サイバーセキュリティの基礎知識 中小企業が今すぐできる対策

専任担当がいない会社は、まず「多要素認証・更新・権限の棚卸し」の3点を予算ゼロで固めるのが最優先です。

• 警察庁が把握した令和7年のランサムウェア被害報告は226件。被害企業の約6割が中小企業。被害組織へのアンケートでは侵入経路の6割以上がVPN機器
• IPA「情報セキュリティ10大脅威 2026」の組織向け1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」
• 個人データが漏れたら個人情報保護委員会への報告義務が生じる。速報は発覚から3〜5日以内、確報は30日以内（不正目的のおそれがある場合は60日以内）

「うちのような小さな会社が狙われるはずがない」という前提は、統計の上ですでに崩れています。攻撃者が見ているのは企業規模ではなく侵入のしやすさで、対策の手薄な会社は、それ自体が標的であると同時に、取引先へ入り込むための入口にもなります。一方で、有効な対策の多くは高額な製品を必要としません。本稿は、社長が「今日決めること」「今月やること」「人に頼むこと」を切り分けられるよう、IPA・警察庁・個人情報保護委員会の一次情報を根拠に整理したものです。着手順や費用の層分けは編集部の判断で、その旨は該当箇所に明記しています。

最初に結論：予算ゼロ・数万円・外部委託の3層で決める

セキュリティ投資の判断がつかない最大の理由は、打ち手が「全部大事」に見えてしまうことです。費用の階層で分けると、優先順位ははっきりします。

IPAが2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、最初に取り組むべき対策として「情報セキュリティ6か条」を掲げています。①OSやソフトウェアは常に最新の状態にしよう ②ウイルス対策ソフトを導入しよう ③パスワードを強化しよう ④共有設定を見直そう ⑤バックアップを取ろう ⑥脅威や攻撃の手口を知ろう、の6つです。

下表は、この6か条を追加費用の有無で編集部が並べ替えたものです。費用の3層という区分はIPAの分類ではありません。打ち手の中身は6か条とガイドラインに基づいています。

（打ち手の内容の出典：IPA中小企業の情報セキュリティ対策ガイドライン第4.0版、2026年3月。層分けと費用感は編集部による整理）

⑤バックアップは第1層と第2層にまたがります。すでに使っているクラウドストレージのバージョン管理を有効にするだけなら追加費用はかからず、今日できます。一方、暗号化に巻き込まれない「切り離された保管先」を用意する段階では媒体費用が発生します。前者を今日、後者を今月と分けて考えてください。

第4.0版での大きな変更は、従来の「情報セキュリティ5か条」に「バックアップを取ろう！」が加わって6か条になった点です。ランサムウェア対策としても事業継続の観点からも重要だという理由で、中小企業が最初に手掛ける対策へ格上げされました。裏を返せば、バックアップは「余裕があればやること」ではなく、最初にやることだと公的機関が位置づけ直したということです。

❌ 「まず何を買うか」から検討を始め、見積りが高くて止まる ⭕ 「まず何を無料で有効化するか」から始め、買うのは第2層に進んでから

中小企業が狙われる理由は「規模」ではなく「経路」

自社は狙われないという感覚が誤りである根拠は、順位と件数の両方にあります。IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」（組織向け）は次の順位でした。2025年に社会的影響の大きかった事案から、研究者や実務担当者ら約250名の選考会が審議・投票して決定したものです。

（出典：IPA情報セキュリティ10大脅威 2026、2026年1月）

1位と2位が、中小企業の経営に直結します。警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によれば、令和7年（2025年）のランサムウェア被害報告件数は226件で、依然として高水準で推移しています。被害企業を規模別に見ると前年同様に中小企業が約6割を占め、業種別では製造業が約4割です。

侵入の入口も明確です。同レポートは、被害組織へのアンケート結果として侵入経路はVPN機器が6割以上を占めるとし、攻撃者は未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用してネットワークへ侵入すると説明しています。近年はメール添付ファイルによる感染は少なくなり、インターネットに露出した箇所から遠隔操作で入り込む手口が多くを占めるとも記されています。

POLICE REPORT

令和7年のランサムウェア被害の実態

226件

ランサムウェア被害の報告件数（令和7年）

約6割

被害企業に占める中小企業の割合

6割以上

侵入経路に占めるVPN機器の割合

約18％

サイバー攻撃を想定したBCPを策定済みの組織

つまり、狙われているのは「有名な会社」ではなく「インターネットに面した、更新されていない機器」です。数年前に設置してそのままのVPN装置やファイアウォールが1台あるだけで、規模とは無関係に候補に入ります。そしてその会社が取引先の基幹システムに接続する権限を持っていれば、攻撃者にとっては本命へ向かう踏み台になります。10大脅威の2位が8年連続で選ばれ続けている理由はここにあります。

被害の重さも見ておく必要があります。同レポートのアンケート結果では、復旧に総額1,000万円以上を要した組織の割合が全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまりました。さらに、サイバー攻撃を想定した業務継続計画（BCP）を策定済みの組織は約18％にすぎません。停止期間と費用の両方が経営を直撃するのに、備えている会社は少ないという構図です。事業を止めない側の備えについては中小企業のリスク管理入門 サイバー攻撃と災害に備える最低限の実務もあわせて確認してください。

（出典：警察庁令和7年におけるサイバー空間をめぐる脅威の情勢等について、2026年3月）

予算ゼロで今日決める 認証・更新・権限の3点

第1層は、社長の決裁一本で今日から動かせる範囲です。IPAの「情報セキュリティ6か条」は、(1)OSやソフトウェアは常に最新の状態にしよう (2)ウイルス対策ソフトを導入しよう (3)パスワードを強化しよう (4)共有設定を見直そう (5)バックアップを取ろう (6)脅威や攻撃の手口を知ろう、の6項目です。ここでは、経営判断が必要な3点に絞って理由まで示します。

認証を固める。 ガイドラインの対策例は、パスワードについて「10文字以上でできるだけ長く」「大文字、小文字、数字、記号を含めて複雑に」「同じID・パスワードを複数サービス間で使い回さない」を挙げ、とくにVPNや重要なシステムでは可能な場合に多段階認証、多要素認証、パスキーなどの認証強化機能を利用するとしています。注目したいのは、公的なガイドラインが求めているのが「長さ・複雑さ・使い回さないこと」であって、定期的な変更ではないことです。90日ごとの変更を義務づけると、末尾の数字を増やすだけの運用に落ち、かえって強度が下がります。定期変更のルールを廃止し、その分の労力を多要素認証の有効化と使い回しの排除に振り向けるほうが合理的です。

更新を止めない。 警察庁が挙げる備えも、ソフトウェア更新、パスワードの適切な管理、アクセス権限等の適切な設定であり、とくに主要な侵入経路であるVPN機器等は速やかな対応が必要だとしています。ここで社長が決めるべきは技術ではなく運用です。ネットワーク機器の一覧（機種・設置年・保守契約の有無・更新の責任者）を1枚にして、更新の担当と頻度を決めること。保守が切れている機器やサポートが終了したOSが業務で動いているなら、それは「後回しにできる課題」ではなく「開いたままの入口」です。

権限を絞る。 全員が共有フォルダのすべてを見られる状態は、ランサムウェアに当たったときの被害範囲をそのまま最大化します。ガイドラインの対策例にも、共有範囲を限定すること、従業員の異動や退職時には速やかに設定を変更（削除）することが挙げられています。棚卸しの対象は、社内ファイルサーバー、クラウドストレージ、会計・販売システム、そしてメールです。退職者のアカウントが残っていないか、業務委託先に渡した権限が案件終了後も生きていないかを、四半期に一度は確認してください。同じことはデータにも言えます。案件が終わった委託先に顧客名簿が残り、そこから漏れた例は「委託先で顧客12.4万件流出の恐れ。預けた名簿は返却まで確かめる」で取り上げています。

❌ 「パスワードは3か月ごとに変更」を全社ルールにして、多要素認証は未設定のまま ⭕ 定期変更は廃止し、管理者アカウントとVPNから順に多要素認証を有効化する

バックアップは「取れているか」ではなく「戻せるか」

バックアップが第2層の中心になるのは、ランサムウェアが復旧手段そのものを狙うからです。警察庁のレポートは攻撃の流れとして、攻撃者がネットワーク内部を探索して重要データやバックアップを物色し、復旧を妨害するためバックアップも一緒に暗号化される場合が多いと説明しています。共有フォルダに置いただけの「バックアップ」は、この時点で同時に失われます。

IPAの「中小企業のためのセキュリティインシデント対応の手引き」（ガイドライン付録8）は、適切なバックアップ方法として、バックアップに使用する装置・媒体は複数用意してバックアップ時のみパソコンと接続する、またはバックアップしたファイルのうち1つはオフサイトに保存する、そしてバックアップしたファイルは定期的に復元（リストア）できるか確認する、という点を挙げています。データを3つ持ち、2種類の媒体に保存し、1つは離れた場所に置くという「3-2-1」の考え方と同じ方向です。

実務で差がつくのは最後の一点、復元テストです。取得はできていたのに復元手順が分からない、世代が古すぎて業務に使えない、という理由で結局作り直しになる例は珍しくありません。年に一度でよいので、「先月時点の受注データを、別の端末に実際に戻す」ところまでやってみてください。所要時間を測っておけば、それがそのまま自社の復旧目標時間の現実値になります。

（出典：IPA中小企業のためのセキュリティインシデント対応の手引き（ガイドライン第4.0版 付録8）、2026年3月）

❌ 外付けHDDを常時接続し、毎晩自動で上書きしている ⭕ 取得後は物理的に取り外し、月1回は別世代を残し、年1回は実際に復元して確認する

当たってしまったときの初動 電源を落とさず、支払わない

最初の1時間の判断が被害範囲を決めます。ここは平時に決めておかないと、当日は必ず迷います。

1. ネットワークから切り離す。 警察庁は、まず感染端末等をネットワークから隔離して被害拡大を防ぐのが望ましいとしています。有線LANを抜き、無線を切ります。
2. 電源は安易に落とさない。 同レポートは、慌てて電源をオフにするとログ等の侵入の痕跡が失われ、その後のフォレンジック調査が困難になる可能性があると明記しています。IPAの手引きも、対象機器の電源を切る等の不用意な操作でシステム上に残された記録を消さないよう求めています。初動では被害拡大防止とデータ保全を優先します。
3. 経営者へ即時報告し、体制を立ち上げる。 IPAの手引きは、責任者が経営者へ速やかに報告し、経営者が対応体制を立ち上げて責任者と担当者、役割分担を明確にする流れを示しています。報告経路は紙に印刷して掲示してください。社内システムが止まっている状況では、社内チャットの連絡網は読めません。
4. 外部の窓口へ相談する。 IPAは企業組織向けサイバーセキュリティ相談窓口を設けており、警察庁はサイバー事案に関する通報等のオンライン受付窓口を案内しています。JPCERTコーディネーションセンターもインシデント対応依頼を受け付けています。連絡先は事前に控えておきます。
5. 届出・報告の要否を判断する。 ウイルス感染や不正アクセスの場合はIPAの届出窓口へ、犯罪性がある場合は警察へ、個人データの漏えいがある場合は個人情報保護委員会へ。詳細は次章で扱います。

身代金の扱いについては、警察庁が被害者に対して説明している内容がそのまま判断材料になります。すなわち「犯罪グループ等の活動資金となることが懸念される」こと、そして「暗号化されたデータの復号が保証されるわけではない」ことです。支払っても戻る保証はなく、資金は次の攻撃の原資になります。加えて、警察は支払いの有無を含む被害情報の提供など、捜査への協力を求めています。「払えば早く終わる」という誘惑が最も強くなるのは事故当日ですから、支払わない方針は平時に文書で決めておくべきです。

なお、復旧手段としてはNo More Ransom等から復号ツールを入手して試す道もありますが、すべてのランサムウェアに対応しているわけではない、とIPAの手引きも注記しています。頼りになるのは、やはり自社のバックアップです。

（出典：IPA企業組織向けサイバーセキュリティ相談窓口／警察庁サイバー事案に関する通報等のオンライン受付窓口）

事故の後にかかる法的義務と、その時間制限

技術的な復旧と並行して、期限のある法的手続きが走ります。個人データが漏れた、あるいは漏れたおそれがある場合、個人情報取扱事業者には個人情報保護委員会への報告義務が生じます（個人情報保護法第26条第1項）。報告が義務づけられるのは次の類型です。

期限は2段階です。速報は発覚日から3〜5日以内、確報は発覚日から30日以内。ただし不正な目的で行われたおそれがある場合の確報は60日以内とされています。ランサムウェアや不正アクセスは3番目の類型に当たるため、たとえ「暗号化されただけで持ち出された証拠はない」という段階でも、報告対象になり得る点に注意が必要です。

さらに、同法第26条第2項により、本人に対しても当該事態が生じた旨を通知しなければなりません。本人への通知が困難な場合であって、本人の権利利益を保護するため必要な代替措置をとるときは例外とされていますが、原則は通知です。顧客名簿を扱う会社なら、通知文の準備と問い合わせ窓口の設置まで見込んでおく必要があります。

実務面では、2025年10月1日から、ランサムウェア事案による個人データの漏えい等については関係省庁申し合わせに基づく共通様式で報告できるようになりました。省庁ごとにばらばらの様式へ書き分ける負担が減ったということです。また、業種によっては個人情報保護委員会ではなく事業所管の省庁へ報告する（権限委任）扱いになるため、自社の報告先を平時に一度確認しておくと当日の混乱を避けられます。

制度自体も動いています。「個人情報の保護に関する法律等の一部を改正する法律」は2026年7月17日に公布され、課徴金納付命令制度の創設などが盛り込まれました。施行日は一部を除き公布日から2年以内で政令で定める日とされており、本稿執筆時点では未確定です。最新状況は個人情報保護委員会の公式ページで確認してください。

（出典：個人情報保護委員会漏えい等の対応とお役立ち資料）

従業員教育で効くもの、効かないもの

社内教育は「やっているつもり」になりやすい領域です。IPAが2025年5月に公表した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（有効回答4,191件）では、従業員に対する情報セキュリティ教育を特に実施していないと回答した企業が63.6％でした。同じ調査では、情報セキュリティ対策投資について全体の約7割が「投資していない」または「わからない」と回答し、投資していない一番の理由は「必要性を感じていない」が約44％を占めています。

そのうえで、限られた時間で効くものと効かないものを分けます。効くのは、判断の分岐点を減らす仕組みです。管理者権限を持つ人を数名に限定する、共有フォルダの権限を業務単位で切る、送金や振込先変更は必ず電話で本人確認する、といった「うっかりしても事故になりにくい設計」がこれに当たります。ガイドラインの「5分でできる！情報セキュリティ自社診断」も、25項目のうち相当数が個人の注意力ではなく設定とルールの問題です。

逆に効きにくいのは、年1回の座学と、犯人捜しになる訓練です。とくに後者は逆効果になり得ます。不審な添付ファイルを開いてしまった従業員が、叱責を恐れて報告を1日遅らせれば、その間に被害は全社へ広がります。IPAのガイドラインの対策例にも、管理者が従業員に適宜注意喚起し、従業員はセキュリティの懸念は速やかに報告する、という双方向の運用が挙げられています。「開いてしまった時点では誰も責めない。報告が遅れた場合だけを問題にする」という方針を、社長自身の言葉で明示してください。訓練メールを実施する場合も、開封率の公表は部署単位までにとどめるのが穏当です。

日常業務の設計そのものを見直すなら、バックオフィスDXの進め方の考え方と一体で進めると、ルールが増えるだけの改善になりにくくなります。

❌ 期末に全社集合研修を1回、開封してしまった人の名前を朝礼で共有 ⭕ 権限と設定で事故を起こりにくくし、報告を1時間以内に上げた人を評価する

（出典：IPA2024年度 中小企業における情報セキュリティ対策に関する実態調査、2025年5月）

取引先のチェックシートにどう答えるか SECURITY ACTIONという現実解

大企業との取引で、セキュリティに関するチェックシートの提出を求められる場面が増えています。先の実態調査では、発注元企業から情報セキュリティに関する要請を受けた経験がある企業は1割強で、要請内容の8割が「秘密保持のための措置」（79.6％）でした。要請に対応するうえでの課題は「対策費用の用意、費用負担の検討」（51.3％）が最多で、「発注元企業との契約内容の明確化」（47.0％）、「専門人材の確保・育成」（32.9％）が続いています。費用と人だけでなく、契約の書き方が課題になっている点は見落とされがちです。秘密保持条項の考え方は契約書のチェックポイント 取適法時代に経営者が見るべき順番でも整理しています。

この文脈で使えるのがIPAの「SECURITY ACTION」です。中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度で、取り組み段階に応じた一つ星・二つ星のロゴマークを無料で使用できます。要件は次のとおりです。

自社診断は25項目に4段階（実施している4点／一部実施2点／実施していない0点／わからない−1点）で答える様式で、ガイドラインの付録3として無料配布されています。二つ星の申し込みに合格点はなく、点数は問われません。年1回など定期的に診断し、把握・計画・実施のサイクルを回すことが期待されています。なお、ISMS（ISO/IEC 27001）の情報セキュリティ方針を公開している場合は、基本方針を公開しているとみなせます（個人情報保護方針の公開は該当しません）。

制度運用は2026年4月1日にリニューアルされ、「SECURITY ACTION管理システム」にGビズIDでログインして申し込む方式になりました。GビズIDはプライムまたはメンバーのアカウントが必要で、エントリーは使用できません。申込直後に自己宣言IDとロゴマークが取得できるようになった一方、補助金申請では新方式のIDが求められる場合があるため、募集要領の確認が要ります。実際、IPAは自己宣言を申請要件または加点対象としている制度として、デジタル化・AI導入補助金（旧：IT導入補助金）、DX認定制度（二つ星）、自治体の各種補助金などを一覧で公開しています。補助金の探し方は補助金・助成金の探し方 公式サイトの使い分けと申請でつまずく場所も参考になります。

表記には注意が必要です。SECURITY ACTIONはIPAが対策状況を認定する制度ではありません。

❌ 会社案内に「SECURITY ACTION一つ星の認定を受けました」と書く ⭕ 「SECURITY ACTION一つ星を宣言しました」と書く

さらに一段上の流れとして、経済産業省とIPAが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めています。委託元が取引契約等で委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認することを想定した制度で、2026年8月28日に基本規程等が公開されました。委託先ごとにばらばらのチェックシートを書かされる負担を減らす狙いもあり、中小企業ほど活用効果が大きいと想定されています。現時点では準備段階ですが、取引先から求められる水準が「自己宣言」から「第三者による確認」へ移りつつある方向は読み取れます。

（出典：IPASECURITY ACTION／IPASCS評価制度、2026年8月）

外部に頼む段になったら 何を基準に選ぶか

人を採らずに監視と初動を確保する選択肢として、経済産業省とIPAが提供する「サイバーセキュリティお助け隊サービス」の枠組みがあります。中小企業に対するサイバー攻撃への対処として不可欠なサービスをワンパッケージにまとめたもので、監視（見守り）、駆け付け、保険が一体になっている点が特徴です。監視タイプはネットワーク監視、端末監視、および両者の併用の3種類から選べます。IPAはサービス提供事業者一覧と監視種別サービス一覧、サービス価格一覧表を公開しており、価格や対応地域を横並びで比較できます。経済産業省の推奨コメントによれば、これまで全国で1万社を超える企業に導入されています。

特定の製品を勧めることはできませんが、選定時に見るべき基準は整理できます。

• 検知したあと誰が動くか。 通知が飛んでくるだけのサービスか、駆け付けや遠隔対応まで含むか。自社に判断できる人がいないなら、後者でなければ意味が薄い
• 受付時間。 攻撃は営業時間内に起きるとは限らない。夜間・休日の一次対応の有無を確認する
• 監視の範囲。 社外へ持ち出すノートPCが多い会社は、ネットワーク監視だけでは端末が抜ける
• 費用の総額。 月額に加えて、初期費用、機器レンタル、契約期間、解約条件まで含めて比較する
• 保険の中身。 補償対象が調査費用か、復旧費用か、賠償か。免責と上限額を必ず確認する
• ログの保存期間。 事故後の調査は保存されたログがすべて。何日分残るかは復旧の質を左右する

導入の効果測定を回すなら、KPIの設計と月次運用の考え方で、検知件数ではなく「一次対応までの時間」を指標に置くのが実務的です。

（出典：IPAサイバーセキュリティお助け隊サービス）

5問で確認する　自社のセキュリティの備え

専任担当がいなくても押さえるべき要所ができているかを確かめる簡易チェックです。

SELF CHECK / 無料・登録不要

5問で確認｜セキュリティの備え

いまの自社の状態にいちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。

回答の進捗0 / 5

1. Q1管理者アカウントとVPNに、多要素認証を設定している

   すべて設定済み一部だけ設定していない
2. Q2OS・ソフト・VPN機器などネットワーク機器の更新状況を一覧で把握している

   一覧で把握PCだけ把握把握していない
3. Q3バックアップを取得後に切り離して保管し、別端末への復元テストをしたことがある

   復元テスト済み取っているが試していない取っていない
4. Q4事故の連絡先（IPA・警察・保守ベンダー・顧問弁護士）と、身代金を支払わない方針を決めている

   文書で決めているなんとなく決めていない
5. Q5個人データが漏れたときの報告先と期限（速報3〜5日・確報30日）を把握している

   把握している聞いたことはある知らなかった

結果を確認する›回答をリセット

※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。

90日でここまでやる 経営者のための実行順序

最後に、決裁と作業を時間軸に並べます。専任担当がいない会社でも、社長が号令をかければこの範囲は動きます。

1〜30日目。 情報資産とネットワーク機器の一覧を1枚にする。管理者アカウントとVPNに多要素認証を有効化する。退職者・不要アカウントを削除する。パスワードの定期変更ルールを廃止し、使い回しの棚卸しを指示する。サポートが終了しているOSと保守が切れている機器を洗い出し、更新の予算と時期を決める。

31〜60日目。 バックアップを見直し、取得後に切り離す運用へ変更する。別端末への復元テストを1回行い、所要時間を記録する。インシデント時の連絡先一覧（社内の報告先、IPA、警察、保守ベンダー、顧問弁護士）を紙で掲示する。「開いてしまった人を責めない」方針を全社に周知する。

61〜90日目。 「5分でできる！情報セキュリティ自社診断」を実施し、点数と弱い項目を把握する。情報セキュリティ基本方針を策定して自社サイトに公開し、SECURITY ACTIONの二つ星を宣言する。取引先から届いているチェックシートの要求水準と、自社の診断結果を突き合わせる。第3層の外部サービスを比較し、翌期の予算に載せる。

ここまでで支出が発生するのは、バックアップ媒体、パスワード管理ツール、そして更新が必要な機器だけです。残りは社長の意思決定と社内の作業時間で片づきます。セキュリティ対策は、いまや取引を続けるための与件になりつつあります。「必要性を感じていない」という理由で止まっている会社が約4割を占めるいま、着手そのものが差になります。

よくある質問

出典・調査の対象範囲

※費用の3層区分、90日の実行順序、自己診断は編集部の整理です。個人情報保護法の改正は施行日が未確定のため、最新状況は個人情報保護委員会の公式ページで確認してください。