中小企業のセキュリティ対策｜情シスがいない会社の最低限7項目
こんにちは！！営業の笹本です！！
みなさんの会社に、IT専任の担当者っていますか？
「いない」という会社、中小企業ではかなり多いと思います。社長さんか総務の方が、本業の片手間でIT担当も兼ねているパターン。そして「セキュリティ対策、やらなあかんのは分かってるけど何から手を付けたらええのか分からへん」という状態のまま時間が過ぎていく。調べても専門用語だらけの記事が出てきて、読むだけで疲れて閉じてしまうんですよね😅
そこで今回は、情シス（社内のIT担当部門）がいない会社が最低限やるべきことを7項目に絞りました。先に結論を言うと、全部やろうとしなくて大丈夫です。IPA（情報処理推進機構）が中小企業向けに示す「情報セキュリティ6か条」に「相談先を先に決めておく」を足した7つ。ここを押さえるだけで、被害に遭う確率も、遭ったときのダメージも下がります。
情シスがいない会社ほど、実際に狙われています
「うちみたいな小さい会社を狙っても、盗るもんないやろ」。そう思う気持ちも分かるんですが、数字を見るとそうも言っていられません。
警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年に報告されたランサムウェア（データを人質に身代金を要求する攻撃）の被害は226件。うち中小企業が143件で約6割を占め、業種別では製造業が91件で最多でした。さらに痛いのがその後のコストで、同レポートでは復旧費用が1,000万円以上だった企業が5割超。規模によっては、その年の利益が丸ごと飛ぶ金額です。
そして侵入経路。報告されたケースの8割以上がVPN機器やリモートデスクトップなど「社外から社内につなぐための機器」経由とされています。狙われているのは社員のうっかりミスだけじゃなく、何年も前に設置してそのまま更新されていない機器なんです。テレワークのときに慌てて入れて以来そのまま……という会社、多いんじゃないでしょうか。
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
「10大脅威2026」が示す、もう1つの現実
IPAが毎年出している「情報セキュリティ10大脅威」。2026年版（2026年1月29日公表）組織編のトップ3はこうです。
- ✅ 1位：ランサム攻撃による被害（11年連続）
- ✅ 2位：サプライチェーンや委託先を狙った攻撃（8年連続）
- ✅ 3位：AIの利用をめぐるサイバーリスク（2026年に初選出）
中小企業に効いてくるのは2位だと思います。攻撃者からすると、守りの固い大企業を正面から狙うより取引先の小さな会社から入り込むほうが早いから。その結果、取引先から「おたくのセキュリティ体制を教えてください」と質問票が回ってくるケースが増えています。セキュリティ対策が、防御の話だけでなく取引を続けられるかどうかの話になってきている。3位にAIリスクが初選出されたのも、生成AIの業務利用が一気に広がった裏返しですね。
最低限やるべき7項目
1〜6はIPAの「情報セキュリティ6か条」、7は6か条には入っていませんが欠かせないので足しました。
1. OS・ソフトを常に最新にする
攻撃の多くは「すでに直っているはずの穴」を突いてきます。自動更新をオンにするのが一番ラク。忘れがちなのがVPN機器やルーターで、前の章のとおりここが最大の入口です。設置業者さんに「今のファームウェアは最新ですか？」と一度聞くだけでも違います。
2. ウイルス対策ソフトを入れる
入れているつもりで数台だけ抜けているのが中小企業あるある。「後から買い足したPC」「役員の私物ノート」が定番です。PC台帳（Excelで十分）で全台まとめて確認しましょう。
3. パスワードを強くする
長く複雑にも大事ですが、それ以上に効くのは「使い回しをやめること」。どこかから漏れたIDとパスワードの組み合わせで、他のサービスに次々ログインを試される攻撃があるためです。あわせて多要素認証（スマホの確認コードなど）はオンにできるものを全部オンに。7項目で一番コスパがいいと思います。
4. 共有設定を見直す
クラウドのファイル共有を「リンクを知っている全員が閲覧可」のまま放置するパターン。社内向けのつもりが外から見えていた事故は実際に起きています。共有リンクは期限を切る・相手を指定するが基本です。
5. バックアップを取る
2026年3月公開のIPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版で追加された項目です（これで5か条から6か条に）。ポイントはバックアップ先を常時つなぎっぱなしにしないこと。同じネットワーク上に置いたままだと本体ごと暗号化されてしまいます。外付けHDDなら、取ったら物理的に外す。
6. 脅威や攻撃の手口を知る
難しい勉強は要りません。月1回、朝礼で5分。ニュースになった事例を1つ共有するだけで、社員の反応は変わります。
7. 相談先を先に決めておく
ここが本当に抜けやすい。決まっていない会社が事故のときに最初にやるのは「誰に連絡したらいいのか調べること」で、その数時間が被害を広げます。やることはA4一枚に書いて貼るだけ。
- ✅ 社内の第一報を受ける人（社長でも総務でもOK。名前を書く）
- ✅ システムを入れてくれた業者さんの連絡先
- ✅ 「まずLANケーブルを抜く／Wi-Fiを切る」など初動でやること
- ✅ 都道府県警のサイバー犯罪相談窓口、IPAの相談窓口
1〜6が「入られないための備え」なら、7は「入られた後の被害を最小にする備え」。100%は防げない前提に立つなら、セットで用意しておきたいところです。
続けるための3つのコツ
① 担当者の名前を決める（兼任でいい）
「みんなで気をつけよう」は、誰もやらないのと同じ。総務の◯◯さん、と決めるだけで進みます。
② 年1回の見直し日をカレンダーに入れる
期初や年度替わりなど、もともと棚卸し的なことをやる時期に寄せるのがおすすめです。
③ 外向けに宣言できる形にしておく
IPAには「SECURITY ACTION」という、中小企業が情報セキュリティ対策への取り組みを自己宣言する制度があります。一つ星は上の6か条に取り組む宣言で、ロゴマークを名刺やサイトに使えます。【要確認】制度の詳細・申込方法・費用や、補助金申請の要件になっているかどうかは、必ずIPAの公式サイトで最新の内容をご確認ください。
逆に、最初はやらなくていいこと
「中小企業 セキュリティ対策」と調べると、高機能な監視ツールや分厚い規程の整備を勧める記事も出てきます。有効ではあるんですが、情シスがいない段階で最初に手を出すものではないと思っています。理由は運用する人がいないから。誰も見ない監視ツールにお金を払うより、パスワードの使い回しをやめるほうが費用ゼロで効きます。規程も、誰も読まない30ページより貼り出せるA4一枚のほうが機能します。
ちなみに僕自身、セキュリティの専門家ではありません。だからこそ「専門家じゃない人間がどこまでやれるか」という目線で7項目を選びました。ここから先——取引先の監査に耐える体制づくりや事故の調査——は、迷わず専門の会社に頼るところだと思います。
まとめ
- ✅ 2025年のランサムウェア被害226件のうち約6割が中小企業。復旧費1,000万円超が5割
- ✅ 侵入経路の8割以上はVPN機器などのネットワーク機器。まず更新状況を確認
- ✅ やることはIPAの6か条＋相談先を決めるの7項目。全部やろうとしない
- ✅ 一番コスパがいいのはパスワードの使い回しをやめる＋多要素認証
- ✅ 続けるコツは担当者の名前を決める・年1回の見直し日を入れる
「セキュリティ対策」と聞くと構えてしまいますが、7項目のうち今日中に手を付けられるものが半分くらいあるはずです。まずは1つ、やってみてください！
あわせて読みたい
- 👉 生成AIの共有リンクが検索に公開？中小企業のセキュリティ対策を解説（項目4の実例です）
- 👉 クラウドとは？自社サーバーとの違いを例え話で解説
- 👉 中小企業のAI導入、最初の一歩は何から？失敗しない始め方
なお僕たちも、業務システムの開発・運用のお付き合いのなかで「この7項目、うちはどこが穴になっていそうか」を一緒に棚卸しさせていただくことがあります。社内だと答えが出にくいところなので、雑談ついでにでもどうぞ。
最後まで読んでいただき、ありがとうございます！
Auto-IDフロンティアは、業務システム開発からAI活用支援まで、「現場が楽になるIT」をお手伝いする滋賀の会社です。
「ちょっと聞いてみたいだけ」くらいの気軽なご相談も歓迎です。
👉 お問い合わせはこちら
