中小企業のセキュリティ、最初の5つ — お金をかける前にやるべき基本

中小企業にとってのITリスク対策とは、限られた人員と予算の中で、被害の起きやすい箇所から順に手当てしていく取り組みを指す。専任のセキュリティ担当者がいない会社でも、高額なツールを導入する前にできることは少なくない。本稿では、費用をほとんどかけずに着手できる基本5項目を、優先順位とあわせて整理する。

大企業を狙った攻撃が報道されることは多いが、実際には従業員数十名規模の企業も日常的に攻撃の対象になっている。攻撃側にとって企業の規模そのものよりも、突破しやすい設定や古いソフトウェアが残っているかどうかの方が影響が大きいためだ。多くの中小企業ではITやセキュリティを兼任の担当者や経営者自身が見ていることが多く、日常業務に追われて対策が後回しになりやすい。「うちは狙われるほどの規模ではない」という感覚的な判断や、「対策＝高額な投資」という思い込みも、着手を遅らせる要因になっている。

- 全社共通のパスワードを長年使い回している
- OSやソフトの更新通知を「あとで」にし続けている
- バックアップを取っているつもりが、実際は自動化されておらず抜けがある
- 不審なメールの見分け方を従業員に共有したことがない
- 退職者のアカウントやパスワードがそのまま残っている

以下の5項目は、いずれも新しいツールの購入を前提とせず、既存の環境や運用の見直しだけで着手できるものを中心に選んでいる。重要なのは「一度やって終わり」にせず、定期的に繰り返す仕組みにすることである。

使い回しの単純なパスワードは、漏えいした際に他のサービスへの不正ログインにつながりやすい。まずは重要度の高いシステム（メール、会計、顧客管理など）から、多要素認証（MFA）を有効にすることを検討したい。多くのクラウドサービスでは追加費用なしでMFAを設定できる。パスワード自体は使い回しを避け、可能であれば無料のパスワード管理ツールを併用すると運用の負担が減る。

OSやアプリケーションの更新プログラムには、既知の脆弱性を修正するものが多く含まれる。更新を放置している期間が長いほど、既に対策方法が公開されている弱点を突かれるリスクが高まる。自動更新を有効にする、更新確認を月次の業務として組み込むなど、特別な投資をせずに実施できる対策である。

バックアップは「取っていること」よりも「復元できること」が本質である。目安として、データを3つ以上保持し、2種類以上の異なる媒体・保存先に分散し、うち1つは社内ネットワークから切り離した場所（クラウドや外部保管など）に置くという3-2-1ルールが知られている。年に一度は実際に復元できるかを試すことも、あわせて確認しておきたい。

取引先や上司を装った不審なメールは、ITリスクの入口として頻度が高いものの一つとされる。差出人アドレスの微妙な違い、不自然な日本語、緊急性をあおる文面などが典型的な特徴として挙げられる。特別なシステムを導入せずとも、社内で実例を共有し、不審なメールは添付やリンクを開く前に周囲に相談するという習慣を作るだけでも効果が期待できる。

退職者や契約終了者のアカウントが有効なまま残っていると、意図しないアクセス経路になり得る。半年に一度など、定期的なタイミングで利用中のアカウント一覧を棚卸しし、不要なものを無効化する運用を決めておくとよい。

- [ ] 重要システムのMFAを有効化したか
- [ ] OS・ソフトの自動更新設定を確認したか
- [ ] バックアップが3-2-1ルールを満たしているか
- [ ] 直近1年以内にバックアップの復元テストを行ったか
- [ ] 不審メールの実例を従業員と共有する場を設けたか
- [ ] 退職者・契約終了者のアカウント一覧を確認したか

中小企業のITリスク対策は、必ずしも高額な投資から始める必要はない。パスワード管理と多要素認証、OS・ソフトの更新、バックアップの3-2-1ルール、不審メールの見分けと訓練、退職者アカウントの棚卸しという5つの基本を、運用習慣として定着させることが土台になる。より広い視点でのITリスク対策の全体像は中小企業のITリスク対策ガイドで整理している。バックアップやシステム停止時の備えについては中小企業のためのIT-BCP基礎、標的型の脅威については中小企業のためのランサムウェア対策基礎もあわせて参考にしていただきたい。