中小企業の情報セキュリティ対策｜何から始める?最低限やるべきこと
情報セキュリティと聞くと、「大企業や専門部署がやること」と感じるかもしれません。けれども実際に被害が深刻なのは、対策が手薄になりがちな中小企業です。まず守りたいのは、次の3点です。
- バックアップ：重要データを定期的に別の場所へ。ランサムウェアや故障から事業を守る最後の砦
- 更新：OSやソフトを最新に保ち、知られた弱点(脆弱性)をふさぐ
- パスワードと多要素認証：強いパスワードを使い回さず、もう一段の認証を足す
高価な製品を入れる前に、この基本を徹底するだけで多くのリスクは減らせます。本記事では、なぜ中小企業が狙われるのか、主な脅威、基本と組織の対策、IPAのガイドラインとSECURITY ACTION、そして万一のインシデント対応までを、経営者の視点で整理します。
※本記事は基本的な考え方の整理です。具体的・高度な対策や最新の制度内容は、IPAなど公的機関の情報もあわせてご確認ください。
なぜ中小企業が狙われるのか
「うちは小さいから狙われない」という思い込みは危険です。攻撃者は規模ではなく、入りやすさで標的を選びます。
- 対策が手薄：専任担当や予算が乏しく、更新やバックアップが後回しになりやすい
- 踏み台にされる：取引先である大企業を直接攻めるより、守りの弱い委託先・下請けから侵入する「サプライチェーン攻撃」が増えている
- 被害が大きい：データが使えなくなれば受発注も製造も止まり、信用失墜や取引停止に直結する
IPA(独立行政法人 情報処理推進機構)の「情報セキュリティ10大脅威 2026[組織編]」でも、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」が上位を占めます。3位には「AIの利用をめぐるサイバーリスク」が初めて入りました。出典: IPA 情報セキュリティ10大脅威 2026。
近年は、取引を始める条件として「セキュリティ対策状況の確認」や「対策の実施」を求める企業も増えています。対策は守りであると同時に、取引を続けるための前提にもなりつつあります。
主な脅威を知る
敵を知ることは対策の第一歩です。中小企業が直面しやすい脅威を、効く対策とあわせて整理します。
| 脅威 | 内容 | 特に効く基本対策 |
|---|---|---|
| ランサムウェア | データを暗号化し、復旧と引き換えに金銭を要求。近年は盗んだ情報の公開をちらつかせる「ノーウェアランサム」も | バックアップ・更新 |
| 標的型メール／フィッシング | 取引先や公的機関を装った偽メールで添付やリンクを開かせ、情報を盗む・感染させる | 教育・多要素認証 |
| 不正アクセス | 弱いパスワードや放置された脆弱性をついて侵入する | 多要素認証・更新 |
| 情報漏えい | 設定ミスや誤送信、クラウドの公開設定ミスで外部に流出する | 共有設定の確認・権限管理 |
| 内部不正 | 従業員や退職者が情報を持ち出す | アクセス権・退職者対応 |
| 紛失・盗難 | 端末やUSBの置き忘れ・盗難で情報が外に出る | 暗号化・持ち出しルール |
ランサムウェアは身代金の問題と思われがちですが、本質は「データが使えなくなって事業が止まる」ことです。だからこそ、後述するバックアップがもっとも頼りになります。生成AIの普及で情報漏えいの経路も増えており、社内での扱い方は生成AIによる情報漏えい対策もあわせて確認してください。
最低限やるべき基本対策
ここが本記事の中心です。多くは低コストや無料で始められ、費用対効果が高いものから並べています。
| 対策 | やること |
|---|---|
| バックアップ | 重要データを定期的に別の場所へ。少なくとも1つはネットから切り離して保管 |
| OS・ソフトの更新 | OS・アプリ・機器を最新に。自動更新を有効化し、脆弱性を放置しない |
| ウイルス対策 | セキュリティソフトを導入し、定義の更新と動作を確認する |
| パスワード強化 | 長く複雑にし、使い回さない。管理ツールで安全に保管する |
| 多要素認証(MFA) | ID・パスワードにもう一段の認証を追加し、不正ログインを防ぐ |
| アクセス権 | 必要な人に必要な範囲だけ。退職・異動時はすぐ見直す |
| 共有設定の確認 | フォルダやクラウドの公開範囲を定期点検し、「全員に公開」を避ける |
バックアップは「3-2-1」を意識する
バックアップは取り方が重要です。目安として、データは3つ持ち(原本＋2つの複製)、2種類の媒体に保存し、うち1つは離れた場所やネットから切り離して保管する「3-2-1ルール」が知られています。ランサムウェアは同じネット上のバックアップごと暗号化することがあるため、切り離した保管が効きます。取った後は、実際に戻せるか復元テストまで行いましょう。
パスワードと多要素認証
短いパスワードや使い回しは、不正アクセスの大きな入口です。使い回しをやめると、1つの流出が全サービスに波及するのを防げます。重要なサービスには多要素認証を有効化しておくと、万一パスワードが漏れても侵入を防ぎやすくなります。
これらの基本は、IPAが示す「情報セキュリティ6か条」とほぼ重なります。すなわち「OSやソフトウェアは常に最新の状態にしよう」「ウイルス対策ソフトを導入しよう」「パスワードを強化しよう」「共有設定を見直そう」「バックアップを取ろう」「脅威や攻撃の手口を知ろう」の6つです。出典: IPA SECURITY ACTION(一つ星)。まずはこの6つをチェックリストとして自社で確認しましょう。
組織で守る対策
技術的な対策だけでは守りきれません。多くの事故は「人」と「運用」のすき間で起きます。仕組みとルールで支えましょう。
- ルールと教育：パスワード・持ち出し・私物端末・クラウド利用の社内ルールを文書化し、定期的に共有する。不審メールの見分け方や、開いてしまったときの報告先を全員で確認する
- 持ち出し・私物端末：端末の暗号化、紛失時の連絡手順、私物端末を業務に使う際の最低条件(更新・ロック・許可アプリ)を決める
- 退職者・異動時の対応：退職や異動が決まったら、アカウントの停止や権限の削除を遅滞なく行う。放置アカウントは不正アクセスの温床になる
- 委託先の管理：外注先や利用するクラウド事業者の対策状況も確認する。自社が踏み台にされない・されないために、契約や確認の仕組みを持つ
個人情報を扱う場合は、安全管理措置が法律上の義務にもなります。基本的な考え方は個人情報保護法の基礎で整理しています。データを止めない備えという観点では、BCP(事業継続計画)とあわせて考えると、ランサムウェアや災害時の復旧手順まで一貫させられます。
教育は一度きりでは定着しません。新人研修や年1回の見直しなど、続く仕組みにすることが大切です。
IPAのガイドラインとSECURITY ACTION
「何をどこまでやればよいか」の道しるべになるのが、IPAの**「中小企業の情報セキュリティ対策ガイドライン」**です。経営者編と実践編からなり、無料で公開されています。自社診断やルールのひな形、クラウド利用やインシデント対応の手引きなど、そのまま使える付録が充実しています。出典: IPA 中小企業の情報セキュリティ対策ガイドライン。
そのうえで、取り組みを「見える化」する目安になるのが**SECURITY ACTION(セキュリティアクション)**です。IPAが運営する、中小企業がセキュリティ対策に取り組むことを自己宣言する制度で、無料で申し込めます。段階は2つです。
| 区分 | 宣言する内容 |
|---|---|
| 一つ星 | 「情報セキュリティ6か条」に取り組むことを宣言する。対策の実施前でも申し込める |
| 二つ星 | 「情報セキュリティ自社診断」(25項目)で現状を把握し、「情報セキュリティ基本方針」を定めて外部に公開する |
二つ星では、25項目の自己診断で自社の弱点を把握し、方針を文書化して社外に示します。IPAのテンプレートを使えば、専門知識がなくても整えやすくなっています。出典: IPA SECURITY ACTION(二つ星)。
注意点として、SECURITY ACTIONはIPAが対策状況を認定・認証する制度ではありません。正しくは「一つ星(二つ星)を宣言しました」という表現になります。それでも、宣言とロゴの掲示は、取引先や顧客に「対策に取り組む姿勢」を示す材料になります。
制度の内容や要件は更新されることがあります。申し込みの前に、必ずIPAの公式ページで最新情報をご確認ください。
クラウドとテレワークのセキュリティ
クラウドやオンラインストレージ、各種SaaSの利用が広がり、便利になった一方で、新しい落とし穴も生まれています。多いのは次のようなものです。
- 共有設定のミス：「リンクを知っている全員に公開」のまま社外秘を置いてしまう
- 退職者アカウントの放置：個人のIDが残り、社外から入れてしまう
- 弱いパスワード：1つの漏えいで複数サービスに波及する
対策の基本は、共有範囲・権限・アカウントを定期点検し、ルール化することです。クラウド移行を進める際の全体像はクラウド化の進め方を、自社サイトの通信を守る常時暗号化は常時SSLとはを参考にしてください。
テレワークでは、社外の回線や私物端末から社内データに触れる機会が増えます。多要素認証、端末の更新と暗号化、公共Wi-Fi利用時の注意などを決めておきましょう。在宅勤務の環境づくりはテレワーク環境の整え方で詳しく扱っています。社内のAI・データ利用の線引きは社内のAI活用ルールの作り方が役立ちます。
万一のとき:インシデント対応
被害は「起きない」前提ではなく、「起きたときどう動くか」まで備えておくと、損失を小さくできます。慌てて再起動や初期化をすると、原因が分からなくなったり被害が広がったりします。落ち着いて次の順で動きましょう。
- 被害を止める：感染が疑われる端末をネットワークから切り離す。電源やデータは安易に消さず、状況を記録する
- 報告する：あらかじめ決めた連絡経路で経営者・責任者へ報告し、対応体制を立ち上げる
- 影響を確認する：何が・どこまで影響を受けたかを把握する。情報漏えいの可能性も確認する
- 関係先へ連絡する：取引先・顧客への連絡、必要なら公表を検討する。個人情報の漏えいは法令に基づく対応(報告・本人通知など)が必要になる場合がある
- 相談する：IPAの情報セキュリティ安心相談窓口や、警察(サイバー犯罪相談窓口)などに相談する
- 再発を防ぐ：原因を踏まえて対策とルールを見直す
これらは事前に連絡先と手順を一枚にまとめておくだけで、初動が大きく変わります。
ありがちな失敗例
最後に、中小企業で繰り返し起きている失敗を挙げます。いずれも基本を外したことが原因です。
- 更新を後回しにしていた：「動いているから」と古いまま使い続け、既知の脆弱性をつかれて侵入された
- バックアップを取っていなかった／戻せなかった：ランサムウェアで全データが暗号化。バックアップはあったが同じネット上にあり一緒に被害を受けた、あるいは復元テストをしておらず戻せなかった
- 教育をしていなかった：取引先を装った偽メールの添付を開いてしまい、社内に感染が広がった
裏を返せば、更新・バックアップ・教育という基本を回すだけで、これらの多くは防げたということです。
まとめ
情報セキュリティは、中小企業にとっても事業継続を左右する経営課題です。完璧を目指して立ち止まるより、まずは基本の徹底から始めましょう。
- まず守る3点:バックアップ・更新・パスワードと多要素認証
- 広げる基本:ウイルス対策・アクセス権・共有設定の確認・従業員教育
- 組織で支える:ルールと教育、持ち出し・私物端末、退職者対応、委託先管理
- 目安にする:IPAのガイドラインで道筋を確認し、SECURITY ACTIONで取り組みを宣言する
- 備える:インシデント時の連絡先と手順を一枚にまとめておく
高額な投資より先に、無料・低コストでできる基本を着実に。クラウド時代は設定とアカウント管理にも目を配り、ルール化して続けることが何よりの近道です。
社内のIT・セキュリティ・業務基盤の整備を相談したい場合は、現状把握から一緒に取り組めます。お気軽にご相談ください。
関連記事
よくある質問
うちは小さいから狙われないのでは?
むしろ中小企業は狙われやすい傾向があります。対策が手薄なことが多く、取引先である大企業を攻撃するための『踏み台』にされることもあります。取引先からの信用や事業継続の観点からも、規模に関わらず最低限の対策は欠かせません。
何から始めればいい?
まずは『データのバックアップ』『OS・ソフトの更新』『パスワードの強化と使い回しの禁止』を優先しましょう。あわせて多要素認証の有効化、ウイルス対策、従業員教育という基本に広げます。高額な投資の前に、これらの基本だけでも多くのリスクを減らせます。
専門知識や予算がなくても対策できる?
基本対策の多くは、低コストまたは無料で始められます。更新・バックアップ・パスワード強化・多要素認証・教育などです。IPAの無料ツールやSECURITY ACTIONの自己宣言も活用できます。高度な対策が必要になったら専門サービスを検討しましょう。
SECURITY ACTIONとは何ですか?
IPA(情報処理推進機構)が運営する、中小企業が情報セキュリティ対策に取り組むことを自己宣言する制度です。『一つ星』は情報セキュリティ6か条への取り組みを宣言、『二つ星』は自社診断の実施と基本方針の策定・公開を行います。無料で申し込め、取引先への信頼にもつながります。
万一被害にあったら、まず何をすべき?
慌てて再起動や初期化をする前に、感染が疑われる端末をネットワークから切り離して被害の拡大を止め、状況を記録します。そのうえで経営者へ報告し、取引先や関係先への連絡、必要に応じてIPAや警察などの窓口へ相談します。事前に連絡先と手順を決めておくと初動が早くなります。
