中小企業の情報セキュリティ対策ガイド｜何から始めるか

結論：最初に守るのは、アカウント・端末・データ・事故時の連絡先

情報セキュリティというと、高価な機器や専門家だけの話に見えます。しかし小さな会社で先に必要なのは、誰がどのアカウントを使っているか、パソコンやスマホを更新しているか、重要データをどこへ保存しているか、事故を誰へ連絡するかを決めることです。

全部を一度に完璧にする必要はありません。会社のメール、銀行・会計、顧客情報、EC、SNSなど「止まると仕事ができないもの」から順に整えます。

ユウ

うちは小さい会社なので、狙う人もいないと思うんです。

ミナミ

会社名を知って狙う攻撃だけではありません。漏れたパスワードの使い回しや、偽メールを広く送る攻撃は会社の大きさを選びません。

ユウ

選ばれし会社ではなくても、無作為抽選には参加していたんですね。

重要度	例	扱い方
高い	銀行、給与、顧客名簿、契約書、個人情報、管理者パスワード。	利用者を限定し、多要素認証、操作履歴、バックアップを優先する。
社内限定	見積、原価、営業資料、会議メモ、未公開の商品情報。	会社アカウントで共有し、社外共有の期限と相手を確認する。
公開可能	公開済みWebページ、パンフレット、公開価格、求人情報。	改ざんと古い情報に注意し、公開責任者を決める。

分類を細かくしすぎると続きません。まず「漏れたら困る」「社内だけ」「公開してよい」の3つで十分です。

1週目：一覧化重要アカウント、端末、保存場所、管理者、契約先を書き出す。

2週目：入口を守る更新、固有パスワード、多要素認証、管理者整理を行う。

3週目：戻せるようにする重要データを別系統へ保存し、実際に一つ復元してみる。

4週目：人の動きを決める入社・退職、社外共有、事故連絡の簡単な手順を作る。

最初の自己点検には、IPAの「5分でできる！情報セキュリティ自社診断」も使えます。点数を取ることより、できていない項目を次の作業へ変えることが大切です。

ユウ

規程を60ページ作って、全員に読んでもらえば完璧ですね。

ミナミ

最初は一枚でよいので、更新・認証・保存・事故連絡を実行してください。読まれない規程より、今日変えた設定です。

ユウ

まず60ページ分の達成感を閉じて、多要素認証を開きます。