中小企業の被害は、大した音もなく広がっているのではないかと思います。IPAの10大脅威2025でも、標的は中小企業に向かっています。だからこそ、最小コストで最大リスクを削ることが必要です。そのポイントを3つほど挙げてみました。
Contents
被害の入り口は、甘さと人のうっかり？
- ランサム攻撃（身代金型ウイルス）が引き続き最大の脅威。暗号化や恐喝（情報公開の脅し）で業務停止と風評の二重打撃。
- 委託先・サプライチェーン経由の侵入が増加。自社が踏み台になると取引に影響、損害賠償・信頼失墜に直結。
- クラウド設定不備（権限・公開範囲・APIキー）が狙われる。
- 公的機関の年次報告でも、中小への周知強化、クラウド設定の適正化、テレワーク手引きの更新が論点に。
私の実感でも、被害の入口は目新しいハッキングより初期設定の甘さと人のうっかりが多いのではないかと思っています。複雑な対策より、土台の品質が結果を分けるということです。
守りの肝はシンプル
攻撃の質は高度化していますが、守りの肝はシンプルです。中小企業がまず整えるべきポイントを3つ挙げています。どれも「費用を抑えつつ効果が高い」ものです。
ポイント1：パッチ適用
- OS／ブラウザ／主要アプリは自動更新。止むを得ず止めた端末は隔離して個別管理。
- 影響大の脆弱性（例：VPN、公開サーバ、ファイル転送）は48時間以内に暫定策（無効化・遮断）→テスト→本適用。
ポイント2：バックアップは取るより戻す
- 方式：本番と論理的に分離（クラウド別アカウント、オフライン）。
- 範囲：基幹データ（会計、販売、設計、メール、共有ドライブ）。
ポイント3：ログの見える化と最小権限
- 誰が何に入れるかを可視化。退職・異動は権限変更。
- 主要SaaSと端末のサインイン異常（深夜・海外・大量失敗）を厳密に管理。
つまり、入口を固める／壊れても素早く戻すの二本柱。高度な製品を買う前に、まず運用の型を決めるだけで体感が変わります。
80点の基本を会社全体で回し続ける
100点でやろうとすると100点で手を止めてしまいがち。そこで80点の基本を会社全体で回し続ける方が、継続的に被害とコストを確実に下げると考えています。
途中で例外的な対応が必要となることもあります。そこはルールをシンプルにしておいて、対応の際はフレキシブルに対応を進めます。大まかな手順はさておき、詳細な代替策を最初から決めつけないことって大事だと思いますし、その詳細はいつの詳細なのか？も重要です。ですから継続的な取り組みは、継続的なセキュリティ維持に繋がるということを覚えておくと良いでしょう。
成果より未解決の山を小さくすることに集中すると、実務は回るのではないかと思います。ただ、そう思ってはいても、あれこれ備えてしまうのは人の性なのかもしれませんが・・
