先に結論 — 最初の3つは0円でできる。機器はそのあと

IPA（情報処理推進機構）は、中小企業がまず取り組む内容を「情報セキュリティ6か条」としてまとめています。2026年3月に公開された「中小企業の情報セキュリティ対策ガイドライン」第4.0版で、従来の5か条に「バックアップを取ろう！」が加わって6か条になりました。並んでいるのは、OSとソフトを最新にする、ウイルス対策ソフトを入れる、パスワードを強くする、共有設定を見直す、バックアップを取る、手口を知る、の6つです。

この6つに、UTMもファイアウォールも入っていません。公的機関が「まずここから」と言っているのは、ほとんどが設定と運用の話で、費用はかかりません。

なぜ設定が先で、機器があとなのか

警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年に報告されたランサムウェア被害は226件。被害組織へのアンケートでは、侵入経路はVPN機器が6割以上を占め、次にリモートデスクトップが続きます。攻撃者は機器の脆弱性が直っていないこと、認証情報が簡単なこと、設定が不十分なことを突いて入ってきます。

つまり、入り口になっているのは「守る機器が足りないこと」ではなく「すでに置いてある機器とアカウントの管理が緩いこと」です。ここを直さずに機器を追加すると、守る対象がひとつ増えるだけになります。

① OSとソフトの自動更新

いちばん地味で、いちばん効きます。攻撃の多くは、すでに公表されていて修正プログラムも出ている穴を突いてきます。更新を当てていれば入られなかった、という事故が繰り返し起きています。

パソコンは自動更新に固定する

Windows Update を「自動」にし、再起動が必要なときに先送りされ続けない設定にします。あわせて、Microsoft 365 のアプリ、ブラウザ、PDFを開くソフトも自動更新に。更新の通知を毎回消している人が1人いると、その1台が入り口になりますので、人の心がけではなく設定で止めます。台数が30台くらいまでなら、1〜2時間で一巡できます。

Windows 10 の扱いを決める

Windows 10 は2025年10月14日にサポートが終了しました。以降は通常のセキュリティ更新が出ません。有償の延長プログラム（ESU）に登録すれば重要な更新は受け取れますが、提供の期間と料金は個人向けと法人向けで条件が違います（2026年9月時点）。会社で使っている台数がある場合は、いまのライセンスでどこまで延長できるかを先に確認してください。いずれにせよESUは移行までのつなぎです。まだWindows 10が残っているなら、入れ替えの時期を先に決めてしまうほうが、結果的に安く済みます。

忘れられるのはパソコン以外

抜けやすいのはここです。ルーター、VPN機器、NAS、複合機、防犯カメラの録画機。これらのファームウェアは、放っておいても勝手には上がりません。前述のとおり、実際の侵入経路として最も多いのはVPN機器です。買ったときのまま何年も動いている機器がないか、まず数えるところから始めてください。

② 多要素認証（MFA）

パスワードに加えて、スマートフォンのアプリや生体認証など「もうひとつ」を求める仕組みです。Microsoft 365 や Google Workspace を使っているなら、追加費用なしで有効にできます。

なぜこれが効くのか

攻撃者は、どこかで漏れたIDとパスワードの一覧を大量に持っていて、それを別のサービスに片っ端から試します（パスワードリスト攻撃）。パスワードの使い回しがあると、自社が何も漏らしていなくても入られます。多要素認証が入っていれば、パスワードが合っていても、もうひとつの確認で止まります。Microsoftは、多要素認証によってアカウント侵害のリスクが大幅に下がると説明しており、費用対効果でこれに並ぶ対策はほとんどありません。

どこから入れるか

全員に一斉に入れると問い合わせが集中します。順番はこうです。

スマートフォンを持っていない社員がいる場合は、その人だけ別の方式にします。「全員できないから導入しない」が、いちばんもったいない結論です。

方式によって強さが違う

SMSで届く数字や、アプリの承認ボタンだけの方式は、偽のログイン画面を経由して横取りされる手口（AiTM）で突破されることがあります。より強いのは、パスキーやFIDO2のセキュリティキーのように端末に鍵が入っていて、偽サイトでは成立しない方式です。まずはどれでもいいので入れて、管理者アカウントから順に強い方式へ移していく進め方で構いません。

③ バックアップの3-2-1。取っているだけでは足りない

ランサムウェアに暗号化されたとき、身代金を払わずに戻せるかどうかは、バックアップだけで決まります。そして「NASに毎晩コピーしています」だけでは、3-2-1のどれも満たしていないことがあります。

NASだけに取っていると、どうなるか

社内のNASに常時つながった状態でコピーしていると、パソコンが暗号化されたときにNASの中身も一緒に暗号化されます。攻撃者は侵入後にバックアップを探して壊してから本番データを暗号化する、という順序で動くことが確認されています。常時つながっている保存先は、バックアップとして数えないほうが安全です。

いま増えているのは「もうひとつ」と「ゼロ」

ランサムウェアを前提にすると、3-2-1に2つ足した考え方が使われます。1つは書き換えも削除もできない状態（オフラインや、消せない設定のクラウド）で1本持つこと。もう1つは、実際に復元してみてエラーが0であることを確かめることです。取れているつもりで壊れていた、というのは事故のときに初めて分かります。

なぜUTMを先に勧めないのか

UTMは、社内と外の境界に置いて、通信を検査したり不審な接続を遮断したりする機器です。有効な機器ですし、当社も WatchGuard を扱っています。それでも順番は後です。理由は3つあります。

いちばん多い侵入経路が、境界の外側にないから

前に書いたとおり、報告された侵入経路で最も多いのはVPN機器です。これは「正しい入り口から、正しい鍵で入られている」形なので、境界に検査装置を足しても止まりません。止めるのは、機器の更新（①）と、鍵をもうひとつにすること（②）です。

クラウドを使うほど、境界の外で仕事をしているから

Microsoft 365 のメールやファイル共有は、社内のネットワークを通らずに使えます。社員が自宅や出先から入るなら、その通信はUTMを通りません。UTMが守れるのは、その機器を通る通信だけです。いまの働き方だと、守れる範囲は昔より狭くなっています。

入れたことで安心してしまうから

これがいちばん困ります。「UTMを入れたのでうちは大丈夫」という言葉を、実際によく聞きます。更新もされていない、多要素認証もない、バックアップは常時つながったNASだけ、という状態で機器が1台あっても、事故は起きます。順番を逆にすると、費用を使ったうえで穴が残るのがいちばん避けたい形です。

機器を売っている側がこう書くのは変に見えるかもしれませんが、0円の3つを飛ばして機器を売ると、あとで「入れたのに」と言われるのはこちらです。順番はここまでで固定しておきます。

それでもUTMや機器が要るのはどういう会社か

後回しでいいと書きましたが、要らないという話ではありません。分かれ目は、社内に「守るべき置き場」と「外から入る口」があるかどうかです。

「先に機器が要る会社」のほうに当てはまるなら、機器の検討を後回しにする理由はありません。ただしその場合でも、0円の3つは並行して進めてください。機器の納品を待つ必要がない作業です。

監視や相談窓口をまとめて持ちたい場合

IPAには「サイバーセキュリティお助け隊サービス」という制度があり、相談窓口・監視・駆け付け・簡易のサイバー保険をひとまとめにしたサービスを、基準を満たした民間事業者が提供しています。これは外部の制度・事業者の話であり、エムアイサービスが24時間365日の監視を行う、という意味ではありません。制度の基準では価格に上限が定められていて、ネットワークを監視する型は月額1万円（税抜）以下、端末を監視する型は端末1台あたり月額2,000円（税抜）以下とされています（2026年9月時点）。「監視をいくらで頼めるのか」の相場観として使える数字なので、見積りを比べるときの物差しにしてください。登録されているサービスの一覧はIPAのサイトで公開されています。

忘れられがちな「退職者のアカウント」

0円でできる4つ目、と言ってもいい項目です。そして、チェックシートで必ず聞かれるのに、実態が伴っていないことが多い項目でもあります。

なぜ漏れるのか

理由ははっきりしています。退職手続きをするのは総務、アカウントを止めるのはIT担当（多くは兼務）で、その2つをつなぐ決まりがないためです。総務が社内に「◯月◯日付で退職」と回しても、止める依頼として届かない。パソコンとメールは回収したので終わったつもりになり、クラウドのサービスに残る。

もうひとつは、使っているサービスの数を誰も把握していないことです。会計、勤怠、ファイル共有、名刺管理、チャット。部署ごとに契約が増え、一覧がないまま数年が過ぎます。一覧に載っていないサービスは、止める対象にもなりません。

止めたら、止めた記録を残します。日付と、誰が止めたか。これがそのまま、チェックシートの「アクセス権の削除手順はありますか」への回答になります。紙でもExcelでも構いません。

事故が起きたとき、誰に何の順で連絡するか

起きてから考えると、必ず遅れます。決めておくのは、社内の初動、社外への連絡先、そして期限のある報告の3つです。

最初の30分でやること

おかしいと気づいた端末をネットワークから切り離します（LANケーブルを抜く、無線を切る）。ただし電源はすぐには落とさないでください。あとで原因を調べるときの手がかりが消えることがあります。そのうえで、経営者に一報を入れます。担当者が状況を確かめてから報告しようとすると、そのあいだに被害が広がります。

社外への連絡には、期限のあるものがある

個人データが漏れた、または漏れたおそれがある場合、個人情報保護法で定められた類型に当たると個人情報保護委員会への報告と本人への通知が義務になります。報告は二段階で、速報が「速やかに」（おおむね3〜5日以内。土日祝を含みます）、確報が30日以内（不正の目的によるおそれがある場合は60日以内）とされています（2026年9月時点）。

警察への相談は法律上の義務ではありませんが、早いほうがいい連絡先です。香川県内なら香川県警察本部サイバー対策課（087-833-0110）、または警察相談専用電話の#9110が窓口になっています。技術的な相談先としては、IPAの情報セキュリティ安心相談窓口があります。取引先への連絡は、契約書に通知の条項が入っていることが多いので、事故が起きる前に契約書を確認しておくと当日迷いません。

なお、当社は時間外の緊急対応をお約束していません。受付は平日9:00〜17:00（土日祝休）です。夜間や休日に起きたときにどこへかけるかは、この一覧を作る段階で決めておいてください。

取引先のチェックシートを埋めるために

取引先から届くセキュリティチェックシートは、様式は各社まちまちでも、聞いている中身はだいたい5つに整理できます。体制、技術的な対策、物理的な管理、教育、事故のときの対応です。全部に「はい」と答えられる必要はありません。

未実施の欄をどう書くか

できていないことを「実施済み」と書くのは、いちばんまずい選択です。事故のときに食い違いが出ると、取引の話では済まなくなります。「現在は未実施。◯月までに導入予定」と書くほうが、評価は下がりません。取引先が見ているのは満点かどうかではなく、状況を把握して手を打っているかどうかです。

SECURITY ACTION を宣言しておく

IPAの「SECURITY ACTION」は、中小企業が自らセキュリティ対策に取り組むことを宣言する制度です。前述の情報セキュリティ6か条に取り組むことで、一つ星を自己宣言できます。宣言するとロゴマークを使えるようになり、チェックシートに添える材料になります。国や自治体の補助金で加点や要件になっている場合もあります（対象は制度ごとに異なります）。0円の3つを終えた会社なら、宣言の中身はすでにできあがっています。

ここまでの内容は、外部に頼まなくても社内で進められます。それでも手が回らない、いまの構成で何が抜けているか分からない、という段階であれば、ネットワーク・セキュリティのページもあわせてご覧ください。エムアイサービスは2005年から高松で通信設備を扱っており、香川県内の現地調査とお見積りは無料です。UTM（WatchGuard）やYAMAHAルーター、Microsoft 365 の販売・窓口（導入・運用の実務は協力会社）、エンドポイントセキュリティ、NASの導入までご相談いただけます。なお、内装工事は承っておりません。