中小企業のセキュリティ対策、最低限これだけ｜IPAの6か条の優先順位、チェックリスト、担当者がいない会社の進め方

01この記事でわかること（3行まとめ）

• 最低限は、IPAの「情報セキュリティ6か条」です。大半は今ある機能と設定でできます。まず今週、社内で実行を決めます。
• 次に「5分でできる！情報セキュリティ自社診断」で弱いところを見ます。25項目です。これをもとにSECURITY ACTIONの宣言まで無料で進めます。
• お金をかけるなら、監視や駆けつけがセットのお助け隊を調べます。担当者がいない会社ほど、外の力を借りる考え方が合います。

02中小企業は本当に狙われるのか：警察庁の統計

警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、企業・団体からのランサムウェアの被害報告は123件でした。規模別では中小企業が79件で、警察庁は約6割を占めるとしています。詳しい数字は令和8年上半期の統計の記事にまとめました。

IPAの2024年度の実態調査（有効回答4,191件）では、投資していない理由の一番は「必要性を感じていない」で、約44%でした。一方、2023年度に被害を受けた企業は、ウイルス感染が14.8%、不正アクセスが10.0%と報告されています。「小さい会社は狙われない」という前提で考えないほうがよさそうです。

同じ調査でIPAは、「5分でできる！情報セキュリティ自社診断」の項目を実施することが、企業の規模に関わらず被害の低減に効果のある対策だと分析しています。特別な製品より先に、基本から始める理由がここにあります。

全体の順番：IPAの4つのSTEP

IPAのガイドラインは、取り組みを4段階に分けています。全部を一度にやる必要はありません。多くの会社は、STEP1と2をこの記事の範囲として進めれば、次の段階が見えてきます。

IPAは、STEP1と2は社内の人材で取り組むのが望ましく、STEP3と4で社内では難しい場合は外部専門家の活用も有用だとしています。

03優先順位：今日・今週・今月にやること

1. 今日：パスワードとOSの更新。メールと銀行、クラウドの管理者アカウントから、使い回しをやめ、多要素認証を設定します。パソコンの更新が止まっていないかも見ます。
2. 今週：バックアップと共有設定。大事なデータの置き場所を決めて1回取り、戻せるか試します。退職者のアカウントと共有範囲も見直します。
3. 今週：相談先を紙に書く。何かあったときに誰に連絡するかを決めます。
4. 今月：自社診断と宣言。25項目で点数を付け、一つ星か二つ星を宣言します。
5. 次の予算で：外部サービスの検討。監視や保険が必要かを判断します。

IPAは6か条の中に順番を付けていません。一度にできなくても、できることから着実に進めてよいとしています。上の順番は、費用がかからず、やらなかったときの影響が大きいものを先にした図鑑の目安です。

046か条の中身：お金をかけずにできること

IPAは、6か条を企業の規模に関わらず必ず実行すべき重要な対策としています。条文は原文のまま、対策例は解説編から短くしました。

1. OSやソフトウェアは常に最新の状態にしよう！

WindowsならWindows Update、macOSならソフトウェア・アップデートを当てます。ブラウザなど利用中のソフトも最新版にします。サポートのあるOS、ソフトウェア、ネットワーク機器を使うことも対策例に入っています。パソコンのソフトの版は、無償の「MyJVN バージョンチェッカ」で確かめられます。

2. ウイルス対策ソフトを導入しよう！

• パソコンなどにウイルス対策ソフトを入れ、定義ファイルが自動で更新されるようにします。
• 標準の機能で足りるのか、買うべきかはセキュリティソフトは必要かにまとめました。
• 会社としては、全台で動いているか、期限が切れていないかを見ることが出発点です。

3. パスワードを強化しよう！

「長く」「複雑に」「使い回さない」が基本です。解説編は英数字記号を含めて10文字以上を挙げ、可能なら多段階認証、多要素認証、パスキーを使うよう案内しています。初期設定のパスワードの見直しも入っています。

4. 共有設定を見直そう！

クラウドや複合機、カメラ、NASの共有範囲を限ります。従業員の異動や退職のときは、すぐに設定を変更か削除します。外出先でのWi-Fiの注意はフリーWi-Fiの危険性をご覧ください。

5. バックアップを取ろう！

今回の改訂で加わった項目です。重要な情報を定期的に取り、バックアップの装置はその時だけパソコンにつなぎます。戻せるかどうかも定期的に確かめます。解説編は、コピーを3つ以上、2種類のメディア、1つは別の拠点に置く「3-2-1ルール」を紹介しています。

バックアップは「取っている」だけでは足りません。警察庁の令和8年上半期のアンケートでは、回答50件のうち44件がバックアップを取っていましたが、復元の結果を答えた40件のうち29件は「復元できなかった」でした。理由で最も多いのは「バックアップの暗号化・消去」の14件です。普段はつないでおかないことと、戻す試験が要る理由です。

6. 脅威や攻撃の手口を知ろう！

IPAや国家サイバー統括室のサイト、メールマガジンで手口を知ります。使っている銀行やサービスの注意喚起も見ます。管理者は従業員に適宜知らせ、従業員は懸念をすぐ報告する形にします。

ただしIPAは、どれか一つの対策だけでは防げないとも書いています。ウイルス対策ソフトは新種を検知できない場合があり、壊れたファイルは元に戻せません。だから「防ぐ」と「復旧する」の両方が必要です。

05チェックリスト：自社の今を表で見る

印刷して、当てはまるところに印を付けてください。IPAの6か条と自社診断をもとに、図鑑で作業の形に直したものです。費用は、すでにあるパソコンやサービスを使う前提の目安です。

社外からの接続がある会社は、この項目を後回しにしないでください。詳しくはVPN機器の脆弱性と対策で扱っています。Webの診断で今の水準を大まかに知りたいなら、図鑑のセキュリティレベル診断、費用を見積もるなら費用シミュレーターが使えます。

06社員に今日から伝える6つのこと

設定だけでは足りません。IPAの2024年度調査では、従業員教育を特に実施していない企業が63.6%でした。研修の時間が取れなくても、朝礼や社内チャットで次を伝えるだけで始められます。自社診断のPart2をもとに、図鑑で短くしました。

• 覚えのない添付ファイルやリンクは開かない。開いてしまったら、怒られないのですぐ言う。
• メールやFAXの宛先を送る前に見直す。
• 重要な情報は暗号化など安全な手段で渡す。
• 書類やUSBメモリを机に置きっぱなしにせず、捨てるときは復元できないようにする。
• 席を立つときは画面をロックする。帰るときはノートパソコンをしまう。
• SNSに仕事の情報を書かない。外のWi-Fiでは共有をオフにする。

「開いてしまったら、すぐ言う」は特に大切です。IPAも従業員は懸念を速やかに報告するよう書いています。叱られる職場では、報告が遅れて被害が広がります。IPAは「映像で知る情報セキュリティ」も公開しているので、社内の勉強会に使えます。

07守るものの一覧を作る

付録6の資産管理台帳はサンプルが9シートありますが、最初から全部を埋める必要はありません。担当者がいない会社は、次の3つの表から始めると進めやすくなります。

この一覧は、取引先に状況を聞かれたときの答えにもなります。表計算ソフトで1枚にまとめ、更新する人を決めておきましょう。

08「5分でできる！自社診断」で弱いところを見つける

IPAの付録3です。25項目に「実施している」4点、「一部実施」2点、「実施していない」0点、「わからない」-1点で答えます。Excel版も公開されています。

項目はPart1の基本的対策（6項目）、Part2の従業員としての対策（11項目）、Part3の組織としての対策（8項目）に分かれています。メールの添付、持ち出し、離席時の画面、退社時の施錠、私物の機器、事故に備えた手順といった、設定以外のことも含まれます。「わからない」がマイナスになるのは、知らないこと自体を弱点と見ているからだと考えると、社内で話しやすくなります。

付録には、そのまま使える道具がそろっています。すべてIPAのページから無料でダウンロードできます。

• 付録2：情報セキュリティ基本方針（サンプル）
• 付録4：情報セキュリティハンドブック（ひな形）
• 付録5：情報セキュリティ関連規程（サンプル）
• 付録6：資産管理台帳（サンプル）
• 付録7：中小企業のためのクラウドサービス安全利用の手引き
• 付録8：中小企業のためのセキュリティインシデント対応の手引き

09担当者がいない会社の進め方

専任者がいなくても進められます。IPAのガイドラインは、対策は経営者が判断して主導するものとして、3原則と「重要7項目の取組」を挙げています。実務は次の形が現実的です。

1. 社長が決める。「6か条をやる」と社内に伝えます。IPAも、経営者のトップダウンで実行を始めるよう書いています。
2. 兼任の担当を1人置く。総務や、パソコンに詳しい人で十分です。全部をやらせるのではなく、一覧の管理と外部への窓口を任せます。
3. 月に1回、30分だけ見直す。チェックリストのうち1項目を片づける、くらいの速さで続けます。
4. 今の業者に聞く。パソコンや複合機、ネットワークの保守会社に、機器の一覧、更新の状況、バックアップの有無を文書でもらいます。
5. 難しいところは外へ。IPAは専門的な外部サービスの利用も検討するよう書き、「情報セキュリティサービス基準適合サービスリスト」や「中小企業向けサイバーセキュリティ対策支援者リスト」を挙げています。

重要7項目は、方針を決める、予算と人材を確保する、対策を検討させて実行を指示する、見直しを指示する、緊急時の体制を整える、委託先との責任を明確にする、最新の動向を集める、の7つです。社長が自分でやるのではなく、指示して確かめる形で問題ありません。場合によっては自ら実行することも必要になるとIPAは書いています。人の確保の考え方は、付録1「セキュリティ人材の確保・育成の実践ガイドブック」にまとまっています。誰に頼めるかは中小企業向けの一覧からも探せます。

10費用の考え方：どこからお金をかけるか

IPAの調査では、投資していない理由として「費用対効果が見えない」と「コストがかかりすぎる」を合わせると45%を超えていました。気持ちはよく分かります。そこで、お金をかける順番を図鑑の目安として示します。

1. まず費用ゼロのもの。更新、パスワード、共有設定、社内の決めごと、自社診断、宣言です。
2. 次に、止まったら困るものを守る費用。バックアップの装置やサービス、サポートの切れたOSや機器の入れ替えです。
3. その次に、気づくための費用。監視や駆け付けです。お助け隊が候補になります。
4. 最後に、事業に合わせた費用。Webサイトを持つならWAFや脆弱性診断、取引先の要請があれば認証の取得などです。

判断の材料としては、警察庁のアンケートで復旧に1,000万円以上かかった組織が6割という数字があります。ただ、これは被害に遭った組織の話で、すべての会社に当てはまる予測ではありません。「最悪の場合に自社が何日止まると困るか」を社内で話すところから始めると、必要な額が見えてきます。

11SECURITY ACTIONを宣言する

SECURITY ACTIONは、中小企業が自ら対策に取り組むことを宣言する制度です。ロゴマークを無料で使えます。詳しくは用語のページも参考にしてください。

一つ星は対策の実施前でも申し込めます。2026年4月1日から申込方法が変わり、法人も個人事業主もGビズIDプライムのアカウントが必要です。流れは、目標を決める、GビズIDを取得する、申込フォームに入力する、完了メールを受け取る、ロゴマークを使う（任意）の順です。

注意点が二つあります。一つ目は、IPAが認定するものではないことです。「認定を受けました」「取得しました」は不適切な例で、「宣言しました」と書きます。二つ目は、宣言は自社の取り組みの表明で、それだけで安全になるわけではないことです。補助金の申請要件になっているものもあるので、使う予定があれば要件を確かめます。

12お助け隊サービス：お金をかけるならここから調べる

サイバーセキュリティお助け隊サービスは、中小企業に必要なサービスをワンパッケージにまとめた、民間事業者のサービスです。IPAが基準を定め、該当するサービスにマークを付けています。

端末1台から契約できることも基準に入っています。監視の形は、社内ネットワークをまとめて見る「ネットワーク監視（UTM等）」、持ち出すパソコンも見られる「端末監視（EDR等）」、両方を使う「併用」の3種類です。金額は基準の上限で、実際の料金や保険の範囲はサービスごとに違うので、見積もりで確かめてください。デジタル化・AI導入補助金（旧IT導入補助金）の導入支援制度もあると、IPAは案内しています。補助の条件は公募ごとに確かめてください。

IPAの導入事例には、従業員約30名の製造業が「安価で必要十分な機能と判断した」と選んだ例が載っています。一方で、これを入れれば6か条が要らなくなるわけではありません。パスワードやバックアップは、引き続き自社の仕事です。

図鑑のお助け隊の一覧で、提供元と内容を比べられます。そのほかに、サイバー保険やUTM、EDRを単体で選ぶ場合もありますが、担当者がいない会社では、通知を受けた後に動ける体制があるかどうかを先に考えてください。

13取引先から求められる流れ

IPAのガイドラインは、近年はサプライチェーンの弱点を突いた攻撃が増え、取引先から対策の実施を求められることも少なくないとしています。2024年度の調査では、発注元から要請を受けた経験のある企業は1割強で、内容は「秘密保持のための措置」が79.6%でした。これから増える可能性があるのが、対策の水準を段階で示す求めです。

経済産業省と国家サイバー統括室が検討を進め、IPAが運営する「SCS評価制度」は、★の段階で対策を評価する仕組みです。料金や日程はSCS評価制度の記事にまとめています。ガイドライン第4.0版も、この制度の基本的な考え方に沿った内容に改訂されました。

求められたときは、次の順で動くと慌てません。

1. 何を、いつまでに求められているのかを文書で確かめる。
2. 自社診断の結果と、宣言の状況をまとめる。
3. 足りない項目と費用を出す。
4. 費用がかかるものは、取引先と話し合う。

IPAは、費用について企業間で十分に話し合い、価格交渉に積極的に対応し、国の支援策も検討するよう書いています。必要なら公正取引委員会の相談窓口や「取引かけこみ寺」に相談できるとも案内しています。困っているなら取引先から対策を求められたも見てください。普段から自社の取り組みを説明できるようにしておくことも、IPAの3原則の一つです。

14事故が起きたときの備え

IPAの付録8は、インシデント対応を3つのステップで説明しています。検知・初動対応、報告・公表、復旧・再発防止です。社内で最低限決めておきたいのは、次のことです。

• 気づいた人が、誰にすぐ伝えるか。
• ネットワークから切り離す判断を、誰がするか。総務省は感染時にLANケーブルを抜く、無線LANを切るといった方法を挙げています。
• 保守会社、相談窓口、保険会社の連絡先。
• 取引先や個人情報保護委員会などへの報告を、誰が担当するか。

ランサムウェアの具体的な動き方はランサムウェアに感染したらに手順をまとめています。

15困ったときの相談先

16よくある質問