専任担当者がいなくてもできる。中小企業の情報セキュリティ30日計画

情報セキュリティは、専門家を採用してから始めるものではありません。専任担当者がいない会社ほど、最初の30日で「守る対象」と「最低限の運用」を決めることが重要です。

IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開し、従来の基本対策へバックアップを加えた「情報セキュリティ6か条」を示しました。ランサムウェアによる事業停止やサプライチェーンへの影響も背景にあります。

1週目：何を持っているか調べる

パソコン、スマートフォン、ルーター、クラウドサービス、メール、共有フォルダ、管理者アカウントを一覧にします。利用者、管理者、契約先、更新期限も記録します。把握していない資産は守れません。

OS、ソフトウェア、ルーター等を更新し、自動更新の設定を確認します。管理者、メール、クラウドサービスでは多要素認証を優先します。共有アカウントは可能な範囲で個人アカウントへ分けます。

全員がすべての情報へアクセスできる状態を避け、業務に必要な範囲へ絞ります。退職・異動時に停止するアカウント、回収する端末、変更する共有情報をチェックリスト化します。

重要データのバックアップ先、頻度、保管世代を決めます。バックアップがあるだけで安心せず、実際に一つのファイルを復元します。不審メール、端末紛失、感染疑いが起きたときの連絡先と初動も一枚にまとめます。

30日で完成させる必要はありません。資産台帳を月次で更新し、退職時手順を毎回実行し、復元テストを定期的に行う。対策をイベントではなく業務にすることが大切です。

何から手を付けるか判断できない、複数業者へまたがっている場合は、IT顧問と一緒に現状を棚卸しし、優先順位を決める方法があります。