中小企業のセキュリティ対策：まず押さえるべき基本と体制
「うちのような中小企業が狙われるわけがない」——この思い込みが、いま最も危険です。攻撃側は取引先や委託先の弱いところを踏み台にして大企業を狙うため、規模の小さい企業ほど「入口」として狙われます。とはいえ、限られた人員と予算で何から手を付ければよいのか分かりにくいのも実情です。本記事では、公的機関が示す基本対策と脅威の全体像を整理し、担当・ルール・運用という「体制」をどうつくるかまで、実務の順序に沿って解説します。
なぜ今、中小企業がサイバー攻撃の標的になるのか
情報処理推進機構（IPA）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、「サプライチェーンや委託先を狙った攻撃」が2位に入りました。これは、セキュリティが比較的手薄な取引先や子会社を踏み台にして、本命である大企業へ侵入する手口です。つまり中小企業は、自社が保有する情報の価値だけでなく、「取引網の一員」であるがゆえに狙われます。
自社が被害に遭えば、事業停止や情報漏えいの直接的な損失に加え、取引先への二次被害を引き起こし、取引停止や信用の失墜につながりかねません。セキュリティ対策は、いまや「守り」のコストではなく、取引を続けるための前提条件になりつつあります。
まず押さえる基本：情報セキュリティ「6か条」
何から始めるか迷ったら、IPAが示す最低限の対策から着手するのが確実です。従来は「情報セキュリティ5か条」として知られていましたが、2026年3月27日に公開された「中小企業の情報セキュリティ対策ガイドライン」第4.0版では、新たに「バックアップを取ろう」が加わり、6か条になりました。
- OSやソフトウェアは常に最新の状態にする（脆弱性を放置しない）
- ウイルス対策ソフトを導入する（自動更新を有効にする）
- パスワードを強化する（長く複雑にし、使い回さない）
- 共有設定を見直す（不要な公開・共有をなくす）
- 脅威や攻撃の手口を知る（公的機関の最新情報を定期的に確認する）
- バックアップを取る（定期的に取得し、復旧できることを確認する）
なぜ「バックアップ」が基本に加わったのか
背景にあるのが、ランサムウェア（身代金要求型ウイルス）被害の深刻化です。10大脅威2026でも「ランサム攻撃による被害」が前年に続き組織向け1位でした。近年は、データを暗号化するだけでなく、盗み出した情報を「公開する」と脅す二重恐喝が常套手段になっています。暗号化されても復旧できる状態を保つバックアップは、被害を最小化する最後の砦であり、だからこそ「まず取り組んでほしい基本」に格上げされました。
バックアップは「取っているつもり」で終わりがちです。定期的に取得することに加え、ネットワークから切り離した場所にも保管し（オフライン保管）、実際に元へ戻せるかを定期的に試すところまでを一つのセットとして運用しましょう。
脅威の全体像を知り、優先順位をつける
限られたリソースで対策する以上、脅威に優先順位をつける視点が欠かせません。IPAの10大脅威2026（組織向け）の上位は、次のように並んでいます。自社に関係の深いものから対策を厚くしていくと、投資対効果を高めやすくなります。
- 1位：ランサム攻撃による被害（バックアップと復旧体制で備える）
- 2位：サプライチェーンや委託先を狙った攻撃（自社が踏み台にならない）
- 3位：AIの利用をめぐるサイバーリスク（2026年に初めてランクイン）
- 4位：システムの脆弱性を悪用した攻撃（更新の徹底で防ぐ）
- 5位：機密情報を狙った標的型攻撃（不審なメールへの警戒）
注目すべきは、生成AIの普及を背景に「AIの利用をめぐるサイバーリスク」が2026年に初登場で3位に入った点です。業務でAIを使う機会が増えるほど、入力した情報の扱いや、AIを悪用した巧妙な攻撃への備えも、これからの基本対策に組み込む必要があります。
「体制」をどうつくるか：担当・ルール・運用
対策ツールを導入しても、運用する「体制」がなければ形骸化します。専任の担当者を置きにくい中小企業でも、次の三つの要素を押さえておくと機能しやすくなります。
経営者が方針を示す
セキュリティは現場任せにすると後回しになりがちです。経営者が「自社としてどこまで守るか」という基本方針を示し、必要な投資と役割分担を決めることが出発点になります。IPAのガイドラインも、経営者が認識すべき事項と、組織として実践する手順の両面から構成されています。
守るべき情報を洗い出し、アクセスを絞る
どこに、どんな重要情報があるのかを把握していなければ守れません。顧客情報・契約情報・技術情報などがどの端末やクラウドに保存されているかを棚卸しし、「その情報に触れる必要がある人だけがアクセスできる」状態に権限を整理します。退職者のアカウント放置は、内部不正や不正アクセスの温床になるため、速やかな停止をルール化しておきましょう。
従業員教育と、もしもの連絡体制
攻撃の多くは、不審なメールの添付ファイルやリンクといった「人の操作」を入口にします。全従業員が基本的な手口を知り、「怪しいと思ったら開かず相談する」流れを共有しておくことが、最も費用対効果の高い対策の一つです。あわせて、被害が疑われるときに誰へ、どの順番で連絡するかというインシデント対応の手順を、事前に紙一枚でよいので決めておきます。混乱の最中に判断させないことが、被害拡大を防ぎます。
第一歩としての「SECURITY ACTION」
「何から着手したか対外的に示したい」「取引先に安心してもらいたい」という場合、IPAの「SECURITY ACTION（セキュリティ対策自己宣言）」が分かりやすい目標になります。中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、二段階が用意されています。
- ★一つ星：情報セキュリティ6か条に取り組むことを宣言する
- ★★二つ星：付録の「5分でできる！情報セキュリティ自社診断」で現状を把握し、情報セキュリティ基本方針を定めて外部に公開する
宣言した企業はロゴマークを無料で使え、名刺やウェブサイトで取り組みをアピールできます。SECURITY ACTIONの宣言は、IT導入補助金など一部の補助金の申請要件にもなっているため、制度活用を検討している企業は早めに押さえておくとよいでしょう。まずは6か条と自社診断で現在地を確認し、そこから体制を一段ずつ引き上げていくのが現実的な進め方です。
セキュリティ対策に「これで完璧」というゴールはありません。攻撃の手口は変わり続けます。大切なのは、基本を押さえたうえで、年に一度は棚卸しと見直しを行い、少しずつ底上げしていく運用を回すことです。
この記事のまとめ
- 中小企業は取引網の「踏み台」として狙われる。10大脅威2026でもサプライチェーン攻撃は組織向け2位で、対策は取引継続の前提条件になりつつある
- まずはIPAの情報セキュリティ6か条（更新・ウイルス対策・パスワード・共有設定・脅威把握・バックアップ）から着手する。第4.0版でバックアップが基本に加わった
- ツール導入だけでなく、『担当を決める・守る情報を決める・連絡体制を決める』という体制づくりが対策を機能させる
- SECURITY ACTIONの自己宣言を目標に据えると進めやすく、IT導入補助金など一部補助金の要件にもなっている
よくある質問
セキュリティ対策は、まず何から始めればよいですか？
IPAが示す「情報セキュリティ6か条」から着手するのが確実です。OS・ソフトの更新、ウイルス対策ソフトの導入、パスワードの強化、共有設定の見直し、脅威情報の確認、バックアップの取得の6つで、いずれも大きな追加投資なく始められます。
中小企業でも本当にサイバー攻撃の標的になるのですか？
なります。攻撃側はセキュリティの手薄な取引先や委託先を踏み台にして大企業を狙うため、規模が小さい企業ほど「入口」として狙われます。IPAの10大脅威2026でも、サプライチェーンを狙った攻撃は組織向けで2位に位置づけられています。
SECURITY ACTIONとは何ですか。取得するメリットはありますか？
中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPAの制度です。ロゴマークを無料で使え、取引先や顧客へ取り組みを示せます。IT導入補助金など一部の補助金では申請要件にもなっているため、制度活用の面でもメリットがあります。
「何から手を付けるか」「限られた人員でどう運用するか」でお悩みでしたら、自社の状況に合わせたシステム導入・業務設計のご相談を承っています。基本対策の整理から体制づくりまで、実務目線でご支援します。
支援の具体例 → ノアブリッジの導入事例を見る