ホーム › 記事 › 有価証券報告書の「事業の状況」に「サイバーセキュリティ」と書いた3月決算の上場企業は16%

有価証券報告書の「事業の状況」に「サイバーセキュリティ」と書いた3月決算の上場企業は16%

著者：SecBilly　公開 2026-10-10

金融庁は毎年「記述情報の開示の好事例集」を出していて、その定量分析（2025年版は Appendix）に、有価証券報告書の「事業の状況」欄に特定の単語を含む会社を EDINET で数えた表があります。2024年版と2025年版を合わせると、2023年3月期から2025年3月期まで3年ぶんが並びます。

「サイバーセキュリティ」の語を含む会社は、2025年3月期で2,261社中371社、16.4%でした。2023年3月期から2025年3月期の2年で、11.1%から16.4%に増えています。

「情報セキュリティ」なら55.3%です。語がある会社でも、サステナビリティの記載欄に書いているのは28.3%で、金融庁は「事業等のリスク」での開示が多いと書いています。

この記事の要点

• 2025年3月期、「事業の状況」に「サイバーセキュリティ」を含む3月決算の上場企業は 371社／2,261社（16.4%）
• 3期の推移は 11.1% → 13.5% → 16.4%。社数は259 → 312 → 371
• 「情報セキュリティ」は 55.3%（1,250社）。「データセキュリティ」は1.6%
• 語がある371社のうち、サステナ記載欄に書いたのは 105社（28.3%）。残りは別の欄
• 金融庁の原則の別添は、サステナビリティ情報に含まれうる事項として サイバーセキュリティを例示している。ただし書くことを求めてはいない

使った数字

出典は金融庁の資料3つです。

• 「記述情報の開示の好事例集2025（サステナビリティ情報の開示）」の【Appendix】定量分析（2025年12月25日公表。2026年3月27日の最終版でも同じ数字）
• 「記述情報の開示の好事例集2024」の【参考】定量分析（2024年12月27日更新版。公表ページは https://www.fsa.go.jp/news/r6/singi/20241227.html）
• 「記述情報の開示に関する原則（別添）―サステナビリティ情報の開示について―」（2023年1月31日）
• 公表ページ：https://www.fsa.go.jp/news/r7/singi/20251225.html
• 参照日：2026年10月10日

数え方は資料の注に書かれています。2025年版の表1の注です。

決算日時点で上場しており、2025年7月1日までに有価証券報告書を公表した3月末決算の企業を対象として集計

対象は3月決算の上場企業だけで、12月決算などは入っていません。2024年3月期の注は「2024年7月1日までに2024年3月期の有価証券報告書を公表した企業」です。2023年3月期の対象の条件は、どちらの資料にも書かれていません。

数えているのは「事業の状況」欄にその単語が含まれているかで、書いた中身の量や質ではありません。有価証券報告書の他の欄（提出会社の状況など）は数えていません。注には、知的財産や人材確保には別の表記も含めたとありますが、サイバーセキュリティにはその注記がありません。語の一致で数えたと読めるので、「サイバー攻撃」「不正アクセス」とだけ書いた会社は数に入らないと考えられます。表記ゆれの扱いは資料にありません。

全体の社数は年によって違います。2023年3月期2,324社、2024年3月期2,312社、2025年3月期2,261社です。割合は各年の全体に対するものです。

2年で11%から16%に増えた

「事業の状況」欄に「サイバーセキュリティ」の語を含む会社の割合です。

• 2023年3月期11.1%（259/2,324）
• 2024年3月期13.5%（312/2,312）
• 2025年3月期16.4%（371/2,261）

「サイバーセキュリティ」を含む開示を行った会社の割合。括弧内は社数／全体。出典：金融庁 好事例集2024 定量分析・2025 Appendix

社数は2年で112社増えました。全体は63社減っています。全体が2,324社のままなら、2025年3月期は16.0%です。

セキュリティに関する3つの語を並べます。

※ 出典の表記は48.7%ですが、1,111社／2,324社を計算し直すと47.8%です。同じ行の他の語は計算が合うので、出典側の転記ミスと見て、計算し直した値を載せています。

「情報セキュリティ」は半分を超えています。「サイバーセキュリティ」はその3分の1以下です。同じ会社が両方の語を使っているかどうかは、この表からは分かりません。

参考までに、同じ表にある他の語では、人的資本が82.2%、気候変動が76.7%、人権が49.6%です。

書いた会社の7割は、サステナ記載欄ではなく別の欄に書いている

有価証券報告書には「サステナビリティに関する考え方及び取組」の欄があります。金融庁はこれを「サステナ記載欄」と呼び、語を含む会社のうち、その欄に書いた会社を別に数えています。

2025年3月期で、残りの266社は「事業の状況」の中の別の欄に書いています。金融庁は Appendix でこう書いています。

サステナ記載欄での開示割合が少ない情報セキュリティ、サイバーセキュリティ及び知的財産については、「事業等のリスク」での開示が多く、DXは、「経営方針、経営環境及び対処すべき課題等」での開示が多い。

人的資本は96.1%、気候変動は95.5%がサステナ記載欄に書かれています。「事業等のリスク」欄に書いた社数そのものは、資料にありません。

サステナ記載欄に書いたプライム企業は4.4%（2024年3月期）

2024年版の定量分析には、サステナ記載欄に書いた会社の市場区分ごとの内訳があります。2024年3月期だけで、分母は各市場区分の3月決算上場企業の数です。

これはサステナ記載欄に限った数です。「事業の状況」全体での市場区分別の数は、資料にありません。2025年版の Appendix には市場区分の表がありません。

原則の別添は、サイバーセキュリティを例示している

「記述情報の開示に関する原則（別添）」には、サステナビリティ情報に何が含まれうるかの例が書かれています。

サステナビリティ情報には、国際的な議論を踏まえると、例えば、環境、社会、従業員、人権の尊重、腐敗防止、贈収賄防止、ガバナンス、サイバーセキュリティ、データセキュリティなどに関する事項が含まれ得ると考えられる。

Appendix の注によると、集計した語のうち「サイバーセキュリティ」と「データセキュリティ」はこの別添の例示から採ったもので、「情報セキュリティ」は金融庁が加えた語です。例示されている語で、2025年3月期に語を含む会社が16.4%、サステナ記載欄に書いた会社は4.6%（105/2,261）です。

別添は「含まれ得ると考えられる」と書いているだけで、サステナ記載欄に書くことを求めてはいません。「事業等のリスク」に書くのも正規の開示です。

ここからは出典ではなく、この記事の見方です。GRC の仕事をしていても、自社のセキュリティの取り組みが有価証券報告書のどの欄に、どの語で書かれているかを見る機会は多くありません。この表には社名が出ないので、自社の有価証券報告書がこの語を含むか、サステナ記載欄に書いているかは、表では分かりません。自社の有価証券報告書の「事業の状況」で、この語がどの欄にあるかを見れば分かります。

この数字で言えないこと

• 語の有無であって、中身ではありません。「サイバーセキュリティ」と書いた会社の対策が進んでいるかどうかは、この数字からは分かりません
• 「情報セキュリティ」だけで書いた会社は「サイバーセキュリティ」の数に入りません。「サイバー攻撃」など別の語で書いた会社も入らないと考えられます。84%の会社が何も書いていない、という意味ではありません
• 数えているのは「事業の状況」欄だけです。有価証券報告書の他の欄に書いた会社は入っていません
• 3月決算の上場企業だけです。12月決算の会社と非上場の会社は入っていません
• 同じ会社が年をまたいで数えられているかは、資料からは分かりません。全体の社数は毎年変わっています
• 市場区分の表は2024年3月期のサステナ記載欄だけで、2025年3月期の内訳はありません

まとめ

• 「事業の状況」に「サイバーセキュリティ」を含む3月決算の上場企業は 16.4%（371/2,261）。2年で11.1%から増えた
• 「情報セキュリティ」を含む会社は 55.3%。「サイバーセキュリティ」の3倍以上
• 語がある会社でも、サステナ記載欄に書くのは 28.3%。金融庁は「事業等のリスク」での開示が多いと書いている
• 市場区分では、サステナ記載欄に書いたプライム企業は 4.4%（2024年3月期）
• 原則の別添はサイバーセキュリティを例示しているが、サステナ記載欄に書くことを求めてはいない

直近2年は12月に定量分析が公表・更新されました。2026年版が出たら、2026年3月期の列を足します。

関連する記事

• 「開示すべき重要な不備」を出した44社の本文を読んだ。ITを不備の区分に挙げたのは6社、うち4社は基幹システムの入れ替え
  EDINET の178件を読んで「有効でない」44社に絞った。ITを不備の区分に挙げたのは6社、うち4社は基幹システム導入時のテスト不足。サイバー攻撃を原因にした社は0
• バックアップは9割が取っていて、復元できたのは2割だった
  警察庁の被害組織アンケート5年分。取っていた89%、復元結果に答えた組織の22%が復元。Sophos 日本の58%とは分母が違う
• ランサムウェア1件で、漏えい報告が2,745件になった
  個人情報保護委員会の9四半期。最多7,141件のうち2,745件は1つの事案だった

エージェントを選ぶところなら、転職エージェントの比較に、面談してよかった3社と条件で選べる会社を分けて並べています。よかった3社には紹介料が発生するリンクを置いていません。