中小企業のセキュリティ対策は何から？小さな会社が押さえたい基本と優先順位

中小企業のセキュリティ対策は、まずIPA（情報処理推進機構）の自社診断で、今の対策を確認するところから始めましょう。できていない項目のうち、ソフトの更新、ウイルス対策、ログインの保護、バックアップといった基本から整えていきます。

「セキュリティソフトを入れて、パスワードをきちんと管理すれば十分では？」と思うかもしれません。この2つは大切な対策です。ただ、顧客の資料を間違った相手に共有したり、必要なデータを消してしまったりするトラブルには、別の備えが必要になります。

この記事では、IT担当者がいない、1人〜数人の会社を想定して説明します。毎日の仕事が面倒にならないように、設定で任せられることと、人が確認する場面を分けて考えていきましょう。

この記事で分かること

• セキュリティソフトとパスワード管理に加えて必要な備え
• 日々の手間を抑えながら対策を続ける方法
• IPAの自社診断で、自社の不足を見つける進め方
• 追加の製品や専門家への相談を検討する目安

セキュリティソフトとパスワード管理だけで足りる？

この2つで、仕事に関わるすべてのトラブルを防げるわけではありません。セキュリティには、悪意のある攻撃を防ぐことに加え、情報の渡し間違いや、データが使えなくなる事態への備えも含まれます。

例えば、顧客名簿をGoogleドライブに保存している場面を考えてみてください。パソコンにウイルスがいなくても、名簿を「リンクを知っている全員」が開ける設定にすると、リンクを受け取った別の人にも見られる可能性があります。

これは、誰かがパスワードを破ったわけではありません。自分でファイルを開ける相手の範囲を広げたことが原因です。Googleドライブでは、アクセス権のある人だけに制限する設定を選べます。顧客名簿なら、仕事で使う担当者だけに共有する対応が必要です。

一方、納品するデータを誤って消したときに役立つのは、バックアップです。これは、元のデータが使えなくなったときに戻せるよう、別に残しておく控えのこと。パスワードをどれだけ強くしても、消えたデータは戻せません。

最初に整えたい、パソコンとアカウントの基本

最初は、毎日使う仕事用のパソコンと、メール・ファイル保管などのサービスを見ます。すでに使える保護機能があるか、設定が止まっていないかを確かめるところから始めてください。

ソフトの更新とウイルス対策は、両方を確認する

WindowsやmacOS、ブラウザなどの更新には、攻撃に悪用される欠陥を直すものがあります。ウイルス対策ソフトが危険なプログラムを見つける役なら、更新はソフト自体の弱点を直す役です。どちらも必要な理由が違います。

更新を自動で受け取る設定にし、再起動を求められたときは、作業を保存して早めに実行しましょう。サポートが終了したソフトは修正が提供されなくなるため、更新できる製品・環境への移行も必要です。IPAの自社診断の解説_r12.pdf)でも、サポートのある製品を使い、最新に保つことが示されています。

「無料では不十分で、有料のセキュリティソフトを買わないといけないの？」という疑問もあるでしょう。例えばWindowsには、Microsoft Defender ウイルス対策が組み込まれています。Microsoftの公式説明で保護機能を確認できるので、まず今のパソコンで何が動いているかを見てみてください。

有料製品を検討するのは、必要な機能やサポートが足りない場合です。複数台の状態をまとめて見たい、異常が出たときに相談したい、といった要望を整理すると選びやすくなります。価格だけで安全性を判断せず、業務で使える利用条件も確認しましょう。

パスワードを使い回さず、スマホなどでの本人確認を加える

同じパスワードをいくつものサービスで使うと、1か所から漏れた情報で、ほかのサービスにもログインを試されてしまいます。長く推測されにくいパスワードを、サービスごとに分けることが基本です。

全部を暗記する必要はありません。パスワード管理ツールは、複雑なパスワードを作り、保管し、ログイン時に入力する手間を助けてくれます。米国の公的機関CISAも、強いパスワードと管理ツールの利用を案内しています。

さらに、パスワードを入力したあと、手元のスマートフォンの認証アプリなどでも本人確認をする設定があります。これが「多要素認証」です。パスワードだけを知られても、もう一つの確認を通れなければログインされにくくなります。IPAも利用を推奨しています。

仕事のメール、顧客資料を置くサービス、ネットバンキングなど、乗っ取られると影響が大きいものから設定を確認しましょう。ログイン時の操作は増える場合がありますが、毎回すべての作業に承認を挟むわけではありません。

大切なデータは、別に残して「戻せるか」も試す

バックアップで残したいのは、なくなると仕事を続けられないデータです。顧客から預かった資料、作成中の成果物、請求や会計の記録などを挙げて、どこに保存されているかを確認します。

毎回手でコピーするのが負担なら、自動で保存する機能を使えます。例えばMacのTime Machineは、外付けの保存機器などへファイルを自動でバックアップする機能です。

ただし、保存先を同じパソコンにつなぎっぱなしにすると、攻撃によって元データと控えが一緒に使えなくなるおそれがあります。IPAのバックアップの解説_r16.pdf)も、保存時だけ機器を接続する方法や、データを戻せるかの確認を示しています。外付けの機器を使うなら、例えば終業前に接続し、バックアップの完了を確かめてから安全に取り外す、という運用が考えられます。コピー作業は機能に任せ、接続・取り外しは人が行う形です。保存する頻度は、「前日の作業まで失うと困る」といった仕事への影響で決めます。

日々の手間は、「確認する場面」を決めて抑える

安全のために毎回立ち止まっていては、仕事を進めにくくなります。そこで、よくある作業は方法を決めておき、情報を渡す相手や使うサービスが変わる場面で確認する、という運用を考えてみましょう。

例えば、いつもの担当者が、決めた共有フォルダで資料を更新するたびに、社長の承認を求める必要があるでしょうか。むしろ、新しい外注先を招待するときに「どの資料まで見せてよいか」を確かめるほうが、確認の目的がはっきりします。

少人数の会社なら、次のように普段の作業へ結びつけると続けやすくなります。

AIに入力する内容も、公開済みの会社紹介文と、顧客名簿では扱いが違います。個人情報保護委員会は、個人情報の利用目的や、入力した個人データが学習に使われるかなどの確認を求めています。社内で使うサービスと情報の範囲を決めれば、担当者も判断しやすくなるでしょう。

不審なメールについては、一人ひとりの勘だけに頼らないことも大切です。サービス提供元やIPAの注意喚起を確認し、「こういう連絡が来たらどうするか」を社内で共有します。

どこまで必要か迷ったら、IPAの自社診断を使う

ここまで紹介した基本を、自社で実施できているか確かめてみましょう。そのときは、公的なチェックリストで、自社ができていることと分からないことを分けると、対策を考える手がかりになります。

IPAは、個人事業主や小規模事業者も対象にした中小企業の情報セキュリティ対策ガイドラインを公開しています。2026年10月時点の第4.0版では、最初の取り組みとして「情報セキュリティ6か条」を示しています。

内容は、ソフトの更新、ウイルス対策、パスワードの強化、共有設定の見直し、バックアップ、攻撃の手口を知ることです。この記事で紹介した基本を、まとめて見渡せます。

25項目に答えると、パソコン以外の見落としも分かる

同じページの付録3に、「5分でできる！情報セキュリティ自社診断」があります。25項目に答える形式で、PDFのほか、点数を集計しやすいExcel版も公開されています。

対象は、パソコンだけではありません。スマートフォンやWi-Fi、書類の保管・廃棄、外注先への情報の渡し方、事故が起きたときの連絡体制まで含まれます。

まずは、次の順番で使ってみてください。

1. IPAのページから、自社診断のPDFかExcel版を開く。
2. 各項目を「実施している」「一部実施している」「実施していない」「わからない」から選ぶ。
3. 「一部実施」「未実施」「わからない」の項目について、後ろの解説を読む。
4. 仕事への影響が大きい不足から、対応する人と日を決める。

採点は、実施が4点、一部実施が2点、未実施が0点、わからないがマイナス1点です。25項目すべて実施していれば100点になります。

点数は、取り組みを見直すための目安です。「何点以上なら絶対に安全」と考えず、例えば「バックアップを取っているか分からなかったので、保存先と戻し方を確かめる」と、次の作業につなげましょう。

一人の会社や自宅事務所でも、守る目的から考える

「関係者以外の事務所への立ち入りを制限していますか」という項目を見ると、自宅で一人で働く人は迷うかもしれません。

この場合も、守りたいのは仕事の情報です。例えば、家族や来客が触れられる机に顧客の書類を出したままにせず、使い終わったら施錠できる場所へ戻す、といった対応が考えられます。大きな会社と同じ受付設備を用意することだけが、対策ではありません。

設問に合うか迷う場合は、「自宅で仕事をしている」「従業員はいない」などの条件をメモし、解説編を確認してください。自己流で実施済みにせず、判断できない部分を相談する材料にします。

追加の費用は、自社で管理しきれない部分に使う

自社診断で不足が見つかっても、すべて新しい製品を買って解決する必要があるとは限りません。設定を直せばよいこと、運用を決めればよいこと、専門家の助けが必要なことに分けて考えます。

例えば、共有先が広すぎるフォルダは設定の見直し、事故時の連絡先がない場合は連絡方法の整理が先です。一方で、社外から会社のシステムへ接続する仕組みを使っているのに、誰も設定を把握していないなら、詳しい人に点検を頼む意味があります。

優先順位をつけるときは、次の3つを自社の仕事に当てはめてください。

大量の顧客情報や決済情報を扱う会社、取引先から具体的な対策を求められている会社では、その条件も踏まえた確認が必要です。「会社が小さいから」という理由だけで、対策の範囲は決められません。

相談先を探す場合は、IPAの中小企業向けサイバーセキュリティ対策支援者リストも使えます。自社診断の結果を持って、「この項目が分からない」「日々の管理まで頼みたい」と伝えれば、必要な支援を相談しやすくなります。費用に加え、設定後の問い合わせや異常時の対応がどこまで含まれるかも聞いておきましょう。

ホームページの運用を外注している場合は、制作会社との役割分担も確認できます。

まずは自社診断で、次に確認することを一つ決めよう

セキュリティソフトとパスワード管理は、大切な土台です。そこへ、ソフトの更新、ログイン時の本人確認、バックアップ、情報の共有方法を組み合わせると、備えられるトラブルの範囲が広がります。

最初の一歩は、IPAの自社診断を開き、自社でできていることを確かめること。 分からない項目があっても構いません。実際の設定を見たり、詳しい人に聞いたりするための手がかりになります。

「メールの本人確認を設定する」「バックアップから一つファイルを戻してみる」など、まず何をするかを決めてみてください。一つ確認できたら、残った項目を仕事への影響が大きい順に進めていきましょう。