IPA「情報セキュリティ6か条」― 中小企業が最初に取り組む対策

はじめに

「うちには盗まれるような情報はない」と思っていても、会社には、顧客や取引先の連絡先、従業員の個人情報、給与情報、契約書、見積書、設計図、取引履歴、メール、各種サービスのID・パスワードなど、多くの重要情報があります。

サイバー攻撃や情報漏えいは、大企業だけの問題ではありません。対策や人員が限られる中小企業は、攻撃者に狙われたり、取引先へ侵入するための踏み台にされたりする可能性があります。また、機器の故障、誤操作、紛失など、攻撃以外の原因でも事業に大きな被害が生じます。

そこで、IPA（独立行政法人情報処理推進機構）は、中小企業・小規模事業者が最初に取り組む基本対策として、次の「情報セキュリティ6か条」を示しています。

OSやソフトウェアは常に最新の状態にしよう！
ウイルス対策ソフトを導入しよう！
パスワードを強化しよう！
共有設定を見直そう！
バックアップを取ろう！
脅威や攻撃の手口を知ろう！

この6か条は、高度なセキュリティ対策を始める前の「最初の一歩」です。すべての事故を防げるわけではありませんが、よくある侵入、情報漏えい、ランサムウェア、データ消失などの危険を大きく減らせます。

何のための6か条か

目的は、単にIT機器を守ることではありません。情報とシステムを守り、次のような経営上の損失を防ぎ、事業を継続できる状態をつくることです。

顧客・従業員・取引先の情報漏えいを防ぐ
不正送金、なりすまし、アカウント乗っ取りを防ぐ
ランサムウェアや機器故障による業務停止を防ぐ
攻撃の踏み台となり、取引先へ被害を広げることを防ぐ
復旧費用、損害賠償、調査費用などの金銭的損失を抑える
信用低下、顧客流出、取引停止を防ぐ
事故が起きても早期に気づき、速やかに復旧する

情報セキュリティは「IT担当者だけの仕事」ではありません。経営者が必要性を理解し、担当者を決め、全従業員が日常業務として続ける必要があります。

SECURITY ACTION一つ星とSCS評価制度との関係

「情報セキュリティ6か条」に取り組むことを自己宣言すると、IPAの「SECURITY ACTION」における最初の段階である ★一つ星 を使用できます。これから取り組むことの宣言であるため、対策をすべて完了する前でも申し込めます。ただし、宣言後は計画を立て、実際に対策を進めることが重要です。

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、企業の対策状況を段階（★）で示す制度です。その段階表示において、★1と★2は既存のSECURITY ACTIONを参照する位置づけとされており、情報セキュリティ6か条への取組宣言は、その入口となる ★1（一つ星） に当たります。

注意
SECURITY ACTION一つ星は、事業者自身による「自己宣言」です。IPAや第三者が対策の実施状況、安全性、製品・サービスの品質を認証・保証するものではありません。SCSの上位段階で行われる専門家確認や第三者評価とも異なります。

1. OSやソフトウェアは常に最新の状態にしよう！

なぜ必要か

OS、アプリ、ルーターなどの製品には、攻撃に悪用される弱点（脆弱性）が見つかることがあります。メーカーが修正プログラムを公開しても、更新しなければ弱点は残り続けます。攻撃者は、公開された脆弱性情報を手掛かりに、更新されていない機器を探して攻撃します。

具体的な対策

Windows Update、macOS、iOS、Androidなどの自動更新を有効にする
Webブラウザー、Microsoft 365、Adobe Acrobat Reader、Zoomなど、業務で使うアプリを自動更新する
ルーター、VPN装置、ファイアウォール、NAS、複合機、監視カメラのファームウェアも更新する
WordPressなどのCMS本体、テーマ、プラグインを更新する
パソコン、スマートフォン、サーバー、ネットワーク機器、利用ソフトの一覧を作る
各製品のバージョン、管理者、利用目的、サポート終了日を台帳で管理する
IPA、JVN、メーカーの注意喚起を確認し、緊急性の高い修正は優先して適用する
自動更新できない製品について、毎月確認する担当者と日を決める
更新前に必要なバックアップを取り、業務への影響を確認してから適用する
更新後は、起動、印刷、メール、基幹業務など主要機能が動くか確認する
サポートが終了したOSやソフトウェアは、更新可能な製品へ計画的に移行する
使っていないアプリ、ブラウザー拡張機能、古いアカウントを削除する
私物端末を業務利用する場合も、利用可能なOSの最低バージョンを定める
管理者権限は必要な担当者だけに与え、通常業務では一般ユーザーを使う

未対策の場合に起こり得る被害

脆弱性を悪用され、ウイルスやランサムウェアに感染する
パソコンやサーバーを遠隔操作される
顧客情報、メール、認証情報を盗まれる
Webサイトを改ざんされ、訪問者にウイルスを配布してしまう
社内ネットワークから取引先へ攻撃が広がる
古い機器が侵入口となり、全社の業務が停止する
サポート終了製品のため、事故発生時にメーカーの支援を受けられない

確認チェック

OSと主要アプリの自動更新を有効にした
ルーター、VPN、NAS、複合機も管理対象に含めた
機器・ソフトウェア台帳とサポート終了日を確認した
更新を確認する担当者と頻度を決めた

2. ウイルス対策ソフトを導入しよう！

なぜ必要か

不正プログラムは、メールの添付ファイル、不正なリンク、偽サイト、USBメモリー、脆弱性など、さまざまな経路から侵入します。ウイルス対策ソフトやOS標準のセキュリティ機能を正しく有効化し、最新状態を保つことで、既知の不正プログラムや不審な動作を検知・遮断できます。

具体的な対策

すべての業務用パソコンとサーバーでウイルス対策機能を有効にする
Windows標準のMicrosoft Defenderなど、利用中の保護機能が停止していないか確認する
ウイルス定義ファイルや検知エンジンを自動更新する
リアルタイム保護、Web保護、メール保護、ランサムウェア保護を有効にする
毎日または毎週の自動スキャンを設定する
検知、隔離、更新失敗などの警告を確認する担当者を決める
管理画面で全端末の導入状況と稼働状況を一元確認できる製品を検討する
不審なプログラムの実行や通信を監視できるEDR等を、重要性に応じて検討する
メールの添付ファイルやURLを検査する機能を利用する
Officeマクロは原則無効にし、業務上必要なものだけ許可する
USBメモリーは利用を制限し、必要な場合は会社管理のものだけを使う
不明な警告を従業員が勝手に無視・解除しないルールを定める
感染の疑いがある場合は、まずネットワークから切り離し、担当者へ連絡する
ウイルス対策ソフトの導入だけに頼らず、更新、認証、バックアップ、教育も併用する

未対策の場合に起こり得る被害

ID・パスワード、カード情報、機密文書を盗まれる
ファイルを暗号化され、身代金を要求される
攻撃者にパソコンを遠隔操作される
メールアカウントを乗っ取られ、取引先へ不正メールが送られる
キーボード入力や画面を監視される
感染端末から社内のサーバーや他の端末へ被害が広がる
不正送金や偽の請求書への振込みが発生する

確認チェック

すべての業務用端末で保護機能が有効になっている
定義ファイルと検知エンジンが自動更新される
検知アラートを確認する担当者が決まっている
感染を疑ったときの連絡先と初動を周知した

3. パスワードを強化しよう！

なぜ必要か

短く単純なパスワードは推測・解析されやすく、別のサービスから流出したパスワードを使い回していると、複数のアカウントが連鎖的に乗っ取られます。パスワードだけに頼らず、多要素認証やパスキーを利用することが重要です。

具体的な対策

パスワードは10文字以上を最低ラインとし、可能な限り長くする
氏名、会社名、電話番号、誕生日、辞書にある単純な単語を避ける
大文字、小文字、数字、記号を組み合わせ、推測されにくくする
サービスごとに異なるパスワードを使い、絶対に使い回さない
ルーター、複合機、NAS、監視カメラなどの初期パスワードを必ず変更する
パスワードを付箋、机上のメモ、平文のExcelに保存しない
組織で承認したパスワードマネージャーを利用し、長く固有のパスワードを生成・保管する
メール、クラウド、VPN、インターネットバンキング、管理者アカウントでは多要素認証を必須にする
利用可能なサービスでは、フィッシングに強いパスキーやセキュリティキーを優先する
SMS認証しか選べない場合は利用しつつ、より強い認証方式があれば切り替える
管理者アカウントと一般業務用アカウントを分ける
アカウントを複数人で共有せず、誰が操作したか分かるよう個人単位で発行する
ログイン失敗回数によるロックや、不審なログイン通知を設定する
異動・退職・委託終了時は、その日のうちに不要なアカウントを停止する
パスワードが漏えいした疑いがある場合は直ちに変更し、同じものを使った他サービスも確認する
定期変更だけを目的化せず、漏えい時、共有時、初期設定のままの場合には必ず変更する

未対策の場合に起こり得る被害

メールやクラウドストレージへ不正ログインされる
顧客情報、契約書、見積書、営業秘密を盗まれる
本人になりすまして取引先へ偽の振込先を連絡される
インターネットバンキングから不正送金される
SNSやWebサイトを乗っ取られ、会社の信用を損なう投稿をされる
管理者権限を奪われ、システムやバックアップを削除される
使い回したすべてのサービスへ被害が連鎖する

確認チェック

パスワードの使い回しを禁止した
重要サービスで多要素認証またはパスキーを有効にした
初期パスワードを変更した
退職者・休眠アカウントを削除または停止した
パスワードマネージャーの利用方法を決めた

4. 共有設定を見直そう！

なぜ必要か

クラウドストレージ、オンライン会議、NAS、複合機、監視カメラなどは、設定を誤ると、URLを知るだけで誰でも閲覧できる状態になったり、インターネットから管理画面へ接続できたりします。利用者、公開範囲、権限を必要最小限にすることが重要です。

具体的な対策

Google Drive、OneDrive、Dropboxなどの共有先を定期的に確認する
「インターネット上の全員」「リンクを知っている全員」の公開は原則禁止する
共有相手を個人または承認済みグループに限定する
閲覧、編集、ダウンロード、再共有の権限を必要最小限にする
共有リンクに有効期限やパスコードを設定できる場合は利用する
個人情報や機密情報は、公開リンクではなく認証された相手にだけ共有する
プロジェクト終了、契約終了、異動、退職時に共有と権限を解除する
外部共有中のファイルとフォルダーを毎月一覧で確認する
NAS、複合機、監視カメラ、ルーターの管理画面をインターネットへ直接公開しない
不要なポート開放、UPnP、ゲストアクセス、匿名アクセスを無効にする
フォルダーやシステムのアクセス権は、業務上必要な人だけに付与する
管理者権限を最小限にし、一般利用者へ不用意に与えない
共有パソコンを避け、必要な場合は利用者ごとに別アカウントを作る
外出先でフリーWi-Fiを使う場合はファイル共有を無効にし、重要業務には信頼できる回線やVPNを使う
オンライン会議は待機室、会議パスコード、参加者確認を有効にする
Webサイトやクラウドの初期設定をそのまま使わず、公開範囲を確認する
誰がいつ設定を変更したか分かるよう、監査ログを有効にする

未対策の場合に起こり得る被害

顧客名簿や従業員情報がインターネット上に公開される
見積書、契約書、設計図などを競合他社や第三者に見られる
ファイルを勝手に変更・削除される
退職者や元委託先が機密情報へアクセスし続ける
監視カメラの映像や複合機内の文書を閲覧される
公開された管理画面から社内ネットワークへ侵入される
オンライン会議へ部外者が侵入し、内容を盗み見・録画される

確認チェック

外部公開・外部共有中のデータを一覧で確認した
共有範囲と権限を必要最小限にした
退職者・契約終了者のアクセス権を削除した
NAS、複合機、カメラの管理画面を外部公開していない

5. バックアップを取ろう！

なぜ必要か

データは、ランサムウェアだけでなく、機器の故障、誤操作、盗難、災害、クラウド上での誤削除などでも失われます。バックアップは、事故を防ぐ対策ではなく、事故が起きても事業を再開するための対策です。

具体的な対策

顧客情報、会計データ、契約書、設計データ、メール、システム設定など、事業継続に必要な情報を特定する
「何を、どの頻度で、どこへ、誰が」バックアップするか決める
重要度に応じ、毎日、毎週など業務で許容できる頻度で自動取得する
可能であれば、データを3つ持ち、2種類の媒体に保存し、1つを遠隔地に置く「3-2-1ルール」を採用する
パソコンやサーバーに常時接続された保存先だけに頼らない
USBディスク等はバックアップ時だけ接続し、終了後は取り外す
クラウドバックアップでは、削除防止、世代管理、変更不能（イミュータブル）機能を検討する
本番と同じ管理者アカウントだけでバックアップを削除できる構成を避ける
バックアップ用アカウントにも多要素認証を設定する
バックアップデータを暗号化し、鍵やパスワードを安全に管理する
火災、水害、盗難に備え、別拠点または信頼できるクラウドにも保管する
複数世代を保持し、感染前・誤操作前の状態へ戻せるようにする
バックアップの成功・失敗通知を確認する担当者を決める
少なくとも年1回、重要なデータはより短い間隔で復元テストを行う
復旧に必要な手順、連絡先、ライセンス、設定情報も保管する
どの業務から何時間・何日以内に復旧するか、優先順位を決める
クラウドサービス側のバックアップ範囲と保存期間を確認し、必要なら別途バックアップする

未対策の場合に起こり得る被害

ランサムウェアで本番データと接続中のバックアップが同時に暗号化される
誤削除や故障により、顧客情報や会計データを永久に失う
受注、出荷、請求、給与計算などの業務を再開できない
復旧に数週間以上かかり、売上と顧客を失う
データを取り戻す目的で身代金の支払いを迫られる
バックアップはあっても壊れており、復元できない
法令や契約で必要な記録を提出できなくなる

確認チェック

重要データを定期的に自動バックアップしている
1つ以上のバックアップを本番環境から切り離している
複数世代を保存している
バックアップの成否を確認している
実際に復元できることをテストした

6. 脅威や攻撃の手口を知ろう！

なぜ必要か

攻撃者は、取引先、経営者、金融機関、宅配業者、公的機関などを装い、人をだまして添付ファイルを開かせたり、偽サイトへ誘導したりします。生成AIによって、自然な文章、音声、画像を使ったなりすましも容易になっています。製品だけでは、人の判断を狙う攻撃を完全には防げません。

具体的な対策

IPA、NCO（国家サイバー統括室）、警察、利用サービス、業界団体の注意喚起を定期的に確認する
セキュリティ情報を確認し、社内へ周知する担当者を決める
全従業員へ、入社時と少なくとも年1回のセキュリティ教育を行う
標的型メール、フィッシング、ビジネスメール詐欺、偽サポート詐欺、ランサムウェアを具体例で学ぶ
表示名だけでなく、送信元メールアドレスとドメインを確認する
メールやSMSのリンクをすぐに開かず、公式アプリや登録済みブックマークからアクセスする
添付ファイル、特に実行形式、圧縮ファイル、マクロ付きOfficeファイルを安易に開かない
パスワード、多要素認証コード、秘密鍵をメールや電話で教えない
振込先変更、緊急送金、ギフトカード購入などの依頼は、既知の電話番号で別経路確認する
経営者からの依頼に見えても、通常と異なる送金は複数人で承認する
QRコードからのフィッシングにも注意し、遷移先のドメインを確認する
警告画面に表示された電話番号へ連絡したり、遠隔操作ソフトを入れたりしない
不審なメールを開いた、誤って認証情報を入力した、といった場合に、責めずにすぐ報告できる文化をつくる
「誰に、どの連絡手段で、何を報告するか」を1枚の手順にまとめる
定期的にフィッシング訓練や机上訓練を行い、教育効果を確認する
事故時の初動として、端末のネットワーク切断、証拠保全、関係者への連絡方法を決める
取引先の連絡先、保守会社、警察、IPAなど、緊急連絡先をオフラインでも確認できるようにする

未対策の場合に起こり得る被害

偽サイトへID・パスワードや多要素認証コードを入力してしまう
偽の請求書や振込先変更により、攻撃者へ送金してしまう
添付ファイルからマルウェアに感染する
経営者や取引先になりすました指示に従ってしまう
小さな異常を放置し、被害が全社や取引先へ広がる
発見や報告が遅れ、復旧費用、停止期間、漏えい件数が増える
従業員が不安から事実を隠し、適切な初動ができなくなる

確認チェック

最新の注意喚起を確認する担当者がいる
全従業員へ定期的な教育を実施している
送金・口座変更を別経路で確認するルールがある
不審なメールや誤操作をすぐ報告できる連絡先がある
インシデント発生時の初動手順と緊急連絡先がある

最初の30日で進める実施例

一度に完璧を目指す必要はありません。責任者と期限を決め、危険性の高いものから着実に進めます。

1週目：現状を把握する

経営者が責任者と実務担当者を決める
パソコン、スマートフォン、サーバー、ルーター、NAS、クラウドサービスを一覧化する
顧客情報、個人情報、会計、契約、設計などの重要データを特定する
退職者、休眠、共有アカウントを確認する
緊急連絡先を決め、全員へ知らせる

2週目：侵入されにくくする

OS、アプリ、ネットワーク機器を更新する
サポート終了製品の移行計画を作る
ウイルス対策機能と自動更新を確認する
メール、クラウド、VPN、管理者アカウントに多要素認証を設定する
初期パスワードと使い回しを解消する

3週目：漏えいと消失に備える

クラウド、NAS、複合機などの共有・公開設定を点検する
不要な外部共有とアカウントを削除する
重要データの自動バックアップを設定する
本番環境から切り離されたバックアップを用意する
1件以上のデータを実際に復元する

4週目：人と運用を整える

30分程度の全従業員向け教育を実施する
不審メール、誤送信、紛失、感染時の報告手順を配布する
振込先変更や高額送金の別経路確認・複数人承認を決める
毎月確認する項目と担当者を決める
未完了項目を実施計画にし、経営者が進捗を確認する

継続するための月次・年次チェック

毎月

更新できていない端末や機器がないか
ウイルス対策が停止していないか、警告が放置されていないか
新規・退職・異動者のアカウントと権限が適切か
不要な外部共有や公開リンクがないか
バックアップが成功しているか
IPA等から重大な注意喚起が出ていないか

少なくとも年1回

機器・ソフトウェア・クラウドサービスの台帳を更新する
サポート終了予定を確認し、予算と移行計画を見直す
重要データの復元テストを行う
全従業員への教育・訓練を実施する
インシデント対応手順と緊急連絡先を見直す
6か条の実施状況を経営者へ報告し、次の改善目標を決める

まとめ

情報セキュリティ6か条は、中小企業が限られた人員と予算の中で、まず押さえるべき基本です。

重要なのは、製品を購入することだけではありません。対象を把握し、設定し、担当者を決め、異常を確認し、実際に復旧できるか試し、改善を続けることです。

まずは6か条から始めましょう。そして一つ星の宣言をゴールにせず、実態を伴う対策として定着させ、事業と顧客、従業員、取引先を守りましょう。

参考資料

本記事は2026年9月23日時点のIPA・経済産業省の公開情報を基に整理しています。制度や推奨事項は変更される場合があるため、申込みや正式な判断の際は最新の公式情報を確認してください。