小さな会社のセキュリティ対策。何から手をつけるかを優先順位で考える

結論

小さな会社のセキュリティは、順番を決めて上から片づけるのがいちばん現実的です。おすすめの順番は、OSとソフトの更新、多要素認証、バックアップ、パスワードの管理、権限の整理、メールの取り扱い、記録の確認、の7つです。

この7つのうち、最初の4つは大きな費用をかけずに始められます。更新と多要素認証はほぼ設定だけで済みます。バックアップとパスワード管理は、ディスクや管理の仕組みに小さな費用が要ることがあります。「高い製品を買わないと安全にならない」ということはありません。買う前に、いま使っているものの設定を見直してください。

優先順位の決め方

判断の軸は2つだけです。「手を抜いたときに事業が止まるか」と「今日始められるか」です。この2つが両方とも高いものから手をつけます。

たとえば、バックアップがなければデータが戻らず、業務が止まります。一方で、詳細なログの分析は、見る人がいなければ意味を持ちません。同じ「対策」でも、小さな会社にとっての重みはまったく違います。

土台にする資料も1つに絞ってください。IPA（情報処理推進機構）が中小企業向けに「中小企業の情報セキュリティ対策ガイドライン」を公開しています。あわせて「情報セキュリティ6か条」という、最初にやることをまとめた短い一覧もあります。まずこれを読み、自社に足りないところを探すのが早道です。資料はIPAのウェブサイト（www.ipa.go.jp）にあります。

大きな費用をかけずに始められる4つ

1. OSとソフトを最新にする

費用が少なく、効果の大きい対策の一つです。OS、ブラウザ、業務ソフト、そしてルーターやNASのような機器のファームウェアを、更新が出たら当てます。

実務では、自動更新を有効にするのが基本です。そのうえで、自動更新にできないもの（業務システム、複合機、ルーター、監視カメラなど）の一覧を作り、担当と確認する頻度を決めます。月に1回、10分で見る程度で十分です。

サポートが終了したOSやソフトは、更新が出ません。ここだけは買い替えや移行の予算が必要になるので、終了予定を先に調べて、計画に入れておいてください。

2. 多要素認証を有効にする

IDとパスワードだけのログインをやめます。パスワードが外に出ても、もう1つの確認がある状態にするということです。多要素認証（MFA）は、メール、クラウドストレージ、会計や給与のサービス、業務システムの管理画面など、多くのサービスで無料の設定として用意されています。

全部に一度に入れる必要はありません。次の順で入れます。

1. メール（乗っ取られると、パスワード再設定で他のサービスにも波及します）
2. お金が動くもの（ネットバンキング、会計、給与）
3. 顧客の情報が入っているもの（顧客管理、受発注）
4. 管理者権限を持つアカウント全部

確認方法は、認証アプリが扱いやすいです。SMSしか選べないサービスもありますが、その場合でも「何もない」よりは良くなります。

3. バックアップを取る

ランサムウェアでも、機器の故障でも、誤って消した場合でも、戻せる状態を作ります。IPAのガイドラインでも、バックアップは最初にやることの一覧に入っています。

決めることは4つです。

• 何を取るか。全部ではなく、失うと困るもの（会計データ、顧客情報、契約書、設計データ）から
• どこに取るか。少なくとも2か所。うち1か所は、普段はつないでいない場所に
• いつ取るか。毎日か、業務の区切りごとか
• 誰が確認するか。取れているかではなく、戻せるかを確認する

最後の1つが抜けがちです。バックアップは「取る作業」ではなく「戻す作業」が本番です。年に1回でいいので、実際に1ファイルを戻してみてください。

常時つながっている共有フォルダへのコピーだけでは、ランサムウェアの被害に遭ったときに一緒に暗号化されます。外付けディスクを使うなら、取り終わったら外す運用にします。

4. パスワードの管理を決める

強いパスワードを作ることよりも、使い回しをやめることのほうが大事です。1つのサービスから漏れたパスワードが、他のサービスで試されるためです。

現実的な進め方は次のとおりです。

• サービスごとに違うパスワードにする。長さを優先する
• 覚えられないので、パスワード管理の仕組みを使う。付箋とExcelファイルはやめる
• 共有アカウントは減らす。減らせないものは、管理する人と保管場所を決める
• 退職や異動があったら、その人が知っているパスワードを変える

Excelにパスワードをまとめて共有フォルダに置く運用は、よくある形ですが、そのファイルが読める人は全部のパスワードを読めます。せめて管理用のツールに移してください。

続けて手をつける3つ

5. 権限を整理する

全員に管理者権限を渡している状態をやめます。管理者権限を持つアカウントは、ソフトの導入も設定変更も削除もできるので、その人の端末で何かが起きたとき、被害の範囲が広がります。

最低限、次の3つを分けます。日常の業務は一般利用者の権限で行い、設定変更が必要なときだけ管理者になります。管理者アカウントは人数を絞り、誰が持っているかを一覧にします。この話は範囲が広いので、別の記事で詳しく扱います。

6. メールの取り扱いを決める

請求書を装った添付ファイル、取引先になりすました振込先の変更依頼、業務システムを装ったログイン画面。メールは今も入口としてよく使われます。

道具より先に、手順を決めてください。

• 振込先の変更は、メールだけで判断しない。電話など別の手段で確認する
• 添付ファイルを開く前に、表示名ではなく実際の送信元アドレスを確かめる。ただし送信元は偽装できるので、それだけで本物と判断しない
• 心当たりのないリンクからはログインしない。ブックマークから開き直す
• おかしいと思ったら、まず相談する。開いてしまってからでも報告する

最後の1つが重要です。報告した人が責められる職場では、誰も報告しなくなり、発見が遅れます。「開いてしまった」と言える空気は、製品を入れるのと同じくらい大切です。

7. 記録を残して、たまに見る

ログを毎日分析する必要はありません。小さな会社では、次のくらいで十分です。

クラウドサービスの管理画面には、たいていログイン履歴があります。月に1回、見慣れない場所や時間からのログインがないかを見ます。管理者アカウントの一覧と、共有フォルダの共有設定も同じタイミングで確認します。時間は30分もかかりません。

見る人と、見る日を決めてください。決めないと、何か起きたときにしか見ないことになります。

費用の話

ここまでの7つのうち、追加費用が要るのは、パスワード管理の仕組み、バックアップ用のディスクや保管先、そしてサポートが切れた機器の入れ替えくらいです。多要素認証、更新、権限の整理、メールの手順、ログの確認は、いま使っているものの設定と運用の話です。

IPAには「SECURITY ACTION」という、中小企業が自らセキュリティ対策に取り組むことを宣言する制度もあります。一つ星は6か条に取り組む意思を示すもの、二つ星は自社診断（25項目）を行い、情報セキュリティ基本方針を定めて外部に公開するものです。宣言そのものが対策になるわけではありませんが、何を確認すべきかの一覧として、診断項目は役に立ちます。

注意点

一度に全部やろうとすると、途中で止まります。7つのうち上から2つを今月、次の2つを来月、という進め方で問題ありません。止まった状態より、上から4つが終わっている状態のほうが良いです。

道具を入れただけで終わりにしないでください。多要素認証を有効にしたが復旧用コードがない、バックアップを設定したが戻せるか試していない、という状態は、対策したつもりになるぶん危険です。

社外の話もあります。取引先や委託先に業務を任せている場合、自社だけを固めても届かない範囲が残ります。最低限、どのデータをどこに預けているかの一覧は持っておいてください。

まとめ

順番は、更新、多要素認証、バックアップ、パスワード管理、権限、メール、記録です。上から4つは大きな費用をかけずに始められます（バックアップとパスワード管理は小さな費用が要ることがあります）。バックアップは戻せることを確認します。多要素認証は復旧用コードまでが1つの作業です。迷ったらIPAの資料を土台にして、自社に足りないところを探してください。