なぜ中小企業にセキュリティ対策が必要なのか
「うちのような小さな会社は狙われない」という考えは危険です。サイバー攻撃者は、むしろセキュリティ対策が手薄な中小企業を標的にすることが増えています。
中小企業が狙われる理由
| 理由 | 詳細 |
|---|---|
| セキュリティ対策が手薄 | 専任者がいない、予算が少ない |
| 取引先への踏み台 | 大企業への攻撃の入口にされる |
| 身代金を払いやすい | 事業継続のため払ってしまう |
| 情報の価値 | 顧客情報、取引情報は高く売れる |
サイバー攻撃による被害
| 被害 | 影響 |
|---|---|
| 業務停止 | システムが使えず事業がストップ |
| 金銭的損失 | 身代金、復旧費用、賠償金 |
| 信用失墜 | 顧客・取引先からの信頼喪失 |
| 法的責任 | 個人情報保護法違反、損害賠償 |
| 取引停止 | セキュリティ要件を満たさず契約終了 |
セキュリティ事故の実態
中小企業でも被害額は決して小さくありません。
| 被害内容 | 被害額の目安 |
|---|---|
| ランサムウェア感染 | 500万円〜数千万円 |
| 情報漏洩（個人情報） | 1人あたり数万円の賠償 |
| ビジネスメール詐欺 | 数百万円〜数億円 |
| Webサイト改ざん | 復旧費用50〜200万円 |
主なサイバー攻撃の種類
1. ランサムウェア
データを暗号化して身代金を要求する攻撃です。
攻撃の流れ
1. メールの添付ファイルを開く
または、不審なサイトにアクセス
↓
2. マルウェアに感染
↓
3. ファイルが暗号化される
↓
4. 身代金を要求される
「支払わなければデータを公開する」
対策
- バックアップを定期的に取得（オフラインにも）
- 不審なメールの添付ファイルを開かない
- OSやソフトウェアを最新に保つ
- ウイルス対策ソフトを導入
2. フィッシング詐欺
偽のメールやWebサイトでIDパスワードを盗む攻撃です。
手口の例
| 偽装先 | 手口 |
|---|---|
| 銀行 | 「不正アクセスがありました」→偽サイトでログイン |
| Microsoft | 「パスワードの有効期限切れ」→偽サイトで入力 |
| 宅配便 | 「不在通知」→偽サイトで個人情報入力 |
| 取引先 | 「請求書」→添付ファイルでマルウェア感染 |
対策
- メールのリンクを安易にクリックしない
- 送信元アドレスを確認
- 公式サイトは検索してアクセス
- 不審なメールは担当者に確認
3. ビジネスメール詐欺（BEC）
取引先や経営者になりすまして送金させる攻撃です。
手口の例
攻撃者「（取引先を装って）
請求書の振込先口座が変更になりました。
今後はこちらの口座にお願いします。」
経理担当「（信じて）振り込んでしまった...」
→ 数千万円の被害
対策
- 口座変更は必ず電話で確認
- メールだけで振込先変更に応じない
- 送金ルールを厳格化（上長承認など）
4. 内部不正
従業員による情報の持ち出しや不正利用です。
発生しやすい状況
| 状況 | リスク |
|---|---|
| 退職前 | 顧客情報を持ち出し |
| 不満を抱えている | 意図的な情報漏洩 |
| 権限が過剰 | アクセスできる情報が多い |
| ログがない | 不正が発覚しにくい |
対策
- アクセス権限の最小化
- 操作ログの取得
- 退職時の権限即時削除
- 持ち出し制限（USB禁止など）
最低限やるべきセキュリティ対策
1. パスワード管理
基本ルール
| ルール | 内容 |
|---|---|
| 長さ | 12文字以上 |
| 複雑さ | 大文字、小文字、数字、記号を含む |
| 使い回し禁止 | サービスごとに異なるパスワード |
| 定期変更 | 漏洩が疑われる場合のみ変更 |
| 共有禁止 | パスワードを他人に教えない |
パスワード管理ツールの活用
| ツール | 費用 | 特徴 |
|---|---|---|
| 1Password | 有料 | チーム管理に強い |
| Bitwarden | 無料/有料 | オープンソース |
| LastPass | 無料/有料 | 導入実績多い |
2. 多要素認証（MFA）
パスワードだけでなく、追加の認証を設定します。
多要素認証の種類
| 種類 | 例 |
|---|---|
| SMS認証 | 携帯電話にコードが届く |
| 認証アプリ | Google Authenticator等 |
| ハードウェアキー | YubiKeyなど |
| 生体認証 | 指紋、顔認証 |
優先的にMFAを設定すべきサービス
- メール（Microsoft 365、Google Workspace）
- クラウドストレージ（Dropbox、Box等）
- 基幹システム
- 管理者アカウント
3. ソフトウェア・OSの更新
脆弱性を狙った攻撃を防ぐため、常に最新状態に保ちます。
更新すべきもの
| 対象 | 更新方法 |
|---|---|
| Windows | 自動更新を有効化 |
| macOS | 自動更新を有効化 |
| ブラウザ | 自動更新（確認） |
| Adobe製品 | 自動更新を設定 |
| その他ソフト | 定期的に手動確認 |
4. バックアップ
ランサムウェア対策の最後の砦です。
バックアップのルール（3-2-1ルール）
3：3つのコピーを持つ（元データ+2つのバックアップ）
2：2種類のメディアに保存（HDDとクラウドなど）
1：1つはオフサイト（社外）に保管
バックアップの対象
| 優先度 | 対象 |
|---|---|
| 高 | 顧客データ、取引データ |
| 高 | 財務・経理データ |
| 中 | メール、ドキュメント |
| 中 | システム設定 |
5. ウイルス対策ソフト
全PCにウイルス対策ソフトを導入します。
法人向けおすすめ製品
| 製品 | 特徴 | 費用目安 |
|---|---|---|
| ESET | 軽量、検出率高い | 5,000円/台/年 |
| ウイルスバスター | 日本語サポート充実 | 6,000円/台/年 |
| Microsoft Defender | Windows標準、無料 | 無料 |
| CrowdStrike | 高機能、EDR | 高め |
6. アクセス権限管理
「必要な人に、必要な情報だけ」アクセスさせます。
権限設定の原則
| 原則 | 内容 |
|---|---|
| 最小権限の原則 | 業務に必要な最小限の権限のみ付与 |
| 職務分離 | 1人に権限を集中させない |
| 定期レビュー | 権限を定期的に見直し |
| 即時削除 | 退職・異動時は即座に権限削除 |
社員教育
技術的対策だけでなく、社員の意識向上が重要です。
教育すべき内容
| トピック | 内容 |
|---|---|
| フィッシング対策 | 不審なメールの見分け方 |
| パスワード管理 | 安全なパスワードの作り方 |
| SNS利用 | 業務情報の投稿禁止 |
| 物理セキュリティ | PCの持ち出し、画面ロック |
| インシデント報告 | 怪しいと思ったら即報告 |
教育方法
| 方法 | 特徴 |
|---|---|
| 集合研修 | 入社時、年1回の定期実施 |
| eラーニング | 自分のペースで学習 |
| 標的型攻撃メール訓練 | 実際に疑似攻撃メールを送信 |
| 注意喚起メール | 最新の脅威情報を共有 |
標的型攻撃メール訓練
実際に訓練メールを送り、開封率を測定します。
訓練の流れ
1. 疑似攻撃メールを社員に送信
↓
2. 開封者、クリック者を計測
↓
3. 結果をフィードバック
↓
4. 引っかかった人に追加教育
↓
5. 定期的に繰り返し実施
目標
- 開封率・クリック率を5%以下に
セキュリティポリシーの策定
最低限決めるべきルール
情報セキュリティポリシー（簡易版）
【1. パスワード管理】
・12文字以上、英数字記号を含む
・サービスごとに異なるパスワード
・多要素認証を必ず設定
【2. メール利用】
・不審な添付ファイルは開かない
・送金依頼は電話で確認
・外部へのファイル送信は暗号化
【3. PC・デバイス管理】
・OSは常に最新に更新
・離席時は画面ロック
・私物PCでの業務禁止
【4. 情報の取り扱い】
・機密情報の持ち出し禁止
・SNSへの業務情報投稿禁止
・退職時はデータを返却・削除
【5. インシデント対応】
・怪しいと思ったら即報告
・報告先：○○部 担当者名
・連絡先：xxx-xxxx-xxxx
インシデント対応
万が一、セキュリティ事故が起きた場合の対応です。
対応フロー
1. 発見・報告
└ 異常を発見したらすぐに報告
2. 初動対応
└ ネットワーク切断、拡大防止
3. 被害状況の確認
└ 何が漏洩したか、影響範囲は
4. 原因の調査
└ どこから侵入されたか
5. 復旧作業
└ システムの復旧、データ復元
6. 関係者への通知
└ 顧客、取引先、監督官庁
7. 再発防止策
└ 対策の実施、ルール見直し
インシデント発生時の連絡先
| 連絡先 | 目的 |
|---|---|
| 社内セキュリティ担当 | 初動対応 |
| 契約しているセキュリティベンダー | 技術的支援 |
| 警察（サイバー犯罪相談窓口） | 犯罪被害の届出 |
| IPA（情報処理推進機構） | 相談、情報提供 |
| 個人情報保護委員会 | 個人情報漏洩時の報告 |
外部リソースの活用
無料で使えるリソース
| リソース | 提供元 | 内容 |
|---|---|---|
| 情報セキュリティ5か条 | IPA | 中小企業向け基本対策 |
| 中小企業の情報セキュリティ対策ガイドライン | IPA | 詳細なガイドライン |
| SECURITY ACTION | IPA | セキュリティ宣言制度 |
| サイバーセキュリティお助け隊 | 経産省 | 中小企業向け支援 |
SECURITY ACTION
IPAが運営する中小企業向けのセキュリティ宣言制度です。
| 段階 | 内容 | マーク |
|---|---|---|
| 一つ星 | 情報セキュリティ5か条に取り組む | ★ |
| 二つ星 | 情報セキュリティ基本方針を策定 | ★★ |
メリット
- IT導入補助金の申請要件
- 取引先へのアピール
- 無料で宣言可能
まとめ：最低限やるべき10の対策
| 順位 | 対策 | 難易度 |
|---|---|---|
| 1 | パスワードを複雑に、使い回さない | 低 |
| 2 | 多要素認証を設定 | 低 |
| 3 | OSやソフトウェアを最新に | 低 |
| 4 | ウイルス対策ソフトを導入 | 低 |
| 5 | 定期的なバックアップ | 中 |
| 6 | 不審なメールに注意する教育 | 中 |
| 7 | アクセス権限を最小限に | 中 |
| 8 | 退職者の権限を即時削除 | 低 |
| 9 | セキュリティポリシーを策定 | 中 |
| 10 | インシデント対応手順を準備 | 中 |
セキュリティ対策は「やりすぎ」ということはありません。限られたリソースの中で、優先度の高いものから着実に実施していきましょう。
関連記事
情報セキュリティと法令対応についてさらに詳しく知りたい方へ。
- 個人情報保護法対応ガイド - 法令対応の詳細
- ISMS・Pマーク取得完全ガイド2025 - セキュリティ認証の取得方法
- リモートワーク導入完全ガイド - リモートワーク時のセキュリティ
- ペーパーレス化の進め方 - 電子データのセキュリティ
- 中小企業のDX推進ガイド - DXとセキュリティの両立
