中小企業のセキュリティ対策、まず何から始める？今日からできる12の基本対策
企業への不正アクセスやランサムウェアによる被害が相次いでいます。サイバー攻撃は大企業だけの問題ではなく、中小企業でも情報漏えいや業務停止、取引先への影響などが発生する可能性があります。
一方、中小企業では専任のIT担当者がおらず、何から対策すればよいか分からないというケースも少なくありません。
セキュリティ対策は、高額な製品の導入から始める必要はありません。まずはパソコンの更新、パスワードの管理、バックアップなど、現在の環境でできる基本的な対策から取り組むことが重要です。
本記事では、IPAが2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン第4.0版」などを参考に、中小企業が優先的に取り組みたい12の基本対策を紹介します。
中小企業にもセキュリティ対策が必要な理由
サイバー攻撃によって発生する被害は、顧客情報の漏えいだけではありません。例えば、次のような影響が考えられます。
- ランサムウェアによって業務データが使えなくなる
- メールアカウントが乗っ取られ、取引先へ不正なメールが送信される
- 請求書の振込先を書き換えられ、金銭的な被害が発生する
- クラウドストレージの設定ミスによって顧客情報が公開される
- ホームページが改ざんされ、悪意のあるサイトへ誘導される
こうした被害が発生すると、復旧費用だけでなく、業務停止や取引先からの信用低下にもつながります。警察庁も、ランサムウェアの主な侵入経路として、VPN機器などの脆弱性や漏えいした認証情報、設定不備などを挙げています。
セキュリティ対策は、会社の規模に関係なく必要な経営上の取り組みです。
中小企業がまず取り組みたい12のセキュリティ対策
1. パソコン・スマートフォンを最新版にする
WindowsやmacOS、スマートフォンのOSには、定期的にセキュリティ修正が提供されています。古いバージョンを使い続けると、すでに知られている脆弱性を悪用される可能性があります。
確認・作業項目
- Windows UpdateやmacOSのソフトウェアアップデートを実施する
- Chrome、Edgeなどのブラウザを更新する
- 自動更新を有効にする
- サポートが終了したOSを利用していないか確認する
会社支給のPCだけでなく、業務に利用している私物のPCやスマートフォンも確認が必要です。
2. ウイルス対策機能を有効にする
ウイルスや不正なプログラムへの対策も基本です。WindowsにはMicrosoft Defenderなどの保護機能が標準搭載されており、設定状況によっては追加費用をかけずに利用できます。
確認・作業項目
- ウイルス対策機能が有効になっているか確認する
- ウイルス定義ファイルや保護機能を最新にする
- 定期的なスキャンを有効にする
- セキュリティ警告が表示されていないか確認する
製品を導入している場合も、契約や保護機能が有効か確認してください。
3. パスワードを見直し、多要素認証を設定する
メールやクラウドサービスのアカウントが不正利用されると、社内の情報だけでなく、取引先にも被害が及ぶ可能性があります。特にメールアカウントは、他のサービスのパスワード再設定にも利用されるため、優先的な対策が必要です。
確認・作業項目
- 複数サービスで同じパスワードを使い回さない
- 長く、推測されにくいパスワードを設定する
- Google WorkspaceやMicrosoft 365などで多要素認証を有効にする
- サーバーやドメインの管理画面にも多要素認証を設定する
- 必要に応じてパスワード管理ツールを利用する
多要素認証は、パスワードが漏えいした場合の不正ログイン対策として有効です。
4. 重要なデータをバックアップする
ランサムウェアや機器の故障、誤操作などによって、業務データが失われる可能性があります。特に、顧客情報や経理データ、契約書など、業務の継続に必要な情報は優先的にバックアップを取得してください。
確認・作業項目
- 顧客情報や経理データなど、重要なデータを洗い出す
- 定期的な自動バックアップを設定する
- PCやサーバーとは別の場所にも保存する
- 複数世代のバックアップを保管する
- 実際にデータを復元できるか確認する
クラウドストレージを利用している場合も、同期機能だけでは十分なバックアップにならないことがあります。
誤って削除したファイルや、暗号化されたデータが同期される場合も想定し、復元方法を確認しておきましょう。
5. 不審なメール・請求書詐欺への対策を行う
取引先や金融機関などを装ったメールによって、パスワードや金銭をだまし取る被害が発生しています。見慣れた差出人名であっても、メールアドレスやリンク先が正しいとは限りません。
確認・作業項目
- 不審なリンクや添付ファイルを開かない
- 振込先変更の依頼は電話など別の方法で確認する
- メールの迷惑メール・フィッシング対策を有効にする
- 不審なメールを受信した場合の報告先を決める
また、自社ドメインから送信するメールについては、SPF・DKIM・DMARCなどのメール認証設定も確認しておきましょう。
6. Google Driveなどのクラウド共有設定を見直す
Google Drive、OneDrive、Dropboxなどのクラウドストレージは便利ですが、共有設定によっては意図しない相手がファイルを閲覧できる場合があります。
確認・作業項目
- 外部公開されている共有フォルダ・ファイルを確認する
- リンクを知っている全員に公開する設定を必要最小限にする
- 退職者や外部委託先のアクセス権限を削除する
- 顧客情報や契約書へのアクセス権限を制限する
- 共有リンクの有効期限などを必要に応じて設定する
特に、顧客情報や個人情報を保存しているフォルダは、定期的な確認が必要です。
7. 不要なアカウントを削除し、権限を整理する
退職した従業員や、過去に利用していた外部委託先のアカウントが残っていないか確認してください。利用していないアカウントが残っていると、不正アクセスの原因となる可能性があります。
確認・作業項目
- 退職者のメール・クラウドアカウントを停止する
- 利用していないアカウントを削除する
- 管理者権限を持つユーザーを確認する
- 一般従業員には必要な範囲の権限のみを付与する
- 外部委託先のアクセス権限を定期的に見直す
複数人で同じアカウントを共有している場合は、可能な限り個人ごとのアカウントへ変更しましょう。
8. Wi-Fi・ルーター・VPNの設定を確認する
社内ネットワークに接続するルーターやVPN機器も、攻撃の対象になります。警察庁は、ランサムウェアの侵入経路としてVPN機器などの脆弱性を挙げており、速やかな更新を推奨しています。
確認・作業項目
- ルーターやWi-Fiの初期パスワードを変更する
- ルーター・VPN機器のファームウェアを更新する
- 不要なポート開放を停止する
- 社外からのリモート接続に多要素認証を設定する
- 来客用Wi-Fiと社内ネットワークを分離する
古いルーターやVPN機器を長期間利用している場合は、メーカーのサポート状況も確認してください。
9. ホームページ・WordPressのセキュリティ対策を行う
企業のホームページも、セキュリティ対策が必要です。特にWordPressを利用している場合は、WordPress本体だけでなく、プラグイン、テーマ、PHP、レンタルサーバーなども管理対象になります。
確認・作業項目
- WordPress本体を最新版にする
- プラグイン・テーマを更新する
- 不要なプラグインを削除する
- PHPのバージョンと脆弱性修正状況を確認する
- WAFを有効にする
- WordPressのバックアップを取得する
- 管理画面の認証・アクセス制限を見直す
レンタルサーバーを利用している場合、PHPやサーバーOSの更新はサーバー会社が対応していることがあります。
一方、WordPress本体やプラグインなどの更新は、利用者側での対応が必要になる場合が一般的です。
ホームページの管理を外部へ委託している場合は、保守契約の範囲も確認してください。
関連記事：
https://tency.co.jp/lp/wordpress-security-static-site-replace/
10. 顧客情報・機密情報の管理を見直す
顧客情報や個人情報は、適切な場所に保存し、必要な担当者だけがアクセスできる状態にすることが基本です。
確認・作業項目
- 顧客情報や個人情報の保存先を把握する
- 閲覧・編集できるユーザーを制限する
- 不要になった情報を適切に削除する
- USBメモリや私物端末への持ち出しルールを決める
- 外部委託先とのデータ共有方法を確認する
生成AIサービスを業務で利用している場合は、顧客情報や機密情報を入力してよいか、サービスの契約条件や設定も踏まえて社内ルールを決めておきましょう。
11. セキュリティ担当者と社内ルールを決める
中小企業では、専任のIT担当者を配置することが難しい場合もあります。その場合でも、誰がセキュリティ対策の状況を確認するのか、誰に相談すればよいのかを決めておくことが重要です。
確認・作業項目
- セキュリティ管理の責任者を決める
- PC・アカウント・クラウドサービスの管理担当を明確にする
- 従業員向けに基本的な注意事項を共有する
- 入退社時のアカウント管理手順を決める
- 年に1回以上、社内ルールを見直す
まずは簡単なルールから始め、運用しながら必要な項目を追加していく方法でも構いません。
12. セキュリティ事故が起きたときの対応を決める
どれだけ対策していても、事故の可能性を完全になくすことはできません。万が一の場合に、誰が何をするかを事前に決めておくことで、被害の拡大を抑えやすくなります。
確認・作業項目
- 不審なメールやウイルス感染を発見した際の報告先を決める
- サーバー会社やIT保守会社の連絡先をまとめる
- 感染したPCをネットワークから切り離す手順を確認する
- バックアップからの復元手順を確認する
- 個人情報漏えい時の報告・本人通知の要否を確認する
感染が疑われるPCは、ネットワークから切り離し、専門担当者へ連絡してください。調査に必要な記録が失われる可能性があるため、むやみに電源を落としたり初期化したりしないことも重要です。
中小企業のセキュリティ対策は誰が担当する？
社内にIT担当者がいない場合
まずは経営者や総務担当者などが中心となり、社内で利用している機器やサービスを把握するところから始めます。
例えば、以下のような簡単な管理表を作成するだけでも、対策を進めやすくなります。
| 管理対象 | 確認する内容 |
|---|---|
| パソコン | 利用者・OS・更新状況 |
| メール | 管理者・多要素認証 |
| クラウドサービス | 契約者・利用者・共有設定 |
| ホームページ | サーバー・CMS・保守担当 |
| 社内ネットワーク | ルーター・VPN・管理者 |
| バックアップ | 対象データ・保存先・取得状況 |
会社で何を利用しているのか把握できれば、更新漏れや不要なアカウントなども発見しやすくなります。
外部のIT事業者へ依頼する場合
専門的な対応が必要な場合は、外部のIT事業者やセキュリティ事業者へ相談する方法があります。ただし、外部へ委託する場合も、契約範囲を確認することが大切です。
例えば、ホームページの保守契約があっても、社内PCやメール、クラウドサービスまで管理対象に含まれているとは限りません。
どこまでを社内で管理し、どこからを外部へ委託するか整理しておきましょう。
IPAの無料ツールを活用する
IPAでは、中小企業向けに情報セキュリティ対策ガイドラインや自社診断ツールを公開しています。2026年3月に公開された第4.0版では、従来の基本対策を見直し、バックアップを含む情報セキュリティ6か条を提示しています。
また、5分でできる！情報セキュリティ自社診断を利用すれば、自社の対策状況を確認できます。
自社だけでの対応が難しい場合は、IPAのサイバーセキュリティお助け隊サービスなど、外部支援の活用も検討できます。
まずは自社のセキュリティ対策をチェック
ここまで紹介した12項目について、実施状況を確認してみてください。
| 項目 | チェック |
|---|---|
| PC・スマートフォンを最新版にしている | □ |
| ウイルス対策機能が有効になっている | □ |
| 重要なアカウントに多要素認証を設定している | □ |
| 重要データのバックアップを取得している | □ |
| 不審メールへの対応方法を共有している | □ |
| クラウドの共有設定を確認している | □ |
| 不要なアカウントを削除している | □ |
| ルーター・Wi-Fi・VPNを適切に管理している | □ |
| ホームページのセキュリティ対策を実施している | □ |
| 顧客情報へのアクセス権限を管理している | □ |
| セキュリティ担当者と社内ルールが決まっている | □ |
| 事故発生時の連絡先・対応方法が決まっている | □ |
すべてにチェックが付かない場合でも、まずは対応できる項目から始めてください。特に、OSやソフトウェアの更新、多要素認証、バックアップ、不要アカウントの削除は、優先的に確認したい項目です。
中小企業のセキュリティ対策は基本的な取り組みから
中小企業のセキュリティ対策では、専門的な製品の導入だけでなく、現在の環境を安全に使うための設定や運用が重要です。まずは以下の3点を優先して取り組むことをおすすめします。
- 更新する：PC・ソフトウェア・ネットワーク機器・WordPressなどを最新の状態に保つ
- 守る：パスワード・多要素認証・アクセス権限を見直す
- 備える：重要データのバックアップと事故発生時の対応を準備する
そのうえで、社内ネットワークやクラウドサービス、ホームページなどへ対策を広げていきましょう。
TenCyでは、Webサイトのセキュリティ対策や保守運用に加えて、クラウドサービスの導入・業務環境の改善なども支援しています。
自社のIT環境に不安がある場合や、何から対策すればよいか分からない場合は、お気軽にご相談ください。
公式情報・参考資料
IPA 中小企業の情報セキュリティ対策ガイドライン 第4.0版
https://www.ipa.go.jp/security/guide/sme/about.html
IPA 不正アクセスによる漏えい等を踏まえた緊急対策（2026年10月9日）
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html
IPA 5分でできる！情報セキュリティポイント学習
https://www.ipa.go.jp/security/sec-tools/5mins_point.html
警察庁 ランサムウェア被害防止対策
https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
個人情報保護委員会 漏えい等の対応
https://www.ppc.go.jp/personalinfo/legal/leakAction/
IPA サイバーセキュリティお助け隊サービス
https://www.ipa.go.jp/security/otasuketai-pr/
