中小企業の代表的な情報セキュリティ対策一覧

セキュリティ対策は、業種・企業規模・扱うデータによって何が必要かが大きく変わります。全企業が同じ対策を同じ優先度で行うべきものではありません。このページでは「これだけやれば安心」というチェックリストではなく、代表的な対策を種類ごとに整理した一覧として紹介します。自社にとって優先度が高いものを選ぶための入り口として使ってください。

なりすましメールや内部からのデータ持ち出しなど、中小企業でも実際に起こりうる被害のイメージがまだ湧かない場合は、先に中小企業に実際に起こりうる被害の手口を読むと、以下の対策がなぜ必要なのかがつかみやすくなります。

技術的な対策

システムやアカウントを守るための、直接的な設定・仕組みです。

• パスワード管理・多要素認証 ：アカウントの乗っ取りを防ぐ最も基本的な対策です
• OS・ソフトウェアのアップデート ：既知の脆弱性を悪用した攻撃を防ぎます
• データのバックアップ ：ランサムウェアや誤操作によるデータ消失に備えます
• アクセス権限の管理 ：必要な人だけが必要なデータにアクセスできる状態を保ちます
• 通信の暗号化・VPN ：社外からのアクセスや、外部とのデータのやり取りを保護します

組織的な対策

技術だけでは防ぎきれない、人と運用ルールに関わる対策です。

• フィッシング・標的型メールへの注意喚起 ：セキュリティ事故の多くは、技術的な脆弱性ではなく人の判断ミスがきっかけで起こります
• 情報の取り扱いルールの整備 ：どのデータを誰が扱ってよいか、社外に持ち出してよいかといった基本ルールです
• 退職・異動時のアカウント整理 ：使われなくなったアカウントの放置は、不正アクセスの入り口になります
• 私物端末・私用クラウドの利用ルール ：業務データが管理外の場所に保存される状態を防ぎます

委託先・契約に関する対策

自社の中だけでは完結しない、外部との関係に関わる対策です。

• 委託先のセキュリティ水準の確認 ：自社が対策していても、委託先経由で情報が漏れるケースがあります
• 契約書での責任範囲の明確化 ：情報漏洩が起きた際の責任の所在を事前に取り決めておきます
• クラウドサービスの設定確認 ：公開範囲の誤設定など、サービス側ではなく利用者側の設定ミスによる事故も多く発生します

有事に備える対策

事故が起きないようにする対策とあわせて、起きたときにどう動くかの備えも必要です。

• インシデント対応計画の整備 ：発生時に誰が何をするかを事前に決めておきます
• 報告・連絡体制の整理 ：顧客・取引先・監督官庁への報告が必要なケースを把握しておきます

自社に必要なものをどう選ぶか

これらすべてを同時に、同じ水準で整備する必要はありません。顧客の個人情報を大量に扱う事業と、社内業務の効率化が中心の事業とでは、優先すべき対策がまったく異なります。

まずは自社がどのようなデータを扱っているか、それが漏洩・消失した場合にどれだけの影響があるかを整理するところから始めるのが現実的です。個別の対策の詳しい内容は、このカテゴリ内の他の記事でも取り上げています。