セキュリティ対策は何から？企業がすべき対策一覧と点検チェックリスト

参照元：総務省国民のためのサイバーセキュリティサイト｜サイバーセキュリティ初心者のための三原則

OS・ソフトウェアを最新の状態に保つ

OSや業務ソフト、ネットワーク機器は、修正プログラム（パッチ）で常に最新の状態に保ちます。警察庁は、プログラムの欠陥である脆弱性を放置すると、不正アクセスや情報漏えいの被害に遭うおそれがあると説明しています。

パッチはすみやかに適用し、総務省が勧めるとおり自動更新の機能を有効にしておきましょう。サポートが終了したソフトウェアは脆弱性が見つかっても修正されないため、終了時期を把握して計画的に入れ替えてください。

社外に公開しているVPN機器（社外から社内へ暗号化して接続する装置）も更新の対象です。警察庁が令和8年上半期の報告書で示した被害組織へのアンケートでは、ランサムウェア（データを暗号化し身代金を要求する攻撃）の侵入経路の約5割がVPN機器でした。

参照元：総務省国民のためのサイバーセキュリティサイト｜サポート切れソフトウェアを利用しないようにしよう

ランサムウェアの感染経路6つを解説｜VPN機器から始める経路別の対策ランサムウェアの被害は、VPN機器やリモートデスクトップなど、社外と社内をつなぐ入口からの侵入が大半を占めています。侵入を許すと攻撃者は短期間で社内に被害を広げ、侵入経路が分からないままでは再発も防げません。本記事では…続きを読む

IDとパスワードを管理し多要素認証を使う

IDとパスワードは、従業員任せにせず、企業のルールとして管理することが大切です。警察庁によれば、IDとパスワードを盗まれると、なりすましによる不正アクセスでサーバーなどを乗っ取られるおそれがあります。

社内ルールには、初期パスワードの変更、10文字以上で推測されにくい設定、使い回しの禁止を盛り込みましょう。業務システムやクラウドサービス、VPNには、パスワードに持ち物や指紋などを組み合わせて本人を確かめる多要素認証も設定します。

異動した経理担当者の会計システムIDのように、使われないIDは侵入口になりかねません。管理者は定期的に棚卸しを行い、不要なIDを削除・停止してください。

ウイルス対策ソフトを全端末に導入する

ウイルス対策ソフトは、業務で使うすべてのPCとサーバーに導入し、パターンファイル（ウイルスを見分ける定義データ）を最新に保ちます。感染すると情報を盗まれたり、不正な侵入口を仕掛けられたりする危険を、警察庁は指摘しています。

対策例として、IPAはパターンファイルの自動更新設定を挙げ、総務省はアイコンやプログラムの一覧で導入状況を確かめる方法を紹介しました。管理者が全端末を点検し、契約切れも含めて未対策の端末をなくしましょう。

新種のウイルスは検知できない場合があるため、端末のログや挙動を分析して攻撃を検知するEDRを組み合わせる方法もあります。

参照元：総務省国民のためのサイバーセキュリティサイト｜マルウェア（ウイルス等）対策管理

参照元：DirectCloud｜WhiteDefender 製品ページ

不審なメールやWebサイトを開かない

不審なメールの被害は、従業員がリンクや添付ファイルを開く前に立ち止まることで防げます。実在する組織を装って偽サイトへ誘導するフィッシングについて、警察庁はAIの発達で見抜きにくくなったと指摘します。取引先などを装ってウイルス付きのメールを送る標的型攻撃メールも、警察庁やIPAが注意を呼びかける手口です。

リンクは安易にクリックせず、公式サイトや公式アプリからアクセスしましょう。経営者になりすまして送金させる「ニセ社長詐欺」のように、法人を狙う手口も警察庁の報告で明らかになりました。

総務省は、怪しいメールが届いたら情報システム部門などへすぐ連絡するよう求めています。報告先と送金時の確認ルールは、事前に決めておくことが重要です。

参照元：総務省国民のためのサイバーセキュリティサイト｜マルウェア（ウイルス等）対策管理

企業が備えるべき脅威と対策の3分類

前章の基本対策を実践したうえで、企業は自社が何を守り、どのような脅威に備えるのかを見極める必要があります。脅威の種類と被害の大きさを把握してから、対策を技術・人的・物理の3種類に分けて考えると、システム面だけに偏らず抜け漏れを防げます。

以下では、企業が警戒すべき主な脅威、対策を怠った場合の経営への影響、対策の3分類と多層防御の考え方を解説します。

企業が警戒すべき主な脅威

企業が警戒すべき脅威は、IPAの「情報セキュリティ10大脅威 2026」組織編で確認できます。2025年に社会的影響が大きかった事故や攻撃から、研究者や企業の実務担当者など約250名の選考会が投票で決めた順位は次のとおりです。

順位	「組織」向け脅威	前年順位
1	ランサム攻撃による被害	1
2	サプライチェーンや委託先を狙った攻撃	2
3	AIの利用をめぐるサイバーリスク	なし（初選出）
4	システムの脆弱性を悪用した攻撃	3
5	機密情報を狙った標的型攻撃	5
6	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	7
7	内部不正による情報漏えい等	4
8	リモートワーク等の環境や仕組みを狙った攻撃	6
9	DDoS攻撃（分散型サービス妨害攻撃）	8
10	ビジネスメール詐欺	9

出典：IPA「情報セキュリティ10大脅威 2026」を基に作成。前年順位は、IPA「情報セキュリティ10大脅威 2025」を基に追記しています。

上表の1位と2位は、2023年以降4年連続で同じ順位を保っています。3位に初選出された「AIの利用をめぐるサイバーリスク」は、本記事の最後に「よくある質問」で詳しく説明します。外部からの攻撃だけでなく、7位の内部不正のように、従業員による不正など組織の内側から生じる脅威にも備えましょう。

参照元：IPA｜プレス発表「情報セキュリティ10大脅威 2026」を決定

ランサムウェアとマルウェアの違いは？種類と関係から被害や対策までを解説ランサムウェアの被害が報じられるたびに、「マルウェアとは何が違うのか」「今の対策で足りるのか」と迷う担当者は少なくありません。ランサムウェアはマルウェアの一種ですが、業務を止めて金銭を要求する点で、被害の現れ方が大きく異…続きを読む

対策を怠った場合の経営への影響

対策を怠った企業は、費用と業務停止の両面で経営を圧迫されます。警察庁の令和8年上半期の報告書では、ランサムウェアの被害報告件数が123件となり、令和2年下半期の統計開始以降、半期で最多を記録しました。被害企業の約6割は中小企業です。

被害組織へのアンケートでも、復旧に総額1,000万円以上を要した組織が約6割を占め、1か月未満で復旧できた組織は5割弱にとどまりました。IPAによると、顧客情報などが盗まれれば信用を失い、損害賠償を求められるおそれもあり、取引先や委託先へ被害が広がる場合もあります。

参照元：IPA｜プレス発表「情報セキュリティ10大脅威 2026」を決定

対策は技術・人的・物理の3種類で考える

セキュリティ対策は、システムで守る「技術的対策」、ルールと教育で守る「人的・組織的対策」、設備や機器を守る「物理的対策」の3つに大別できます。

IPAは、1つの対策だけではインシデント（情報漏えいやウイルス感染などの事故）を防げないとして、複数の対策の組み合わせを呼びかけています。1つが突破されても別の対策で食い止める考え方を、多層防御と呼びます。

たとえば、従業員が不審なメールを開いてもウイルス対策ソフトが感染を防ぎ、データが暗号化されてもバックアップから戻せます。3分類と代表的な対策、該当章の対応は次の表のとおりです。

分類	守る対象・目的	代表的な対策	本記事の該当章
技術的対策	システムやデータを攻撃・不正利用から守る	OS・ソフトウェアの更新、多要素認証、ウイルス対策ソフト、アクセス権限の管理、ファイアウォール、暗号化、バックアップ、ログの取得	まず徹底したい基本のセキュリティ対策（更新・認証・ウイルス対策）、企業が実施すべき技術的なセキュリティ対策
人的・組織的対策	従業員のミスや内部不正を防ぐ	不審なメールへの対処、情報資産の把握、セキュリティポリシーと社内ルール、従業員教育と訓練、インシデント対応体制	まず徹底したい基本のセキュリティ対策（不審なメール）、人・組織・物理面のセキュリティ対策
物理的対策	設備・機器・書類を盗難や紛失から守る	入退室管理、施錠、端末・記録媒体の持ち出し管理	人・組織・物理面のセキュリティ対策（入退室と持ち出し）

企業が実施すべき技術的なセキュリティ対策

基本対策で取り上げた更新・認証・ウイルス対策に続き、社内システムや保管データを守るには、追加で整えるべき技術的対策があります。

IPAが2026年10月に公表した注意喚起でも、不正アクセスによる情報漏えいが相次いでいることを受け、認証の強化、権限の見直し、ログの確認、データの暗号化が速やかに取り組む対策として挙げられました。

ネットワークの出入口で不正通信を防ぐ

ファイアウォールやUTMと呼ばれる機器は、社内ネットワークの出入口で外部からの不正な通信を遮断する役割を担います。IPAは、接続元、接続先のサーバー、利用するサービスの組み合わせごとに許可するかを検討し、必要最小限のアクセスだけを通すよう示しています。

IPAは、社外に公開しているサーバーやアプリケーション、クラウドやVPNなど利用中の外部サービスを洗い出し、公開範囲を見直すよう求めています。部署単位で契約したサービスも含めて把握し、不要な公開はなくしましょう。

テレワークの普及で社外からのアクセスが増え、境界だけを守る対策では防ぎきれなくなりました。社内外を問わずすべてのアクセスを信頼せず、毎回検証する考え方をゼロトラストと呼びます。IPAは、リモートワーク環境を狙った攻撃への対策として、ZTNA（利用者や端末を確かめたうえで、許可したアプリケーションにだけ接続させる仕組み）など安全性の高いリモートアクセス環境の採用と、多要素認証の利用を挙げています。

クラウドサービスでは、管理者が許可した端末からの接続だけを受け付けるデバイス認証を設定することも、接続元を確かめる有効な手段です。

参照元：東京都産業労働局中小企業向けサイバーセキュリティ対策の極意ポータルサイト｜サイバーセキュリティ対策とは何か（全般）

参照元：IPA｜「情報セキュリティ10大脅威 2026」解説書［組織編］

アクセス権限と共有設定を必要最小限にする

アクセス権限は、業務に必要な人へ必要な範囲だけを与える「最小権限」で設定します。警察庁は、侵入後の被害拡大を防ぐため、権限の範囲を必要最小限にし、管理者権限の付与先を絞るよう求めています。

総務部から営業部へ移った従業員に人事データの閲覧権限が残っていないかなど、異動や役割の変更のたびに範囲を見直し、付与状況を定期的に棚卸ししましょう。

クラウドストレージやファイル共有ツールの共有設定を誤ると、無関係な人に情報を見られるおそれがあります。IPAが示すとおり共有範囲を限定し、定期的に確認してください。

アクセス権限とは？企業における設定手順と付与・解除・棚卸しの管理ポイントアクセス権限は、誰がどの情報にどこまで操作できるかを決める、情報管理の基本となる仕組みです。設定したまま見直さずにいると、異動者や退職者の権限が残り、情報漏えいや内部不正、誤操作によるデータ消失を招きかねません。本記事…続きを読む

重要データを暗号化し切り離してバックアップする

重要データは保存時と通信時の両方で暗号化し、万一流出しても読み取られにくくします。IPAも、保有データへの対策の一つに暗号化を挙げています。

警察庁によると、ランサムウェアの攻撃者は侵入後に内部を探索し、重要データとともにバックアップも物色します。バックアップはこまめに取得し、ネットワークから切り離してオフラインで保管しましょう。

IPAは、コピーを複数の媒体と場所に分けて持つことと、バックアップから戻せるかを定期的に確認することも示しています。

ランサムウェア対策のバックアップとは？保管場所・世代数の決め方と復元までの運用ランサムウェアの被害を受けた企業の多くは、バックアップを取得していたにもかかわらず、データを元に戻せていません。攻撃者がバックアップまで探し出し、暗号化や削除を図るためです。本記事では、バックアップが戻せなくなる理由を…続きを読む

ログを取得し異常に気づける状態にする

ログイン履歴や操作ログを日頃から取得しておけば、不正アクセスや不審な操作の兆候に気づけます。被害が出た際にも侵入経路や侵害範囲を調べる手がかりになるとして、警察庁は日頃からのログ取得を勧めています。

取得するログの内容と保存期間は、あらかじめ決めておきましょう。サービスごとに保存期間が異なるため、誰がいつ確認できるかも把握しておきます。

確認すべき異常として、IPAはログイン失敗の増加や、ログイン元のIPアドレスや時間帯が平時と異なるアクセスを挙げています。

参照元：警察庁｜ランサムウェア被害防止対策
参照元：IPA｜不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

ログ管理とは？目的・ログの種類と保存期間の決め方を解説サイバー攻撃の巧妙化や内部不正への備えに加え、監査や法令への対応を求められる場面が増えています。こうした状況で頼りになるのが、「誰が・いつ・何をしたか」を後からたどれるログです。とはいえ、どのログをどこまで取得し、どれだ…続きを読む

ランサムウェアから守るべきファイルと、
対策方法がわかる！

対策が必要な背景から、
DirectCloudによるファイル保護の考え方まで紹介！

ランサムウェア対策資料を無料DL

人・組織・物理面のセキュリティ対策

技術的対策を整えても、従業員の操作ミスや内部不正、ノートPCやUSBメモリの紛失までは防ぎきれません。警察庁も、基本的な対策を続けるとともに従業員へのセキュリティ教育を行うなど、総合的な対策を進めるよう呼びかけています。ルール・教育・体制という組織面の取り組みと、設備や機器の物理的な管理を組み合わせることが必要です。

参照元：東京都産業労働局中小企業向けサイバーセキュリティ対策の極意ポータルサイト｜サイバーセキュリティ対策とは何か（全般）

守るべき情報資産を把握し不要なデータを減らす

組織面の対策は、守るべき情報資産を把握することから始まります。顧客情報や取引先情報、技術情報などを洗い出し、保管場所とあわせて台帳にまとめましょう。IPAはガイドラインの付録として、資産管理台帳のひな形を公開しています。

台帳ができたら、情報の重要度に応じて閲覧できる人や保管方法を決めます。IPAは「不要な情報は持たない」を基本原則に、保有する情報を必要最小限にするよう求めています。保有量を減らせば、漏えいした場合の被害も小さく抑えられます。

参照元：IPA｜中小企業の情報セキュリティ対策ガイドライン

BYODとは？私物端末の業務利用のメリット・リスクと導入時のルールを解説テレワークやハイブリッドワークが定着し、従業員の私物のスマートフォンやPCを業務に使えないかと検討する企業が増えています。ただ、費用を抑えられる反面、情報漏洩や労務管理への不安から、どこまで認めてよいのかを判断しきれない…続きを読む

参照元：総務省国民のためのサイバーセキュリティサイト｜経営層向けの対策（PDF）

セキュリティポリシーと社内ルールを定める

セキュリティポリシーは、組織の基本方針と、従業員が守る具体的なルールを文書にしたものです。総務省は、どの情報資産をどの脅威からどう守るかという考え方や、体制、対策基準を記載するのが一般的だと説明しています。

ルールは、パスワードの管理、メールの扱い、クラウドサービスの利用、私物のUSBメモリや端末の業務利用など、従業員が判断に迷う場面ごとに具体的に定めます。策定後は全従業員に周知し、運用状況や新たな脅威に合わせて定期的に見直しましょう。

従業員教育と訓練を継続する

フィッシングは、人の信頼や思い込みにつけこむ手口だと警察庁は指摘しています。技術的な対策だけでは防げないため、経営層から現場まで全従業員を教育の対象にしましょう。

教育は一度の研修で終わらせず、定期的に実施します。具体的な被害事例や最新の手口を社内で共有すると、注意すべき場面を想像しやすくなります。

実践的な訓練も有効です。警察庁は、不審メールへの対応訓練や、被害を想定して連絡、通報、復旧の手順を確かめる訓練を勧めています。

参照元：東京都産業労働局中小企業向けサイバーセキュリティ対策の極意ポータルサイト｜サイバーセキュリティ対策とは何か（全般）

入退室と端末・記録媒体の持ち出しを管理する

物理的な対策では、オフィスやサーバー室の入退室管理、監視カメラの設置により、関係者以外が情報に近づけない仕組みを整えます。

ノートPCやUSBメモリは持ち運びが楽な反面、紛失すると情報が漏えいするおそれがあります。総務省は、外部の記憶媒体の利用を禁止または制限する企業が増えていると紹介しています。持ち出しは事前の申請制にし、ファイルの暗号化と紛失時の報告手順を定めましょう。持ち運ぶ必要のない機密情報を保存させない運用も、漏えい防止につながります。

参照元：総務省国民のためのサイバーセキュリティサイト｜データ持ち出し時の対策

情報漏洩対策は何から始める？原因別の優先順位と実践手順を解説情報漏洩対策に取り組もうとすると、外部攻撃への防御から社内ルールの整備まで候補が並び、着手する順序を決めきれないまま止まりがちです。限られた予算と人員で進めるには、自社にとって現実的な脅威がどれかを見極める必要があります…続きを読む

インシデント発生時の体制と手順を決める

サイバー攻撃を完全に防ぐことは難しいため、発生時の連絡体制と判断者、初動の手順を平時のうちに決めておきます。

警察庁は、感染したPCなどをネットワークから切り離し、ログが消えないよう電源は落とさずに警察へ通報・相談するよう呼びかけています。被害範囲の調査には、感染が確認されていない端末も含めます。IPAも、初動対応の相談を受け付ける企業組織向けの窓口を設けています。

あわせて、サイバー攻撃を想定した業務継続計画（BCP）を整え、対処の流れや連絡先を事前にまとめておきましょう。

インシデント対応とは？対応フローと社内で決めておくことを解説セキュリティ事故は、起きるかどうかではなく、起きた際にどう動くかが問われる時代になりました。しかし、不審なアクセスやランサムウェアの感染が判明した場面で、誰が何を判断し、どこまで止めるのかが決まっていない企業は少なくあり…続きを読む

セキュリティ対策の進め方と目標水準の決め方

セキュリティ対策は、一度にすべてを揃える必要はありません。IPAのガイドラインも、対策を段階的に実現するための方策を示しています。自社の情報資産や予算、人員に合わせて優先順位を付け、できることから順に進めましょう。

どこまでやれば十分かを自社だけで判断しにくい場合は、公的な基準やツールを目安にできます。以下では、優先順位の決め方、ガイドラインとSECURITY ACTIONを使った目標の立て方、チェックリストによる点検を説明します。

参照元：IPA｜中小企業の情報セキュリティ対策ガイドライン

被害の大きさと着手しやすさで優先順位を決める

優先順位は、情報資産ごとに漏えい・改ざん・停止が起きた場合の影響を見積もり、影響の大きいものから決めます。IPAも、脅威ごとに自社の事業へのリスクを洗い出すよう求めています。

着手は、すぐに始められる基本対策からで構いません。IPAは侵入を防ぐ対策だけでなく、被害の発生を前提に復旧する対策も組み合わせるよう示しています。侵入の前兆に気づく仕組みも段階的に整えましょう。本章の最後のチェックリストでは、この考え方に沿って対策を3つのステップに分けています。

対策には経営者のリーダーシップが必要です。受発注システムが止まれば出荷も止まるといった影響を示し、投資の必要性を経営層に伝えてください。

参照元：IPA｜プレス発表「情報セキュリティ10大脅威 2026」を決定

参照元：IPA｜プレス発表「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開

ガイドラインとSECURITY ACTIONで目標を決める

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、経営者編と実践編の2部構成で、段階的な対策の進め方を示しています。

目標には、取組を自己宣言する「SECURITY ACTION」が使えます。一つ星は情報セキュリティ6か条への取組、二つ星は自社診断と基本方針の策定・公開の宣言です。

委託元から対策状況の確認を求められる場面もあり、第4.0版にはサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の考え方が取り込まれました。より高い水準を目指すなら、ISMS（情報セキュリティマネジメントシステム）の認証取得も選択肢になります。

参照元：IPA｜中小企業の情報セキュリティ対策ガイドライン

参照元：IPA｜SECURITY ACTION セキュリティ対策自己宣言

参照元：IPA｜サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）

参照元：総務省国民のためのサイバーセキュリティサイト｜経営層向けの対策（PDF）

チェックリストで自社の対策状況を点検する

本記事で紹介した対策の実施状況は、次のチェックリストで確認できます。項目は着手しやすさと影響の大きさをふまえて3つのステップに分けているため、チェックが付かない項目があれば、ステップ1から順に取り組みましょう。

■ ステップ1：まず着手する基本対策

☐OS・ソフトウェア・VPN機器の修正プログラムを速やかに適用している
☐サポートが終了した機器・ソフトウェアを使っていない
☐業務システムとクラウドサービスに多要素認証を設定している
☐退職者や使っていないアカウントを削除している
☐すべての業務端末にウイルス対策ソフトを導入している
☐不審なメールを受け取ったときの報告先を決めている
☐インシデント発生時の連絡先と判断者を決めている

■ ステップ2：次に整える技術的対策と情報資産の把握

☐アクセス権限と共有設定を定期的に見直している
☐重要データをネットワークから切り離してバックアップしている
☐取得するログの内容と保存期間を決めている
☐守るべき情報資産と保管場所を把握している

■ ステップ3：継続して運用するルール・教育・体制

☐セキュリティポリシーと社内ルールを全従業員に周知している
☐従業員教育を定期的に実施している
☐端末や記録媒体の持ち出しルールを決めている
☐インシデント発生時の初動手順を訓練で確かめている

より詳しく点検したい場合は、IPAの「5分でできる！情報セキュリティ自社診断」を活用しましょう。25個の診断項目に答えるだけで、自社の対策状況を把握できるツールです。

点検は年1回など時期を決めて定期的に行い、結果を次の対策の優先順位づけに生かしてください。