中小企業のセキュリティ対策は「6か条」から——情シスなしでも今すぐ始められる基本の整え方

「セキュリティ対策が必要なのはわかっているけれど、何から手をつければいいのか」——情報システム担当者がいない中小企業では、こう感じている経営者や総務担当者が多いのではないでしょうか。

サイバー攻撃やランサムウェアの被害がニュースになるたびに不安になりつつも、専門知識が必要そうで先送りにしてしまう。そんな状況を解消するために、IPA（独立行政法人情報処理推進機構）が、中小企業向けのセキュリティガイドラインを2026年3月に改訂しました。「何から始めるか」の答えを、信頼できる公的機関が6項目に整理してくれています。

IPAが「情報セキュリティ6か条」を定めた背景

IPAは、2026年3月に「中小企業の情報セキュリティ対策ガイドライン」を改訂し、第4.0版を公開しました。これまでの「5か条」に新たな1項目を加えて「6か条」としています。

追加されたのは「バックアップを取ろう！」です。ランサムウェアによる被害が情報漏洩にとどまらず事業の停止にまで発展するケースが急増しており、データを「失った後に取り戻す手段を持つこと」がセキュリティの基本として正式に位置づけられました。

6か条は、いずれも高額なシステムを導入しなくても取り組めるものが中心です。「費用をほとんどかけずに今すぐ着手できる最低限の取り組み」とIPAが位置づけているため、情シスがいない会社でも現実的に対応できます。

中小企業が特につまずきやすい2つのポイント

6か条のなかでも、情シスなしの会社が見落としやすいのが「共有設定の見直し」と「バックアップ」の2点です。

共有設定の見直し——「誰でも見られる状態」になっていないか

クラウドストレージのフォルダやファイルを「とりあえず全員に共有」「リンクを知っていれば誰でもアクセス可」という設定にしたまま放置しているケースは少なくありません。このような設定ミスは、意図せず社内の機密情報が外部に公開される原因になります。

共有設定は「必要な人だけに、必要な範囲だけ」が原則です。誰かが退職した後にもアクセス権が残り続けていないか、定期的な棚卸しも重要です。

クラウドの「設定ミス」で社内情報が外部に丸見えになる——実際に起きているセキュリティ穴についてはこちら

バックアップ——「あって当然」から「意識して整える」へ

「クラウドに保存してあるから大丈夫」と思っている方もいるかもしれませんが、ランサムウェアに感染すると、クラウドと同期されたファイルも暗号化されてしまうケースがあります。バックアップが「クラウドとの同期のみ」では、感染後に復旧できない可能性があります。

理想的なバックアップは、クラウドとは別の場所（ローカルのストレージなど）にも保存する「二重管理」です。今回のIPA改訂でバックアップが6か条に加わったのは、こうした被害が実際に中小企業にまで広がっているためです。

クラウドのデータが消えても補償されない——主要サービスの免責条項とバックアップ対策についてはこちら

情シスなしでも「今日から」できる3つのこと

高度な知識がなくても取り組める対策として、まずは以下の3点から始めることをおすすめします。

• OSとソフトウェアの自動更新を確認する：WindowsやMacの設定メニューから「自動更新」が有効になっているか確認するだけです。更新を怠ると既知の脆弱性を突かれるリスクがあります
• パスワードを見直す：同じパスワードを複数のサービスで使い回していないか確認し、長く複雑なパスワードに変更します。パスワード管理ツールを使うと運用の負担が減ります
• ファイルの共有設定を棚卸しする：クラウドストレージのフォルダごとにアクセス権を確認し、「全体公開」「リンク共有」になっているものがないかチェックします

「バックアップ」と「アクセス管理」をまとめて整えるには

オールインワン小型サーバー「Orcinus」は、チャット（Mattermost）・会計ソフト（Hieronymus）・ファイル共有がひとつの機器に搭載されており、ローカルとクラウド両方への自動バックアップと、ブラウザから操作できるアクセス権管理を標準搭載しています。ファイルは社内ネットワーク上に保管されるため、クラウドサービスの設定ミスや外部からの不正アクセスリスクを構造的に減らせます。

遠隔サポートにより、IT担当者がいなくても専門家のサポートを受けながら運用できます。複数のクラウドサービスをバラバラに管理する手間がなくなるのも、情シスなしの会社にとって大きなメリットです。詳しい料金は価格ページをご覧ください。