,000万円未満で75.4%、50億円以上で99.8%でした。 差は24.4ポイントです。

一方、IPAの調査によるDX取組率は、100人以下41.6%、1,001人以上98.7%です。こちらの差は57.1ポイントあります。

出典: 総務省「令和7年通信利用動向調査」別紙2（資本金規模別、無回答を除く集計）／IPA「DX動向2026」（2025年度調査、従業員規模別）

資本金1,000万円未満の企業でも、クラウド自体は75.4%が使っています。それを全社の取り組みとして束ねる段階には、100人以下の企業の半数以上が到達していません。

この関係から読み取れるのは、中小企業に足りていないのが「システム」ではなく「システムを企画・統括する主体」である可能性です。情報システム部を置く意味は、ツールを増やすことではなく、すでにあるものを全社で使える形にまとめる点にあります。

出典: 総務省「令和7年通信利用動向調査」別紙2／IPA「DX動向2026」

体制強化は人数の確保より、担う領域の見極めが先に立つ

情報システム部の体制を強化しようとすると、まず増員の話になりがちです。ただ、公的データを見る限り、人数の確保だけでは解決しない構造があります。

IPA「DX動向2026」の人材に関する設問の対象は、DXに取組んでいると回答した企業です。その中で人材の「量」が不足していると答えた企業は、2025年度調査で85.5%でした。「質」が不足していると答えた企業は88.8%です。

以下では、この不足感の中身を分解していきます。

DX推進人材は量の不足感が3回の調査で12.0ポイント縮小し、質の不足は88.8%に広がった

不足の中身は動いています。人材の「量」が大幅に不足していると答えた企業の割合は、2023年度調査から2025年度調査までの3回で12.0ポイント下がりました。

• 2023年度: 62.1%
• 2024年度: 58.5%
• 2025年度: 50.1%

一方で「質」が不足している（やや不足＋大幅に不足）と答えた企業は、2024年度86.1%から2025年度88.8%へ増えています。

「大幅に不足」だけで比べると、質は2024年度58.9%から2025年度52.9%へ下がりました。それでも2025年度は、質が量を上回っています。

出典: IPA「DX動向2026」（DXに取組んでいると回答した企業が対象。年度表記は報告書の呼称に合わせています）

ここから読み取れるのは、不足の焦点が頭数から水準へ移っている点です。採用や配置で人数を確保する動きは一定の成果を上げた一方、任せられる水準に届いているかという評価軸では不足感が広がっています。

ただし不足感は各社の主観的な評価です。求める水準が上がれば、人数が増えても不足感は減りません。量の緩和が実際の増員によるものか、取り組み範囲を狭めた結果かは、この調査からは区別できません。

2030年のIT人材不足は総量44.9万人だが、内訳では従来型9.7万人の供給超過と先端54.5万人の不足に分かれる

不足が一様ではないことは、経済産業省の推計にも表れています。2019年公表の推計では、2030年のIT人材需給ギャップは標準ケースで44.9万人とされました。 標準ケースとは、IT需要の伸びを年平均2.7%程度、労働生産性の上昇を年0.7%と置いた試算です。

その内訳が重要です。従来型IT人材は9.7万人の供給超過、先端IT人材は54.5万人の不足という姿になっています。

ここで注意が必要です。総量の44.9万人と、この内訳の値は前提ラベルが異なるため（内訳はIT需要の伸び「中位」・Reスキル率1.0%固定のケース）、厳密な足し引きはできません。報告書自体は、先端IT人材を従来型IT人材が代替できないとすれば、実質的な需給ギャップは54.5万人になると述べています。

同じ推計では、需給ギャップは年を追って広がる想定でした。

• 2018年: 22万人
• 2020年: 30万人
• 2025年: 36万人
• 2030年: 44.9万人（概要資料の表では45万人と表記）

出典: 経済産業省「IT人材需給に関する調査」報告書／同調査（概要）（いずれも2019年公表。IT需要の伸びを中位に置いたシナリオ）

この推計は実績値ではありません。2030年の値はIT需要の伸び方によって幅があります。上限は78.7万人、下限は16.4万人と試算されています。

対象はIT企業の人材とユーザー企業の情報システム部門人材の合算で、生成AIの普及など公表後の環境変化は織り込まれていません。

そのうえで仮説として書きます。増員を人数だけで計画すると、余っている領域を採用して足りない領域が埋まらない事態になりえます。IPA調査の「質の不足が広がる」という動きとも、不足の焦点がスキルの種類に寄っているという点で方向が一致します。

人材像を明文化している企業は16.2%、評価基準がない企業は76.1%で、着手点は言語化にある

では何から着手すべきでしょうか。IPA「DX動向2026」によると、DXを推進する人材像を設定し社内に周知している企業は、2025年度調査で16.2%でした。 人材の評価基準が「ない」企業は76.1%です。

評価基準がない企業の割合は、2024年度75.7%からほぼ横ばいで推移しています。育成予算を増やした企業は25.6%にとどまりました。

求める人物像も評価の物差しも決まっていなければ、採用しても育成しても成果を判断できません。だからこそ、体制強化の第一歩は人数ではなく言語化です。

順序を守ると、増員の相談も具体的になります。社内で抱えきれない領域を外部に任せる判断も、担当範囲を書き出したあとのほうが精度が上がります。

出典: IPA「DX動向2026」（DXに取組んでいると回答した企業が対象）／経済産業省「IT人材需給に関する調査（概要）」／同調査報告書（いずれも2019年公表）

まとめ

情報システム部を独立した部署として置いている企業は、まだ少数派です。この記事で確認した内容を整理します。

• 情報セキュリティ対策の専門部署（担当者）がある中小企業等は2024年時点で9.3%、101名以上の区分でも34.6%（IPA）
• 規模が大きくなるとき先に増えるのは専任部署ではなく兼務担当者で、101名以上では兼務が51.9%と過半数（2024年・IPA）
• 管理対象は広がり続けており、クラウド利用率は2025年時点で83.5%（総務省）
• 規模で開くのはツールより組織で、DXに取組む企業は従業員100人以下で41.6%（2025年度調査・IPA）
• 「情報システム部の設置率」を直接示した公的統計は現在なく、この記事はセキュリティ体制の数値を代替指標として使っている

まず、自社の体制が専任・兼務・不在の3層のどこに当てはまるかを確認してみてください。 そのうえで担う領域を書き出すと、増員や外部委託の相談が具体的になります。

---

情シスカレッジのご紹介

この記事で見たとおり、多くの会社では情報システム部が独立した部署になっておらず、兼務の担当者が現場を支えています。その状態で必要になるのは、限られた時間でIT運用の基礎を身につける手段です。とはいえ、日々の対応に追われながらまとまった研修時間を取るのは難しいですよね。

情シスカレッジは、新人・ひとり情シスのためのマイクロラーニングLMSです。短い動画で学び、小テストで理解を確認する形式なので、業務の合間に少しずつ進められます。

導入は5名から可能で、請求書払いに対応しています。初期設定は約10分で完了します。

情シスカレッジの詳細を見る

---

※出典

• 総務省「令和7年通信利用動向調査」別紙1
• 総務省「令和7年通信利用動向調査」別紙2
• 総務省「令和6年通信利用動向調査報告書（企業編）」
• 総務省「令和5年通信利用動向調査の結果」
• 総務省「令和3年通信利用動向調査の結果」
• 総務省「平成29年通信利用動向調査の結果」
• e-Stat「通信利用動向調査」統計表
• IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」
• IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書概要」
• IPA「DX動向2026」
• 経済産業省「IT人材需給に関する調査（概要）」（2019年公表）
• 経済産業省「IT人材需給に関する調査」報告書（2019年公表）
• 経済産業省「情報処理実態調査」（平成29年調査で終了）