中小企業の情報セキュリティ対策｜まず取り組むべき5つのこと

『取引先からセキュリティに関するチェックシートが届いた！』『同業他社の被害を報道で目にした！』
そうしたきっかけで対策の必要性を感じたものの、専任の担当者はおらず、予算も限られていて、何から手をつければよいか分からない。そんな中小企業の担当者や経営者は少なくありません。
この記事では、公的機関のデータをもとに中小企業に情報セキュリティ対策が求められる背景を整理したうえで、優先度の高い5つの対策、最低限そろえたい社内ルール、予算や人員が足りない場合の進め方までを、実際の支援事例を交えて解説します。最初から完璧を目指す必要はありません。できることから一つずつ、現実的に進めるための道筋をお伝えします。

1. 中小企業に情報セキュリティ対策が求められる背景

情報セキュリティ対策は、大企業だけが取り組むものではありません。近年は、取引先から対策状況を確認される中小企業が増えており、企業規模を問わず一定の対策が求められる時代になっています。

⑴取引先から対策状況を確認されるケースが増えている

大企業を中心に、自社だけでなく取引先も含めたセキュリティ対策を重視する動きが広がっています。その結果、取引の開始時や契約更新時に、セキュリティに関するチェックシートへの回答や、対策状況の説明を求められるケースが増える傾向にあります。
こうした流れは公的な枠組みにも表れています。経済産業省はサプライチェーン全体のセキュリティ水準を評価する制度の整備を進めており、取引先の対策状況を確認することが、今後さらに一般的になっていくと考えられます。
チェックシートでは、「パスワードの管理ルールはあるか」「従業員への教育を行っているか」「事故が起きたときの連絡体制はあるか」といった基本的な項目が問われることが一般的です。情報セキュリティ対策は「守り」であると同時に、取引を続けるための「信頼の条件」にもなりつつあるのです。

⑵中小企業が狙われやすい理由（サプライチェーンの起点）

サプライチェーンとは、原材料の調達から製造、販売までの一連の取引のつながりのことです。サイバー攻撃の世界では、セキュリティが堅い大企業を直接狙うのではなく、取引のある中小企業を先に攻撃し、そこを足がかり（踏み台）にして本命の企業へ侵入しようとする手口が知られています。
IPA（独立行政法人情報処理推進機構）が毎年公表している「情報セキュリティ10大脅威 2026」の組織向けランキングでも、上位は次のような脅威が占めています。

出典：IPA「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html）
「サプライチェーンや委託先を狙った攻撃」は2019年の初選出以来、8年連続でランクインしており、取引先経由の攻撃が継続的な脅威として認識されていることが分かります。
また、警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害の報告件数は、中小企業が143件、大企業が64件と、中小企業が大企業の2倍以上にのぼっています。過去5年も同様に中小企業の件数が上回る傾向が続いており、業種も製造業が多いものの、特定の業界に限らず発生しています。
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（https://www.npa.go.jp/bureau/cyber/pdf/R07_cyber_jousei.pdf）
中小企業が狙われやすい背景には、次のような傾向があります。

• 専任の担当者がおらず、対策が後回しになりやすい
• ソフトウェアの更新やアカウントの管理が個人任せになりやすい
• 取引先とメールやファイルを日常的にやり取りしており、侵入の経路になりうる

攻撃者にとって重要なのは、企業の規模よりも「弱点が残っているかどうか」です。裏を返せば、基本的な対策で弱点を減らすことが、被害の可能性を下げる確実な一歩になります。

2. 中小企業の情報セキュリティ対策は何から始める？優先度の高い5つの対策

限られた予算と人員で進めるには、効果が大きく、比較的取り組みやすいものから着手するのが現実的です。まずは次の5つから始めましょう。いずれも、前述の10大脅威の上位に挙がる脅威への備えにつながるものです。

⑴IT資産と情報の棚卸し

何をするのか：まず、会社が持っているIT資産（パソコン、スマートフォン、サーバー、ネットワーク機器、利用しているクラウドサービスなど）と、重要な情報がどこに保存されているかを一覧にまとめます。
なぜ優先度が高いか：何を持っていて、どこに重要な情報があるのかを把握しないと、何を守ればよいか判断できないからです。
進め方は、表計算ソフトで簡単な台帳を作るところから始めれば十分です。

• 機器の種類、利用者、設置場所、購入時期
• 利用しているクラウドサービスの名前と、管理している担当者
• 顧客情報・取引先情報・人事情報など、重要な情報の保存場所

最初から細かく作り込む必要はありません。まずは「誰が、何を、どこで使っているか」が分かるレベルで作り、気づいたときに追記していく運用で問題ありません。棚卸しをすると、使われていない古いパソコンや、誰が契約したか分からないクラウドサービス、退職者のパソコンがデータ消去されないまま放置されている状態などが見つかることもよくあります。

⑵アカウントと権限の管理

何をするのか：アカウント（システムやサービスにログインするためのID）と、権限（そのアカウントで何ができるかの範囲）を見直します。最初の一歩は、退職者や使われていないアカウントの削除と、管理者権限を持つ人の洗い出しです。
なぜ優先度が高いか：不要なアカウントや必要以上の権限は、不正ログインや情報漏えいの入口になりやすいからです。
あわせて、次の点も見直しましょう。

• パスワードの使い回しをやめ、推測されにくいものにする
• メールやクラウドサービスでは、多要素認証（パスワードに加えてスマートフォンの確認コードなどを組み合わせる仕組み）を有効にする
• 共有アカウントを減らし、誰が操作したか分かるようにする

⑶ソフトウェアの更新

何をするのか：パソコンのOS（WindowsやmacOSなどの基本ソフト）や、業務で使うソフトウェア、ネットワーク機器の更新状況を確認し、最新の状態に保ちます。最初の一歩は、自動更新の設定を有効にすることです。
なぜ優先度が高いか：ソフトウェアの弱点（脆弱性）は日々見つかっており、更新を放置すると、すでに知られている手口で攻撃されてしまうからです。10大脅威でも「システムの脆弱性を悪用した攻撃」は4位に挙がっています。
特に、インターネットに接続しているルーターやVPN機器（社外から社内に安全に接続するための機器）は見落とされやすいため、棚卸しの台帳をもとに更新の担当者を決めておきましょう。サポートが終了した古いOSやソフトウェアを使い続けている場合は、更新の計画を立てることも必要です。
端末の台数が増えてきた場合は、MDM（端末管理ツール：複数の端末の設定や更新を一括で管理する仕組み）の導入も選択肢になります。従業員50名規模のクリエイティブ・制作業では、Mac端末の管理が個別対応でセキュリティ設定がばらばらになっていたため、MDMを導入して設定を統一し、運用手順書と問い合わせの流れを整備した事例があります。

⑷バックアップの取得と復旧確認

何をするのか：重要なデータのバックアップ（複製）を定期的に取得し、実際にそのデータから復旧できるかを確認します。
なぜ優先度が高いか：10大脅威で11年連続ランクインしているランサム攻撃（データを暗号化して使えなくし、身代金を要求する攻撃）や機器の故障が起きても、業務を再開できるかどうかを左右するからです。
ここで強調したいのは、「バックアップは取るだけでは不十分」という点です。いざというときに、バックアップが古かった、途中で失敗していた、戻し方が分からなかったというケースは珍しくありません。

• バックアップは、普段使っているネットワークから切り離した場所にも保管する
• 年に1回程度は、実際にデータを戻すテストを行う
• 誰が、どの手順で復旧するかを決めておく

⑸従業員への教育

何をするのか：全従業員に、不審なメールの見分け方、パスワードの扱い方、困ったときの報告先などの基本を伝えます。
なぜ優先度が高いか：10大脅威に挙がる「機密情報を狙った標的型攻撃」や「ビジネスメール詐欺」のように、メールの添付ファイルを開く、偽のログイン画面にパスワードを入力するなど、従業員の操作をきっかけに起きる被害が多いからです。
大がかりな研修を用意する必要はありません。朝礼や定例会議で10分ほど注意点を共有する、実際に届いた不審メールの例を社内で紹介する、といった小さな取り組みでも効果があります。大切なのは、「おかしいと思ったらすぐに報告してよい」という雰囲気をつくることです。

3. 情報セキュリティの社内ルールはどこまで整える？最低限そろえたい3つ

社内ルール（規程）の整備は、中小企業がつまずきやすい領域です。ひな形をそのまま使って何十ページもの規程を作ったものの、誰も読まず、実際の業務と合わないまま形骸化してしまうケースは少なくありません。
最初は、数ページで読み切れる分量で、現場が実際に守れる内容から始め、運用しながら改訂していくという考え方で十分です。まずは次の3つをそろえましょう。

⑴情報セキュリティの基本方針

基本方針は、会社として情報セキュリティにどう向き合うかを示す宣言です。経営者が方針を示すことで、従業員にとっても「会社として取り組むこと」だと伝わりやすくなります。取引先のチェックシートで、方針の有無を問われることもよくあります。
最低限盛り込む項目

• 情報セキュリティに取り組む目的（顧客や取引先の情報を守るため、など）
• 対象となる範囲（全従業員、業務で扱う情報と機器）
• 法令や契約を守る姿勢
• 責任者と、継続的に見直していく旨

A4用紙1枚程度で十分です。社内に掲示したり、自社サイトで公開したりすると、取引先への説明にも使えます。

⑵情報の取り扱いルール

日々の業務で情報をどう扱うかを定めたルールです。ここが最も現場の行動に直結するため、実際の業務に沿った具体的な内容にすることが大切です。
最低限盛り込む項目

• 重要な情報の範囲（顧客情報、取引先情報、人事情報など）
• パスワードの設定と管理の方法
• 社外へのメール送信やファイル共有のルール（宛先確認、共有リンクの設定など）
• 私物の端末やUSBメモリの利用可否
• 生成AIの利用ルール（入力してよい情報・してはいけない情報、利用してよいサービス）
• パソコンやスマートフォンの持ち出し・紛失時の対応
• 退職時のアカウント削除と貸与物の返却

生成AIの利用ルールは、10大脅威 2026で「AIの利用をめぐるサイバーリスク」が初めて3位に選ばれたことからも、新たに押さえておきたい項目です。従業員30名規模の経営コンサルティング会社では、生成AIの活用ルールがないまま利用が広がり、情報漏えいのリスクが懸念されていました。月5時間程度の外部支援でガイドラインを策定し、社内研修や他社事例の共有まで継続して進めた事例があります。小規模な会社でも、まずは「顧客情報や社外秘の情報は入力しない」といった数行のルールから始めるだけで、リスクを大きく減らせます。
現場の担当者に「このルールで業務が回るか」を確認しながら決めると、守られるルールになりやすくなります。

⑶インシデント発生時の連絡体制

インシデントとは、ウイルス感染、情報漏えい、不正アクセス、端末の紛失など、情報セキュリティ上の事故や、その疑いがある出来事のことです。いざというときに慌てないよう、「誰に、どう連絡するか」を事前に決めておきます。
最低限盛り込む項目

• 異変に気づいたときの最初の報告先（担当者名と連絡手段）
• 担当者が不在のときの代わりの連絡先
• 経営者への報告の基準とタイミング
• 外部の相談先（取引のあるIT業者、保守会社など）
• 被害が疑われる端末の初期対応（ネットワークから切り離す、など）

連絡先の一覧は、紙に印刷して手元にも置いておくと、パソコンが使えない状況でも確認できます。

4. 予算も人も足りない場合、情報セキュリティ対策はどう進める？

⑴外部の力を借りるという選択肢

専任の担当者を置くことが難しい場合、すべてを社内でまかなおうとせず、外部の力を借りるのも現実的な選択肢です。たとえば、情シス業務を代行するサービス、セキュリティ対策を支援するツール、必要なときだけ専門人材に相談できるサービスなど、さまざまな形があります。
考え方のポイントは、「社内で判断すべきこと」と「外部に任せられること」を分けることです。方針を決める、ルールを守る、といった部分は社内に残しつつ、機器の設定や専門的な判断が必要な作業は外部に任せる、という分担が一般的です。また、作業を任せきりにせず、手順書や台帳を残してもらうことで、社内にノウハウが蓄積されていきます。
本記事で紹介した支援事例も、月5時間程度の相談中心のものから、月数十時間で日常業務をまとめて任せるものまで、会社の状況に合わせて関わり方を選んでいます。
外部支援の種類や選び方は、別記事[情シスを支援する5つの方法｜外部サービス・ツール・人材活用を比較]および[情シス代行完全ガイド｜依頼できる業務・料金相場・おすすめの選び方]をご覧ください。

⑵公的支援・補助金の活用

国や自治体、公的機関では、中小企業のセキュリティ対策を支援する取り組みが行われており、無料の相談窓口や教材、IT導入やセキュリティ対策にかかる費用の一部を補助する制度を利用できる可能性があります。
ただし、制度の内容や対象となる経費、申請条件は自治体や年度によって異なり、募集期間が限られていることも多いため、一概に利用できるとはいえません。検討する際は、自社の所在地の自治体や商工会議所、中小企業向けの支援窓口などで最新情報を確認しましょう。取引のあるIT業者に、活用事例があるか相談してみるのもひとつの方法です。

⑶段階的に範囲を広げる進め方

一度にすべてを整えようとすると、負担が大きく途中で止まってしまいがちです。次のように3段階程度に分けて、少しずつ範囲を広げていく進め方が現実的です。
ステップ1：守りの土台を固める（最初の1〜3か月程度）

• IT資産と重要情報の棚卸し
• 退職者アカウントの削除、多要素認証の設定
• 自動更新の有効化、バックアップの取得と復旧テスト

ステップ2：ルールと人の意識を整える（その後の数か月）

• 基本方針・情報の取り扱いルール・連絡体制の作成
• 従業員への周知と簡単な教育
• 取引先のチェックシートへの回答準備

ステップ3：点検と改善を習慣にする（半年〜1年目以降）

• 台帳とルールの定期的な見直し
• 外部の専門家による点検や診断の検討
• 必要に応じて認証取得の検討

期間はあくまで目安です。自社の状況に合わせて、無理のないペースで進めることが何より大切です。

5. ISO27001やPマークの取得は必要？判断の目安

⑴取得が求められる場面

ISO27001は、情報セキュリティを組織的に管理する仕組み（ISMS）についての国際規格で、認証を取得すると、その仕組みが基準を満たしていることを第三者に示せます。Pマーク（プライバシーマーク）は、個人情報を適切に取り扱う体制が整っていることを示す国内の認証制度です。
取得が求められやすいのは、次のような場面です。

• 取引先から、取引条件として認証の取得を求められた
• 官公庁や自治体の入札で、認証の有無が参加条件や評価項目になっている
• 大量の個人情報を預かる業務を受託している、または受託したい

⑵取得によって得られるものと負担

得られるもの

• 取引先や顧客に対して、対策状況を客観的に示せる
• チェックシートへの回答や、取引先への説明がしやすくなる
• ルールや体制が整理され、社内の対策が仕組みとして定着しやすくなる

負担

• 規程の作成や運用記録の整備など、準備に相応の工数がかかる
• 審査費用や、外部のコンサルタントに依頼する場合はその費用がかかる
• 取得後も、定期的な審査や内部監査など、維持のための運用が続く

判断の目安としては、取引先や入札で具体的に求められている場合は取得を検討する価値が高い一方、特に求められていない段階では、まず本記事の5つの対策と最低限のルールを整えることを優先するのが現実的です。認証は「必ず取得すべきもの」とは限らず、自社の取引状況や事業計画に照らして判断するとよいでしょう。基本的な対策を先に進めておけば、将来取得を目指す際の土台にもなります。

⑶脆弱性診断との関係

脆弱性診断は、WebサイトやサーバーなどのIT環境に弱点がないかを、技術的な面から点検する手段の一つです。ルールや体制を整えることが「仕組みの対策」だとすれば、脆弱性診断は「その対策が技術的にきちんと機能しているか」を確かめるものといえます。認証取得の有無にかかわらず、外部に公開しているシステムがある場合は、ステップ3の段階で検討するとよいでしょう。
詳しくは、別記事[脆弱性診断とは？必要性と放置するリスクを初心者向けに解説]をご覧ください。

6. よくある質問（FAQ）

⑴従業員10名規模でも対策は必要か

必要です。警察庁の統計でもランサムウェア被害の報告件数は中小企業が大企業を上回る傾向が続いており、規模が小さいことは安全の理由にはなりません。ただし、大企業と同じ対策は不要で、本記事の5つの対策と最低限のルールから始めれば十分です。

⑵何にどれくらい費用をかけるべきか

一律の金額はなく、まずは費用をかけずにできる対策（アカウントの整理、自動更新の設定、ルールの作成など）から始めるのがおすすめです。そのうえで、バックアップの仕組みや外部支援など、効果の大きいものから段階的に投資していくと、無理なく対策を進められます。

⑶情報セキュリティの担当者は誰にすべきか

総務や情シスを兼任している方が担当するのが一般的ですが、最終的な責任者は経営者が務めることが大切です。担当者一人に任せきりにすると、退職や休職で対策が止まるおそれがあるため、手順や台帳を残し、必要に応じて外部の支援を組み合わせることで、無理のない体制をつくれます。

7. まとめ

• 中小企業の情報セキュリティ対策は、公的機関のデータでも必要性が示されており、完璧を目指さず優先度をつけて進めることが現実的です。
• まずは棚卸し・アカウント管理・更新・バックアップ・教育の5つと、基本方針・取り扱いルール（生成AIの利用を含む）・連絡体制の3つのルールから始めましょう。
• 最初の一歩として、今週中に自社のパソコンとクラウドサービスを一覧にするところから始めてみてください。