「うちは小さい会社だから、サイバー攻撃なんて関係ない」——そう考えていませんか。実は、サイバー攻撃の被害を受けた企業のうち約6割が従業員300人以下の中小企業だという調査結果があります。大企業に比べてセキュリティ対策が手薄な中小企業は、攻撃者にとって狙いやすいターゲットです。被害に遭ってから「もっと早くやっておけばよかった」と後悔する前に、できることから始めましょう。本記事では、限られた予算・人員のなかで中小企業が最低限やっておきたいセキュリティ対策を優先度順に解説します。
中小企業がセキュリティ対策を後回しにするリスク
セキュリティ対策を怠った場合のリスクは、情報漏洩だけではありません。ランサムウェアに感染すれば業務が数日〜数週間ストップし、売上機会を失います。復旧にかかる費用は中小企業でも数百万〜数千万円に及ぶケースがあります。取引先の情報が流出すれば、信頼関係が壊れ、取引停止になることもあります。さらに、個人情報保護法に違反すれば罰則の対象にもなります。セキュリティ対策は「コスト」ではなく「事業を守るための投資」です。とくに最近は、取引先からセキュリティ対策の状況を問われるケースが増えており、対策が不十分だと取引機会を逃すリスクもあります。大手企業のサプライチェーン攻撃の踏み台として中小企業が狙われるケースも報告されています。まずは最低限の対策を整え、段階的にレベルを上げていくという方法があります。
対策1：パスワード管理を徹底する
最も基本的で、最も効果が高いセキュリティ対策がパスワード管理です。「password123」や「会社名＋設立年」のような推測されやすいパスワードを使っていませんか。社員全員が同じパスワードを共有していませんか。まず全アカウントのパスワードを12文字以上の英数字記号混在に変更します。次に、同じパスワードの使い回しをやめます。管理が大変になるので、1PasswordやBitwardenなどのパスワード管理ツールを導入するのが現実的です。月額数百円〜千円程度で利用でき、費用対効果は非常に高いです。さらに、GmailやMicrosoft 365などの主要サービスには二段階認証（多要素認証）を設定します。二段階認証を設定するだけで、パスワードが漏洩しても不正アクセスされるリスクを99%以上削減できるという報告もあります。これだけで不正アクセスのリスクを大幅に下げられます。
対策2：OSとソフトウェアを常に最新にする
WindowsやmacOSのアップデート通知を「後で」と放置していませんか。OSやソフトウェアのアップデートには、脆弱性（セキュリティの穴）を塞ぐ修正が含まれています。攻撃者はこの脆弱性を突いて侵入するので、アップデートの放置は「鍵をかけていない窓を開けっぱなしにしている」のと同じです。対策は簡単で、自動アップデートを有効にするだけです。Windows Updateは「自動」に設定し、ブラウザやOfficeソフトも自動更新を有効にします。業務への影響が心配な場合は、毎週金曜の終業後に手動でアップデートを実施するルールを設けるのも一つの方法です。また、使っていない古いソフトウェアはアンインストールしましょう。使っていないソフトほど更新が止まっており、脆弱性が放置されがちです。特にJava、Flash、古いバージョンのAdobe Readerなどは攻撃対象になりやすいので、不要であれば削除します。
対策3：データバックアップを仕組み化する
ランサムウェアに感染すると、社内のファイルが暗号化され、復旧に身代金を要求されます。バックアップがあれば、身代金を払わずにデータを復旧できます。バックアップのポイントは「3-2-1ルール」です。3つのコピーを、2種類の異なる媒体に、1つはオフサイト（社外）に保管します。具体的には、クラウドストレージ（Google Drive、OneDriveなど）への自動バックアップと、外付けHDDへの週次バックアップを組み合わせるのが手軽です。クラウドストレージは月額数百円から利用でき、自動同期機能を使えばバックアップの手間もかかりません。重要なのは「バックアップから復旧できるか」を定期的にテストすること。バックアップを取っていたのに復旧できなかった、という事例は珍しくありません。四半期に1回は復旧テストを実施する仕組みをつくっておくと安心です。復旧手順も業務マニュアルとして文書化しておくと、いざというときに慌てずに済みます。業務マニュアルの作り方を参考に、復旧手順書を整備しておくことをおすすめします。
対策4：社員へのセキュリティ教育を実施する
技術的な対策だけでは防げない攻撃があります。代表的なのがフィッシングメールです。「請求書を添付しました」「アカウントが停止されます」といった件名のメールに添付されたファイルを開いたり、リンクをクリックしたりしてウイルスに感染するケースが後を絶ちません。IPA（情報処理推進機構）の調査でも、セキュリティ被害の原因で最も多いのは「人的ミス」です。対策は、全社員向けのセキュリティ対策教育を年に2回以上実施することです。内容は「不審なメールの見分け方」「添付ファイルを開く前の確認手順」「USBメモリの取り扱い」「公共Wi-Fiの危険性」など基本的なもので構いません。15分程度の短い研修でも効果があります。kotukotuが支援したあるサービス業の企業では、セキュリティ教育と業務フローの見直しをセットで行い、受発注業務のデジタル化とあわせて月40時間の工数削減を実現しました。セキュリティ対策と業務効率化は同時に進められるという好例です。
対策5：アクセス権限を整理する
退職した社員のアカウントが残っていませんか。全員が管理者権限でログインしていませんか。アクセス権限の放置は、内部からの情報漏洩リスクを高めます。退職者のアカウントが悪用された事件は実際に起きています。対策として3つのことを実施します。（1）退職・異動時のアカウント削除・権限変更を即日実施するルールをつくる。チェックリストを用意し、総務や人事が退職手続きの一環として必ず実施するフローにします。（2）管理者権限を持つ人を最小限にする。全員が管理者権限を持っていると、設定の変更やデータの削除が誰でもできてしまいます。（3）共有アカウントをやめて個人アカウントにする。これにより「誰がいつ何にアクセスしたか」を追跡できるようになり、万が一インシデントが発生した場合の原因特定も早くなります。権限管理は業務効率化ツールのID管理機能を活用すると効率的に進められます。
セキュリティ対策とDX推進を同時に進める
セキュリティ対策は「守り」の施策に見えますが、実はDX推進と表裏一体です。クラウドサービスの導入やペーパーレス化を進める際に、セキュリティの基盤が整っていないと安心してデジタル化を進められません。逆に、セキュリティ対策としてクラウドバックアップやパスワード管理ツールを導入することが、そのままDX推進の第一歩になります。DX推進の始め方でも解説しているように、小さく始めて段階的に広げていくアプローチが中小企業には合っています。セキュリティ対策もDXも、一気にやろうとせず、優先度の高いものから1つずつ進めていくことが大切です。本記事で紹介した5つの対策を優先度順に実施するだけでも、リスクは大幅に低減できます。データ活用の基盤づくりについてはデータ活用の始め方も参考になります。
よくある質問
予算がほとんど無くても始められる対策はありますか？
パスワードの強化と二段階認証の設定、OSの自動アップデートは無料で今日から実施できます。この2つだけでも不正アクセスのリスクは大幅に下がります。
どこまでやれば十分といえますか？
本記事の対策1〜5がすべて実施できていれば、最低限の水準はクリアです。その先は取引先からの要求やIPAの「SECURITY ACTION」などの基準を目安に段階的に引き上げます。
専任のIT担当者がいなくても運用できますか？
可能です。自動アップデートやクラウドバックアップなど「仕組みで回る」対策を中心に組み立てれば、専任者なしでも維持できます。ルール化とチェックリストの整備がポイントです。
まとめ：中小企業のセキュリティ対策は優先順位をつけて進める
- 中小企業こそサイバー攻撃のターゲットになりやすい
- パスワード管理の徹底と二段階認証が最もコストパフォーマンスの高いセキュリティ対策
- OS・ソフトウェアの自動アップデートを有効にし、不要なソフトは削除する
- バックアップは「3-2-1ルール」で仕組み化し、復旧テストも定期的に行う
- 社員向けセキュリティ対策教育を年2回以上実施し、人的ミスを減らす
- アクセス権限の整理と退職者アカウントの即時削除で内部リスクを低減する
- セキュリティ対策はDX推進の基盤として同時に進める
セキュリティ対策、何から手をつけるか一緒に整理しませんか？ 現状の数字をお聞かせいただければ、一緒に優先順位を整理できます。 無料相談はこちら
この記事を書いた人 — kotukotu編集部 kotukotuは「戦略と実行をつなぐ右腕型パートナー」として、中小企業の売上改善・コスト構造改革・DX推進を伴走支援しています。 kotukotuの伴走支援について詳しく見る
自社のIT投資が業界と比べて多いのか少ないのか、効果が出ているのか確認したい方は、無料の「IT・DX投資診断」でDX成熟度をスコアリングできます。次に投資すべき領域もAIが提案します。