中小企業のための情報セキュリティ入門 —「うちは狙われない」を捨てる

概要

この教科書は、ITの深い知識を持たない経営者・個人事業主のために書かれています。専門用語をできる限り噛み砕き、公的機関（IPA・警察庁・個人情報保護委員会）が公表した確認済みの情報だけを根拠にしています。

情報セキュリティは「大企業やIT企業の話」だと思われがちです。しかし現実は逆で、被害の多くは中小企業に集中しています。理由は単純で、対策が手薄なぶん攻撃者にとって侵入しやすいからです。この教科書は「怖がらせる」ためのものではありません。何が危険で、何を今日できて、事故が起きたら最初に何をするかを、順を追って判断できるようにするための実務ガイドです。

全6章で、脅威の正体・被害の実例・今日からの対策・よくある失敗・事故時の初動という順で進みます。各章にミニ演習を置き、最後に実践課題と復習プランを用意しました。読み終える頃には、自社が何を守るべきかを1枚のシートにまとめられる状態を目指します。

用語集

ランサムウェア

• ひとことで言うと：データを人質に取って身代金を要求するウイルスです。
• もう少し詳しく：パソコンやサーバー内のファイルを勝手に暗号化して開けなくし、元に戻す鍵と引き換えに金銭を要求するマルウェア（悪意あるソフト）です。近年は「支払わなければデータを公開する」と脅す二重恐喝も増えています。
• 具体例：出社したら全社の顧客ファイルが開けなくなり、画面に「復旧したければビットコインを払え」と英語のメッセージが出ている状態です。
• 誤解しやすい点：身代金を払っても必ずデータが戻るとは限りません。支払いは犯罪者への資金提供にもなり、推奨されません。

フィッシング詐欺

• ひとことで言うと：本物そっくりの偽サイトでパスワードを盗む手口です。
• もう少し詳しく：実在する銀行・宅配業者・クラウドサービスなどを装ったメールやSMSで偽サイトへ誘導し、入力させたIDやパスワードを盗み取る詐欺です。
• 具体例：「あなたのアカウントがロックされました」という銀行風メールのリンクを開き、本物と見分けがつかないログイン画面にパスワードを入力してしまう、といったケースです。
• 誤解しやすい点：見た目のURLだけでは判別しにくいです。差出人名は簡単に偽装できるため「知っている会社名だから安全」とは言えません。

MFA（多要素認証）

• ひとことで言うと：パスワードに加えて、もう1つの本人確認を要求する仕組みです。
• もう少し詳しく：「知っている情報（パスワード）」に「持っている物（スマホの認証アプリ・セキュリティキー）」などを組み合わせ、2つ以上の要素で本人確認する方式です。多要素認証、または2段階認証とも呼ばれます。
• 具体例：正しいパスワードを入れた後、スマホのアプリに表示される6桁のコードも入力しないとログインできない状態です。
• 誤解しやすい点：MFAを入れても万能ではありませんが、パスワードが漏れてもログインを防ぐ効果は大きいです。SMSより認証アプリのほうが安全とされます。

サプライチェーン攻撃

• ひとことで言うと：取引先や委託先を踏み台にして本命企業に侵入する攻撃です。
• もう少し詳しく：セキュリティの堅い大企業を直接狙う代わりに、その企業とつながる取引先・システム委託先・利用ソフトの提供元など、弱い部分を経由して侵入する攻撃手法です。
• 具体例：ある部品メーカーが感染し、そこから納入先の大手工場のネットワークへ被害が広がり、工場の生産が止まる、といった連鎖です。
• 誤解しやすい点：自社が最終標的でなくても「取引先への入口」として狙われます。中小企業が踏み台にされる典型パターンです。

ビジネスメール詐欺（BEC）

• ひとことで言うと：取引先や社長になりすまして送金を騙し取る詐欺です。
• もう少し詳しく：Business Email Compromiseの略で、実在する取引先や自社経営層になりすましたメールで、偽の振込先への送金や機密情報の提供を指示する詐欺です。
• 具体例：「振込先の口座が変わりました」という取引先そっくりのメールを信じ、偽口座へ代金を振り込んでしまうケースです。
• 誤解しやすい点：ウイルスを使わず「人をだます」手口のため、ウイルス対策ソフトでは防げません。確認プロセスの有無が分かれ目です。

セキュリティインシデント

• ひとことで言うと：情報漏えいや感染など「起きてほしくない事故」の総称です。
• もう少し詳しく：情報漏えい・ウイルス感染・システム停止・不正アクセスなど、情報の安全が損なわれる望ましくない事象全般を指します。単に「インシデント」とも言います。
• 具体例：顧客名簿が外部に流出した、社内のパソコンがウイルスに感染した、サーバーが止まって業務が停止した、などです。
• 誤解しやすい点：「まだ被害が出ていない」段階でもインシデントです。疑わしい事象を早く把握できるかが被害の大きさを左右します。

バックアップ（3-2-1バックアップ）

• ひとことで言うと：大事なデータの控えを安全な形で複数持っておくことです。
• もう少し詳しく：データを失ったときに元に戻せるよう、コピーを別の場所に保存しておく備えです。「3-2-1」とはデータを3つ持ち、2種類の媒体に、1つは別の場所（オフライン等）に置く、という考え方です。
• 具体例：本番データに加え、社内の外付けドライブとクラウドの2か所に控えを持ち、片方はネットから切り離しておく構成です。
• 誤解しやすい点：常時ネットにつながった控えだけだと、ランサムウェアに一緒に暗号化される恐れがあります。切り離した控えが復旧の鍵です。

この教科書でできるようになること

• 「うちは小さいから狙われない」という思い込みを、統計と理由で自分の言葉で否定できる
• ランサムウェア・フィッシング・サプライチェーン攻撃・ビジネスメール詐欺という主要脅威の仕組みと、自社のどこが入口になるかを説明できる
• MFA・パスワード管理・3-2-1バックアップ・情報セキュリティ5か条を、自分の環境で実際に設定できる
• 「対策したつもり」で終わる典型的な失敗を見抜き、有効な形に直せる
• 事故が起きたとき、電源を切らずに証跡を守り、報告義務の有無・期限・相談先を判断できる
• 自社のリスク・対策・初動を1枚のシートにまとめ、従業員と共有できる

前提知識

特別なIT知識は不要です。パソコンとスマートフォンで、メールを使い、クラウドサービス（Google・Microsoft等）にログインした経験があれば読み進められます。プログラミングやネットワークの専門知識は前提としません。用語は初出時に噛み砕くか、上の用語集で確認できるようにしています。

第1章：全体像をつかむ —「自分も標的だ」と知る

この章のゴール

「自分も標的だ」と腹落ちし、情報セキュリティを「脅威・対策・初動」の3領域の地図として持てるようになることがゴールです。細かい対策の前に、まず自社が何を持っていて、なぜ狙われるのかを理解します。

まず結論

結論から言うと、中小企業は攻撃の「例外」ではなく「主戦場」です。警察庁が公表した令和7年（2025年）上半期のランサムウェア被害報告116件のうち、約3分の2は中小企業でした。「小さいから狙われない」は、むしろ逆です。対策が手薄なぶん、攻撃者にとって侵入しやすい相手になっています。

だからこそ、最初にやるべきは高度な技術対策ではありません。「自社は何のデータを持っていて、それがなぜ攻撃者にとって価値があるか」を把握することです。守るべきものが見えて初めて、対策の優先順位がつきます。

やさしい解説

なぜ中小企業が狙われるのか。理由は攻撃者の動機がお金だからです。顧客の個人情報・取引先データ・口座情報は、盗めば売れるか、人質にして身代金を取れます。攻撃者は「大企業か中小企業か」で選ぶのではなく、「侵入しやすくて金になるか」で選びます。手口の多くは自動化され、無差別にばらまかれるため、規模の小ささは盾になりません。

もう1つの理由が、取引先への「踏み台」としての価値です（第2章のサプライチェーン攻撃で詳述します）。あなたの会社そのものが最終標的でなくても、取引先の大企業へ侵入する入口として狙われることがあります。つまり自社を守ることは、取引先を守る責任でもあります。

情報セキュリティは大きく3つの領域に分けると整理しやすくなります。1つ目が「脅威」、どんな攻撃が来るかを知ること。2つ目が「対策」、被害を未然に防ぐこと。3つ目が「初動」、それでも事故が起きたときに正しく動くことです。この3領域が、この教科書全体の地図になります。

| 領域 | 問い | 対応する章 | |---|---|---| | 脅威を知る | どんな攻撃が来るのか／自社のどこが入口か | 第2章・第3章 | | 対策を打つ | どうやって未然に防ぐか | 第4章・第5章 | | 初動を判断する | 事故が起きたら最初に何をするか | 第6章 |

「完璧な防御」は存在しません。だから「防ぐ努力（対策）」と「起きたときに正しく動く準備（初動）」の両輪が必要です。この2つを分けて考えることが、過度に怖がらず、しかし油断もしない現実的な姿勢につながります。

具体例

たとえば従業員5名の設計事務所を考えます。持っているデータは、顧客の氏名・住所・連絡先、取引先とのやり取り、そして設計図面です。一見「地味なデータ」に見えますが、攻撃者から見れば十分に価値があります。顧客の個人情報は名簿として売れ、図面や見積もりは人質にすればこの事務所にとって死活的です。仕事が止まれば納期に間に合わず、顧客の信用も失います。

この事務所が「うちは小さいから関係ない」と考えて対策を後回しにすると、ランサムウェアで全ファイルが暗号化された瞬間、事業が止まります。逆に「自社も標的だ」と認識していれば、どのデータが最も痛いかを把握し、そこから優先的に守れます。この差が、被害の大きさを分けます。

ミニ演習

#### Q1. 自分のケースへの適用：自社データの棚卸し

自社が扱うデータを次の3カテゴリに分けて書き出し、「失ったら事業にどう響くか」を一言添えてください。所要時間の目安は10分です。

• 顧客・取引先の情報（氏名・連絡先・契約内容・口座情報など）
• 事業を止めると困るデータ（見積書・図面・受注データ・売上台帳など）
• 認証情報（各種サービスのID・パスワード・クラウドのログイン情報）

##### 答え（例：個人事業主・コンサルタントの場合）

• 顧客情報：クライアントの氏名・連絡先・契約金額→漏えいすると信用毀損＋報告義務
• 事業データ：提案書・議事録・売上台帳→使えなくなると業務が止まり納期未達
• 認証情報：Google・freee・クラウドストレージのID/PW→乗っ取られると全サービスが侵害される

##### 解説

このリストが「守る対象の地図」になります。3カテゴリの中で最も事業停止に直結するデータが、第4章の対策で最初に守るべき対象です。「地味なデータでも人質にされれば死活的」という視点で棚卸しすると、優先順位が自然に見えてきます。棚卸し結果は実践課題1のシートに転記します。

この章のまとめ

• 中小企業は攻撃の例外ではなく主戦場で、ランサム被害の約3分の2が中小企業（警察庁・令和7年上半期）。
• 攻撃者の動機はお金で、規模ではなく「侵入しやすさと金になるか」で標的が選ばれる。
• 取引先への「踏み台」として狙われるため、自社を守ることは取引先を守る責任でもある。
• 情報セキュリティは「脅威・対策・初動」の3領域に分けると整理できる。
• 完璧な防御はないので、防ぐ努力と起きたときの初動の両輪で考える。

第2章：脅威の正体を理解する

この章のゴール

主要な脅威4つ（ランサムウェア・フィッシング・サプライチェーン攻撃・ビジネスメール詐欺）の仕組みを理解し、それぞれが自社のどこから入ってくるのかを対応づけられるようになることがゴールです。あわせて2026年に新しく注目されたAIリスクにも触れます。

まず結論

脅威は無数にあるように見えますが、経営者がまず押さえるべきは4つです。IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」組織編では、1位がランサムウェア（11年連続）、2位がサプライチェーン攻撃（8年連続）、10位にビジネスメール詐欺が入りました。そして2026年に初めて選ばれたのが3位の「AIの利用をめぐるサイバーリスク」です。

重要なのは、これらの脅威には必ず「入口」がある点です。特にランサムウェアは、警察庁の令和7年上半期データで感染経路の約62%がVPN機器、約22%がRDP（リモートデスクトップ）でした。合わせて8割超がこの2つです。つまり、入口を絞れば大半は防げるということです。

やさしい解説

1つ目のランサムウェアは、第1章で見たとおりデータを暗号化して身代金を要求する攻撃です。入口の多くは、社外から社内に接続するためのVPN機器や、遠隔操作のためのRDPです。これらの機器のパスワードが弱かったり、古いまま更新されていなかったりすると、そこから侵入されます。だから対策の中心は「この入口を閉じる・強くする」ことになります。

2つ目のフィッシング詐欺は、偽サイトでパスワードを盗む手口です。警察庁によると令和7年上半期のフィッシング報告は約119万件で、前年同期比で約89%増と急増しています。入口は人の受信箱です。メールやSMSのリンクをクリックし、偽ログイン画面に入力してしまうことで認証情報を奪われます。人が判断する場面が入口なので、技術だけでなく「気づく力」も対策になります。

3つ目のサプライチェーン攻撃は、取引先や委託先を経由して本命に侵入する攻撃です。入口は自社と外部のつながりです。委託先のシステム、利用しているソフトの提供元、共有しているクラウドなどが経路になります。自社が最終標的でなくても踏み台にされるため、「つながっている相手のセキュリティ」も自社リスクの一部になります。

4つ目のビジネスメール詐欺（BEC）は、取引先や社長になりすまして送金を騙し取る詐欺です。入口は経理・送金の判断プロセスです。ウイルスを使わず人をだますため、ウイルス対策ソフトでは防げません。「振込先変更のメールが来たら電話で確認する」といった確認プロセスの有無が、被害を分けます。

最後にAIリスクです。生成AIの普及で新たな懸念が生まれています。1つは業務で使うAIに機密情報を入力してしまい外部に情報が渡るリスク、もう1つは攻撃者がAIを使って巧妙な偽メールや偽サイトを大量生成するリスクです。IPAが2026年に初めて選出したのは、この領域が実務上の脅威になり始めたことを示しています。

| 脅威 | 仕組み | 自社の主な入口 | 深刻度の目安 | |---|---|---|---| | ランサムウェア | データを暗号化し身代金を要求 | VPN機器・RDP（合計8割超） | 事業停止に直結・最も高い | | フィッシング詐欺 | 偽サイトで認証情報を詐取 | メール・SMSの受信箱（人の判断） | 全脅威の起点になりやすい | | サプライチェーン攻撃 | 取引先・委託先を踏み台に侵入 | 委託先・利用ソフト・共有クラウド | 自社に非がなくても波及 | | ビジネスメール詐欺 | なりすましメールで送金を指示 | 経理・送金の判断プロセス | 一度の送金で大きな金銭被害 | | AIリスク | 機密のAI入力・AI悪用の偽物量産 | 生成AIへの入力・受信箱 | 2026年初選出・拡大中 |

具体例

ランサムウェアの入口を具体的に見ます。ある会社が在宅勤務のためにVPN機器を導入し、そのログインをIDとパスワードだけにしていたとします。パスワードが「company123」のように単純だと、攻撃者は自動ツールで総当たりし、突破します。侵入後は社内を移動して全サーバーを暗号化します。ここでもしMFA（多要素認証）を設定していれば、パスワードを破られてもスマホ側の確認で止められた可能性が高いのです。入口が分かれば、打つべき対策も決まります。

ミニ演習

#### Q1. 仕組み理解：脅威と入口の対応づけ

次の脅威A〜Cと入口1〜3を正しく対応づけてください。

• 脅威A：ランサムウェア
• 脅威B：フィッシング詐欺
• 脅威C：ビジネスメール詐欺

• 入口1：経理の送金判断プロセス
• 入口2：VPN機器・RDP
• 入口3：メールのリンククリック

##### 答え

• 脅威A（ランサムウェア）→ 入口2（VPN機器・RDP）
• 脅威B（フィッシング詐欺）→ 入口3（メールのリンククリック）
• 脅威C（ビジネスメール詐欺）→ 入口1（経理の送金判断プロセス）

##### 解説

各脅威には固有の「弱点の場所」があります。ランサムは技術的な侵入口（VPN/RDP）、フィッシングは人が判断する受信箱、BECはお金が動く業務プロセスです。自社に各入口が「ある／ない」を確認し、「ある」と答えた脅威が優先対策の対象です。入口がない脅威への対策は後回しにして構いません。

#### Q2. 自分のケースへの適用：自社の入口チェック

上の対応づけを踏まえ、自社に存在する入口を確認してください。

• VPN機器またはリモートデスクトップを使っているか
• 経理の送金を1人の判断で実行できる状態か
• メールのリンクをクリックする前に差出人を確認する習慣があるか

##### 答え

「ある」と答えた入口に対応する脅威が、自社の優先対策項目です。すべてに「ない」と答えられる会社はほぼ存在しないため、1つ以上は優先対策が生まれるはずです。

##### 解説

入口の棚卸しは対策の順番を決める作業です。資金も時間も無限ではないため、「自社に実在する入口から閉じる」という順序が、最も費用対効果の高いアプローチになります。

この章のまとめ

• 経営者が押さえるべき主要脅威はランサム・フィッシング・サプライチェーン・BECの4つ（IPA 10大脅威2026）。
• ランサムの感染経路は8割超がVPN機器とRDP（警察庁）。入口を絞れば大半は防げる。
• フィッシング報告は前年同期比約89%増と急増。入口は人の受信箱。
• BECはウイルスを使わず人をだますため、確認プロセスがないと防げない。
• 2026年はAIリスクが初選出。機密のAI入力とAIによる偽物量産の両方が懸念。

第3章：被害の実例で理解する

この章のゴール

脅威が実際にどう被害へつながり、事業にどう波及するかを具体的に描けるようになることがゴールです。抽象的な「危険」ではなく、自社で起きたら何が止まり、何を失うかをイメージできる状態を目指します。

まず結論

被害は「データが暗号化された」で終わりません。本当の痛手は、そこから連鎖する事業停止・金銭損失・信用毀損です。ランサムウェア1件で数日から数週間業務が止まり、取引先や顧客への説明・報告義務への対応・復旧作業が同時に押し寄せます。「攻撃を受けた」瞬間より、「その後に何が起きるか」を想像できることが、対策の本気度を決めます。

やさしい解説

典型的なランサムウェア被害の流れを追います。まず攻撃者が、パスワードの弱いVPN機器やRDPから社内に侵入します。次に社内ネットワークを静かに移動し、重要なサーバーやファイルの場所を把握します。そして一斉にデータを暗号化し、身代金要求のメッセージを残します。多くの場合、暗号化前にデータを盗み出しており、「払わなければ公開する」と二重に脅します。翌朝出社した従業員が、全ファイルが開けないことに気づく、というのが典型的な発覚の瞬間です。

サプライチェーン被害はこう波及します。自社が感染すると、取引先とやり取りしていたメールアカウントや共有システムが攻撃者に使われ、取引先にも被害が広がります。すると取引先から「おたくが原因だ」と責任を問われ、取引停止や損害賠償の話になりかねません。自社の直接被害だけでなく、取引関係そのものを失うリスクがあるのです。

ビジネスメール詐欺の被害は、静かに大きな金額が動きます。取引先を装ったメールで「振込先が変わった」と連絡が来て、経理が疑わずに送金すると、その代金は攻撃者の口座へ渡ります。ウイルス感染のような「異変」がないため、送金してしばらく経ってから、本物の取引先に「入金がない」と言われて初めて発覚することが多いのです。

これらに共通するのが被害の波及です。1つの侵入が、事業停止・金銭損失・信用毀損・法的対応（第6章の報告義務）へと連鎖します。だから被害を「システムの問題」ではなく「経営の問題」として捉える必要があります。

具体例

先ほどの設計事務所（従業員5名）でランサムウェア被害を想定します。ある月曜の朝、全パソコンで図面も見積書も顧客名簿も開けません。画面には身代金要求のメッセージ。この日から納期進行中の案件がすべて止まります。顧客への納品は遅れ、事情説明に追われます。もし顧客の個人情報も盗まれていれば、個人情報保護委員会への報告義務も発生します（第6章）。復旧できるかは、切り離したバックアップがあるかどうかにかかっています。もし常時つながった控えしかなければ、それも一緒に暗号化されて復旧不能かもしれません。1つの侵入が、数週間の事業停止と信用低下を招くのです。

ミニ演習

#### Q1. 具体例への変換：脅威名を自社の被害シナリオに翻訳する

第2章で「自社に入口がある」と確認した脅威を1つ選び、実際に起きたらどうなるかを次の4ステップで書いてください。所要時間の目安は10分です。

• どこから侵入されるか（入口）
• 何が使えなくなる・盗まれるか
• 事業に何が起きるか（止まる業務・失う信用・発生する対応）
• 復旧に何が必要か

##### 答え（例：フリーランスのWebデザイナーがフィッシング詐欺に遭った場合）

• 入口：Adobeをかたる偽メールのリンクをクリックし、偽ログイン画面にパスワードを入力
• 失うもの：Adobeアカウント・同じパスワードを使い回していたGoogleアカウントも乗っ取られる
• 事業への影響：Googleドライブの納品データにアクセスできなくなり、進行中の3案件が止まる。クライアントへの謝罪・損害賠償の可能性
• 復旧に必要なもの：アカウント復旧（Google・Adobe）・パスワード全件変更・クライアントへの説明・データ再作成

##### 解説

脅威を「抽象的な概念」から「自社で起きる出来事」に変換することで、対策の優先順位と緊急性が実感を伴って見えてきます。「被害シナリオを書けた」ということは、「その対策を次章で迷わず実施できる」状態になったことを意味します。

この章のまとめ

• 被害はデータ暗号化で終わらず、事業停止・金銭損失・信用毀損・法的対応へ連鎖する。
• ランサムは「侵入→潜伏→暗号化＋データ窃取→二重恐喝」という流れが典型。
• 自社の感染が取引先へ波及し、取引関係そのものを失うリスクがある。
• BECは異変がないため発覚が遅れ、気づいたときには送金済みのことが多い。
• 被害は「システムの問題」ではなく「経営の問題」として捉える。

第4章：今日からできる対策を実施する

この章のゴール

MFA・パスワード管理・3-2-1バックアップ・情報セキュリティ5か条という基本対策を、知識としてではなく「自分の環境で実際に設定できる」状態にすることがゴールです。手を動かして完了させる章です。

まず結論

対策は難しい順にやる必要はありません。効果が大きく手間が小さいものから着手します。IPAが中小企業向けに示す「情報セキュリティ5か条」が出発点です。中でも即効性が高いのは、重要サービスへのMFA設定と、切り離したバックアップの確保です。この2つだけでも、第2章・第3章で見た被害の多くを防ぐか、被害を軽くできます。

IPAはこうした取り組みを後押しするため、中小企業向けの自己宣言制度「SECURITY ACTION」を無償で提供しています。基本対策に取り組む宣言をすることで、社内外に姿勢を示せます。

やさしい解説

まず情報セキュリティ5か条を確認します。IPAが示す基本は、①OSやソフトウェアを最新に保つ、②ウイルス対策ソフトを導入する、③パスワードを強化する、④共有設定を見直す、⑤脅威や攻撃の手口を知る、の5つです。この5か条に加えて、IPAは「定期的にバックアップを取る」ことも重ねて重視しています。本教科書では、③のパスワード強化を確実にする手段としてMFA（多要素認証）を、そしてバックアップを、それぞれ後段で具体的に扱います。特別な道具はいりません。多くは既存のパソコンやクラウドの設定で対応できます。

次にMFA（多要素認証）の設定です。メール・クラウドストレージ・会計ソフト・VPNなど、重要なサービスから順に設定します。手順は概ね共通で、各サービスの「セキュリティ設定」から2段階認証を有効にし、スマホに認証アプリ（Google Authenticator や Microsoft Authenticator など）を入れて連携します。設定後は、パスワードに加えてアプリの6桁コードが必要になります。パスワードが漏れてもログインを止められるのが最大の効果です。

3つ目がパスワード管理です。人間はサービスごとに強い文字列を覚えられません。だからパスワードマネージャー（1Password や Bitwarden などの専用ソフト）を使います。マスターパスワード1つだけ覚え、あとは各サービスに長くランダムなパスワードをマネージャーに作らせて保存します。これで「使い回し」をやめられます。使い回しは、1つ漏れると全部破られる最大の弱点です。

4つ目がバックアップです。ランサムウェア対策の切り札で、3-2-1の考え方で組みます。データを3つ持ち、2種類の媒体に保存し、1つはネットから切り離す（オフラインか、書き換え不可の形）という構成です。切り離した控えがあれば、本番が暗号化されても身代金を払わずに復旧できます。逆に常時つながった控えだけだと、一緒に暗号化される恐れがあります。

| 対策 | 主な効果 | 導入の手間 | 今日できるか | |---|---|---|---| | OS・ソフト最新化 | 既知の穴をふさぐ | 小（自動更新を有効化） | できる | | MFA設定 | パスワード漏えい時もログインを防ぐ | 小〜中（サービスごと） | できる | | パスワードマネージャー | 使い回しを廃止・強固なパスワード化 | 中（初期移行に時間） | 始められる | | 3-2-1バックアップ | ランサム被害からの復旧を可能に | 中（構成の設計が必要） | 設計を始められる | | 共有設定の見直し | 意図しない公開を防ぐ | 小（設定確認） | できる |

3-2-1バックアップの具体的な構成例を示します。

| 要素 | 内容 | 例 | |---|---|---| | コピー3つ | 本番＋控え2つ | 業務PC＋外付けドライブ＋クラウド | | 媒体2種類 | 異なる保存方式 | 外付けHDD（物理）＋クラウド（オンライン） | | うち1つ切り離し | ネットから隔離 | 外付けは普段は抜いておく／書き換え不可設定 |

具体例

従業員5名の設計事務所の対策手順です。まず全員のメールとクラウドストレージにMFAを設定します（30分程度）。次にパスワードマネージャーを1つ契約し、まず社長のアカウントで主要サービスのパスワードを長いランダム文字列に置き換えます。続いて図面と顧客名簿を、クラウドと外付けドライブの2か所にバックアップし、外付けは作業後に抜いて金庫にしまいます。これで「侵入されにくく、されても復旧できる」状態に一歩近づきます。完璧を目指さず、重要データから順に進めるのがコツです。

ミニ演習

#### Q1. 実務タスク：対策の設定手順チェック

次の対策ごとに「設定済み・未設定・不明」を答えてください。「未設定」「不明」はその場で設定を始めます。所要時間の目安は当日60分＋後日の継続です。

| 対策項目 | 確認事項 | 状態（設定済み／未設定／不明） | |---|---|---| | MFA | メール・クラウドに設定されているか | | | OS自動更新 | 自動更新が有効になっているか | | | パスワードマネージャー | 導入済みで主要サービスを移行したか | | | バックアップ（2か所） | 重要データが2か所以上にあるか | | | バックアップ（切り離し） | 控えの1つがネットから切り離されているか | | | 復元テスト | 実際に戻せることを確認したか | | | 共有設定 | クラウドの不要な外部公開をオフにしたか | |

##### 答え（判断基準）

• 「設定済み」：実際に動作確認ができている状態
• 「未設定」：まだ着手していない→今日着手する日付を決める
• 「不明」：設定したかどうか分からない→確認から始める（不明=未設定と同等のリスク）

##### 解説

「設定したつもり」が最も危険な状態です。MFAは「有効にした」ではなく「ログアウトして再ログインしてコードを求められた」まで確認します。バックアップは「復元テストした」まで到達して初めて完了です。特にバックアップの復元テストは見落とされやすく、第5章の失敗パターン1番の原因です。

#### Q2. 自分のケースへの適用：優先順位の決定

Q1で「未設定」「不明」となった項目を書き出し、第3章で作った自社の被害シナリオと照らして「どれを先にやるか」を決めてください。

##### 答え（判断の順序）

• 被害シナリオの入口に直結する対策を最優先にする
• 次にMFA（設定が最も速く効果が大きい）
• 切り離しバックアップ（復旧の最後の砦）

##### 解説

「全部やらなければ」と感じると動けなくなります。被害シナリオで特定した入口を1つ塞ぐことが、今日の最優先タスクです。完璧を目指さず、最も痛い穴から埋める順序が、実際の被害軽減につながります。

この章のまとめ

• 対策は「効果が大きく手間が小さい順」に。MFAと切り離しバックアップが即効性大。
• 情報セキュリティ5か条（＋バックアップ）が中小企業の出発点。多くは既存設定で対応可能。
• MFAはパスワードが漏れてもログインを防ぐ最大の防波堤。重要サービスから設定する。
• パスワードマネージャーで使い回しを廃止する。使い回しは最大の弱点。
• バックアップは3-2-1で、1つは必ずネットから切り離す。

第5章：よくある失敗と対策

この章のゴール

対策が「形だけ」で終わる典型的な失敗を見抜き、有効な形に直せるようになることがゴールです。設定した「つもり」が、いざという時に役に立たない落とし穴を潰します。

まず結論

多くの被害は「対策ゼロ」ではなく「対策したつもり」で起きます。バックアップを取っていたのに復旧できない、MFAを入れたのに突破される、といった失敗には共通の理由があります。対策は「実施した」ではなく「本当に効く形か」を検証して初めて完成します。

やさしい解説

代表的な失敗を6つ見ます。1つ目は「バックアップしているつもりで復旧できない」です。常時つながった控えしかなく、ランサムに一緒に暗号化される、あるいは復元を一度も試したことがなく、いざ戻そうとしたらデータが壊れていた、というパターンです。対策は、切り離した控えを持ち、定期的に「実際に戻せるか」を試すことです。

2つ目は「SMSのみのMFA」です。SMSは、番号乗っ取り（SIMスワップ）などで横取りされる余地があります。可能なら認証アプリやセキュリティキーを使うほうが安全です。3つ目は「使い回しパスワード」で、1つ漏れると芋づる式に破られます。パスワードマネージャーでサービスごとに別のパスワードにします。

4つ目は「怪しいメールの誤クリック」です。急かす文面や「アカウント停止」といった脅し文句に反応してリンクを踏むのが典型です。対策は、リンクを踏む前に差出人とURLを確認し、少しでも不審なら公式サイトやアプリから直接確認する習慣です。5つ目は「退職者アカウントの放置」で、辞めた人のIDが生きたままだと、侵入経路や内部不正の温床になります。退職時に即座に権限を止める運用が必要です。

6つ目は「生成AIに機密を貼る」です。便利さから顧客情報や社外秘を生成AIに入力すると、それが外部に渡るリスクがあります。業務でAIを使う際は、何を入力してよいかのルールを決め、機密は入れないことを徹底します。

| 失敗パターン | なぜ無効／危険か | 正しいやり方 | |---|---|---| | バックアップしてるつもり | 常時接続で一緒に暗号化・復元未検証 | 切り離した控え＋定期的な復元テスト | | SMSのみのMFA | 番号乗っ取りで横取りされうる | 認証アプリ・セキュリティキーを使う | | 使い回しパスワード | 1つ漏れると全部破られる | マネージャーでサービスごとに別に | | 怪しいメールの誤クリック | 偽サイトで認証情報を奪われる | 踏む前に差出人・URL確認／公式から直接 | | 退職者アカウント放置 | 侵入経路・内部不正の温床 | 退職時に即権限停止する運用 | | 生成AIに機密を貼る | 入力情報が外部に渡るおそれ | 入力ルールを決め機密は入れない |

具体例

「バックアップしているから安心」の落とし穴を具体化します。ある会社は毎晩、社内サーバーのデータを同じネットワーク上の別サーバーへ自動コピーしていました。一見完璧ですが、ランサムに感染したとき、その控えサーバーもネットでつながっていたため一緒に暗号化されました。復旧できず、業務が長期停止しました。もし控えの1つを外付けドライブに取り、作業後に抜いていれば、そこから復旧できたはずです。「取っている」ことと「戻せる」ことは別問題なのです。

ミニ演習

#### Q1. 失敗パターンの判断：この対策は有効か無効か（バックアップ）

「毎晩、常時ネット接続の社内別サーバーへ自動バックアップしている。ランサムウェア対策として有効か」

##### 答え

無効（ランサムウェア対策としては機能しない）。

##### 解説

バックアップ先サーバーが同じネットワークにつながっている場合、ランサムウェアは本番データと控えを同時に暗号化します。「切り離した控えがあるか」が判断の分岐点です。有効になる条件は、控えの少なくとも1つが書き換え不可設定か、物理的にネットから切り離されていることです。「取っている」と「戻せる」は別問題です。

#### Q2. 失敗パターンの判断：この対策は有効か無効か（MFA）

「重要な会計ソフトにMFAを設定したが、方式はSMS受信のみ。これで十分か」

##### 答え

不十分（有効ではあるが、より安全な方式に変えるべき）。

##### 解説

SMSのMFAは「なし」より大幅に安全ですが、SIMスワップ（電話番号を別のSIMに乗っ取る攻撃）で突破される余地があります。推奨は認証アプリ（Google AuthenticatorやMicrosoft Authenticator）またはセキュリティキー（YubiKeyなど物理デバイス）です。SMSのみの場合は「使っていないよりまし、ただし最善ではない」と覚えておきます。

#### Q3. 失敗パターンの判断：この対策は有効か無効か（パスワード）

「全サービスで同じ強力なパスワード（20文字・記号入り）を使っている。強いので安全か」

##### 答え

無効（強くても使い回しは最大の弱点）。

##### 解説

パスワードの強度は「1つのサービスが漏えいしたとき、他のサービスに影響しないか」という観点でも評価する必要があります。どれだけ強いパスワードでも、1か所で漏えいした瞬間に全サービスが危険にさらされます。これが「クレデンシャルスタッフィング攻撃」と呼ばれる手口で、盗んだID/パスワードを他サービスで試す自動攻撃です。サービスごとに別のパスワードを使うためにパスワードマネージャーを使います。

この章のまとめ

• 被害の多くは「対策ゼロ」でなく「対策したつもり」で起きる。
• バックアップは「取れている」でなく「戻せる」を、切り離し＋復元テストで確認する。
• MFAはSMSのみだと横取りの余地。認証アプリ・セキュリティキーが安全。
• パスワードはどんなに強くても使い回せば弱点。サービスごとに別にする。
• 退職者アカウント放置と生成AIへの機密入力は、運用ルールで防ぐ。

第6章：インシデント初動を判断する

この章のゴール

事故が起きたときに、電源を切らずに証跡を守り、被害拡大を止め、法的な報告義務の有無・期限・相談先を判断できるようになることがゴールです。パニックの中で正しい第一歩を踏めるようにします。

まず結論

ランサム感染や不正アクセスに気づいたとき、最もやってはいけないのが「慌てて電源を切ること」です。電源を切ると、原因究明に必要な証跡（ログや記録）が消え、被害範囲が分からなくなります。正しい初動は、電源は入れたまま、ネットワークから切り離して被害拡大を止めることです。あわせて、顧客の個人情報が漏れた可能性があれば、法律で定められた期限内に個人情報保護委員会へ報告する義務があります。

IPAの「中小企業のためのセキュリティインシデント対応の手引き」は、対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階で整理しています。

やさしい解説

なぜ電源を切ってはいけないのか。パソコンやサーバーのメモリやログには、いつ・どこから・何をされたかの手がかりが残っています。電源を切るとそれが消え、専門業者が調べても「何が漏れたか分からない」状態になります。何が漏れたか分からなければ、顧客への説明も報告もできず、対応が後手に回ります。だから「切らずに、隔離する」が鉄則です。

正しい初動は次の順です。まず、感染した機器をネットワークから切り離します（LANケーブルを抜く・Wi-Fiをオフにする）。これで社内の他の機器への拡大を止めます。電源は切りません。次に、被害の状況を記録します（画面の写真を撮る、いつ気づいたかをメモする）。そして、社内の決めた連絡先（経営者・IT担当・契約している専門業者）へ連絡します。自己判断で復旧を試みず、専門家の指示を仰ぎます。

次に法的義務です。2022年4月施行の改正個人情報保護法で、全事業者に漏えい報告義務が課されました。一定の漏えいが起きた場合、個人情報保護委員会へ報告し、本人へ通知する義務があります。報告には2段階あり、まず漏えいを知ってから概ね3〜5日以内に「速報」を、その後30日以内（不正アクセスなど不正目的による場合は60日以内）に「確報」を出します。

報告義務の対象になるのは、次のような漏えいです。要配慮個人情報（病歴など）の漏えい、財産的被害のおそれがある漏えい（クレジットカード情報など）、不正の目的による漏えい、そして1,000人を超える漏えいです。このうち前3つは、対象が1人であっても報告義務が発生します。「少人数だから大丈夫」とは限らない点に注意します。

相談先も知っておきます。技術的な相談や届出はIPA、犯罪としての被害相談は警察庁（都道府県警のサイバー窓口）、そして復旧・調査は専門業者です。事故が起きてから探すのでは遅いので、平時に連絡先を控えておきます。

| するべき行動 | 絶対にしてはいけない行動 | |---|---| | ネットワークから機器を隔離（LAN抜く・Wi-Fiオフ） | 電源を切る（証跡が消える） | | 画面や状況を写真・メモで記録 | 自己判断で復旧・再起動を繰り返す | | 決めた連絡先・専門業者へ連絡 | 一人で抱え込み対応を遅らせる | | 漏えいの可能性を確認し報告準備 | 「大丈夫だろう」と報告義務を無視 | | 身代金は払わず専門家と相談 | 慌てて身代金を支払う |

漏えい報告義務の期限を整理します。

| 段階 | 期限 | 内容 | |---|---|---| | 速報 | 漏えいを知ってから概ね3〜5日以内 | 分かっている範囲で個人情報保護委員会へ第一報 | | 確報 | 30日以内（不正アクセス等は60日以内） | 原因・被害範囲・再発防止策を含む詳細報告 | | 本人通知 | 速やかに | 漏えいの対象となった本人へ通知 |

具体例

設計事務所でランサム感染に気づいた朝の初動です。従業員が「ファイルが開けない」と気づいたら、まずそのパソコンのLANケーブルを抜き、Wi-Fiを切ります。電源は入れたままにします。画面の身代金メッセージを写真に撮り、気づいた時刻をメモします。次に社長へ連絡し、社長は契約している専門業者に電話します。顧客名簿が盗まれた可能性があるため、個人情報保護委員会への速報準備も並行して始めます。身代金は払わず、切り離してあった外付けドライブからの復旧を業者と検討します。この一連が、被害を最小に抑える初動です。

ミニ演習

#### Q1. 自分のケースへの適用：初動フローの判断

次の状況で、あなたが最初に取る行動を順に3つ書いてください。所要時間の目安は10分です。

状況：出社したら1台のパソコンで全ファイルが開けず、身代金要求のメッセージが表示されている。他の端末はまだ正常に見える。顧客名簿のコピーが感染端末にあった。

##### 答え

• 感染したパソコンのLANケーブルを抜き、Wi-Fiをオフにする（電源は切らない）
• 画面の身代金メッセージと現在時刻をスマートフォンで写真に撮る
• 経営者（または事前に決めた連絡先）に連絡し、専門業者へ問い合わせを始める

##### 解説

「電源を切る」は最も多い誤った初動です。電源を切るとメモリ内のログが消え、いつ・どこから・何が盗まれたかが分からなくなります。結果として顧客への説明も報告も後手に回ります。隔離（ネットから切る）は拡大を止めるために必須ですが、電源は入れたままにします。顧客名簿が含まれる場合、要配慮情報か不正アクセスの可能性があれば報告義務（速報3〜5日）が発生するため、初動と並行して確認を始めます。

#### Q2. 実務判断：報告義務の有無の判断

次の各ケースで、個人情報保護委員会への報告義務が発生するか答えてください。

• ケースA：社員5人分の氏名・住所リストが、不正アクセスにより盗まれた可能性がある
• ケースB：顧客50人のメールアドレスだけが誤送信で流出した（要配慮情報ではない）
• ケースC：取引先担当者1人の氏名・電話番号が書かれたメモを紛失した（不正アクセスなし）

##### 答え

• ケースA：報告義務あり（不正アクセス=不正目的による漏えいに該当。1人でも対象）
• ケースB：原則報告義務あり（50人＝1,000人未満だが、不正目的の可能性や財産被害のおそれを確認する必要がある。要配慮情報でなくてもメールアドレスのみで財産被害のおそれがあれば対象）
• ケースC：慎重に確認が必要（不正目的の関与がなく要配慮情報でなければ、義務の発生要件を一つずつ確認する。「紛失」だけでは直ちに報告義務とはならない場合もある）

##### 解説

「少人数だから報告不要」は誤りです。要配慮個人情報・財産被害のおそれ・不正目的の3つは人数に関係なく1人でも対象です。不明な場合は個人情報保護委員会の相談窓口に確認します。速報を遅らせるほどペナルティリスクが高まるため、疑わしければ速報を優先します。

この章のまとめ

• 事故時に電源を切ってはいけない。証跡が消え原因究明ができなくなる。
• 正しい初動は「電源は入れたままネットワークから隔離」して拡大を止めること。
• 対応は検知・初動→報告・公表→復旧・再発防止の3段階（IPA手引き）。
• 一定の個人情報漏えいは報告義務あり。速報3〜5日・確報30日（不正アクセス等60日）。
• 要配慮・財産被害のおそれ・不正目的は1人でも対象。相談先は平時に控えておく。

実践課題

学んだ内容を、自社に落とし込む3つの課題です。1枚ずつ実際に作成・実施してください。

課題1：自社リスク棚卸しシート（基礎確認）

第1章で棚卸ししたデータを、脅威・入口・影響・優先度に対応づけて1枚にまとめます。

ゴール：自社が守るべきデータと、優先度が高い脅威を1枚で把握する。

次の表を自社の内容で埋めてください。行は最低3つ、できれば5つ以上書きます。

| 守るデータ | 想定される脅威 | 自社の入口 | 事業への影響 | 優先度（高・中・低） | |---|---|---|---|---| | 例：顧客名簿（氏名・連絡先） | ランサムウェア／不正漏えい | VPN・メール受信箱 | 信用毀損・個人情報保護委員会への報告義務 | 高 | | 例：売上台帳・見積書 | ランサムウェア | 社内ネットワーク・クラウド | 業務停止・取引先への納期未達 | 高 | | 例：クラウドID/PW | フィッシング詐欺 | メール受信箱・偽サイト | 全クラウドサービスへの侵入口になる | 高 | | （自社のデータを記入） | | | | |

完成したら、優先度「高」の行だけを取り出して、「最初の1週間で守るべき対象」リストを作ります。

チェックポイント：

• 認証情報（ID/PW）は必ず1行入っているか
• 入口が「VPN・メール・送金プロセス」の3つのうちどれかに該当する行はあるか
• 優先度「高」が3行以上あれば、対策の順番を決める材料として十分

課題2：基本対策の実施記録（実務適用）

第4章のチェックリストを、実際に設定して完了日を記録します。「設定した」だけでなく「動作確認まで」到達することが条件です。

ゴール：MFA・パスワードマネージャー・3-2-1バックアップを実際に動く状態にする。

• [ ] MFA設定（対象サービス：＿＿＿＿　／　設定完了日：＿＿　／　動作確認（コードが求められたか）：済・未）
• [ ] パスワードマネージャー導入（ツール名：＿＿＿＿　／　完了日：＿＿　／　主要サービスのPW移行数：＿＿件）
• [ ] バックアップ構成（保存先A：＿＿＿＿　／　保存先B：＿＿＿＿　／　切り離し方法：＿＿）
• [ ] 復元テスト（テスト日：＿＿　／　実際に戻せたか：成功・失敗　／　失敗した場合の対処：＿＿）
• [ ] OS・主要ソフトの自動更新：有効化確認日：＿＿
• [ ] クラウド共有設定の確認と不要公開の停止：実施日：＿＿

完了の定義：

• MFA：ログアウトして再ログインし、コード入力が求められたことを確認した
• バックアップ：復元テストで実際にファイルが戻ってきたことを確認した
• パスワードマネージャー：最重要サービス（メール・クラウド・会計）が移行済みになっている

課題3：インシデント対応カード（自分のケースへの置き換え）

事故発生時に迷わず動けるよう、自社版の対応カードを1枚作ります。印刷してオフィスの見えるところに貼るか、スマートフォンのメモアプリに保存します。

ゴール：パニックの中でも「最初の3アクション」が取れる状態を作る。

以下のテンプレートを自社情報で埋めてください。

自社インシデント対応カード（＿＿年＿＿月作成）

最初の3アクション（この順に実行）：

• 感染端末のLANケーブルを抜き、Wi-Fiをオフにする（電源は切らない）
• 画面と現在時刻をスマートフォンで写真に撮る
• 以下の連絡先に電話する

連絡先：

• 経営者（緊急）：＿＿＿＿
• IT担当・専門業者：＿＿＿＿
• IPA 情報セキュリティ安心相談窓口：0120-00-0235
• 警察庁サイバー犯罪相談窓口：都道府県警察へ
• 個人情報保護委員会（漏えい報告）：https://www.ppc.go.jp/

絶対にしないこと：

• 電源を切る（証跡が消える）
• 自己判断で復旧を試みる（被害が拡大する）
• 慌てて身代金を払う（戻る保証なし・犯罪者への資金提供）

報告義務の判断ライン：

• 顧客の個人情報が漏えいした可能性→速報：知ってから3〜5日以内・確報：30日以内（不正アクセス等は60日以内）
• 要配慮個人情報・財産被害のおそれ・不正目的は1人でも報告対象

作成チェック：

• 連絡先の電話番号は実際につながるか確認したか
• 従業員全員が見られる場所に置いてあるか
• 年に1回、連絡先を更新する日程を決めたか

FAQ

Q. うちは従業員数人の個人事業です。本当に狙われますか？ A. 狙われます。攻撃の多くは自動化・無差別で、規模で選ばれません。ランサム被害の約3分の2は中小企業です（警察庁・令和7年上半期）。むしろ対策が手薄なぶん侵入されやすい相手です。

Q. お金をかけずにできる対策はありますか？ A. あります。MFAの設定、OS・ソフトの自動更新、共有設定の見直しは、既存の設定でほぼ無償です。IPAの「SECURITY ACTION」も無償の自己宣言制度です。まずここから始められます。

Q. ウイルス対策ソフトを入れていれば安全ですか？ A. 不十分です。ビジネスメール詐欺やフィッシングは「人をだます」手口でウイルスを使わず、ソフトでは防げません。技術対策と、確認プロセスなどの運用の両方が必要です。

Q. 身代金を払えばデータは戻りますか？ A. 戻る保証はありません。支払っても復旧できない例があり、犯罪者への資金提供にもなります。推奨されません。切り離したバックアップからの復旧を専門家と検討してください。

Q. 事故が起きたら、まず何をすればいいですか？ A. 電源は切らず、機器をネットワークから隔離して被害拡大を止めます。状況を記録し、決めた連絡先と専門業者へ連絡します。詳しくは第6章と実践課題3を参照してください。

Q. 生成AIを業務で使いたいのですが危険ですか？ A. 使い方次第です。顧客情報や社外秘を入力すると外部に渡るリスクがあります。何を入力してよいかのルールを決め、機密は入れない運用にすれば活用できます。

まとめ

この教科書の要点を振り返ります。第1章で「自分も標的だ」と認識し、脅威・対策・初動の3領域の地図を持ちました。第2章で主要脅威4つと自社の入口を理解し、第3章で被害が事業へ波及する実例を描きました。第4章で今日できる対策を設定し、第5章で「対策したつもり」の失敗を潰し、第6章で事故時の初動と報告義務を学びました。

大切なのは、完璧を目指さないことです。情報セキュリティに100点はありません。しかし、MFAを設定し、切り離したバックアップを持ち、事故時に電源を切らずに隔離する、という基本を押さえるだけで、被害の多くは防げるか、軽くできます。守るべきデータから優先順位をつけ、1つずつ着手してください。

最後に、対策は「経営の仕事」です。技術の細部は専門家に任せられますが、「何を守るか」「どこまで備えるか」を決めるのは経営者です。この教科書が、その判断の土台になれば幸いです。

理解度チェック

以下の5問に、本文を見ずに答えてください。

Q1. 用語確認「うちは小さいから狙われない」への反論（記述）

「うちは従業員3人の小さな会社だから、サイバー攻撃には狙われない」と主張する取引先に、統計と理由を使って反論してください。

#### 答え

反論の要点は2つです。第一に、警察庁の令和7年上半期データでは、ランサムウェア被害116件のうち約3分の2が中小企業でした。中小企業は例外ではなく主戦場です。第二に、攻撃の多くは自動化・無差別で、規模ではなく「侵入しやすく金になるか」で標的が選ばれます。対策が手薄な会社ほど簡単に侵入されるため、小規模であることは盾になりません。また、取引先の大企業に侵入するための「踏み台」として狙われるケースもあり、自社が最終標的でなくても被害者になります。

#### 解説

「規模が小さい＝狙われない」という誤解は、統計を見るだけで崩れます。攻撃者の選定基準は「大企業か中小企業か」ではなく「侵入コストに対してリターンが見合うか」です。中小企業は対策が手薄なぶん侵入コストが低く、持っている顧客情報や口座情報は十分な換金価値があります。取引先への踏み台という側面も覚えておくと、「自社を守ることは取引先への責任」という視点が生まれます。

Q2. 仕組み理解：ランサムウェアの主な感染経路と対策（選択＋短答）

ランサムウェアの感染経路として最多のものを次のA〜Cから1つ選び、その入口を絞るための対策を答えてください。

• A：添付ファイル付きのメール
• B：VPN機器
• C：USBメモリ

#### 答え

B：VPN機器（約62%、警察庁・令和7年上半期）。次いでRDP（約22%）で合計8割超がこの2つです。

対策：

• VPN機器にMFAを設定する（パスワードを破られてもログインを防ぐ）
• VPN機器のファームウェアを最新に保つ（既知の脆弱性を塞ぐ）
• 使っていないRDPの接続は閉じる、または接続元IPを制限する

#### 解説

「VPN機器が主な入口」を知ることが重要です。在宅勤務の普及でVPN機器を導入した会社が増えた結果、そこが主要な侵入経路になっています。入口を特定できれば対策の優先順位が決まります。「全部やらなければ」と思う必要はなく、VPN/RDPへのMFA設定とパッチ適用だけで、感染経路の8割超を塞げる計算になります。

Q3. 失敗回避：「バックアップしているから安心」の判断（失敗パターン）

「毎晩、社内ネットワーク上の別サーバーへ自動バックアップしている。ランサムウェアに感染しても復旧できる」という主張について、有効な場合と無効な場合をそれぞれ説明してください。

#### 答え

無効な場合（このケースは無効）： 控えサーバーが同じネットワークにつながっている場合、ランサムウェアは本番データと控えを同時に暗号化します。「バックアップが存在している」ことと「ランサムから守られている」ことは別です。

有効な場合： 控えの少なくとも1つが、ネットワークから切り離されている（外付けドライブを使用後に抜く、書き換え不可の設定にする、など）かつ、実際に復元テストを行い「戻せる」ことを確認済みの場合。

#### 解説

「取っている」と「戻せる」は別問題、「つながっている」と「切り離されている」は対策の有効性を分ける根本的な違いです。バックアップを評価する時は「切り離しているか」「復元テストをしたか」の2点だけ確認すれば、有効か無効かが判断できます。コストゼロでできる改善は「作業後に外付けドライブを抜く」という習慣だけです。

Q4. 実務判断：感染直後に電源を切るべきか（正誤＋理由）

ランサムウェア感染を発見した直後、「被害が広がらないように早く電源を切った」という対応は正しいですか。理由とともに答えてください。

#### 答え

正しくありません。電源を切ってはいけません。

理由：電源を切ると、パソコンやサーバーのメモリとログに残っている「いつ・どこから・何をされたか」の証跡が消えます。証跡が消えると、何が漏れたかを特定できなくなり、顧客への説明も報告義務の判断もできなくなります。正しい初動は「電源を入れたままネットワークから切り離す（LANケーブルを抜く・Wi-Fiをオフにする）」です。これで証跡を保ちながら感染の拡大を止められます。

#### 解説

「電源を切る」という直感的な行動が、実は最も損害を大きくする行動です。電源を切りたくなる心理は分かりますが、「隔離＝ネットから切る」であって「電源を切る」ではないと覚えてください。この区別が、事故対応の質を大きく左右します。

Q5. 応用問題：個人情報漏えい時の報告義務（短答）

取引先からの不正アクセスにより、顧客1名の氏名・電話番号・病歴が漏えいした可能性があります。次の各問に答えてください。

• 報告義務は発生しますか
• 速報はいつまでに誰に提出しますか
• 確報の期限はいつですか

#### 答え

• 発生します。病歴は「要配慮個人情報」に該当し、対象が1名であっても報告義務が生じます。また、不正アクセスによる場合は「不正の目的」に該当するため、こちらの理由でも報告義務が発生します。
• 速報：漏えいを知ってから概ね3〜5日以内に、個人情報保護委員会へ提出します。
• 確報：不正アクセスを原因とする場合は60日以内。通常の漏えいは30日以内です。

#### 解説

「少人数だから報告不要」という判断が誤りになる典型例です。要配慮個人情報（病歴・診療歴・障害・犯罪歴など）・財産的被害のおそれがある情報・不正目的による漏えいの3条件は、1名でも対象になります。「1,000人超が報告ライン」と誤解されやすいですが、それは4番目の条件であり、上記3条件が満たされれば人数に関係なく報告が必要です。速報は「分かっている範囲で」提出すれば足りるため、調査完了を待たずに第一報を出すことが重要です。

復習プラン

1日後

• 見返す章：第1章・第2章
• 解く問題：理解度チェックQ1（「うちは狙われない」への反論）・Q2（ランサムの感染経路と対策）
• 確認ポイント：中小企業が主戦場である統計（約3分の2）と、VPN機器が感染経路1位（約62%）を自分の言葉で説明できるか

3日後

• 見返す章：第4章・第5章
• 解く問題：理解度チェックQ3（バックアップの有効・無効判断）・第5章ミニ演習Q1〜Q3
• 確認ポイント：自社のバックアップが「切り離されているか」「復元テストを実施したか」の2点を実際に確認する

7日後

• 見返す章：第6章
• 解く問題：理解度チェックQ4（電源を切るべきか）・Q5（報告義務の判断）
• 実践すること：実践課題3（インシデント対応カード）を作成し、印刷またはスマートフォンのメモアプリに保存する。連絡先の電話番号が実際につながるか確認する

30日後

• 自分の仕事・事業に反映すること：実践課題1（自社リスク棚卸しシート）と実践課題2（基本対策の実施記録）を最新の状態に更新する。未着手だった対策のうち1つを実施し、完了日を記録する。もし従業員がいる場合は、インシデント対応カードの内容を共有し、「最初の3アクション」を口頭で説明できるか確認する

参考情報源

本教科書は、以下の公的機関が公表した一次情報を根拠にしています（すべて確認済み）。

• IPA（情報処理推進機構）「情報セキュリティ10大脅威 2026」（2026年1月29日公表・組織編）
• IPA「情報セキュリティ5か条」「SECURITY ACTION」（中小企業向け基本対策・自己宣言制度）
• IPA「中小企業のためのセキュリティインシデント対応の手引き」v4.0付録（2026年3月）
• 警察庁「サイバー空間をめぐる脅威の情勢等（令和7年上半期）」（ランサム被害116件・感染経路・フィッシング報告件数）
• 個人情報保護委員会（改正個人情報保護法・2022年4月施行・漏えい報告義務／速報・確報の期限・報告対象）

注記：本教科書は上記の一次情報のみを断定の根拠としています。二次記事由来の被害額・被害率などの個別数値は、原本未検証のため意図的に採用していません。制度・数値は公表時点のものであり、最新の運用は各機関の公式サイトで確認してください。