中小企業が無理なく始められる情報セキュリティ対策と制度対応を整理します。
IPAは、10大脅威、中小企業向けガイドライン、自己診断、教材など公開資料を多数提供しています。見出しだけを転載して終わらせるのではなく、自社の資産と照らし合わせると、第4.0版の行動計画や5分診断につなげやすくなります。
2026年版では、組織向けは脅威の順位付けがあり、個人向けは五十音順で並ぶなど、版ごとに見せ方が異なります。ランサムウェア、サプライチェーン、AI悪用など、年度ごとに表現が変わることもあります。順位や並びそのものを転載するより、「当社の業務で該当しうるか」を社内メモに書く用途が長く続きます。
全ページを一度に実施する必要はありません。バックアップ、Webサイト運用、委託先管理など、章ごとに担当を割り当てて読み進めてください。SCS制度の星評価の解説は、別記事に任せます。
eラーニング、ポスター、パスワードチェックツールなどは、管理者向け学習と組み合わせて使えます。導入前に利用規約と対象者を確認してください。
IPA第4.0版でも、従業員教育は基本対策に含まれます。長時間のeラーニングが難しい中小企業でも、1時間以内の集合研修またはオンライン配信で、共通の最低ラインを揃えられます。
資格試験や管理者向けの体系的学習は、情セマネ試験の解説や、オンライン講座の確認点が別途の参考になります。ここでは全員向けの短時間構成に絞ります。
情報の持ち出し、私物USB、SNS投稿、インシデント報告先（内線・メール）を説明します。お盆のPC持ち出しのような季節記事と矛盾しないよう、社内規程の最新版を配布してください。
メール・SMSの手口はフィッシング記事を投影して確認します。多要素認証の有効化を実演し、報告窓口へ転送する方法を示します。
OS更新、スクリーンロック、フリーWi-Fiの注意を扱います。テレワーク政策がある場合はVPNやクラウド共有ルールを追加してください。
3問程度の選択式で、報告先とフィッシング対応を確認します。正答率より、迷った質問を記録して次回に反映してください。
管理者自身が継続学習する場合、IPAシラバスに沿ったオンライン講座を検討する人もいます。料金と教材更新日は公式ページで確認してください。
個人情報や見積書を間違った相手に送る事故は、マルウェア被害ほど注目されませんが、個人情報保護法上の報告対象になり得ます。個人情報漏えいの初動に進む前に、送信段階で防ぐ方が負担は小さいです。
Microsoft 365のメールフロールールや、外部ドメインへの送信前確認、DLP（データ損失防止）ポリシーは、プランとライセンスにより利用可否が異なります。2026年9月18日時点の機能名は各ベンダー公式を確認してください。
脆弱性を突いた不正アクセスは、不正アクセスの記事でも触れているように、未更新のソフトが入口になることがあります。大企業のパッチ管理システムがなくても、更新の担当と記録があればリスクを下げられます。
IPA第4.0版の自己診断でも、OSとソフトの更新状況が問われます。月1回の確認日を決め、適用できなかった端末の理由（業務ソフトとの非互換など）を記録してください。
SaaS本体はベンダーが更新しますが、連携するプラグインやAPIキーの期限、OAuthアプリの権限も見直し対象です。
Microsoft 365とGoogle Workspaceは、メールとファイル共有をまとめて提供します。導入直後は、管理者ロールの人数、外部共有のデフォルト、メール転送、退職者のライセンス残置などをそれぞれの管理画面で確認する必要があります。多要素認証の初期状態は製品ごとに異なるため、MicrosoftとGoogleを別々に見ます。
新規の Microsoft 365 / Microsoft Entra ID テナントでは、Microsoftがセキュリティ既定値（Security Defaults）を既定で有効にし、管理者を含むユーザーに多要素認証の登録などを求める構成が一般的です。セキュリティ既定値を使うか、条件付きアクセス（Conditional Access）で細かく制御するかは、どちらか一方の方針で設計します。条件付きアクセスを本格的に使うには Entra ID P1 以上などのライセンスが必要な場合があります。
Exchange Onlineの外部転送、共有リンク、特権管理者の人数もあわせて確認してください。2026年9月18日時点の管理画面名称はMicrosoft Learnの日本語ドキュメントを参照してください。
管理コンソールから2段階認証の適用方針、ドライブの外部共有、Gmailの転送設定を確認します。スーパー管理者アカウントは日常業務用と分ける運用が推奨されます。初期状態で2段階認証が全員に強制されているとは限らないため、組織のポリシーとして明示的に設定するかどうかを確認してください。
3-2-1は、データのコピーを3つ、2種類の媒体、1つはオフサイト（別場所）に保管するという覚え方です。ベンダーごとに言い回しは異なりますが、単一のバックアップ先だけに依存しない、という意味で広く引用されます。
製品名や個人向けソフトの比較は、バックアップ・復旧・消去の記事に任せ、ここでは社内運用の観点に絞ります。
会計、顧客情報、受注データ、メール、設計ファイルなど、停止時間が長いほど損失が大きいデータから優先してください。クラウドSaaSはベンダー側のバックアップと、自社のエクスポート可否を契約書や管理画面で確認します。
サーバーやNASに常時接続したバックアップは、本番と同時に暗号化されるリスクがあります。オフラインコピーやイミュータブル（改ざん耐性）ストレージ、クラウドの世代管理など、IPA第4.0版で触れられるバックアップ項目と整合する方法を検討してください。
バックアップ設定だけでは復旧時間は分かりません。四半期に一度、代表ファイルや仮想マシンのリストア試験を記録に残すと、ランサム初動の判断材料になります。
退職日当日にメールだけ停止し、ファイル共有やSNS、VPNアカウントを残してしまうと、離職者が業務データにアクセスし続ける可能性があります。委託先の担当変更も同様に、権限削除とデータの引き継ぎをセットで行う必要があります。
委託先事故の記事で扱う外部連携と、社内退職は対象が異なりますが、いずれもアカウント生命周期の管理が共通です。
パスワードリセットリンクが届く共用メールがないか、多要素認証のデバイスが残っていないかを確認してください。クラウドの監査ログがあれば、退職後のログイン試行も確認します。
従業員が少ない会社でも、メール、会計、勤怠、ファイル共有、SNS運用など複数のクラウドアカウントが存在します。管理者権限を持つ人が誰か、共用IDが残っていないかを定期的に確認しないと、退職や異動後も設定変更やデータ削除が可能なままになることがあります。
IPAの中小企業向けガイドライン第4.0版でも、アクセス権限の管理は基本項目です。IPA第4.0でつくる最初の行動計画で全体像を掴んだうえで、権限に特化して見直すイメージです。
日常業務に管理者権限が不要な人には、一般ユーザーへ変更してください。設定変更履歴が取れるサービスでは、過去の変更者も確認します。
外部から見える資産の把握は、ASMの記事や5分診断と補完関係にあります。内部の権限棚卸しは、外部スキャンでは見えないリスクを減らします。
ASM（Attack Surface Management）は、インターネットから見えるサーバーやネットワーク機器などを把握し、侵入経路になり得る箇所を確認する取り組みです。対象には、WebサイトやVPNだけでなく、クラウドの共有領域、管理画面、使われなくなったサブドメインなども含まれます。
外部へ公開している資産を把握できていなければ、ソフトウェアの更新や公開停止が必要になっても対応が遅れる可能性があります。まずは、自社が管理している公開資産を一覧にしてください。
IPAが2026年3月に公表した中小企業向けASM診断の報告では、診断を受けた126社すべてから何らかの脆弱性が検知されました。
これは診断対象となった企業の結果であり、国内のすべての中小企業に当てはまる統計ではありません。ただし、自社が把握していない公開資産や更新漏れがないかを見直す材料にはなります。
公開資産の一覧には、機器やサービスの名前だけでなく、用途、契約名義、管理者、更新担当者、緊急時の連絡先も記録してください。障害や脆弱性が見つかったとき、誰が停止や更新を判断できるか分かる状態にしておく必要があります。
退職者が管理していたアカウント、委託契約の終了後も残っている管理画面、現在は使われていないサブドメインは一覧から漏れやすい項目です。社内の担当部署だけでなく、Web制作会社や保守事業者との契約も確認してください。
公開資産の管理者が分からない場合や、重要な取引先システムと接続している場合は、所有者と作業範囲を確認したうえで専門家へ相談してください。第三者が管理するシステムを、許可なく調査しないでください。
ASMで把握できるのは、主に外部から見える範囲です。社内のアクセス権限、バックアップ、従業員への教育、内部ネットワークの安全性については、別に確認する必要があります。
「サイバーセキュリティお助け隊サービス」は、IPAが直接提供する一つの製品ではありません。中小企業が利用しやすい監視、相談、緊急時の初動支援などをまとめた民間サービスのうち、所定の基準を満たすものにマークを付与する制度です。
登録されたサービスであっても、監視できる範囲や対応時間、料金は同じではありません。比較する際は、自社の環境と必要な支援を先に確認してください。
この制度は2021年春に始まりました。登録サービスはIPAの利用者向けサイトで確認できます。
監視の対象は、従業員が使うPCなどの端末、社内ネットワーク、またはその両方です。利用できるOSや端末数、拠点数に条件が設けられている場合もあります。テレワーク端末やクラウド環境まで対象になるとは限らないため、必要な範囲が含まれているか確認してください。
サービスの料金は、監視する端末の台数や拠点数、支援内容によって変わります。見積もりを依頼する前に、自社の端末、OS、拠点、VPNやクラウドの利用状況を一覧にしておくと、条件を比較しやすくなります。
夜間や休日の対応、技術者による現地作業が必要な場合は、通常料金に含まれているかも確認してください。月額料金だけでなく、事故が起きたときにどこまで支援を受けられるかを見る必要があります。
経済産業省とIPAは、SCS評価制度の★3・★4取得を支援する新しい類型を設ける方針を示しています。ただし、通常のお助け隊サービスを契約するだけでSCS評価を取得できるという意味ではありません。
登録状況や支援内容は変更される可能性があります。SCS評価への対応、価格、補助制度の利用条件については、契約前にIPAと各事業者の最新情報を確認してください。