情報セキュリティ5か条とは？今すぐ実践できる基本対策を徹底解説！

「情報セキュリティ5か条ってどんなもの？」

「セキュリティ対策するには具体的に何から手をつけたらいいの？」

このような疑問をお持ちの方もいらっしゃるのではないでしょうか？

あらゆる情報がインターネット上に保存されるようになった現代では、システムやセキュリティ上の弱点を突いた脅威から適切に情報を守るための対策が欠かせません。

特に、企業は個人情報を数多く取り扱うため、業種を問わず、情報セキュリティ対策に取り組む必要があります。

ここでは、企業が取り組むべき対策の情報セキュリティ5か条をもとに、今すぐ実践できる基本の対策を紹介していきます。

本コラムを読み終えていただければ、情報セキュリティ5か条に関しての教育や仕組み作りに活かせる、実践的なヒントを得られるでしょう。

1.情報セキュリティ5か条は企業が取り組むべき対策

情報セキュリティ5か条とは、ビジネスの規模に関わらず、企業が必ず実行すべき重要な5つのセキュリティ対策をまとめたものです。

（1）OSやソフトウェアは常に最新の状態にする

OSやソフトウェアにセキュリティ上の弱点が見つかると、それを修正するための更新プログラムが提供されます。

更新プログラムを適用せず古い状態のまま使い続けると、その弱点を狙ったウイルスに感染する危険性が高まるため、OSやソフトウェアは、常に最新の状態にアップデートして使用してください。

（2）ウイルス対策ソフトを導入する

近年、パソコンを遠隔操作したり、データを勝手に暗号化して身代金を要求したりする悪質なウイルスが増えています。

また、ウイルスは感染した1台のパソコンから他のパソコンへ感染が拡大していく特徴を持つため、社内でのウイルス横展開や、取引先のパソコンが感染するなど、被害が拡大する危険性が高いです。

ウイルス対策ソフトを必ず導入し、新しい脅威に対応できるよう、常に最新の状態に更新しておきましょう。

（3）パスワードを強化する

簡単なパスワードは推測されやすく、また、他のサービスから漏洩したパスワードを使い回していると不正ログインの危険が高まります。

安全のため、パスワードは長く複雑に設定し、複数のサービスで使い回さないことを徹底しましょう。

（4）共有設定の見直し

クラウドストレージやネットワーク接続された複合機などで、意図せず誰でもアクセスできる設定になっていませんか？

設定ミスが原因で、無関係な第三者に情報を見られてしまう事故が起きています。退職者がアクセスし、情報を持ち出した事故もあります。特に退職者が出た際や、人事異動の際などは、共有範囲が正しく設定されているか定期的に確認しましょう。

（5）脅威や攻撃の手口を知る

近年、取引先になりすましたメールや、本物そっくりの偽サイトでIDやパスワードを盗み取ろうとする手口が巧妙化しています。

どのような脅威があるのかを知ることが、騙されないための第一歩です。

最新の攻撃手口の情報収集を欠かさず行い、対策を練りましょう。

2.情報セキュリティを行わなかった場合のリスク

第1章では、対策すべき情報セキュリティ5か条を紹介しました。

本章では、情報セキュリティを行わなかった場合、どのようなリスクが想定されるのか具体的なリスクを解説します。

攻撃手口や脅威を正しく把握することは、正しい対策につながります。

（1）情報漏洩

情報セキュリティ対策を行っていない場合、あらゆる情報が漏洩する危険にさらされます。

例えば、従業員の個人情報や取引先の連絡先、クレジットカード番号、社外秘の開発情報などの情報が単体で漏れることもあれば、IDとパスワードといった資格情報が漏れることで、情報がまとめて漏洩することもあります。

また、顧客の個人情報に対しても適切なセキュリティを施さなければなりません。

ビジネスの規模に関わらず、どの企業も情報は保持しているため、セキュリティ対策は必須です。

（2）損害例

被害の大きいサイバー攻撃の代表例として、パソコン内のデータを暗号化し、利用できない状態にして解除のための身代金を要求するランサムウェアという悪質なものがあります。

要求される身代金としては、数千万円から数億円という規模の事例が公開されており、事業継続性に多大な打撃を与えます。なお、身代金を支払ったとしても解除される保証はありません。

感染対策としては、OSを最新に保つことやセキュリティソフトの導入などが有効です。

3.従業員の意識向上を図るためには

第2章では、情報セキュリティ対策を行わなかった場合のリスクを紹介しました。

しかし、情報セキュリティ対策を進める上での問題点として、多くの企業が情報セキュリティ対策の知識を持った従業員がいないことや従業員の情報セキュリティに対する意識が低いことが挙げられています。

そこで本章では、情報セキュリティ対策を知っているだけの状態から、全員が実践できる状態へ変えるための方法を3つのステップでご紹介します。

（1）ルールを守る意識を作り出す

他社の失敗談を自社の物語として語る

例えば、ランサムウェア攻撃で大手企業の工場が停止したという被害事例を、もし、同様の攻撃でうちの基幹システムが停止したら、受注も出荷もできなくなり、事業にこれだけの損失が出る可能性がありますという例を自社に置き換えて考えると、自分ごと化ができます。

分散学習で意識を風化させない

年に1回の長時間研修のような集中学習よりも、5分ほどの短いコンテンツを短いスパンで学習する分散学習の方が、記憶の定着や常に対策することの意識づけに有効であることが知られています。

（2）どう守るのかを迷わせない仕組みづくり

組織内の役割分担を明確にする

セキュリティ対策は経営者がセキュリティ方針を明確にし、担当幹部が推進体制を構築するなど、全社的な役割分担を定めることが大切です。

従業員の面倒をテクノロジーで解決する

複雑なパスワード管理を従業員の記憶力に頼るのではなく、組織としてパスワードマネージャーを導入するなど、個人の努力に依存しない仕組みを構築することで、セキュリティレベルと利便性を両立できます。

（3）守れているか継続させる

対策状況を見える化して課題にする

IPAが提供するサイバーセキュリティ経営可視化ツールなどを活用し、自社の対策状況を客観的に評価しましょう。
その結果を会議で定期的に報告することで、セキュリティが単なるタスクではなく、重要な経営課題であることを全社で共有できます。

PDCAサイクルで改善を続ける

訓練や監査をやりっぱなしにせず、そこで見つかった課題を次の対策計画に反映させるために、演習などを通じて、従業員自身に課題を発見させ、改善策を議論させることも有効なアプローチです。

4.5分でできる自社診断

ここまで、情報セキュリティ5か条の対策や行わなかった場合の様々なリスクをご紹介してまいりましたが、自社のセキュリティ対策はどうでしょうか。

情報処理推進機構（IPA）は自社のセキュリティレベルを簡易的に診断できる、5分でできる情報セキュリティ自社診断を公開しています。25個の質問にはい、いいえで答えるだけで、自社の対策レベルが分かります。

• 基本的対策（5問）OS更新、ウイルス対策、パスワード管理など

• 従業員としての対策（8問）メール利用、持ち出しルール、SNS利用など

• 組織としての対策（12問）方針策定、教育、委託先管理、事故対応など

この診断を定期的に実施し、改善状況を追跡することで、PDCAサイクルを回す第一歩になるでしょう。

5.まとめ

いかがでしたか。

今回、情報セキュリティ5か条の概要や対策、守らなかった場合のリスクを解説しましたが、情報セキュリティ5か条に関しての教育や仕組み作りに活かせる、実践的なヒントは得られましたでしょうか。

情報セキュリティ5か条は、セキュリティ対策と言っても具体的に何から手をつけたらよいかわからないという企業に向けて、情報処理推進機構（IPA）が最低限押さえておきたい基本事項として発信しているもので、特別なツールや予算がなくても今日から実践できる基本対策です。

重要なのは、研修を実施するだけで終わらせず、意識を変え、行動を促し、文化として根付かせるという一連の流れを作ることです。

まずは、情報セキュリティ5か条で挙げられている内容と自社の現状を照らし合わせ、できていない部分に取り組むところから始めてみるのはいかがでしょうか。