小さな会社・中小企業のサイバーセキュリティ対策、２０２６年

小さな会社・中小企業のサイバーセキュリティ対策は、高額なセキュリティ製品を導入することより、基本対策を確実に実行することから始めるのが重要です。

特に優先したいのは、①アップデート、②パスワード＋多要素認証、③ウイルス・不正アクセス対策、④バックアップ、⑤メール・詐欺対策、⑥社内ルールと教育です。

IPAも2026年3月に「中小企業の情報セキュリティ対策ガイドライン 第4.0版」を公開し、従来の「5か条」にバックアップを加えた**「情報セキュリティ6か条」**を基本対策として示しています。

対象者：従業員1～50人程度の小規模企業・中小企業の経営者、IT担当者、総務担当者、DX支援者

---

まず実施したい「6つの基本対策」

1. パソコン・スマホ・ソフトを最新にする

Windows、Mac、iPhone、Android、ブラウザ、Office、Adobe製品などを自動更新にします。

古いソフトウェアの脆弱性を突かれるケースがあるため、「更新してください」と表示されたものを長期間放置しないことが基本です。

さらに重要なのが、

サポートが終了したOS・ソフトを使わない

というルールです。

---

2. パスワードを使い回さない＋多要素認証

特に重要なのは、

• Microsoft 365
• Google Workspace
• Gmail
• 会計システム
• ネットバンキング
• ECサイト
• WordPress
• SNS

などです。

可能なサービスでは多要素認証（MFA・2段階認証）を必須化します。

「パスワードが漏れても、それだけではログインできない」状態を作ることがポイントです。

---

3. ウイルス・不正アクセス対策

Windows Defenderなどを含め、端末のセキュリティ機能を有効にします。

さらに、

ルーターやWi-Fi機器の初期パスワードを変更する

ことも重要です。

退職者が出た場合には、その人が利用していたGoogle、Microsoft、Dropbox、Slack、ChatGPTなどのアカウントやアクセス権も速やかに停止します。

---

4. バックアップを取る

これは非常に重要です。

IPAの2026年版ガイドラインでも、新たに「バックアップを取ろう！」が追加され、「情報セキュリティ6か条」になりました。

例えば、

パソコン → クラウド → 外付けHDD

のように複数箇所に保存します。

ただし、バックアップ用HDDを常時パソコンにつないでいると、ランサムウェア感染時にバックアップまで暗号化される可能性があります。

そのため、

バックアップの一つは普段のPCから切り離しておく

という考え方が有効です。

そして、「バックアップしている」だけでなく、実際に復元できるか定期的に確認することも重要です。

---

5. メール・フィッシング詐欺対策

中小企業では技術的な攻撃だけでなく、人をだます攻撃への対策が重要です。

例えば、

「社長です。至急振り込んでください」

「Microsoftアカウントが停止されます」

「請求書を添付しました」

「宅配便をお届けしました」

といったメールやSMSです。

特に振込先口座の変更、銀行振込、パスワード入力を要求された場合は、メールだけで判断しないルールにします。

「電話など別の方法で本人確認する」という社内ルールだけでも被害防止につながります。

IPAも中小企業向けにビジネスメール詐欺（BEC）対策などを案内しています。

---

6. 社員教育とルールを作る

実はこれが非常に重要です。

100ページのセキュリティ規程を作る必要はありません。

最初はA4用紙1～2枚程度でも構いません。

例えば、

項目	社内ルール
パスワード	使い回さない
MFA	利用可能なサービスでは設定
USBメモリ	原則使用禁止
ソフト	勝手にインストールしない
メール	不審な添付ファイルを開かない
振込変更	電話等で確認
顧客情報	個人PCへ保存しない
クラウド	会社指定サービスのみ
退職者	当日にアカウント停止
事故発生	隠さずすぐ責任者へ連絡

これだけでも大きく違います。

IPAには中小企業向けの無料教材もあり、1テーマ約5分で学べる資料も提供されています。

---

特に「生成AI」のルールも追加する

現在の中小企業では、ここも重要です。

ChatGPT、Gemini、Copilotなどを社員が使うことを想定して、

入力してよい情報／入力してはいけない情報

を決めておきます。

例えば原則として、

入力しない情報

• 顧客の個人情報
• パスワード
• クレジットカード情報
• 未公開の契約内容
• 社外秘資料
• 機密性の高いソースコード

などを明確にします。

「AIを全面禁止」よりも、何に使ってよくて、何を入力してはいけないのかを決める方が実務では運用しやすいでしょう。

小さな会社なら、この順番で進める

いきなり完璧を目指す必要はありません。

第1段階
OS・ソフトの更新
↓
第2段階
全重要アカウントのMFA
↓
第3段階
バックアップ
↓
第4段階
メール・フィッシング対策
↓
第5段階
アカウント・権限管理
↓
第6段階
社員教育
↓
第7段階
事故発生時の対応ルール

この順番なら、小規模企業でも比較的取り組みやすいです。

---

「事故が起きたとき」を決めておく

セキュリティ対策で忘れられがちなのがここです。

例えば社員が、

「怪しい添付ファイルを開いてしまいました」

と言ってきたとき、

「何やってるんだ！」

と叱る文化にすると、次から報告されなくなる可能性があります。

それより、

「怪しいと思ったら、すぐ報告」

を徹底する方が重要です。

そして会社側では、

ネットワークから切り離す → 責任者へ報告 → 状況を記録 → 専門家へ相談 → 必要に応じて顧客・取引先等へ対応

という流れを事前に決めておきます。

IPAの最新版ガイドラインには、インシデント対応の手引きも用意されています。

---

中小企業経営者に伝えるなら「経営問題」と説明する

セキュリティというと、

「パソコンの詳しい人の仕事」

と思われがちです。

しかし実際には、

顧客情報が漏れる
→ 信用問題

ランサムウェア
→ 業務停止

取引先になりすましたメール
→ 金銭被害

取引先からセキュリティ対策を要求される
→ 取引条件の問題

となります。

したがって、

サイバーセキュリティ＝IT対策ではなく事業継続対策

として経営者に理解してもらうことが重要です。

IPAの最新版も、個社だけでなくサプライチェーン全体への被害を踏まえて内容を強化しています。

---

中小企業向けなら、まずIPAを使う

IPAには現在、中小企業向けに、

• 「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
• 「5分でできる！情報セキュリティ自社診断」
• 情報セキュリティ基本方針サンプル
• 情報セキュリティ関連規程サンプル
• 資産管理台帳サンプル
• クラウドサービス安全利用の手引き
• インシデント対応の手引き
• SECURITY ACTION

などが用意されています。

そのため、中小企業支援やセミナーで使うのであれば、IPA「情報セキュリティ6か条」→ 自社診断 → 社内ルール作成 → インシデント対応という流れにすると、かなり実践的な内容にできます。