トップ ／ コラム ／ セキュリティの基本

セキュリティは何から手をつけるか｜専任がいない組織のための5つと、その順番

セキュリティの話は、調べるほど項目が増えていきます。全部やるには人も予算も足りない。そう感じたまま、何年も手がついていない、という組織は少なくありません。

実際のところ、被害の多くは限られた入り口から入ってきます。そこを塞ぐだけで、起こりうることの大半は減らせます。このページでは、いま日本で実際に起きていることを確認したうえで、手をつける順番を5つにまとめました。専任の担当者がいない前提で書いています。

いま実際に何が起きているのか

情報処理推進機構（IPA）が毎年、前の年に実際に起きた事故をもとに「情報セキュリティ10大脅威」を公表しています。2026年版の組織向けの上位は、次のようになっています。

上位3つを言い換えると、こうなります。

• ランサム攻撃　データを暗号化して読めなくし、戻す代わりに金銭を要求するものです。近ごろは、暗号化の前にデータを盗み出し「払わなければ公開する」と重ねてくる形が増えています。バックアップがあっても、公開されると困る情報を持っているなら、それだけでは足りません
• 委託先を狙った攻撃　本体が固い組織でも、委託先や取引先の守りが緩ければ、そこから入られます。会員名簿の発送を委託している、システムの保守を1社に任せている。そうした相手が持っている情報は、自分たちの情報です
• AIの利用をめぐるもの　2026年に初めて入りました。攻撃にAIが使われるという話と、自分たちがAIに社内の情報を入れてしまうという話の、両方が含まれます

順位が上の脅威ほど、守り方は地味です。新しい道具を買うより先に、設定と運用で防げる部分が大きく残っています。

手をつける5つと、その順番

順番には理由があります。上の3つは、費用がほとんどかからないのに効果の幅が広いもの。下の2つは、少し手間がかかるぶん、あとから取り返しがきかない部分を守るものです。

1. 更新を当てる　パソコン、サーバー、ルーター、複合機。弱点を突かれる攻撃の多くは、修正プログラムがすでに出ているものを狙っています。自動更新を切っている機械があれば、まずそこを戻します。業務ソフトの都合で切っている場合は、切っている理由と、代わりに何で守るかを書き出しておきます
2. ログインに2つ目の確認を足す　メール、グループウェア、クラウド会計、管理画面。パスワードだけで入れる状態をやめます。スマートフォンのアプリに出る番号を入れる、あるいは指紋や顔で確認する方式です。パスワードが漏れても、それだけでは入れなくなります。いちばん費用対効果の高い一手です
3. パスワードの使い回しをやめる　どこか1つのサービスから漏れたパスワードが、他のサービスで順番に試されます。全部を覚えるのは無理なので、パスワード管理の仕組みを使うか、ブラウザに記憶させます。最近は、パスワードそのものを使わないパスキーに対応したサービスも増えています
4. バックアップを、つながっていない場所にも置く　ランサム攻撃は、つながっているバックアップも一緒に暗号化します。社内のファイルサーバーに毎晩コピーしているだけでは守れません。コピーを3つ、保存先を2種類、うち1つは普段つながっていない場所。これが目安です。そして年に一度は、実際に戻せるか試します。戻せないバックアップは、取っていないのと同じです
5. 誰が何に入れるかを、一覧にする　退職した人のアカウントが生きている、共有のIDを全員で使っている、管理者権限が誰についているか分からない。この3つは、事故のあとで必ず問題になります。サービス名と、入れる人の一覧を1枚作って、半年に一度見直します

1から3までは、設定を見直すだけなので、1日あれば形になります。4と5は、やり方を決めて続ける話なので、担当を決めるところからになります。

自分たちだけ守っても足りない｜委託先のこと

10大脅威の2位が委託先経由の攻撃である、という事実は、裏を返すと「自分のところだけ固めても届かない」という意味です。かといって、委託先に監査をかけるような体制は、多くの組織にはありません。

現実的なのは、年に一度、次の5つを書面で聞いておくことです。答えを評価する必要はありません。聞いた記録が残っていること自体に意味があります。

• 当方の情報を、どこに保存していますか（国内か、国外か）
• その情報に触れられるのは、何人ですか
• 再委託はありますか。ある場合、相手はどこですか
• 事故が起きたとき、何時間以内に連絡をもらえますか
• 契約が終わったあと、当方の情報はいつ消えますか

システムの開発や保守を外部に出しているなら、同じことが開発会社にも当てはまります。外部に任せるときの取り決めは個人情報を外部に預けるときの確認事項に、契約書でどう書くかまでまとめています。

AIを使うときに、先に決めておくこと

2026年版で初めて10大脅威に入った項目です。禁止するか自由にするかの二択で考えると行き詰まるので、入れてよい情報の線を引くところから始めます。

あわせて、使うサービスを1つか2つに絞ります。無料のものを各自が思い思いに使っている状態がいちばん見えません。法人向けの契約では、入力した内容を学習に使わない設定になっているものが多いので、そこを確認して選びます。

それから、出てきた答えをそのまま使わないこと。これは事故を防ぐというより、仕事の質の話です。日付、金額、固有名詞は必ず元の資料で確かめてください。

起きてしまったときの、最初の1時間

手順を決めていないと、この1時間に被害が広がります。紙に印刷して、担当者の机に貼っておく種類のものです。

1. その機械をネットワークから外す。　LANケーブルを抜く、Wi-Fiを切る。電源は切りません。　切ると、原因を調べる手がかりが消えることがあります
2. 誰に連絡するかを見る。　社内の責任者、システムを任せている会社、必要なら警察のサイバー犯罪相談窓口。この連絡先を、ネットワークにつながっていない紙で持っておきます
3. 何が起きたかを時刻つきで書き留める。　何時に、誰が、どの画面で、何に気づいたか。あとから必ず求められます
4. 他の機械の状況を確かめる。　1台で済んでいるのか、広がっているのか。同じネットワークにある機械を一通り見ます
5. 身代金の要求があっても、その場で判断しない。　払っても戻る保証はありません。支払いの判断は、組織として相談して決めることです

個人情報が漏れた可能性がある場合、個人情報保護委員会への報告には期限があります。速報はおおむね3日から5日以内です。気づいた時点で、この期限が動き始めます。

pegのやり方

私たちはセキュリティの専門会社ではありません。業務システムを作る側として、作るときに決めていることをお伝えします。

• 珍しい技術ではなく、広く使われている技術で作ります。修正プログラムが長く出続けること自体が、守りの一部だからです
• 管理者権限とプログラム、設計資料は納品物に含め、契約書に書きます。私たちしか触れない状態を作りません
• ログインには、はじめから2つ目の確認を入れられる形で設計します。あとから足すより、最初から入れるほうが安くつきます
• 全案件を2名以上で担当します。1人しか分からない状態は、事故が起きたときにいちばん困ります

いま動いているシステムについて「この作りで大丈夫か」を見てほしい、というご相談も受けています。作り直しを前提にせず、見たままをお伝えします。

よくあるご質問