中小企業のセキュリティ対策は何から始めるか

担当者がいない中小企業でも、何から手をつければよいかと、自社で決めることと業者に頼むことの分け方が分かります。

更新 2026-11-02　SECUNOA（セキュノア）

中小企業のセキュリティ対策は、製品を買うことからではなく、今の状態を知り、費用のかからない決めごとから始めます。この記事では、社長が決める 5 つと、パソコンやネットワークの業者に確かめる 3 つに分けて説明します。自社が今どこまでできているかは、無料の質問（最大 14 問・約 5 分）で整理できます。答えは送信も保存もしません。

中小企業のセキュリティ対策は何から始めるか

答えは「止まると困るもの」と「だまし取られると困るもの」を守る決めごとからです。警察庁のまとめでは、令和 7 年のランサムウェアの被害のうち、中小企業が約 6 割（226 件中 143 件）を占めました。会社の規模が小さいからサイバー攻撃に狙われない、ということはありません。

ただし、全部を一度にやる必要はありません。次の順で進めます。

  1. 社長が決めること（決めること自体に費用はかからない）
  2. 業者に確かめること・頼むこと（今の契約の範囲で済むかを聞く）
  3. 足りない所に、費用をかけるかを決めること

社長が決める 5 つ

1. 振込先の変更は、前から知っている電話番号で確かめる

取引先を名乗るメールで「振込先が変わりました」と言われたら、メールに書かれた番号ではなく、前から知っている電話番号にかけて確かめる、と経理の担当と決めます。送ったお金は取り戻しにくいためです。

2. 辞めた人のアカウントを、辞めた日に止める

退職者のメールやクラウドのアカウントが残っていると、パスワードが漏れたときの入口になります。退職者のアカウントの削除（または停止）を、誰が・いつするかを決めます。今残っているものがないか、一度一覧で確かめてください。

3. メールとクラウドの二段階認証を、全員に必須にすると決める

パスワードのほかに、スマートフォンへの通知やコードでも本人を確かめる設定です。多くのメールやクラウドのサービスでは、管理者が全員に必須にできます。設定は、管理画面を触れる人か業者に頼みます。

4. バックアップを、普段つながっていない所にも置く

警察庁のまとめでは、ランサムウェアの被害で、復元できたかを答えた 99 件のうち、バックアップから復元できたのは 20 件でした。復元できなかった理由を答えた 72 件のうち、48 件はバックアップも暗号化・消去されていたことです。警察庁は、バックアップをネットワークから切り離してオフラインで保存するなど、暗号化されないように備えることを勧めています。普段は外しておく外付けディスクなど、切り離した置き場所を一つ決めます。どこに置くかは業者と相談します。戻せるかどうかは、バックアップは戻せるかを確かめる記事の質問で確かめます。

5. 何かあったとき、最初に誰に連絡するかを決める

画面がおかしい、身代金を求める表示が出た、というときに、誰が誰に連絡するかを紙 1 枚に書いておきます。保守の業者の連絡先と、営業時間外にもつながるかも書いておきます。

業者に確かめる 3 つ

社内に詳しい人がいなくても、次の 3 つは保守の業者に聞いて確かめられます。業者が把握していない所があれば、それも分かります。

確かめること 聞き方の例
社外から会社につなぐ仕組み（VPN 機器など）の更新を、誰がしているか 「VPN 機器の製品名と、最後に更新した日を教えてください。更新は保守契約に含まれますか」
パソコンの更新が、実際に全台に入っているか 「Windows の更新が止まっているパソコンがないか、一覧で確かめられますか」
バックアップの置き場所と、戻した試しがあるか 「バックアップは普段つながっていない所にもありますか。最後に戻せるか試したのはいつですか」

社外からの接続を最初に挙げるのは、ランサムウェアの侵入経路として一番多いからです。警察庁のまとめでは、侵入経路を答えた 92 件のうち 61 件が VPN 機器、19 件がリモートデスクトップでした。

ホームページを持っている場合は、古いソフトや証明書の期限も確かめます。ホームページの対策はホームページのセキュリティ対策の記事にまとめています。

国の目安：IPA のガイドラインと SECURITY ACTION

IPA（情報処理推進機構）は「中小企業の情報セキュリティ対策ガイドライン」を公開しています。2026 年 3 月に第 4.0 版が出ました。経営者向けの編と、社内で実践する手順の編に分かれていて、付録に「5 分でできる！情報セキュリティ自社診断」などがあります。

まず取り組む目安として、IPA は「情報セキュリティ 6 か条」を挙げています。

  1. OS やソフトウェアは常に最新の状態にしよう
  2. ウイルス対策ソフトを導入しよう
  3. パスワードを強化しよう
  4. 共有設定を見直そう
  5. バックアップを取ろう
  6. 脅威や攻撃の手口を知ろう

この 6 か条に取り組むことを宣言すると、IPA の「SECURITY ACTION」の一つ星を使えます。「5 分でできる！情報セキュリティ自社診断」で自社の状況を把握し、情報セキュリティ基本方針を定めて外部に公開すると、二つ星です。SECURITY ACTION は、取り組むことを自ら宣言する仕組みです。

取引先から「セキュリティ対策評価制度」への対応を聞かれた場合は、SECURITY ACTION とは別の国の制度なので、セキュリティ対策評価制度の記事で、何を求められているかの確かめ方を見てください。

やらなくていいこと

  • 今の状態を確かめないまま、高額なセキュリティ製品を買う
  • 全部の対策を一度に始めようとして、どれも終わらない
  • 「うちは小さいから狙われない」と考えて、決めごとを後回しにする

SECUNOA でできること

無料の質問では、上の内容を含む最大 14 問に答えると、「回答によるとできている所」「対応が要る所」「まだ確かめが要る所」と、まずやること 3 つを表示します。

答えだけでは分からない所を確かめたい場合は、セキュリティの現状整理（29,800 円・税込）があります。大事な 5 つ（バックアップ、社外からの接続、辞めた人のアカウント、メールの二段階認証、振込先の確かめ方）を、送っていただいた設定画面の写真や書類で人が確かめます。写真で確かめられたことと、確かめられなかったことを分けて、現状の確認表・やることリスト・もしもの時の連絡表の 3 つにまとめます。やることリストには、業者への頼み方の文面を付けます。

出典

よくある質問

中小企業のセキュリティ対策に、いくらかければよいですか。

最初の 5 つ（振込先の確かめ方、辞めた人のアカウント、二段階認証、バックアップの置き場所、連絡先）は、決めること自体に費用はかかりません。設定や保存先の用意に費用がかかるかは、業者に確かめてください。製品を買うかどうかは、今の状態を確かめてから、見積もりで判断します。

担当者がいなくても対策できますか。

できます。社長が決めることと、保守の業者に確かめることを分ければ、専任の担当者がいなくても進められます。業者に聞く内容は、文面にして送るのが確実です。

ウイルス対策ソフトを入れていれば十分ですか。

それだけでは足りません。IPA の情報セキュリティ 6 か条も、ソフトの更新、パスワード、共有設定、バックアップなどを並べて挙げています。警察庁のまとめでは、ランサムウェアの侵入経路を答えた 92 件のうち 61 件が VPN 機器、19 件がリモートデスクトップで、パソコンの外の入口も守る必要があります。

自社のサイトで確かめる

ドメインを入れるだけで、この記事に出てきた項目が外からどう見えているかを無料で点検できます。設定は変えません。結果はその場で出ます。

関連するページ