長期休暇前後のセキュリティ対策チェックリスト — 年末年始に中小企業がやること

長期休暇のセキュリティ対策は、休暇前に「更新・電源・バックアップ・連絡体制」の4点を済ませ、休暇中は不審なメールと紛失に備え、休暇明けは「更新・メール・ログ・再起動」の順で業務を再開することに尽きる。 年末年始のように会社が数日から1週間以上止まる時期は、システム管理者が不在になり、異常が起きても気づくのが遅れやすい。IPA（情報処理推進機構）も、長期休暇中に事故が起きると対応が遅れ、休暇明けの業務継続に影響するおそれがあるとして、毎年の長期休暇の前に注意喚起を出している。IT担当者がいない会社でも、やることを「休暇前・休暇中・休暇明け」の3つの時期に分けて、誰が何をするかを決めておけば、手間は大きくならない。本稿では、休暇中が狙われやすい理由、時期ごとのチェックリスト、担当者別の役割分担表、外部に頼む場合の費用の目安、よくある質問までを、経営者・総務の方向けに整理する。

長期休暇中のセキュリティ事故が厄介なのは、攻撃が増えるというより、気づく人がいない時間が長いことにある。通常の営業日なら、パソコンの動作がおかしい、いつもと違うメールが来た、ファイルが開けない、といった異変は誰かが気づいて声を上げる。休暇中は、その目が一斉になくなる。IPAも、システム管理者が長期間不在になるなど、いつもとは違う状況になりやすい点を挙げている。

具体的には、次の3つが重なりやすい。

- 発見が遅れる：夜間や休日に不正アクセスがあっても、ログを見る人も、アラートに対応する人もいない。気づくのは休暇明けで、その間に被害が広がる可能性がある
- 放置された機器が残る：VPN機器、ルーター、UTM（統合脅威管理装置）、NAS（ネットワーク接続型のファイル置き場）、サーバーなど、インターネットから見える機器は電源が入ったまま動き続ける。既知の脆弱性（セキュリティ上の弱点）が残っていれば、休暇中も攻撃を受け続けることになる
- 休暇明けに焦る：メールが数日分たまり、早く業務を再開したい心理が働く。その状況で、実在の企業を装った不審なメールの添付ファイルやURLを開いてしまう事故が起きやすい

IPAの2025年度の年末年始向け注意喚起（2025年12月16日掲載）では、インターネットに接続された機器の脆弱性や設定不備を突く攻撃が続いていること、そうした機器が不正な通信の中継点（ORB：Operational Relay Box）にされると、自社の情報が漏れるだけでなく、意図せず他の組織への攻撃に加担する恐れがあることも指摘されている。休暇中の事故は、自社の中だけで完結しないことがある、という点は押さえておきたい。

なお、脆弱性とアップデートの考え方そのものはパッチ・アップデート管理の始め方で詳しく扱っている。本稿は、その中から「長期休暇の前後に何をするか」に絞った実践編である。

休暇前の作業は、営業最終日の1週間前から着手するのが現実的である。最終日の夕方に慌ててネットワーク機器を更新して、止まってしまっても直せない、というのが最も避けたい状況だからである。次の7項目を、順に確認してほしい。

1. OS・ソフトの更新を適用する。 Windows、macOS、ブラウザ、Officeなどの更新を、休暇前に済ませる。更新には再起動が必要なものが多いので、「休暇前の最終週のうちに再起動まで終える」ことを社内で呼びかける。休暇明けにまとめて当てると、業務再開の朝に端末が使えなくなりかねない。

2. VPN機器・UTM・ルーター・NASのファームウェア更新を確認する。 インターネットに面した機器は、休暇中も外から触られ続ける。メーカーから重要な更新が出ていないか確認し、出ていれば休暇前に適用する。ただし、ネットワーク機器の更新は、失敗すると社内全体の通信が止まる。保守を委託している業者がいれば、更新の可否と日程を最終営業日の数日前までに相談し、自社で作業する場合は、設定のバックアップを取ってから、業務の少ない時間帯に行う。更新を適用できなかった機器は、次の項目の電源断や、不要な外部公開の停止で補う。

3. 休暇中に使わない機器の電源を切る。 IPAも、長期休暇中に使用しないサーバー等の機器は電源をOFFにするよう求めている。使わないパソコン、共用のプリンター、古いサーバー、検証用の機器、休暇中に見る予定のない防犯カメラのレコーダーなどが対象になる。電源を切れば、そこへ攻撃される余地がなくなる。ただし、電源を切ってはいけない機器もある。業務で休暇中も動かす必要がある機器（予約システム、監視、バックアップの定時処理など）は、止めずに、更新状況とアクセス制限を確認する。 切る機器と切らない機器を、一覧にしておくと安心である。

4. バックアップが取れているか確認する。 バックアップは「取っている」だけでは足りず、直近の分が正常に取れているかを確認する。休暇前の最終営業日に、重要なデータを手動でもう1回保存しておくと、万一の際の戻り先が明確になる。バックアップの置き場所は、ランサムウェア（身代金要求型ウイルス）の被害を考え、パソコンやNASと常時つながっていない場所にも1つ持っておきたい。方式と費用の考え方は中小企業のデータバックアップ方法と費用にまとめている。

5. 緊急連絡体制を確認する。 IPAは、委託先企業を含めた緊急連絡体制と対応手順が明確か、連絡フローが現在の組織に合っているか、担当者の電話番号が変わっていないか、の3点を確認するよう求めている。中小企業なら、次の内容を1枚の紙かスマホのメモにまとめ、全員が見られる場所に置けば十分である。

- 休暇中に連絡を受ける社内の担当者（第1連絡先・第2連絡先）と電話番号
- ネットワーク機器やシステムの保守業者の、休暇中の連絡先と受付時間（休暇中は受付が休止している業者もあるため、事前に確認する）
- 契約しているサイバー保険の連絡先がある場合は、その窓口
- 異常を見つけたときに最初にやること（ネットワークケーブルを抜く、電源は切らず担当者に電話する、など）

6. 持ち出すパソコン・スマホ・データのルールを決める。 休暇中に自宅や出先で仕事をする人がいるなら、持ち出してよい端末とデータ、置き場所、電車や飲食店に置き忘れない・車内に放置しないといった基本ルールを、休暇前に確認する。私物のパソコンやUSBメモリに業務データを入れない、という約束も入れておく。紛失した場合の初動は会社のパソコン・スマホを紛失・盗難されたときの対応で整理している。「失くしたら、休暇中でも必ず連絡する」を、先に伝えておくことが一番効く。

休暇中は、基本的に「何もしない」のが対策であり、普段どおりの警戒を、人の少ない状況で続けることが重要になる。次の3つを、従業員にも伝えておくとよい。

不審なメール・SMS・SNSのメッセージを開かない。 IPAは、休暇中は実在の企業などを装った不審なメールが多く寄せられているとして、添付ファイルを開かず、本文中のURLにアクセスしないよう呼びかけている。宅配便の不在通知、金融機関やカード会社、通販サイトを装う連絡が代表例である。

偽のセキュリティ警告が出たら、電話をしない。 ブラウザに「ウイルスに感染した」と表示され、サポートの電話番号へ誘導される手口（サポート詐欺）は、休暇中の自宅でも起きる。IPAも、ブラウザ画面上に表示される警告は偽物の可能性が高く、画面を閉じる、閉じられなければブラウザを強制終了するか再起動するよう案内している。詳しい対処はサポート詐欺（偽のウイルス警告）への対処で解説している。

紛失・盗難・「おかしい」と思ったら、休暇中でも連絡する。 端末の紛失、パスワードを入力してしまった、怪しいファイルを開いた、といったときは、休暇中でも遠慮せず、決めた連絡先に電話してもらう。このとき、ネットワークから切り離す（Wi-Fiを切る、ケーブルを抜く）ところまでは本人にやってもらい、電源は切らずに、担当者へ連絡するよう決めておくと、調査に必要な情報が残りやすい。ランサムウェアの疑いがある場合の全体の動きはランサムウェア被害の初動対応、ウイルス感染や不正送金など緊急時の最初の動きはIT緊急対応の初動ガイドを参照してほしい。

休暇明けの最初の1時間の動きで、休暇中に起きたことの被害を最小にできる。次の4ステップを、メールを開く前に行うのが原則である。

1. 機器を再起動し、OS・ソフトを更新する。 休暇中に公開された修正プログラムがないか確認し、必要なものを適用する。IPAも、休暇明けに修正プログラムの有無を確認して適用するよう求めている。パソコンだけでなく、ルーターやUTM、NASなど、電源を切っていた機器を入れ直したあとの動作確認も、この時点で行う。各端末は、更新が終わるまでは社外のサイトを見ない、メールを開かない、という順番を守る。

2. セキュリティソフトの定義ファイル（パターンファイル）を更新する。 休暇中に電源を切っていたパソコンは、定義ファイルが古いままになっている。メールの送受信やウェブ閲覧の前に、最新の状態にしておく。持ち出したパソコンやUSBメモリは、社内ネットワークにつなぐ前に、セキュリティソフトでスキャンする。

3. たまったメールは、まず見分けてから開く。 休暇明けはメールが数日分たまっており、焦って次々と開いてしまいがちである。件名と送信元を確認し、次のようなものは開く前に担当者へ相談する。

- 見覚えのない取引先や、通常と違う送信元アドレスからのもの
- 「至急」「本日中」「アカウントが停止されます」など、急がせる表現
- 請求書、納品書、パスワード付きZIPなどの添付ファイル
- 普段のやり取りと違うタイミングでの、振込先の変更の依頼

不審なメールを受信したら、添付ファイルを開かず、URLにも触れず、システム管理者に報告して指示に従うのが基本である。

4. ログと機器の状態を確認する。 サーバーやVPN機器、ルーターなどのログに、休暇中の不審なアクセスがないかを確認する。IPAも、サーバー等の各種ログを確認し、不審なログがあれば早急に詳細な調査を行うよう求めている。中小企業でログを自力で読むのは難しいため、見るポイントを絞るとよい。

- 休暇中の深夜・早朝に、海外などからのログイン成功の記録がないか
- 管理者アカウントのパスワード変更・新規アカウント作成の履歴がないか
- NASやサーバーに、大量のファイルが短時間で書き換えられていないか（ランサムウェアの兆候）
- 機器が、意図せず再起動や設定変更をされていないか
- クラウドサービス（Microsoft 365、Google Workspaceなど）のサインイン履歴に、見覚えのない場所や端末がないか

IT担当者がいない会社では、「誰かがやっているだろう」で抜けが出やすい。次の表のように、時期ごとに担当を決めて名前を入れておくと、抜けが減る。小さな会社なら、1人が複数を兼ねて構わない。

自社だけで難しい部分は、外部に頼む方法もある。ここで示す金額は、一般に見られる目安であり、実際の料金は機器の台数、拠点数、契約内容、業者によって大きく変わる。複数社の見積もりと、作業範囲の違いを確認してほしい。

見積もりを取るときは、「休暇中の連絡窓口が動いているか」「更新作業の責任範囲はどこまでか」「作業後の報告書は出るか」を必ず確認する。月額の保守契約をすでに結んでいる会社は、休暇前の点検が契約に含まれているかを、まず確認するとよい。

- IPA「長期休暇における情報セキュリティ対策」: https://www.ipa.go.jp/security/anshin/measures/vacation.html
- IPA「2025年度 年末年始における情報セキュリティに関する注意喚起」（2025年12月16日掲載）: https://www.ipa.go.jp/security/anshin/heads-up/alert20251216.html