小さな会社の情報セキュリティはどこから手をつけるか

取引先から届いたセキュリティのチェックシートを開いて、埋められない欄が半分以上ある。あるいは、社員が外出先でノートPCを置き忘れたという連絡が入り、その場で何をすべきか誰も答えられない。小さな会社でセキュリティが議題に上がるのは、たいていこういう場面です。

そこから調べ始めると、ウイルス対策、EDR、ゼロトラスト、ISMS認証といった言葉が並びます。どれも実在する考え方ですが、従業員が数名から数十名の会社が最初に買うものではありません。導入しても、設定を維持して警告を確認する人が社内にいないからです。

先に決めるのは順番です。セキュリティ対策は、安い順でも話題になっている順でもなく、起きたときの影響が大きい順に手をつけます。都合のよいことに、影響の大きい事故ほど、対策が製品の購入ではなく運用の変更で済み、費用がかからない場合が多くあります。なお、消えたデータをどう戻すかという備えは小規模企業に必要なバックアップはどこまでかで扱っているため、この記事では触れません。

影響は「金が動く」「事業が止まる」「他社に及ぶ」の3つに分かれる

何から手をつけるかを決めるために、まず事故の影響を3つに分けます。

• 金銭が直接出ていく：偽の請求や振込先変更の指示に従って送金してしまう、ネットバンキングを操作される
• 事業が止まる：業務で使っているデータやシステムに入れなくなり、受注も請求も動かなくなる
• 他社に被害が及ぶ：自社のアカウントから取引先へ不審なメールが送られる、預かっている個人情報が外に出る

回復に最も時間がかかるのは3つ目です。金銭被害は金額が確定すればそこで終わりますが、取引先を巻き込んだ場合は、報告、原因の説明、再発防止策の提出が続きます。その対応を担当するのは、ふだん営業や経理をしている人です。

3つの入口をたどると、行き着く先はだいたい4つに絞られます。アカウントを乗っ取られた、端末が社外に出た、メールの内容を信じてしまった、辞めた人の権限が残っていた。着手順もこの並びになります。

	認証（IDとパスワード）	端末（PC・スマホ）	メール	退職時の権限
起きたときの影響	すべての入口が開き、他の対策が無効になる	端末に入っているデータの範囲まで	送金と情報漏えいの両方に直結	被害が出るまで表面化しない
気づくまでの時間	数か月気づかないことがある	紛失した時点で分かる	取引先からの指摘で分かることが多い	退職から数か月〜数年
費用をかけずにできること	使い回しの解消、多要素認証の有効化	自動ロックと暗号化の設定、持ち出しの条件を決める	振込先を確認する手順を決める	退職手続きにアカウント欄を足す
製品や外部委託が必要になる条件	管理するアカウントが増え、台帳で追えなくなったとき	台数が増え、設定が個人任せになったとき	誤送信や偽装が繰り返し起きるとき	利用サービスが多く、手作業の棚卸しが追いつかないとき

最初は認証を直す。ここが崩れると他の対策が無効になる

パスワードが破られると、暗号化も持ち出し制限も意味を失います。正規の利用者として入られるためです。

手を入れる場所は3つあります。1つ目は、同じパスワードを複数のサービスで使い回している状態の解消。どこか1か所から漏れると、他のサービスに順番に試されます。2つ目は、多要素認証の有効化です。すべてのサービスで一斉にやる必要はなく、会社の資産に近い順、つまりメール、ネットバンキング、会計、ドメインやサーバーの管理画面から1つずつ有効にしていきます。3つ目は、全員で共有しているアカウントの整理です。

共有アカウントは人数の少ない会社ほど残ります。利用料を抑えられ、誰かが休んでも作業が止まらないという実務上の理由があるためです。ただし「誰が操作したか分からない」「1人辞めるたびに全員のパスワードを変える必要がある」という副作用がついてきます。

判断の手がかりとして、いま社内の複数人が知っているIDとパスワードが何組あるかを数えてください。数えられないなら、それ自体が着手すべき理由になります。数えたうえで個人アカウントに分けられないものが残った場合は、そのアカウントでできることを減らします。閲覧だけにする、支払い情報を登録しない、といった制限で被害の上限は下がります。

端末は「いつかなくす」前提で、設定を1度だけ済ませる

紛失や盗難は、注意喚起では減りません。持ち出す限りいつか起きるものとして、起きた後の被害が小さくなる設定を先に済ませます。

最低限は3つです。画面の自動ロックを短めの時間で有効にすること、ディスクの暗号化を有効にすること、そして紛失時の初動を決めておくことです。暗号化は、業務用のパソコンやスマートフォンであればOSの標準機能で足りることが多く、追加の費用は発生しません。

初動については、紙1枚に書けます。誰に連絡するか、その人が最初に何を止めるか、の2行で構いません。実際に止めるのは端末ではなくアカウントです。パスワードを変更し、そのアカウントでサインイン中のすべての端末をサインアウトさせれば、手元に端末がなくても被害の拡大は止まります。この操作を誰ができるのかを、事故が起きる前に確認しておきます。

私物のスマートフォンで会社のメールを見ている場合も同じ扱いです。私物だから対象外とすると、退職時に何も手が打てません。使わせるなら、会社のアカウントを遠隔で切り離せる状態にしておきます。

メールは、技術ではなく確認手順で止める部分がある

メールの被害には、対策の性質が違う2種類が混ざっています。だまされる側と、悪用される側です。

だまされる側で影響が大きいのは、取引先を装って振込先の変更を伝えてくる手口です。文面は自然で、実在する案件と金額が書かれていることもあります。差出人の表示名は簡単に変えられるため、見た目で見破る訓練には限界があります。ここは技術ではなく手順で止めます。振込先の変更と初回の送金は、メール以外の手段で、以前から把握している連絡先に確認してから実行する。この1行を決めて全員に伝えるだけで、金銭被害の主要な経路が1つ塞がります。

悪用される側は、自社のドメインをかたったメールが外部に送られる場合です。こちらは送信ドメイン認証の設定が対応にあたります。設定値はサービスごとに異なるため、利用中のメールサービスの公式手順を確認して進めてください。無料のメールサービスを会社のやり取りに使い続けている場合は、そもそもこの設定ができないことがあります。その論点は会社のメールを無料のGmailだけで運用してよいのかで扱っています。

誤送信については、宛先の自動補完を切り、送信を数分保留できる設定があれば有効にしておくと取り消しが効きます。

退職時の権限は、いちばん放置されて、いちばん長く残る

入社時の手順は自然にでき上がります。本人が使えないと仕事が始まらないからです。退職時は逆で、権限を消し忘れても誰も困りません。だから残ります。

やることは棚卸しです。表計算ソフト1枚に、サービス名、アカウントを持っている人、管理者、退職時に必要な操作を書き出します。対象はメールやチャットだけでなく、会計、請求、クラウドストレージ、勤怠、ドメインとサーバーの管理画面、そして共有アカウントも含みます。共有アカウントは削除ではなくパスワード変更が必要なので、退職者が1人出るたびに作業が発生します。

名義の確認も同時に済ませます。ドメインやサーバー、会計サービスの契約が退職した担当者の個人アドレスで登録されていると、更新の通知が届かず、失効して初めて気づくという事態になります。

今日できる確認方法があります。直近で退職した人のアカウントを1つ選び、実際にまだ生きているかを管理画面で確かめてください。生きていた場合、他のサービスも同じ状態だと考えるのが妥当です。

製品を入れる前に、誰が管理者かを決める

対策を製品で埋めようとする段階になったら、その前に管理者を決めます。ここでいう管理者とは、契約の名義を持ち、アカウントを発行・停止でき、事故が起きたときの一次連絡先になる人のことです。役職ではなく、実際にその操作ができる人を指します。

1人に集約すること自体は正しい設計です。ただし、その1人しか契約情報を知らない状態は別のリスクになります。代理を1人決め、契約先と管理画面のありかを、本人以外がたどれる場所に置いてください。ツールが定着しないときの原因は、機能ではなく運用担当の不在にあることがあります。この構造はITツールの導入で失敗する会社に共通することで詳しく扱っています。

	経営者が兼任する	事務・総務の担当者が兼任する	外部のIT支援に委託する	制作会社や顧問先に範囲を限って任せる
決定と実行の速さ	決裁と実務が同じ人なので速い	契約変更のたびに承認が1段挟まる	依頼してから着手までの時間が読みにくい	連絡経路が長く、緊急時は待つことになる
担当者が抜けたとき	影響を受けにくい	手順ごと失われやすい	契約が続く限り維持される	先方の担当交代に気づきにくい
抜けやすい点	後回しになり、着手自体が止まる	権限が足りず、支払いや解約を動かせない	社内の運用ルールまでは決めてもらえない	何をどこまで見てもらっているかが曖昧になる
向く状況	従業員が数名で、契約しているサービスも少ない	請求や契約の管理をすでに担っている	端末や拠点が増え、社内で追えなくなった	サイトやメールなど対象が限定され、範囲を書面で確認できる

どの形を選んでも、管理者の名前、代理の名前、契約しているサービスの一覧、緊急時に最初にやることの4項目を1枚に書いて共有しない限り機能しません。

従業員が少ない会社では、権限より先に「見えなさ」が問題になる

人数が少ないと、権限を細かく分ける運用は現実的ではありません。分けた結果、担当者が休んだ日に何も進まなくなるからです。無理に分けるより、次のような状況が起きていないかを確認するほうが実益があります。

• 全員が全部を見られる：完全な分離は諦め、重要度の高い2つ、つまり銀行と会計の情報、顧客の個人情報だけをアクセスできる人を絞ります
• 誰も見ていないアカウントが残る：兼務の入れ替わりで所有者が曖昧になったサービスは、使っていないなら止めるのが最も確実です
• 事故が起きても発覚しない：ログを誰も見ていないため、不正なログインがあっても分かりません。月に1度、管理者がメールと銀行のログイン履歴だけ確認する運用にすると、見えない期間が1か月に縮まります
• 経営者個人の契約で会社のサービスが動いている：支払いも通知も個人に紐づいており、引き継ぎができません
• ツールの導入が個人判断で進む：担当者が便利なサービスを見つけて業務データを入れ始めることがあります。とくに生成AIは入力してよい情報の線引きを先に決める必要があり、その手順は中小企業が生成AIを導入するときに先に決めることで扱っています

禁止事項を増やす方向に進むと、社員は申告せずに使うようになり、かえって見えなくなります。

費用をかけずに今週から着手する順番

今日のうちに終わるものから始めます。直近で退職した人のアカウントが生きていないかを1つ確認する。社内の複数人が知っているIDとパスワードを数えて一覧にする。この2つは、自社の状態を把握するための作業で、結果によって次にやることが変わります。

今週やるものは、メール、ネットバンキング、会計、ドメイン管理の順に多要素認証を有効にすることです。同時に、業務で使っている端末の自動ロックと暗号化を確認します。設定が済んでいない端末があれば、その場で設定します。

今月中に決めるものは3つあります。振込先の変更をメール以外で確認するというルールを全員に伝えること。退職手続きの書類にアカウント停止の欄を追加すること。そして管理者と代理を決め、契約しているサービスの一覧を1枚にまとめることです。

ここまでは費用がかかりません。製品や外部サービスの検討に進むのは、この後です。先に運用が決まっていれば、必要な機能の輪郭がはっきりするため、検討する対象も絞れます。導入判断の基準そのものを整理したい場合は、小規模企業のITツールの選び方に契約前の確認項目をまとめています。

進める途中で「うちの規模でここまで要るのか」と迷ったときの基準は、事故が起きたときに取引先へ説明する場面を想像できるかどうかです。説明を求められる可能性がある領域には手を入れ、そうでない領域は後回しにして構いません。