「うちみたいな小さい会社を狙っても、盗るものなんてない」——中小企業の経営者から、いまだによく聞かれる言葉です。しかし、この認識は現実と大きく乖離しています。

攻撃者にとって、中小企業は「守りが薄く、取引先の大企業へ侵入するための足がかりになる」魅力的な標的です。実際、取引先を経由した攻撃（サプライチェーン攻撃）は増加傾向にあり、大企業が取引先の中小企業に対してセキュリティ対策状況の報告を求めるケースも一般化しています。

つまり情報セキュリティは、もはや「IT部門の話」ではなく、取引を継続するための条件になりつつあります。本記事では、専任のIT担当者がいない中小企業でも実行できる、最低限のセキュリティ対策7項目を解説します。

中小企業が直面するリスク

被害は「情報漏洩」だけではない

セキュリティ被害というと個人情報の漏洩を想像しがちですが、事業への影響はより広範囲に及びます。

被害の種類 事業への影響
ランサムウェア感染 業務システムが使えなくなり、事業が停止する
情報漏洩 顧客・取引先への賠償、信用の失墜
不正送金 直接的な金銭被害
取引先への攻撃の踏み台化 取引停止、損害賠償請求
Webサイトの改ざん ブランド毀損、顧客への二次被害
メールアカウントの乗っ取り 取引先への詐欺メール送信

特にランサムウェアは、事業継続そのものを脅かします。データが暗号化されて業務が止まり、復旧に数週間を要するケースもあります。

中小企業が狙われる理由

  • セキュリティ対策への投資が限定的
  • 専任の担当者がおらず、対応が後回しになりやすい
  • 大企業との取引があり、侵入の踏み台として価値がある
  • 従業員教育が行き届いていない

「規模が小さいから狙われない」のではなく、「規模が小さいから守りが薄く、狙いやすい」というのが実態に近い認識です。

取引条件としてのセキュリティ

近年、次のような要求を受ける中小企業が増えています。

  • 取引先からセキュリティチェックシートの提出を求められる
  • 情報セキュリティに関する誓約書の締結を求められる
  • 一定の認証取得（ISMSなど）を条件とされる

対策を怠ることは、受注機会の喪失に直結し得ます。

実践項目1:OSとソフトウェアを最新に保つ

最も基本的かつ効果的な対策

攻撃の多くは、既に修正プログラムが公開されている脆弱性を突いて行われます。つまり、更新を適用しているだけで防げる攻撃が相当数存在します。

対応すべき対象は次のとおりです。

対象 対応
Windows / macOS 自動更新を有効にする
Webブラウザ 自動更新を有効にする
Microsoft Office等 自動更新を有効にする
ルーター・VPN機器 ファームウェアを定期的に確認・更新
業務システム ベンダーからの更新案内に対応する
サーバー 保守契約の範囲で更新する

見落とされがちなネットワーク機器

パソコンの更新は意識されても、ルーターやVPN機器のファームウェア更新は放置されがちです。これらの機器の脆弱性は、社内ネットワーク全体への侵入経路になり得ます。

設置業者に保守を依頼しているか、していない場合は誰が確認するかを明確にしてください。

サポートが終了した製品を使わない

サポート終了（EOL）を迎えた OS やソフトウェアは、脆弱性が発見されても修正されません。業務システムの都合で古い環境を使い続けている場合は、次のいずれかの対応が必要です。

  • 更新可能な環境へ移行する
  • ネットワークから切り離して使用する
  • 移行までの期限を定めた計画を立てる

実践項目2:パスワードと多要素認証を整える

パスワードだけでは守れない

パスワードは、使い回しや流出により容易に突破されます。特に危険なのが、複数のサービスで同じパスワードを使い回すことです。1つのサービスから流出すれば、他のサービスにも侵入されます。

多要素認証（MFA）を有効にする

最も費用対効果の高い対策が、多要素認証の有効化です。 パスワードに加えて、スマートフォンアプリの認証コードなど、もう一つの要素を求める仕組みです。

優先して設定すべき対象は次のとおりです。

  • メール（Microsoft 365、Google Workspace など）
  • クラウドの業務システム
  • ネットバンキング
  • VPN・リモートアクセス
  • クラウドストレージ

多くのサービスで無料で設定でき、設定作業も数分で完了します。

パスワード管理の運用

  • サービスごとに異なるパスワードを使う
  • 十分な長さ（推奨される長さはサービスにより異なるが、長いほど安全）にする
  • 定期変更を強制するより、使い回しを避け多要素認証を併用することを優先する
  • パスワード管理ツールの導入を検討する
  • 退職者のアカウントは即日無効化する

最後の項目は特に重要です。退職者のアカウントが残っているケースは非常に多く、実際の情報漏洩事例にもつながっています。

実践項目3:バックアップを「3か所・別環境」で取る

ランサムウェア対策の要

ランサムウェアに感染した場合、身代金を支払っても復旧できる保証はありません。確実な対抗手段は、攻撃を受けていないバックアップから復旧することです。

バックアップの基本原則

一般的に推奨されるのが、次の考え方です。

原則 内容
3つのコピー オリジナル＋バックアップ2つ
2種類の媒体 異なる種類の保存先に保存する
1つは別の場所 オフサイト（遠隔地・クラウド）に保管する

ネットワークから切り離す

重要なのは、バックアップがネットワークに常時接続されていないことです。常時接続の共有フォルダにバックアップを置いていると、ランサムウェアはバックアップごと暗号化します。

  • 外付けハードディスクは、バックアップ時のみ接続する
  • クラウドバックアップは、世代管理（過去の版を保持）ができるサービスを選ぶ
  • 可能であれば、書き換え不可の設定を利用する

復旧テストを行う

バックアップを取っていても、実際に復旧できるとは限りません。年1回でよいので、次を確認してください。

  • バックアップから実際にファイルを復元できるか
  • 復旧に要する時間はどれくらいか
  • 復旧手順を担当者以外も実行できるか

「バックアップは取っていたが、壊れていて復元できなかった」という事例は現実に存在します。

実践項目4:メール経由の攻撃に備える

攻撃の入口の多くはメール

不正アクセスやマルウェア感染の多くは、メールを起点としています。

手口 内容
標的型攻撃メール 業務メールを装い、添付ファイルやリンクを開かせる
ビジネスメール詐欺（BEC） 取引先や経営者を装い、送金や情報提供を求める
フィッシング 偽サイトへ誘導し、IDとパスワードを入力させる
添付ファイル型マルウェア ファイルを開くと感染する

技術的な対策

  • メールセキュリティ機能（迷惑メールフィルタ、添付ファイル検査）を有効にする
  • 送信ドメイン認証（SPF、DKIM、DMARC）を設定し、自社を装った偽メールを防ぐ
  • 外部からのメールに警告表示を付ける設定を検討する

送信ドメイン認証の設定は、自社のメールが取引先に届かなくなる問題の防止にも役立ちます。設定にはDNSの知識が必要なため、ITベンダーに依頼するのが確実です。

人による確認のルール

技術対策だけでは防げないため、運用ルールが必要です。

  • 振込先の変更依頼は、メールだけで判断せず必ず電話で確認する
  • 送信元アドレスのドメインを確認する習慣をつける
  • 心当たりのない添付ファイルは開かない
  • 「至急」「本日中」など急かす文面には特に注意する

1点目は、ビジネスメール詐欺への最も有効な対策です。電話番号はメールに記載されたものではなく、既知の番号にかけてください。

実践項目5:従業員教育を継続的に行う

年1回30分でも効果がある

セキュリティ対策で最も脆弱なのは、技術ではなく人です。しかし、高度な教育は不要です。年1回、30分程度でも次を共有すれば効果があります。

  • 不審なメールの見分け方（実例を使う）
  • パスワードの使い回しがなぜ危険か
  • USBメモリなど外部媒体の扱い
  • 情報を持ち出す際のルール
  • 何かあったときの報告先

「報告しやすい空気」が最も重要

セキュリティ事故で被害が拡大する最大の要因は、発見した従業員が報告をためらうことです。

「怪しいリンクをクリックしてしまった」と即座に報告されれば、被害を最小限に抑えられます。しかし、叱責されることを恐れて黙っていると、その間に被害が広がります。

  • 報告した人を責めないことを明言する
  • 報告先（誰に、どうやって）を全員が知っている状態にする
  • 実際に報告があった際、感謝を伝える

訓練を実施する

余力があれば、標的型攻撃メールの訓練（模擬的な不審メールを送り、開封率を測る）も有効です。外部のサービスを利用すれば、比較的低コストで実施できます。

ただし、訓練の目的は「引っかかった人を責めること」ではなく、注意喚起と手口の周知であることを明確にしてください。

実践項目6:アクセス権限と持ち出しを管理する

必要な人だけがアクセスできる状態に

すべての従業員がすべての情報にアクセスできる状態は、リスクを不必要に高めます。

  • 共有フォルダをアクセス権限で分ける（人事情報、財務情報など）
  • 業務システムの権限を役割に応じて設定する
  • 退職・異動時に権限を見直す
  • 年1回、アクセス権限の棚卸しを行う

端末と外部媒体の管理

  • 業務用パソコンの持ち出しルールを定める
  • ディスクの暗号化を有効にする（紛失時の情報漏洩を防ぐ）
  • USBメモリの使用ルールを定める
  • 私物端末での業務利用（BYOD）の可否を明確にする

パソコンの紛失・盗難は現実に起こります。ディスク暗号化（Windows の BitLocker、macOS の FileVault など）を有効にしておけば、被害を大きく軽減できます。

クラウドサービスの利用管理

従業員が個人で契約したクラウドサービスに業務データを保存する「シャドーIT」は、把握できないリスクを生みます。

  • 会社として利用を認めるサービスを明確にする
  • 業務データの保存先を指定する
  • 個人アカウントでの業務利用を禁止する

実践項目7:インシデント発生時の対応を決めておく

「起きたらどうするか」を事前に決める

事故は起こり得るという前提で、対応手順を準備してください。準備がないと、初動の遅れが被害を拡大させます。

最低限決めておくこと

項目 内容
報告先 発見者が誰に連絡するか（第一報の宛先）
初動 ネットワークからの切り離し、電源の扱い
責任者 対応の指揮を執る人（経営者を含む）
外部連絡先 ITベンダー、セキュリティ専門会社の連絡先
公的機関 IPA（情報処理推進機構）、警察（サイバー犯罪相談窓口）、個人情報保護委員会
顧客・取引先への連絡 誰が、いつ、どう伝えるか
記録 発生時刻、状況、実施した対応を記録する

初動で重要なこと

ランサムウェア等の感染が疑われる場合、一般的には次の対応が推奨されます。

  • 感染が疑われる端末をネットワークから切り離す（LANケーブルを抜く、Wi-Fiを切る）
  • 端末の電源は、専門家の指示があるまで安易に操作しない場合がある
  • 被害範囲を確認する
  • 専門家に相談する

具体的な対応は状況により異なります。事前にITベンダーやセキュリティ専門会社と相談し、自社の手順を定めておいてください。

公的な支援制度を知っておく

IPA（独立行政法人 情報処理推進機構）では、中小企業向けのセキュリティ対策に関する情報提供や相談窓口が設けられています。また、「SECURITY ACTION」という自己宣言制度もあります。

※制度の内容・要件は変更される場合があります。詳細はIPAの公式サイトでご確認ください。

導入事例:社員42名の部品メーカーが取引先の監査を通過

ある自動車部品メーカーでは、主要取引先からセキュリティチェックシートの提出を求められました。しかし社内に専任のIT担当者はおらず、対策の実態も把握できていない状態でした。

同社が取り組んだのは次の5点です。

  • 全パソコンのOS自動更新を有効化し、サポート終了端末7台を入れ替え
  • メール・クラウドシステムに多要素認証を設定
  • バックアップを見直し、クラウドバックアップと外付けディスクの2系統に変更（外付けは接続時のみ）
  • 全社員向けに30分の研修を実施し、報告ルールを周知
  • インシデント対応手順を1枚にまとめ、全員に配布

これらの対応にかかった費用は、端末入替を除けば年間で約40万円でした。

結果として取引先のチェックシート審査を通過し、取引が継続されました。加えて、対応から半年後に不審メールを受信した社員が即座に報告し、被害なく処理できたケースも生まれています。

同社の管理部長は「難しいことは何もしていない。更新を有効にして、多要素認証を入れて、バックアップを見直しただけ。それでも審査は通った」と述べています。

実践チェックリスト

  • 全端末のOS・ソフトウェアの自動更新を有効にした
  • ルーター・VPN機器のファームウェア更新の担当を決めた
  • サポート終了製品の有無を確認し、対応計画を立てた
  • メール・業務システム・ネットバンキングに多要素認証を設定した
  • パスワードの使い回しをやめるよう周知した
  • 退職者アカウントの即日無効化を運用に組み込んだ
  • バックアップを2系統以上、うち1つは別環境に確保した
  • バックアップ媒体をネットワークから切り離す運用にした
  • 年1回の復旧テストを計画に入れた
  • 迷惑メールフィルタ・添付ファイル検査を有効にした
  • 送信ドメイン認証（SPF・DKIM・DMARC）の設定を確認した
  • 「振込先変更は電話で確認」のルールを明文化した
  • 年1回30分の従業員研修を実施する計画を立てた
  • 「報告した人を責めない」ことを明言した
  • 共有フォルダのアクセス権限を見直した
  • 業務用パソコンのディスク暗号化を有効にした
  • インシデント対応手順（報告先・初動・外部連絡先）を1枚にまとめた

よくある質問(FAQ)

Q1:IT担当者がいません。何から始めればよいですか?

優先順位は、(1) OS等の自動更新の有効化、(2) 多要素認証の設定、(3) バックアップの見直し——の3つです。いずれも大きな費用をかけずに実施でき、効果も大きい対策です。設定作業は、既存のITベンダーや販売店に相談すれば対応してもらえます。

Q2:セキュリティ対策にどれくらいの予算が必要ですか?

規模や環境により異なりますが、本記事の7項目の多くは既存契約の設定変更や運用ルールの整備で対応でき、大きな追加費用を伴いません。費用が発生しやすいのは、サポート終了端末の入替、バックアップ環境の整備、専門家への相談です。まず費用のかからない項目から着手してください。

Q3:ウイルス対策ソフトを入れていれば十分ですか?

不十分です。ウイルス対策ソフトは重要ですが、それだけで防げない攻撃が多数あります。特にパスワードの窃取やビジネスメール詐欺は、ソフトウェアでは防げません。多要素認証、バックアップ、従業員教育を組み合わせる必要があります。

Q4:被害に遭ってしまった場合、どこに相談すればよいですか?

まず契約しているITベンダーに連絡し、あわせてIPAの相談窓口や、警察のサイバー犯罪相談窓口への相談を検討してください。個人情報の漏洩が関わる場合は、個人情報保護委員会への報告が必要となる場合があります。具体的な対応・報告義務については、弁護士等の専門家にご相談ください。

まとめ:高度な対策より、基本の徹底

中小企業のセキュリティ対策に必要なのは、高価な製品ではなく基本の徹底です。最後に本記事の要点を整理します。

  • 中小企業は「守りが薄く、取引先への侵入経路になる」ため狙われやすい
  • セキュリティ対策は、いまや取引継続の条件になりつつある
  • 最優先は「OS等の自動更新」「多要素認証」「バックアップ」の3つ
  • ルーター・VPN機器の更新は見落とされやすい。担当を決める
  • バックアップは常時接続にせず、ネットワークから切り離して保管する
  • 年1回でよいので、実際に復旧できるかテストする
  • ビジネスメール詐欺への最有効策は「振込先変更は既知の番号へ電話確認」
  • 従業員教育で最も重要なのは、報告しやすい空気をつくること
  • 退職者アカウントの残存は、実際に多い漏洩原因
  • インシデント対応手順（報告先・初動・連絡先）を1枚にまとめておく

まずは、自社のメールアカウントに多要素認証が設定されているか確認してみてください。設定されていなければ、それが今日やるべき最優先の作業です。