情報セキュリティ対策に取り組みたい。 でも、何から始めればいいのか分からない。
多くの中小企業の経営層やIT責任者が、こうした悩みを抱えています。
大企業とは異なり、専任のセキュリティ部門を持たない中小企業では、セキュリティ対策の優先順位を付けるだけでも一苦労です。 限られたリソースの中で、「何を」「いつ」「どこまで」実施すべきか——この判断が企業の生き残りを左右します。
本記事では、IPA（独立行政法人 情報処理推進機構）が示した「中小企業の情報セキュリティ6か条」を、実務的にどう落とし込むかを、優先順位付きで解説します。
⇒【ロリポップ！固定IPアクセス】 月額490円、すぐに使えて最大2ヶ月間無料！
IPA情報セキュリティ6か条とは
IPAが掲げる「中小企業の情報セキュリティ6か条」は、経営層が最初に取り組むべき基本対策を厳選したものです。
これは、「セキュリティ対策は複雑で難しい」という誤解を払拭し、「最小限の投資で最大の効果を」という思想に基づいています。
IPA情報セキュリティ6か条（2024年版）
- OS・ソフトウェアは常に最新の状態にしよう
- ウイルス対策ソフトを導入しよう
- パスワードを強化しよう
- 身に覚えのないメール添付ファイルは開かないようにしよう
- ウェブサイトの安全性を確認しよう
- バックアップを取ろう
従来の5か条に「バックアップを取ろう」が追加され、2024年に6か条へ改定されました。
優先順位を付けて実施する
6つすべてを一度に実施するのは難しいため、優先順位を付けて段階的に進めることをお勧めします。
第1段階：即座に実施すべき対策（1週間以内）
1．OS・ソフトウェアは常に最新の状態にしよう
理由
セキュリティ脆弱性（あなの）の多くは、古いOSやソフトウェアを対象にしています。 最新版に更新することで、既知の脆弱性を塞ぐことができます。
実施方法
- Windowsの自動更新を有効にする
- macOSのシステム環境設定から「ソフトウェア・アップデート」を有効にする
- Office、Adobe製品などの主要ソフトウェアを最新版に更新する
- ブラウザ（Chrome、Firefox、Edge）を最新版に保つ
実施コスト
ほぼ0円。 ただし、更新に伴う一時的なダウンタイムが発生する可能性があります。
2．ウイルス対策ソフトを導入しよう
理由
ウイルス対策ソフトは、既知のマルウェアの侵入を防ぐ基本的な防衛手段です。
実施方法
- 既存従業員のパソコン全台に導入する
- スマートフォン・タブレットにも導入する
- ライセンス更新を自動化する（ライセンス切れを防ぐため）
主な選択肢
- Kaspersky（法人向け）
- ESET（中小企業向け）
- McAfee（多機能）
- Windows Defender（標準装備、低コスト）
実施コスト
1台あたり年3,000〜10,000円程度。 全従業員分となると、年10万〜50万円前後。
第2段階：2週間以内に実施すべき対策
3．パスワードを強化しよう
理由
弱いパスワードは、攻撃者が容易に破ることができます。 特に、社内システムやクラウドサービスのパスワードが破られると、企業全体が危険にさらされます。
実施方法
- 長さの強化 12文字以上の長いパスワードを設定する
- 複雑さの強化 大文字・小文字・数字・記号を混ぜる
- 定期変更 90日ごとの変更ルールを導入する
- 再利用禁止 複数サービスで同じパスワードを使わない
多要素認証（MFA）の導入
パスワード単独ではなく、スマートフォンのアプリやセキュリティキーを組み合わせることで、セキュリティが大幅に向上します。 特に、メールアカウント、クラウドサービス（Google Workspace、Microsoft 365など）への実装は必須です。
実施コスト
ほぼ0円（ポリシー変更による）。 ただし、従業員教育に時間を要します。
4．身に覚えのないメール添付ファイルは開かないようにしよう
理由
メール経由のマルウェア感染は、依然として最大の脅威です。 特に、実在する企業になりすましたメール（スピアフィッシング）による被害が増加しています。
実施方法
- 実行形式ファイル（.exe、.bat、.vbs）の受け取り制限を設定する
- メールゲートウェイを導入し、不審なファイルをブロックする
- 従業員に対し「添付ファイル受信時には疑う」という意識を植え付ける
- 定期的なセキュリティアウェアネス訓練を実施する
実施コスト
1,000〜3,000円/月程度（メールゲートウェイサービス）。
第3段階：1か月以内に実施すべき対策
5．ウェブサイトの安全性を確認しよう
理由
フィッシングサイトなど、偽のウェブサイトにアクセスさせられ、パスワードやクレジットカード情報を盗まれるリスクがあります。
実施方法
- SSL/TLS証明書の確認 URLが「https://」で始まっているかを確認する
- サイト認証の確認 ブラウザのアドレスバーに「鍵マーク」が表示されているか
- Webブラウザのセキュリティ機能 Google Chromeやブラウザに搭載されている「詐欺サイト検出機能」を有効にする
- フィッシング対策ソフト 不審サイトへのアクセスを遮断するプラグインを導入
実施コスト
ほぼ0円（ブラウザ標準機能を活用）。
6．バックアップを取ろう
理由
ランサムウェア被害や、ハードディアク障害時に、データ喪失を防ぐ唯一の手段がバックアップです。
実施方法
- バックアップの対象 重要なファイル、顧客データ、会計データなど
- バックアップ先 外部ストレージ（USB、NAS）またはクラウドサービス
- バックアップ頻度 最低限、1日1回。重要なデータは複数回
- 復旧テスト 実際に復旧できるか、定期的に確認
クラウドバックアップサービスの活用
- Google Drive、Dropbox、OneDriveなどのクラウドストレージ
- 専用のバックアップソフト（Acronis True Image など）
- NAS（ネットワークストレージ）の導入
実施コスト
クラウドストレージ：年1,000〜5,000円程度。 NAS：初期投資5万〜20万円＋維持費。
優先順位付けのコツ
では、中小企業で限られたリソースの中で、これら6つの対策をどう優先付けするか。
経営層から理解を得る
セキュリティ対策への投資には、経営層の理解が不可欠です。 以下のようなアプローチを試してください。
- 被害シミュレーション 「情報漏えい時には、顧客への賠償金や信用失墜による損失がいくらになるか」を示す
- コスト比較 「セキュリティ対策のコスト」 vs 「被害時の損失」を比較する
- 段階的計画 「今月は1と2」「来月は3と4」といった段階的な計画を示す
現状把握から始める
対策を始める前に、現在の状況を把握することが重要です。
- どのパソコンにOSのセキュリティパッチが適用されていないか
- ウイルス対策ソフトの未導入台数は
- パスワードポリシーが設定されていないサービスは
この診断には、IPA提供の「5分でできる！情報セキュリティ自社診断」（https://www.ipa.go.jp/security/guide/sme/index.html）が役立ちます。
業界別・企業規模別のベストプラクティス
業界によって、優先するべき対策は異なります。
医療・介護業界
患者情報の保護が最優先。 バックアップと多要素認証の導入を最初に。
製造業
知的財産の保護が最優先。 ウイルス対策ソフトとメール制限を最初に。
小売業
顧客クレジットカード情報の保護が最優先。 パスワード強化とバックアップを最初に。
SECURITY ACTION認定を目指す
IPA では、「SECURITY ACTION」という認定制度を運営しており、中小企業がセキュリティ対策に本気で取り組む姿勢を示すことができます。
SECURITY ACTION 1つ星
情報セキュリティ6か条の「すべて」に取り組むことで認定。
SECURITY ACTION 2つ星
情報セキュリティ6か条に加え、より高度な対策（ネットワークセキュリティなど）にも取り組むことで認定。
取引先からの信用獲得や、従業員のセキュリティ意識向上につながるため、検討の価値があります。
固定IPで安全なアクセス環境を実現するなら「ロリポップ！固定IPアクセス」
中小企業のセキュリティ対策において、リモートワークのアクセス環境も重要な要素です。
ロリポップ！固定IPアクセスは、今お使いのインターネット回線をそのまま活かして固定IPアドレスを利用できるVPNサービスです。 月額539円（税込）から、初期費用0円・最大2ヵ月無料で始められます。
WireGuardによる高速接続で、VPN特有の速度低下も気になりません。 IP制限をかけたい社内システムやクラウドサービスへのアクセス管理にぴったりです。 プロバイダの乗り換えも不要で、申し込んだその日から利用できます。
まとめ
中小企業の情報セキュリティ対策は、「すべてを完璧に」を目指す必要はありません。 IPA の6か条を優先順位付きで実施することで、経営リスクを大幅に低減できます。
今日から、第1段階の3つの対策（OS更新、ウイルス対策、パスワード強化）から始めてみてください。 その一歩が、企業全体を守る基盤になるのです。
