情報セキュリティはどこまでやればいい？中小企業経営者が最後に決めるべき5つのこと

ここまで4日間にわたって、中小企業や個人事業主の情報セキュリティ対策について考えてきました。

Day1では、

「うちは小さい会社だから大丈夫」

という考え方だけでは判断できないことを確認しました。

Day2では、サイバー攻撃の入口はメールだけではなく、パスワード、古い機器、クラウドサービス、リモート接続、日々の運用など、さまざまな場所にあることを整理しました。

Day3では、

「セキュリティにいくらかければいいのか」

という問いに対して、予算額を先に決めるのではなく、守るものと経営への影響から優先順位を決める考え方を紹介しました。

Day4では、会社で使っているものの把握、多要素認証、アカウント整理、バックアップ、社内ルール、事故発生時の連絡先など、実際に取り組む手順を確認しました。

では最後に、経営者として何を決めればよいのでしょうか。

ここで重要なのは、

情報セキュリティに「完全な状態」はない

ということです。

どれだけ対策しても、リスクを完全にゼロにすることはできません。

一方で、考えられるすべての対策を実施しようとすれば、費用も人手も際限なく必要になります。

だからこそ、情報セキュリティは技術担当者だけに任せる問題ではありません。

最終的には経営者が、「何を守り、どこまで守り、何を受け入れるのか」を決める経営判断です。

シリーズ最終日のDay5では、これまでの内容を整理しながら、中小企業経営者が最後に決めておきたい5つのことを紹介します。

Quick Answer：情報セキュリティのゴールは「完璧」ではなく「判断できる状態」

中小企業の情報セキュリティ対策で目指したいのは、

「すべての攻撃を防げる会社」

ではありません。

現実的なゴールは、経営者が次のことを説明できる状態です。

1. 会社にとって守るべきものは何か
2. 何が止まると事業へ大きな影響が出るか
3. 現在どんな対策をしているか
4. 残っているリスクは何か
5. 事故が起きたらどう対応するか

この状態になれば、

「何となく不安だからセキュリティ製品を買う」

のではなく、

「この経営リスクを減らすために、この対策へ投資する」

と判断できるようになります。

目次

• まず理解したいこと：セキュリティに100点はない
• 決めること1：何を最優先で守るのか
• 決めること2：どこまでの停止・損失なら耐えられるのか
• 決めること3：自社でやることと外部へ任せること
• 決めること4：取引先へ何を説明できる状態にするか
• 決めること5：いつ見直すのか
• 情報セキュリティ投資をどう評価するか
• セキュリティ対策が取引の問題になる理由
• 自社の現在地を4段階で確認する
• 経営者が今日決める5項目
• 5日間の最終チェックリスト

まず理解したいこと：セキュリティに100点はない

情報セキュリティについて学び始めると、次々に対策が出てきます。

• パスワードを強くする
• 多要素認証を使う
• バックアップを取る
• ウイルス対策を行う
• 社員教育を行う
• ログを保存する
• ネットワークを監視する
• アクセス権限を管理する
• 事故対応手順を作る

すると、

「全部やらなければ危険なのではないか」

と思うかもしれません。

しかし、現実にはすべてのリスクをゼロにすることはできません。

これは大企業でも同じです。

重要なのは、

どのリスクを優先的に減らし、どのリスクを受け入れるのかを判断すること

です。

例えば、社員5人の会社が、大企業と同じ人数のセキュリティ専門部署を作ることは現実的ではありません。

一方で、

「小さい会社だから何もしない」

という判断も適切とは限りません。

必要なのは、その中間です。

自社の規模、事業内容、扱う情報、取引先との関係に応じて、必要な水準を決める。

これが経営者の役割です。

決めること1：何を最優先で守るのか

最初に決めるのは、

「会社として絶対に失いたくないものは何か」

です。

すべてを同じ強さで守ろうとすると、予算が分散します。

そこで、まず優先順位をつけます。

例えば、

• 顧客情報
• 取引先から預かっている情報
• 設計データ
• 会計データ
• 受発注情報
• 会社メール
• ネットバンキング
• ECサイト

などがあります。

ここで考えるのは、

「何が重要そうか」

だけではありません。

次の3つの視点で考えてください。

1. なくなったら困るか
2. 漏れたら困るか
3. 使えなくなったら困るか

説明用の例：重要度は「データの価値」だけでは決まらない

※以下は考え方を説明するための仮想例です。

ある会社では、顧客とのやり取りのほとんどをメールで行っています。

保存されているメールの内容そのものは、すべてが機密情報というわけではありません。

しかし、メールが3日間使えなくなれば、

• 注文を受けられない
• 見積もりを送れない
• 取引先と連絡できない
• 問い合わせへ回答できない

可能性があります。

つまり、会社メールは「情報として重要」なだけではなく、

「業務を続けるために重要」

なのです。

このように考えると、守るべき対象が見えやすくなります。

守るべきものを3つに絞る

まずは、自社にとって特に重要なものを3つだけ選んでください。

例えば、

1. 会社メール
2. 顧客データ
3. 受発注データ

だったとします。

次に、それぞれについて、

• どこに保存されているか
• 誰が使っているか
• 誰が管理しているか
• どんな対策をしているか
• 事故が起きたらどう復旧するか

を確認します。

これだけでも、対策の優先順位はかなり明確になります。

決めること2：どこまでの停止・損失なら耐えられるのか

次に決めるのは、

「何時間、何日までなら仕事が止まっても耐えられるか」

です。

セキュリティ対策では「絶対に止めない」ことを目標にすると、多額の費用が必要になる場合があります。

しかし、会社によっては、

「半日なら手作業で対応できる」

「1日なら何とかなる」

という業務もあります。

一方で、

「1時間止まるだけで顧客に大きな影響が出る」

という業務もあります。

そこで、重要業務ごとに許容できる停止時間を考えます。

業務	許容できる停止時間	代替方法
顧客メール	半日	電話・別連絡手段
受発注システム	1日	紙・電話による一時対応
社内資料	数日	緊急性の低い業務は延期

これはセキュリティ担当者だけで決めるものではありません。

どこまで止まると経営へ影響するかは、経営者が判断すべき問題

だからです。

「ゼロリスク」にお金を使いすぎない

例えば、1週間停止してもほとんど影響がない社内システムに、大きな予算を使って完全な冗長化をする必要があるでしょうか。

一方で、半日止まるだけで売上や信用へ大きな影響が出るシステムなら、復旧対策への投資価値は高くなるでしょう。

このように、

業務への影響と投資額を比べて判断する

ことが重要です。

決めること3：自社でやることと外部へ任せること

中小企業が情報セキュリティ対策を進めるとき、すべてを社内で行う必要はありません。

特に、

• 専任IT担当者がいない
• ネットワークの知識がない
• セキュリティ製品を管理できない
• 事故発生時の対応経験がない

という会社では、外部の専門事業者を利用することが現実的です。

しかし、

「全部業者に任せれば安心」という考え方にも注意が必要です。

外部へ任せても、経営判断までは任せられない

外部のIT事業者は、

• 機器を管理する
• 監視する
• 設定する
• 異常を知らせる
• 事故対応を支援する

ことはできます。

しかし、

「この業務はどれだけ重要なのか」

「この情報が漏れたらどの取引先に影響するのか」

「どれだけ予算を使うのか」

という判断まで、外部業者だけで決めることはできません。

つまり、

技術は外部へ任せられても、リスク判断は経営側に残ります。

自社で持つべきもの

最低限、自社で把握しておきたいのは、次のような内容です。

• 会社で使っている主なシステム
• 重要情報がどこにあるか
• 管理者が誰か
• どの業者と契約しているか
• 事故発生時の相談先
• 取引先への連絡が必要な条件

技術的な設定方法を経営者が覚える必要はありません。

しかし、

「誰に、何を任せているのか」

は把握しておく必要があります。

外部へ任せやすいもの

一方で、専門知識が必要なものは、外部支援を検討できます。

例えば、

• ネットワーク設定
• セキュリティ機器の管理
• システム監視
• 脆弱性への対応
• 事故発生時の調査
• バックアップ設計

などです。

外部支援を利用する場合は、契約前に、

• 何をしてくれるのか
• 何は対象外なのか
• 事故発生時はどこまで支援するのか
• 連絡可能な時間帯
• 会社側でやるべきこと

を確認してください。

決めること4：取引先へ何を説明できる状態にするか

これからの情報セキュリティでは、

「自社が安全かどうか」だけではなく、「取引先へどう説明できるか」

も重要になります。

IPAが全国の中小企業4,191社を対象に実施した2024年度調査では、発注元企業から情報セキュリティ対策について要請を受けた経験がある企業は1割強でした。

また、発注元から要請を受けた経験がある企業のうち、セキュリティの専門部署や担当者がいる企業では59.8％が、要請に応じて対策を行ったことが取引につながった大きな要因だと思うと回答しています。

一方、セキュリティ対策を各自に任せている企業では24.2％でした。

もちろん、

「対策すれば必ず取引が増える」

という意味ではありません。

しかし、セキュリティ体制や取り組みを説明できることが、取引上の信頼につながる場面があることを示しています。

「完璧です」と説明する必要はない

取引先に対して、

「当社は絶対に安全です」

と言う必要はありません。

むしろ、そのような断言は現実的ではありません。

重要なのは、

• どのような対策をしているか
• 誰が管理しているか
• どのようなルールがあるか
• 事故発生時にどう対応するか

を事実ベースで説明できることです。

説明できる会社と説明できない会社

例えば、取引先から、

「情報セキュリティ対策はしていますか？」

と聞かれた場合を考えてみます。

A社は、

「詳しい社員に任せています。たぶん大丈夫です」

と答えました。

B社は、

「重要アカウントは多要素認証を利用しています。端末は定期的に更新し、重要データはバックアップしています。事故発生時の社内責任者と外部相談先も決めています」

と答えました。

どちらの会社も、100％事故を防げるわけではありません。

しかしB社の方が、

「自社の状況を把握し、会社として対策している」

ことは伝わりやすくなります。

サプライチェーンの中では「説明できること」自体が重要になる

IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威として、

「サプライチェーンや委託先を狙った攻撃」

が2位に挙げられています。

1位は「ランサム攻撃による被害」です。

サプライチェーンを通じたリスクが重視される背景には、一社の問題が取引先へ広がる可能性があることがあります。

そのため、発注側企業から見れば、

「この取引先に重要情報を預けても大丈夫か」

「事故が起きたとき、きちんと連絡してくれるか」

という確認が必要になります。

つまり、情報セキュリティは徐々に、

「社内のIT管理」から「取引条件や信用管理」へ広がっている

と考えることができます。

決めること5：いつ見直すのか

最後に決めてほしいのが、

「いつ見直すか」

です。

情報セキュリティは、一度対策したら終わりではありません。

なぜなら、会社の環境が変わるからです。

例えば、

• 新しい社員が入る
• 社員が退職する
• パソコンを買い替える
• 新しいクラウドサービスを使う
• 新しい取引先と契約する
• 新しい拠点を作る
• 新しい攻撃手法が出てくる

といった変化があります。

昨日まで適切だった対策が、1年後にも同じとは限りません。

見直すタイミングを決める

例えば、次のようなタイミングを決めておきます。

• 半年に一度
• 年度の始め
• 社員の入退社時
• 新しいITサービス導入時
• 重要な取引先との契約時
• セキュリティ事故発生後

小さな会社であれば、

「毎年4月と10月に30分だけ確認する」

という方法でも構いません。

重要なのは、

思い出したときだけ対策する状態にしないこと

です。

情報セキュリティ投資をどう評価するか

ここで、Day1から繰り返し出てきた問題に戻ります。

「セキュリティは費用対効果が分からない」

という問題です。

IPAの2024年度調査では、直近過去3期に情報セキュリティ投資をしていない企業が62.6％でした。

その理由として最も多かったのは、

「必要性を感じていない」44.3％

でした。

続いて、

• 費用対効果が見えない：24.2％
• コストがかかりすぎる：21.7％

となっています。

これは、中小企業が単に「セキュリティを軽視している」というより、

何に、どこまで投資すればよいか判断しにくい

という問題でもあります。

売上増加だけで評価しない

セキュリティ投資は、広告のように、

「100万円使ったら売上が500万円増えた」

という形では効果を測りにくいものです。

そのため、別の評価軸が必要です。

例えば、

• 重大な弱点を減らせたか
• 重要アカウントを守れるようになったか
• バックアップから復元できるようになったか
• 事故が起きたときの対応が明確になったか
• 取引先へ対策状況を説明できるようになったか
• 特定の社員への依存を減らせたか

といった変化です。

これらは売上に直接現れなくても、

会社のリスクを下げ、事業を続けやすくする効果

があります。

「何も起きなかったから無駄」ではない

保険や防災設備と同じように、セキュリティ対策も事故が起きない期間が続くと、

「本当に必要だったのか」

と感じることがあります。

しかし、対策の目的は事故を起こすことではありません。

事故が起きる可能性や影響を減らすことです。

ただし、逆に、

「何も起きなかったから、導入したサービスには絶対に効果があった」

とも言い切れません。

そのため、セキュリティ投資は、

導入した製品の数ではなく、重要なリスクがどれだけ改善したか

で評価することが大切です。

セキュリティ対策が取引の問題になる理由

今回の5日間で特に重要なのが、サプライチェーンという視点です。

中小企業の情報セキュリティは、もう自社だけの問題ではありません。

IPAの2024年度調査では、2023年度にサイバーインシデント被害を受けたと回答した975社のうち、約7割が取引先にも何らかの影響があったと回答しています。

つまり、自社で事故が起きた場合、

• 納品できない
• サービスを提供できない
• 取引先の業務を止める
• 取引先情報を漏らす
• 取引先への攻撃に悪用される

といった影響が起こる可能性があります。

これは、セキュリティを、

「パソコンを守るための費用」

ではなく、

「取引関係を守るための経営投資」

として考える必要がある理由です。

「うちは大丈夫」の反対は「全部怖い」ではない

このシリーズのDay1では、

「うちは大丈夫」

という思い込みについて触れました。

しかし、だからといって、

「サイバー攻撃は怖い。何でも対策しなければならない」

という結論にする必要はありません。

大切なのは、その間です。

根拠なく安心しない。

根拠なく怖がらない。

自社の状態を確認して判断する。

これが経営者に必要な姿勢です。

自社の現在地を4段階で確認する

ここまでの内容を、自社の現在地を確認するための4段階に整理してみましょう。

レベル1：何をしているか分からない

例えば、

• パソコンが何台あるか分からない
• 誰が管理者か分からない
• バックアップがあるか分からない
• 事故時の相談先が分からない

という状態です。

この段階では、製品購入より先に「把握」が必要です。

レベル2：基本的な対策を始めている

例えば、

• OSを更新している
• ウイルス対策を行っている
• 多要素認証を利用している
• バックアップを取っている
• 不要なアカウントを削除している

という状態です。

次は、会社全体として管理できる状態を目指します。

レベル3：会社として管理できている

例えば、

• 管理担当者が決まっている
• 重要情報を把握している
• 社員ルールがある
• 事故発生時の連絡先が決まっている
• 定期的に対策状況を確認している

という状態です。

ここまで来ると、セキュリティが「個人の注意」から「会社の仕組み」へ変わっています。

レベル4：取引や事業戦略と結びつけている

さらに進むと、

• 取引先要件を確認している
• 重要業務ごとにリスクを把握している
• 必要に応じて第三者認証などを検討している
• 新しいシステム導入時にもセキュリティを確認する
• 経営判断として継続的に予算を検討する

という状態になります。

すべての中小企業がすぐレベル4を目指す必要はありません。

重要なのは、

現在どの段階にいて、次にどこへ進むかを決められること

です。

IPAの「中小企業の情報セキュリティ対策ガイドライン」も段階的な考え方

IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、個人事業主や小規模事業者を含む中小企業向けに作られています。

このガイドラインも、いきなり高度な対策を求めるのではなく、経営者が認識すべき内容と、実務担当者が段階的に実践する方法を整理しています。

つまり、公的なガイドラインでも、

「最初から完璧にする」のではなく、「自社の状態に応じて段階的に進める」

考え方が採られています。

第三者認証は全社に必要なのか

情報セキュリティについて調べると、「ISMS」という言葉を見ることがあります。

ISMSは、情報セキュリティを組織的に管理する仕組みに関する第三者認証です。

では、中小企業は必ず取得しなければならないのでしょうか。

そうとは限りません。

必要性は、

• 取引先から求められているか
• 扱う情報の重要度
• 業界の要求
• 新規取引で必要になるか
• 取得・維持コストに見合うか

などによって判断します。

IPAの2024年度調査では、発注元から情報セキュリティ対策の要請を受けた経験がある企業のうち、ISMS取得済み企業では73.9％が、要請に応じた対策が取引につながった大きな要因だと思うと回答しています。

未取得企業では30.3％でした。

ただし、この結果は、

「ISMSを取れば必ず売上が増える」

という意味ではありません。

対象は発注元から対策要請を受けた経験がある企業であり、その担当者の認識を尋ねた調査結果です。

自社に必要かどうかは、取引条件や事業戦略を踏まえて判断してください。

個人事業主ならどう考えるか

個人事業主の場合、

「会社組織ではないので、ここまで必要なのか」

と感じるかもしれません。

しかし、考えるべき本質は同じです。

むしろ、一人で事業をしている場合には、

自分自身が止まると、事業そのものが止まりやすい

という特徴があります。

例えば、

• パソコンが故障した
• メールへログインできない
• クラウドデータを失った
• SNSアカウントが乗っ取られた
• ネットバンキングが使えない

といった状態になると、代わりに対応してくれる社員はいません。

そのため個人事業主では、

• 重要アカウントの多要素認証
• バックアップ
• 代替パソコンや復旧方法
• 緊急時の相談先

など、事業を再開するための準備が特に重要です。

小さな会社ほど「人に依存しすぎない」ことが重要

中小企業では、

「ITのことは○○さんしか分からない」

という状態が珍しくありません。

しかし、その人が退職したり、突然休んだりすれば、会社として対応できなくなる可能性があります。

そこで最低限、

• 契約しているサービス
• 管理者
• 外部業者
• 緊急連絡先
• 重要データの保存場所

は会社として把握します。

これは高度なセキュリティ対策というより、

会社を特定の人だけに依存させないための経営管理

です。

経営者が今日決める5項目

5日間の記事を読み終えたら、まず次の5つを決めてください。

1. 当社が最優先で守るものは何か

3つだけ書き出してください。

例：

• 会社メール
• 顧客情報
• 受発注データ

2. 最も止められない業務は何か

その業務が何時間・何日止まったら問題になるか考えてください。

3. セキュリティを確認する責任者は誰か

専任担当者でなくても構いません。

「誰が確認するか」を明確にしてください。

4. 事故発生時に最初に誰へ連絡するか

社内と社外の両方を決めます。

例：

• 社内：社長
• 技術相談：契約中のIT会社

5. 次に確認する日はいつか

今日だけで終わらせないため、次回確認日を決めます。

例えば、

「6か月後」

でも構いません。

5項目だけの経営メモを作る

難しいセキュリティ規程を作る前に、まず次のような1枚のメモを作っても構いません。

経営判断項目	自社の回答
最優先で守るもの
最も止められない業務
管理責任者
事故時の相談先
次回確認日

この5項目が埋まるだけでも、

「何も決まっていない状態」

から大きく前進します。

5日間の最終チェックリスト

最後に、このシリーズ全体を振り返るためのチェックリストをまとめます。

経営

• □ 情報セキュリティをITだけの問題ではなく経営リスクとして考えている
• □ 自社にとって重要な情報・業務を把握している
• □ セキュリティ投資の優先順位を説明できる
• □ セキュリティ対策に使える予算について検討している

機器・アカウント

• □ 会社で使っている主な機器を把握している
• □ 利用している主なクラウドサービスを把握している
• □ 重要アカウントで多要素認証を利用している
• □ 退職者アカウントを削除している
• □ 管理者権限を必要な人に限定している

更新・基本対策

• □ OSやソフトウェアを更新している
• □ サポート切れの機器を把握している
• □ 不要なサービスやアカウントを整理している
• □ 共有設定を定期的に確認している

バックアップ・復旧

• □ 重要データをバックアップしている
• □ バックアップ先を把握している
• □ バックアップから復元できるか確認している
• □ 重要業務が止まった場合の代替方法を考えている

社員・運用

• □ 不審メールを受けた場合の相談方法が決まっている
• □ パソコンやスマートフォンを紛失した場合の報告方法が決まっている
• □ 重要な送金依頼は別の方法でも確認している
• □ 情報セキュリティについて定期的に社員へ伝えている

事故対応

• □ 事故発生時の社内責任者が決まっている
• □ 外部の相談先が決まっている
• □ パソコンが使えなくても連絡先を確認できる
• □ 取引先へ報告すべき条件を確認している

取引先

• □ 取引先から預かっている重要情報を把握している
• □ 契約上のセキュリティ条件を確認している
• □ セキュリティチェックシートへ事実ベースで回答できる
• □ 自社の基本的な対策状況を説明できる

継続

• □ 定期的にセキュリティ対策を見直す日を決めている
• □ 新しいサービスを導入するときにセキュリティも確認している
• □ 社員の入退社時にアカウントを確認している
• □ 事故やヒヤリとする出来事があったら対策を見直している

全部にチェックが付かなくてもよい

このチェックリストを見て、

「全然できていない」

と感じた方もいるかもしれません。

しかし、最初からすべてにチェックを付けることが目的ではありません。

重要なのは、

どこができていて、どこができていないかを経営者自身が把握できること

です。

Day1で紹介したIPAの調査では、情報セキュリティ対策へ投資しない理由で最も多かったのは、

「必要性を感じていない」

でした。

しかし、自社の業務、情報、取引先とのつながりを一つずつ確認していくと、

「必要か、必要ではないか」

という漠然とした話から、

「この部分は対策した方がよい」

「ここは今の対策でよい」

「ここは外部へ相談しよう」

と具体的に判断できるようになります。

そこが、この5日間で目指したかった状態です。

「うちは大丈夫」から「うちはここまで確認している」へ

情報セキュリティについて、最も避けたいのは、

「うちは大丈夫だと思う」

という根拠のない安心です。

一方で、

「怖いからとにかくお金をかける」

ことも最適とは限りません。

目指したいのは、

「当社はここまで確認し、このリスクを重要だと判断し、この対策をしています」

と言える状態です。

そこまで整理できれば、情報セキュリティは、よく分からないITの話ではなくなります。

経営者が管理できる経営リスクの一つ

になります。

情報セキュリティは「守り」だけではない

情報セキュリティへの投資は、一般的に「守りの投資」と考えられます。

確かに、事故や損失を防ぐという意味では守りです。

しかし、取引先からセキュリティ体制を確認される時代には、別の意味もあります。

例えば、

• 顧客情報をきちんと扱える
• 取引先から預かった情報を管理できる
• 事故が起きても連絡体制がある
• 自社の対策状況を説明できる

ということは、

「安心して仕事を任せられる会社であることを説明する材料」

にもなります。

IPAの2024年度調査でも、発注元から要請を受けた経験がある企業の中では、セキュリティ体制を整えている企業ほど、対策が取引につながったと感じている割合が高い結果でした。

セキュリティ対策を行えば必ず仕事が増えるわけではありません。

しかし、少なくとも、

「セキュリティについて何も説明できないこと」が取引上の弱点になる可能性

は意識しておく必要があります。

経営者が専門家になる必要はない

この5日間を読んで、

「覚えることが多すぎる」

と感じた方もいるかもしれません。

しかし、経営者がセキュリティ技術の専門家になる必要はありません。

ルーターの細かな設定方法や、攻撃プログラムの仕組みを理解する必要もありません。

経営者が把握すべきなのは、

• 何を守るのか
• どんなリスクがあるのか
• 現在何をしているのか
• 誰に任せているのか
• どこまでお金を使うのか
• 事故が起きたらどうするのか

です。

その判断に必要な技術情報を、社内担当者や外部の専門家から分かりやすく説明してもらえばよいのです。

相談相手を選ぶときに大切なこと

セキュリティについて相談するとき、

「この製品を買えば安全です」

と言われるだけでは、経営判断ができません。

相談相手には、

• なぜこの対策が必要なのか
• どのリスクを減らすのか
• 何は防げないのか
• ほかの方法はあるのか
• 導入後に何を管理する必要があるのか

まで説明してもらうことが重要です。

良いセキュリティ提案は、製品説明だけではなく、

「経営者が判断できる材料」を提供する提案

です。

今日できること：この5つだけ決める

5日間の記事を読み終えた今日、すべての対策を実施する必要はありません。

まず、次の5つだけ紙に書いてください。

1. 絶対に守りたい情報・業務を3つ
2. 最も止めたくない業務を1つ
3. セキュリティを確認する担当者
4. 事故が起きたときの相談先
5. 次回セキュリティを見直す日

この5つが決まれば、

「セキュリティ対策をしなければ」

という漠然とした状態から、

「当社はまずここから改善する」

という具体的な状態へ変わります。

まとめ＋要約

中小企業や個人事業主の情報セキュリティ対策には、すべての会社へ共通する「ここまでやれば100％安全」という線はありません。

重要なのは、会社の規模、扱う情報、業務、取引先との関係に応じて、必要な対策を判断することです。

この5日間で見てきたポイントをまとめると、次のようになります。

Day1：情報セキュリティを経営課題として考える

情報セキュリティは、単なるIT費用ではありません。

事業継続、顧客や取引先からの信用、取引継続に関わる経営リスクです。

Day2：会社の規模ではなく「入口」を見る

サイバー攻撃では、メール、パスワード、古い機器、クラウドサービス、リモート接続など、さまざまな入口が利用される可能性があります。

Day3：予算額ではなく、守るものから投資を決める

「年間いくら使うか」を先に決めるのではなく、止まると困る業務や漏れると困る情報を確認し、重要なリスクから対策します。

Day4：できるところから実践する

機器やサービスの把握、多要素認証、更新、バックアップ、社員ルール、事故時の連絡先など、基本的な部分から段階的に改善します。

Day5：経営者が「どこまでやるか」を決める

セキュリティに完璧はありません。

何を最優先で守るのか、どこまでのリスクを受け入れるのか、自社と外部の役割をどう分けるのか、取引先へ何を説明するのか、いつ見直すのかを経営者が判断します。

IPAの2024年度調査では、直近過去3期に情報セキュリティ対策への投資をしていない企業は62.6％でした。

投資しない理由として最も多かったのは、

「必要性を感じていない」44.3％

です。

しかし、情報セキュリティは、

「攻撃されるかどうか」

だけで考える問題ではありません。

自社で事故が起きたときに、

• 仕事を続けられるか
• 顧客へ迷惑をかけないか
• 取引先へ影響が広がらないか
• 信用を維持できるか
• 対策状況を説明できるか

という経営上の問題です。

だからこそ、最初から高額な対策をする必要はありません。

まず現在地を知る。

守るものを決める。

重要なところから対策する。

事故が起きても戻れるようにする。

定期的に見直す。

この流れを会社として続けていくことが、中小企業にとって現実的な情報セキュリティ対策です。

Key Takeaways

• 情報セキュリティには、すべての企業に共通する「100点の状態」はない。
• 経営者が決めるべきなのは、何を守り、どこまで守り、どのリスクを受け入れるか。
• 技術作業を外部へ任せても、重要度や予算の判断は経営側に残る。
• セキュリティ対策は、自社の被害防止だけでなく、取引先やサプライチェーンへの影響を抑える意味もある。
• 取引先へ自社の対策状況を事実ベースで説明できる状態を目指す。
• 「必要性を感じるかどうか」ではなく、自社の業務と情報から必要性を確認する。
• 対策は一度で完成させず、会社の変化に合わせて定期的に見直す。
• 最初の目標は「完璧な会社」ではなく、「自社の状態を把握し、自分たちで判断できる会社」にすること。

よくある質問

Q1. 結局、中小企業はどこまでセキュリティ対策をすれば十分ですか？

すべての企業に共通する基準はありません。扱う情報、業務停止時の影響、取引先からの要求などに応じて必要水準が変わります。まず基本対策を行い、そのうえで自社の重要なリスクへ追加対策を行う考え方が現実的です。

Q2. セキュリティに詳しくない経営者でも判断できますか？

技術的な細部をすべて理解する必要はありません。「何を守るのか」「どんな被害があり得るのか」「対策すると何が改善するのか」「費用はいくらか」「事故時にどうするのか」を担当者や外部事業者に説明してもらい、それを基に経営判断してください。

Q3. 外部のIT会社へ全部任せれば大丈夫ですか？

技術的な管理を外部へ任せることはできますが、自社の重要業務や情報の価値、許容できる停止時間、予算などは経営者側で判断する必要があります。また、外部業者に何を任せ、何が契約対象外なのかも把握してください。

Q4. ISMSなどの第三者認証は必要ですか？

すべての中小企業に必須とは限りません。取引先から求められる場合、重要情報を多く扱う場合、新規取引上の要件になる場合などには検討材料になります。取得・維持にかかる負担も含め、自社の事業上の必要性から判断してください。

Q5. 最初の一歩として何をすればよいですか？

まず「最優先で守るもの」「止められない業務」「管理担当者」「事故時の相談先」「次回見直し日」の5つを決めてください。そのうえでIPAの「5分でできる！情報セキュリティ自社診断」などを使い、現在できていることと不足していることを確認すると進めやすくなります。

5日間を終えて：セキュリティ対策は「何を買うか」ではなく「どう経営するか」

情報セキュリティの相談では、

「どのソフトを入れればいいですか？」

「どの機器を買えば安全ですか？」

という質問が最初に出やすいものです。

しかし、この5日間で見てきたように、本当の出発点はそこではありません。

まず考えるのは、

「当社は何を守る必要があるのか」

です。

そして、

「それを守るために、何をどこまで行うのか」

を決めます。

製品やサービスは、その判断を実現するための手段です。

この順番が逆になると、

「高いサービスを契約したけれど、本当に必要だったのか分からない」

という状態になりやすくなります。

情報セキュリティへの投資は、IT機器の買い物ではありません。

会社の事業継続、信用、そして取引を守るための経営判断です。

内部リンク案

• 「中小企業に情報セキュリティ対策が必要な理由」→ Day1の記事
• 「なぜ小さな会社もサイバー攻撃の対象になるのか」→ Day2の記事
• 「中小企業のセキュリティ投資の優先順位」→ Day3の記事
• 「中小企業が最初に行うセキュリティ対策」→ Day4の記事
• 「5分でできる情報セキュリティ自社診断の使い方」→ 自社診断の記事
• 「多要素認証とは？」→ アカウント保護の記事
• 「バックアップは取るだけでは足りない理由」→ 復旧対策の記事
• 「取引先からセキュリティチェックシートが届いたら？」→ サプライチェーン対応の記事
• 「ISMSは中小企業にも必要？」→ 第三者認証の記事
• 「サイバーセキュリティお助け隊サービスとは？」→ 外部支援の記事

Sources / Evidence

• 独立行政法人情報処理推進機構（IPA） 「2024年度 中小企業における情報セキュリティ対策に関する実態調査」 全国の中小企業4,191社を対象とした調査。 直近過去3期に情報セキュリティ対策投資をしていない企業が62.6％だったこと、投資しなかった理由として「必要性を感じていない」が44.3％、「費用対効果が見えない」が24.2％、「コストがかかりすぎる」が21.7％だったことなどを参照。 また、サプライチェーンにおける中小企業のセキュリティ対策の重要性について参照。
• 独立行政法人情報処理推進機構（IPA） 「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」 発注元から情報セキュリティ対策の要請を受けた経験がある企業が1割強だったこと、専門部署・担当者などのセキュリティ体制を整備している企業の59.8％が、要請に応じた対策が取引につながった大きな要因だと回答したことを参照。 また、ISMS取得済み企業では73.9％、未取得企業では30.3％だったとの調査結果を参照。 これらは、発注元から情報セキュリティ対策の要請を受けた経験がある企業を対象とした担当者の認識を尋ねた結果であり、認証取得や体制整備が取引成立を保証するものではない。
• 独立行政法人情報処理推進機構（IPA） 「情報セキュリティ10大脅威 2026」 2026年1月29日公開。 組織向け脅威として「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位、「システムの脆弱性を悪用した攻撃」が4位などに選定されていることを参照。
• 独立行政法人情報処理推進機構（IPA） 「中小企業の情報セキュリティ対策ガイドライン 第4.0版」 個人事業主、小規模事業者を含む中小企業を対象として、経営者が認識し実施すべき指針と、社内で段階的に対策を実践する手順・方法を参照。
• 独立行政法人情報処理推進機構（IPA） 「5分でできる！情報セキュリティ自社診断」 中小企業が25項目の質問を通じて、自社の情報セキュリティ対策状況を確認するツールとして参照。
• 独立行政法人情報処理推進機構（IPA） 「SECURITY ACTION」 中小企業自身が情報セキュリティ対策への取り組みを自己宣言する制度として参照。 IPAによる安全性の認定・認証制度ではない。
• 独立行政法人情報処理推進機構（IPA） 「サイバーセキュリティお助け隊サービス」 中小企業向けのサイバーセキュリティ支援を行う民間サービスを検討する際の参考情報として参照。 具体的な提供内容、料金、対応範囲は各サービスで異なるため、契約時には最新条件の確認が必要。