「うちは小さな会社だから、狙われるわけがない」。そう思っていませんか。
実際は逆で、今の攻撃の多くは自動化されており、会社の規模を選びません。むしろ対策が手薄な中小企業ほど、狙われやすいのが現実です。
ただし、怖がる必要はありません。お金をかけなくても、今日から始められる対策があります。この記事では、中小企業が狙われる理由と、無料でできる5つのセキュリティ対策を、手順と所要時間つきで解説します。読み終えたら「まず今日やる2つ」が明確になっているはずです。
なぜ中小企業がセキュリティ対策を求められるのか【2026年版】
まず、脅威の現在地を3点だけ押さえておきましょう。
1. ランサムウェアは11年連続で10大脅威入り、今年も1位
ランサムウェア（データを人質に取り、身代金を要求するウイルス）による被害は、IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」で11年連続で選出され、2026年版でも1位です。攻撃は自動化されており、会社の規模は関係ありません。
2. 取引先への「入口」にされる（サプライチェーン攻撃）
同じく2位に入ったのが、取引先や委託先を経由する攻撃です。中小企業に侵入し、そこを踏み台に取引先の大企業を攻撃する手口で、被害者でありながら加害者側になってしまいます。取引先から「セキュリティチェックシート」を求められる会社が増えているのは、このためです。
3. AIで攻撃メールが巧妙になった
2026年版では「AIの利用をめぐるサイバーリスク」が初選出で3位に入りました。AIの悪用で攻撃メールの日本語が自然になり、見分けが難しくなっています。加えて、2025年10月にサポートが終わったWindows 10のパソコンが社内に残っていないかも、今年ならではの確認ポイントです。
現状の共有はここまでです。では、具体的な対策に入りましょう。
対策1：パスワードを強くして多要素認証をオンにする（所要時間：1時間〜）
不正アクセス対策の最優先はここです。弱いパスワードの使い回しは、鍵の開いたドアと同じです。
強いパスワードのルール——「長さ」が最重要
現在の考え方では、複雑さより「長さ」が重要です。12文字以上を目安にしてください。
| NG例 | OK例 |
|---|---|
| password123 | 無関係な日本語単語3つをローマ字でつなぐ（例：kingyo-Enpitsu-Kumo9） |
| 社名＋年（例：会社名2026） | パスワードマネージャーが生成するランダムな12文字以上 |
| 誕生日・電話番号 | サービスごとにすべて別のパスワード |
社名や設立年の組み合わせは、一見複雑でも推測されやすいのでNG側です。
ポイント：「定期変更」は現在は不要とされています。無理に変えさせると単純なパスワードを招くため、「長く・使い回さず・漏れたときだけ変える」が今の主流です。
パスワードマネージャーで「覚えない」運用に
サービスごとに別のパスワードなんて覚えられない、と思いますよね。覚えなくていいのです。パスワードマネージャー（パスワードを暗号化して保管するソフト）を使いましょう。
- Bitwarden：無料で使えて、チームでの共有もできます
- KeePass：無料で、パソコン内にだけ保存するタイプです
覚えるのはマスターパスワード1つだけ。これだけは長く、強くしてください。
多要素認証（MFA）を必ずオンにする
多要素認証とは、パスワードに加えてスマートフォンでの確認などを求める仕組みです。パスワードが漏れても、スマホがなければログインできません。
まずはメールとクラウドストレージ（Google、Microsoftなど）から設定しましょう。ここが乗っ取られると被害が最大化するためです。なお、対応サービスなら「パスキー」（パスワード自体を使わない、より新しいログイン方式）を選ぶと、手軽さと安全性を両立できます。
対策2：OSとソフトを最新に保つ——Windows 10はもう更新されません（所要時間：30分〜）
古いソフトには「脆弱性（セキュリティの穴）」が残っています。更新プログラムは、その穴をふさぐ修理工事です。2017年に世界中で被害を出したランサムウェア「WannaCry」も、更新を後回しにしたパソコンの穴を突いたものでした。
Windows Updateの確認手順
- スタートメニューから「設定」を開く
- 「Windows Update」をクリックする
- 「更新プログラムのチェック」をクリックする
- 「再起動が必要」と出たら、業務終了後に必ず再起動する
対象はWindowsだけではありません。ブラウザ（Chrome・Edge）、Office、PDFソフトも自動更新を有効にしておきましょう。
社内にWindows 10のパソコンが残っていませんか
Windows 10は2025年10月14日にサポートが終了しました。この記事の時点で、すでに9か月近くが経っています。使い続けても動きはしますが、新しく見つかった穴が二度とふさがれないままになります。対応するソフトやブラウザも、今後は順次減っていきます。
現実的な選択肢は3つです。
- Windows 11への無償アップグレード可否を確認する——対象のパソコンなら費用はかかりません
- 買い替える——アップグレード要件を満たさない古い機種はこちら
- つなぎとしてESU（有償の拡張セキュリティ更新）を使う——法人向けは1台あたり年61ドルからで、年ごとに倍額になっていく仕組みです（最長3年）。なお個人向けは、条件を満たせば無償で2027年10月まで延長できるとされています
いきなり全部やる必要はありません。まずは「社内にWindows 10が何台残っているか」の棚卸しから始めてください。
対策3：バックアップを「3-2-1ルール」で仕組み化する（所要時間：2時間〜）
バックアップは、ランサムウェアに対する最後の砦です。データを人質に取られても、無事なコピーがあれば事業を続けられます。
ここで重要なのが「切り離し」です。バックアップ先が社内ネットワークにつながったままだと、本体と一緒に暗号化されてしまった事例があります。そこで、次の「3-2-1ルール」で仕組み化しましょう。
| ルール | 内容 | 例 |
|---|---|---|
| 3 | データのコピーを3つ持つ | 元データ＋コピー2つ |
| 2 | 2種類の異なる媒体に保存する | パソコン本体＋外付けHDD |
| 1 | 1つは別の場所に保存する | クラウドストレージ |
最小コストの構成例はこうなります。
- 元データ：社内のパソコン・サーバー
- コピー1：外付けHDD（バックアップ後はケーブルを抜いて切り離す）
- コピー2：Google DriveやOneDriveなどのクラウド（無料枠〜月数百円）
ポイント：バックアップは「取るだけ」では不十分です。月に1回、実際にファイルを復元できるかテストしてください。いざという時に戻せないバックアップは、無いのと同じです。
対策4：不審メールへの「会社のルール」を1枚つくる（所要時間：1時間〜）
攻撃の主要な入口はメールです。ここで効くのは高価な機器ではなく、「全員が同じ行動を取れるルール」です。
以前は「日本語が不自然なメールは怪しい」と言われました。しかし今は、AIのせいで文面だけでは見抜けません。そこで合言葉を新しくしましょう。「文面がきれいでも、送信元とURLは必ず確認」です。
社員に配るチェックリストの例です。
- 送信元のメールアドレスが、名乗っている会社のドメインと一致しているか
- リンクにマウスを載せて、表示されるURLの綴りが本物か
- 「本日中に」「アカウント停止」など、急かす文言がないか
- 心当たりのない添付ファイルやリンクではないか
- 請求書や振込先変更の依頼は、電話など別の経路で相手に事実確認したか
そして、受け取ったときの行動ルールを4行にまとめ、1枚の紙にして配布・掲示します。
- 開かない（添付ファイル）
- 押さない（リンク）
- 返信しない
- すぐ報告する（上長またはIT担当へ）
「引っかかりかけた報告」を責めない文化も大切です。報告が早いほど、被害は小さく済みます。
対策5：アクセス権限と退職者アカウントを棚卸しする（所要時間：2〜3時間）
全員が全データにアクセスできる状態は、1人のアカウント乗っ取りが全社被害に直結する状態です。ここを整えるのが5つ目の対策です。
まず、アカウントの棚卸しから
退職者・異動者のアカウントが残っていないか確認し、削除または無効化します。放置されたアカウントは、攻撃者にとって定番の侵入口です。あわせて「誰がどのシステムを使えるか」の一覧を作りましょう。
次に、「最小権限の原則」を適用する
| 役割 | アクセスできる範囲 |
|---|---|
| 一般社員 | 自分の業務に必要なフォルダのみ |
| 管理職 | 自部門のデータまで |
| 管理者 | 全体（ただし人数は最小限に） |
管理者アカウントを日常業務に使わない
管理者権限のアカウントは設定変更の時だけ使い、ふだんは一般権限で作業します。これだけで、ウイルスに感染した際の被害範囲を大きく抑えられます。
ポイント：Google WorkspaceやMicrosoft 365なら、管理画面から権限設定ができます。「月1回の棚卸し」を予定表に入れて、仕組みにしてしまいましょう。
まとめ：今日から始める優先順位
5つを一度にやる必要はありません。次の優先順位で進めてください。
| 優先度 | 対策 | コスト | 効果 |
|---|---|---|---|
| ★★★ | 1. パスワード強化＋多要素認証 | 無料 | 不正アクセスの入口をふさぐ |
| ★★★ | 2. OS・ソフトの更新 | 無料 | 既知の穴を突く攻撃を防ぐ |
| ★★☆ | 3. バックアップ（3-2-1） | 無料〜月数百円 | 感染しても事業を続けられる |
| ★★☆ | 4. 不審メールのルール1枚 | 無料 | 最大の侵入経路に全員で備える |
| ★☆☆ | 5. アクセス権限の棚卸し | 無料 | 被害の拡大を防ぐ |
今日やるのは2つだけで構いません。「パスワード＋多要素認証」と「Windows Updateの確認」。この2つだけでも、防げる攻撃はぐっと増えます。
なお、社員が生成AIを使い始めている会社は、AI利用のルール作りもセットで考えると安心です。詳しくは生成AIの社内ルールの作り方をどうぞ。「社内データを外に出さずにAIを使いたい」という方には、ローカルLLM入門という選択肢もあります。
「自社だけでは難しい」と感じたら
セキュリティ対策は一度やって終わりではなく、続ける仕組みづくりが肝心です。
「5つをやり切る自信がない」「取引先からチェックシートが来て困っている」。そんな時は、私が力になります。IT業務歴30年、中小企業の現場でのシステム導入を20年以上やってきました。神奈川・東京・山梨を中心に、無料相談や商工会議所等でのセミナー・勉強会をお受けしています。
まずは今日の2つを終わらせて、それから気軽にご相談ください。
参考資料
- IPA「情報セキュリティ10大脅威 2026」（2026年1月公表）
- Microsoft「Windows 10の拡張セキュリティ更新（ESU）プログラム」
コメント