IPAは、10大脅威、中小企業向けガイドライン、自己診断、教材など公開資料を多数提供しています。見出しだけを転載して終わらせるのではなく、自社の資産と照らし合わせると、第4.0版の行動計画や5分診断につなげやすくなります。
2026年版では、組織向けは脅威の順位付けがあり、個人向けは五十音順で並ぶなど、版ごとに見せ方が異なります。ランサムウェア、サプライチェーン、AI悪用など、年度ごとに表現が変わることもあります。順位や並びそのものを転載するより、「当社の業務で該当しうるか」を社内メモに書く用途が長く続きます。
全ページを一度に実施する必要はありません。バックアップ、Webサイト運用、委託先管理など、章ごとに担当を割り当てて読み進めてください。SCS制度の星評価の解説は、別記事に任せます。
eラーニング、ポスター、パスワードチェックツールなどは、管理者向け学習と組み合わせて使えます。導入前に利用規約と対象者を確認してください。
IPA第4.0版でも、従業員教育は基本対策に含まれます。長時間のeラーニングが難しい中小企業でも、1時間以内の集合研修またはオンライン配信で、共通の最低ラインを揃えられます。
資格試験や管理者向けの体系的学習は、情セマネ試験の解説や、オンライン講座の確認点が別途の参考になります。ここでは全員向けの短時間構成に絞ります。
情報の持ち出し、私物USB、SNS投稿、インシデント報告先（内線・メール）を説明します。お盆のPC持ち出しのような季節記事と矛盾しないよう、社内規程の最新版を配布してください。
メール・SMSの手口はフィッシング記事を投影して確認します。多要素認証の有効化を実演し、報告窓口へ転送する方法を示します。
OS更新、スクリーンロック、フリーWi-Fiの注意を扱います。テレワーク政策がある場合はVPNやクラウド共有ルールを追加してください。
3問程度の選択式で、報告先とフィッシング対応を確認します。正答率より、迷った質問を記録して次回に反映してください。
管理者自身が継続学習する場合、IPAシラバスに沿ったオンライン講座を検討する人もいます。料金と教材更新日は公式ページで確認してください。
ランサムウェアや不正アクセスが起きたとき、初動対応記事や不正アクセス記事に沿って動ければ十分な場合もあります。従業員が増え、委託先や取引先が関わる場合は、誰が何を判断するかを短い計画に残しておくと混乱が減ります。
SCS評価制度そのものの解説は、SCSとはやロードマップに任せ、ここでは計画書の中身に絞ります。
感染端末のネットワーク切断、ログと時刻の記録、バックアップからの復旧可否の判断基準を事前に書いておきます。個人情報が含まれる場合は、漏えい初動の報告判断も参照してください。
年1回、想定シナリオを30分で walk-through するだけでも、連絡先の古さに気づけます。訓練結果は次の計画改訂に反映してください。
サイバー法令・規範ハンドブックは国家サイバー統括室（NCO）が公開しています。2025年7月の組織再編後も、ハンドブックのURLは nisc.go.jp ドメイン上で提供されている場合があります。リンク先の表記と改定状況は公開時に再確認してください。
個人情報や見積書を間違った相手に送る事故は、マルウェア被害ほど注目されませんが、個人情報保護法上の報告対象になり得ます。個人情報漏えいの初動に進む前に、送信段階で防ぐ方が負担は小さいです。
Microsoft 365のメールフロールールや、外部ドメインへの送信前確認、DLP（データ損失防止）ポリシーは、プランとライセンスにより利用可否が異なります。2026年9月18日時点の機能名は各ベンダー公式を確認してください。
脆弱性を突いた不正アクセスは、不正アクセスの記事でも触れているように、未更新のソフトが入口になることがあります。大企業のパッチ管理システムがなくても、更新の担当と記録があればリスクを下げられます。
IPA第4.0版の自己診断でも、OSとソフトの更新状況が問われます。月1回の確認日を決め、適用できなかった端末の理由（業務ソフトとの非互換など）を記録してください。
SaaS本体はベンダーが更新しますが、連携するプラグインやAPIキーの期限、OAuthアプリの権限も見直し対象です。
Microsoft 365とGoogle Workspaceは、メールとファイル共有をまとめて提供します。導入直後は、管理者ロールの人数、外部共有のデフォルト、メール転送、退職者のライセンス残置などをそれぞれの管理画面で確認する必要があります。多要素認証の初期状態は製品ごとに異なるため、MicrosoftとGoogleを別々に見ます。
新規の Microsoft 365 / Microsoft Entra ID テナントでは、Microsoftがセキュリティ既定値（Security Defaults）を既定で有効にし、管理者を含むユーザーに多要素認証の登録などを求める構成が一般的です。セキュリティ既定値を使うか、条件付きアクセス（Conditional Access）で細かく制御するかは、どちらか一方の方針で設計します。条件付きアクセスを本格的に使うには Entra ID P1 以上などのライセンスが必要な場合があります。
Exchange Onlineの外部転送、共有リンク、特権管理者の人数もあわせて確認してください。2026年9月18日時点の管理画面名称はMicrosoft Learnの日本語ドキュメントを参照してください。
管理コンソールから2段階認証の適用方針、ドライブの外部共有、Gmailの転送設定を確認します。スーパー管理者アカウントは日常業務用と分ける運用が推奨されます。初期状態で2段階認証が全員に強制されているとは限らないため、組織のポリシーとして明示的に設定するかどうかを確認してください。
3-2-1は、データのコピーを3つ、2種類の媒体、1つはオフサイト（別場所）に保管するという覚え方です。ベンダーごとに言い回しは異なりますが、単一のバックアップ先だけに依存しない、という意味で広く引用されます。
製品名や個人向けソフトの比較は、バックアップ・復旧・消去の記事に任せ、ここでは社内運用の観点に絞ります。
会計、顧客情報、受注データ、メール、設計ファイルなど、停止時間が長いほど損失が大きいデータから優先してください。クラウドSaaSはベンダー側のバックアップと、自社のエクスポート可否を契約書や管理画面で確認します。
サーバーやNASに常時接続したバックアップは、本番と同時に暗号化されるリスクがあります。オフラインコピーやイミュータブル（改ざん耐性）ストレージ、クラウドの世代管理など、IPA第4.0版で触れられるバックアップ項目と整合する方法を検討してください。
バックアップ設定だけでは復旧時間は分かりません。四半期に一度、代表ファイルや仮想マシンのリストア試験を記録に残すと、ランサム初動の判断材料になります。
退職日当日にメールだけ停止し、ファイル共有やSNS、VPNアカウントを残してしまうと、離職者が業務データにアクセスし続ける可能性があります。委託先の担当変更も同様に、権限削除とデータの引き継ぎをセットで行う必要があります。
委託先事故の記事で扱う外部連携と、社内退職は対象が異なりますが、いずれもアカウント生命周期の管理が共通です。
パスワードリセットリンクが届く共用メールがないか、多要素認証のデバイスが残っていないかを確認してください。クラウドの監査ログがあれば、退職後のログイン試行も確認します。
従業員が少ない会社でも、メール、会計、勤怠、ファイル共有、SNS運用など複数のクラウドアカウントが存在します。管理者権限を持つ人が誰か、共用IDが残っていないかを定期的に確認しないと、退職や異動後も設定変更やデータ削除が可能なままになることがあります。
IPAの中小企業向けガイドライン第4.0版でも、アクセス権限の管理は基本項目です。IPA第4.0でつくる最初の行動計画で全体像を掴んだうえで、権限に特化して見直すイメージです。
日常業務に管理者権限が不要な人には、一般ユーザーへ変更してください。設定変更履歴が取れるサービスでは、過去の変更者も確認します。
外部から見える資産の把握は、ASMの記事や5分診断と補完関係にあります。内部の権限棚卸しは、外部スキャンでは見えないリスクを減らします。
アプリは、写真撮影、位置情報、マイク、連絡先などにアクセスする権限を要求します。インストール時に一度許可すると、バックグラウンドでもデータを送る設定のまま残ることがあります。定期的に権限一覧を見直すと、不要な情報の送信を減らせます。
設定→プライバシーとセキュリティから、位置情報サービス、カメラ、マイク、写真など項目別に、どのアプリがアクセスできるか確認できます。「常に許可」の位置情報は、地図アプリ以外では「使用中のみ」や「許可しない」へ変更を検討してください。
設定→プライバシー→権限マネージャー（メーカーにより名称は異なります）から、権限ごとにアプリを確認できます。SNSやゲームに位置情報が不要ならオフにしてください。
写真ライブラリ全体へのアクセスを求めるアプリは、必要最小限の選択肢（選択した写真のみなど）が使えるか確認してください。子ども用端末では、SNS乗っ取り対策とあわせ、公開範囲と権限の両方を見直してください。