① なぜ中小企業ほど狙われるのか
攻撃者から見た中小企業は、「セキュリティが弱く、金になるデータを持っている」理想的な標的です。
- 情シス専任者がおらず、パスワード・ソフト更新が放置されがち
- 取引先の大企業につながるルートとして、サプライチェーン攻撃の足場に使われる
- ランサムウェア被害時、復旧資金が乏しく「泣く泣く身代金を払う」確率が高い
IPA(情報処理推進機構)のデータでは、2025 年のサイバー被害企業の約 6 割が従業員 100 名以下の中小企業です。札幌・北海道でも、2024-2025 年にかけてランサムウェア・ EC サイト改ざん・不正アクセス事件が複数報道されています。
② 最優先:今すぐやるべき 4 項目
Google / Microsoft 365 / Slack / GitHub / 社内システムなど、業務で使う全サービスで 2FA を必須化します。パスワード漏洩が起きても、二段階目があれば侵入を防げます。
各サービスの「セキュリティ設定」から認証アプリ(Google Authenticator、Microsoft Authenticator 等)を登録。SMS 認証より認証アプリを推奨。
Windows ・ macOS ・ Linux の自動更新を有効化。古い OS(Windows 10 以前など)は、脆弱性が放置されたまま。使い続けるならセキュリティ更新サポート終了日の確認は必須です。
Windows: 設定→ Windows Update で「最新の状態」確認。macOS: システム設定→一般→ソフトウェアアップデート。
紙や Excel で管理されたパスワードは、流出リスクが極めて高い。1Password、Bitwarden、Dashlane 等のパスワード管理ツールを導入し、サービスごとに自動生成された強力なパスワードを使います。
Bitwarden は無料プランでも個人利用可。ビジネス版は 1 人月額 3〜 5 ドル。全社員に導入→既存パスワードを順次強力なものに変更。
ランサムウェア最大の対策は「身代金を払わなくても業務復旧できる」バックアップ。日次自動バックアップ+週次オフラインバックアップ(外付け HDD またはクラウド)を取得します。
Google Workspace / Microsoft 365 の自動バックアップ機能、または Backblaze、Acronis などのクラウドバックアップ。「オフライン保管」も必須(ネットワーク接続中は共に暗号化される)。
③ 中優先:1 ヶ月以内に整備したい 4 項目
フィッシングメール・不審なリンク・怪しい USB、など基本的なリスクを全社員が理解しているか。「クリックしない」の判断力を育成することが、技術対策以上に重要です。
WordPress サイト、EC サイト、業務システムなど、公開中のシステムに脆弱性がないかチェック。無料のオンライン診断ツールもありますが、本格的には専門業者による診断を推奨。
退職者のアカウントが残っていると、情報漏洩や不正アクセスの温床に。退職日当日に全アカウントを無効化するフローを文書化します。
公開 Web サイトを狙う攻撃をブロック。Cloudflare WAF は無料プランでも基本機能が使え、中小企業に特におすすめ。
④ 継続:1 年かけて体制化する 2 項目
「何を守り、何が起きたらどう動くか」の方針を文書化。ISMS 認証取得まで狙う場合は専門コンサルの支援を受けるのが現実的。合同会社 SKY のサイトでも情報セキュリティ指針を公開しています。
情報漏洩が発生した場合、個人情報保護法の改正により個人情報保護委員会への 72 時間以内の報告義務があります。発生時の社内連絡網・外部連絡先・対応フローを事前に整備します。
⑤ 自己診断チェックリスト
以下に 1 つでも「No」があれば、該当項目から着手してください。
- □ 全社員が業務アカウントで 2FA を有効化している
- □ パスワードは全員パスワード管理ツールで管理
- □ 日次バックアップ+オフライン保管あり
- □ 退職者アカウントの即時停止フローあり
- □ Web サイトに WAF が導入されている
- □ 情報セキュリティ方針が文書化されている
- □ インシデント発生時の対応フローが社内で共有されている
まとめ
セキュリティ対策は「全部一度に」では続きません。今日やる 4 項目、1 ヶ月でやる 4 項目、1 年かけてやる 2 項目と段階的に進めるのが現実的です。
合同会社 SKY は、札幌・北海道の中小企業向けに、セキュリティ診断から対策導入、運用体制整備までサポートしています。「何から始めればいいかわからない」というご相談も歓迎です。
合同会社 SKY では、Web サイト構築時にWAF ・ SSL ・バックアップ・監視を標準装備でご提供しています。既存サイトのセキュリティ診断・改善提案もお気軽にどうぞ。