会社のセキュリティ対策、何から始める？担当者任せにしない最初の整理。

製品を選ぶ前に、守る情報・利用サービス・担当者・復旧方法を把握。中小企業が最初の点検を進めるための考え方と、専門家へ相談する境界を紹介します。

セキュリティ対策を強めたいと思っても、製品や専門用語が多く、どこから始めるか迷うことがあります。最初の整理では、何を使い、何を守り、誰が対応するかを把握することが役立ちます。

IPAの中小企業向けガイドラインは、経営者が考える事項と、社内で実践する手順を分けています。2026年9月30日更新の第4.0版では、基本となる項目へバックアップも追加されています。IPA：中小企業の情報セキュリティ対策ガイドライン

以下は、初めて社内で話し合うための進め方です。すべての対策を網羅するものではなく、すでに異常が疑われる場合は通常の点検とは別に対応を進めます。

1. 止まると困る仕事と、守りたい情報を決める

顧客の連絡先、受注情報、会計資料、社員情報など、何を持っているかを書き出します。それぞれがどの仕事に使われ、見られる・書き換えられる・使えなくなると何が起きるかを考えます。

例えば、予約情報が使えなくなると当日の対応が止まる会社と、図面や制作データが失われると納品できない会社では、備える対象が違います。金額だけでは測りにくい信用や取引先への影響も、担当者と話し合う材料です。

会社全体で契約したものだけでなく、部署で使うクラウド、Webサイト、外部公開アプリ、保守会社の接続なども確認します。サービス名、用途、管理者、契約先、扱う情報を同じ表に並べると、分からない部分が見えてきます。

「誰が管理しているか不明」「担当者が退職している」「今も必要か分からない」ものは、その状態自体を記録します。すぐに止めると業務に影響する場合があるため、利用状況と責任者を確認してから整理します。

使っていないアカウント、必要以上に広い管理者権限、共有したままの認証情報がないかを、各サービスの管理者と確認します。対応できるサービスでは多要素認証を検討し、設定した後の運用や復旧方法も確認します。

ソフトウェアや機器の更新については、誰が情報を確認し、どう適用するかを決めます。重要な更新を長く放置しないことと、業務への影響を見て適切に変更することの両方が必要です。実際の更新手順は、製品の案内と管理者の判断に従います。

IPAの2026年の脅威解説も、更新、認証の強化、設定の見直しなどの基本対策を整理しています。IPA：10大脅威2026 解説書

バックアップがあることと、必要なデータを戻せることは別です。何を、どの時点へ、誰が戻せるかを確認します。保存先の権限、保管方法、復旧に必要なアカウントも点検対象になります。

日々使うデータと一緒に影響を受けない保管方法を検討し、業務に影響しない検証環境などで復元を確かめます。復旧を試したことがなければ、担当者や保守会社へ、その手順と確認方法を相談します。

不審なログイン、見覚えのないアカウント、開けなくなったファイルなどを見つけた際に、誰へ知らせるかを決めます。社内の責任者、保守会社、必要な専門支援先の連絡先を、普段のシステムが使えなくても確認できる形で管理します。

実際の異常が疑われる場合は、独断で記録を消したり、手当たり次第に設定を変えたりせず、担当へ連絡し、証拠保全と被害抑止を含む対応につなげます。何を優先するかは、起きている状況に応じて判断が必要です。

社内ルールを整える支援、PCやネットワークの管理、Webアプリの診断、異常発生後の調査は、依頼する仕事が違います。「セキュリティを見てほしい」から一歩進めて、対象と、知りたいことを伝えます。

例えば、公開前のアプリに問題がないか確かめたいのか、すでに不正利用が疑われるのかで、必要な対応は異なります。診断を一度受けることは、日々の更新やアカウント管理の代わりにはなりません。社内で継続する仕事と、専門家へ依頼する仕事を分けて進めます。

この記事の発信者DiluNova株式会社