中小企業が最初に行うべき、
セキュリティ対策5つ

1. 多要素認証を重要アカウントから必須にする

パスワードが漏れても、それだけでログインできない状態を作ります。特にメール、Microsoft 365、Google Workspace、クラウド管理者、金融・会計系サービスなど、侵害時の影響が大きいアカウントを優先します。

最低限ここまで

• 管理者アカウントはMFAを必須にする
• 一般ユーザーも可能なサービスからMFAを有効化する
• 共有アカウントを減らし、誰が操作したか分かる状態にする

2. 端末を更新し、暗号化とマルウェア対策を揃える

WindowsやmacOS、ブラウザ、Officeなどの更新を止めないことが基本です。会社PCには暗号化、画面ロック、マルウェア対策などの基準を設け、誰のPCだけ例外なのかを把握します。

3. アカウント・権限・入退社を仕組みにする

退職者のアカウントが残る、誰でも重要フォルダを見られる、管理者権限を日常利用する、といった状態は小規模企業でも起こります。

• 利用中のSaaSとアカウントを台帳化する
• 必要最小限の権限にする
• 入社・異動・退職時のチェックリストを作る
• 管理者アカウントは通常業務用と分ける

4. バックアップを「ある」ではなく「戻せる」にする

バックアップは保存しているだけでは不十分です。誤削除、ランサムウェア、端末故障など、想定する事故ごとにどこから戻せるかを確認します。クラウドサービスを使っていても、保持期間や復元範囲を理解しておく必要があります。

確認すること

• 何をバックアップ対象にするか
• どのくらい前まで戻せるか
• 誰が復元できるか
• 実際にテスト復元したことがあるか

5. 事故時の連絡先と初動を決める

不審メールを開いた、PCを紛失した、アカウントが乗っ取られた、ファイルが暗号化された。こうしたときに「まず誰へ連絡するか」が決まっていないと初動が遅れます。

• 社内の連絡先
• IT事業者・クラウド事業者への連絡方法
• 端末隔離、パスワード変更、アカウント停止など最初に行うこと
• 顧客・関係先・行政機関への報告要否を判断する責任者

この5つの次に進めること

基本対策が整ったら、メール保護、端末管理、ログ監視、脆弱性管理、セキュリティ教育、委託先管理、規程整備、BCPなどへ広げます。業種、扱う情報、取引先要求によって優先順位は変わります。

IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開しており、経営者の役割から実践手順、クラウド、インシデント対応まで体系的に確認できます。