中小企業診断士 中小企業の情報セキュリティ対策をわかりやすく解説

脅威の実態を「順位」で押さえる

情報セキュリティは技術論から入ると際限がありません。まず「いま何が起きているか」を押さえるのが近道です。IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」は、前年に社会的影響が大きかった事案からIPAが候補を選び、研究者や実務担当者など約250名の選考会が審議・投票して決めています。2026年版の［組織］向けは次の顔ぶれです。

読み取るべき傾向は3つです。ランサム攻撃は2016年の初選出以来11年連続で選ばれ、2026年も1位であること。2位のサプライチェーン攻撃は自社が踏み台にされる型で、中小企業でも対策が取引維持の条件になりつつあること。そして3位のAI利用をめぐるサイバーリスクが2026年に初選出されたことです。7位に内部不正が入っている点も見落とせません。退職者のアカウント放置や権限の与えすぎといった組織内部の管理不備も、外部攻撃と同列の脅威として扱われています。

SECURITY ACTION は「認定」ではなく「自己宣言」

SECURITY ACTIONは、中小企業自らが情報セキュリティ対策に取り組むことを宣言するIPAの制度です。取り組み段階に応じて「★一つ星」「★★二つ星」があり、ロゴマークを無料で使用できます。

情報セキュリティ6か条は、①OSやソフトウェアは常に最新の状態にする、②ウイルス対策ソフトを導入する、③パスワードを強化する、④共有設定を見直す、⑤バックアップを取る、⑥脅威や攻撃の手口を知る、の6つです。一つ星はこれから取り組むことの宣言なので、対策実施前でも申し込めます。

制度の性格を取り違えないでください。SECURITY ACTIONはIPAが対策状況を認定・認証するものではありません。IPA自身、「認定を受けました」「取得しました」は誤解を招く不適切な例、「宣言しました」が適切な表現だと注意喚起しています。

実務上の効き目は補助金との接続です。自己宣言は各種補助金の申請要件や加点対象に採用されており、デジタル化・AI導入補助金（旧IT導入補助金）では交付申請手続きで自己宣言IDの登録が求められます。申込は2026年4月1日から「SECURITY ACTION管理システム」に移行し、GビズIDプライムまたはメンバーのアカウントが必要です。

経営者の問題として扱う——サイバーセキュリティ経営ガイドライン

技術担当者ではなく経営者向けの指針が、経済産業省とIPAによる「サイバーセキュリティ経営ガイドライン」です。最新はVer3.0（2023年3月24日公開）で、経営者が認識する必要のある「3原則」と、CISO等の担当幹部に指示すべき「重要10項目」で構成されます。

重要10項目は、指示1「リスクの認識、組織全体での対応方針の策定」に始まり、体制構築、資源（予算・人材）の確保、リスクの把握と計画策定、対応の仕組みづくり、PDCAによる継続的改善、緊急対応体制、事業継続・復旧体制と続き、指示9でサプライチェーン全体の状況把握及び対策、指示10で情報の収集・共有・開示を求めます。10大脅威の2位と指示9が同じことを指す、と結び付けると忘れません。

対象が「大企業及び中小企業（小規模事業者を除く）」である点も、設問で狙われやすい特徴です。

ランサムウェア対策の基本は復旧できる状態を作ること

ランサムウェアは、データを暗号化して身代金を要求する攻撃です。近年は暗号化に加えてデータを窃取し「払わなければ公開する」と迫る型が一般化したため、10大脅威では「ランサム攻撃による被害」という名称になっています。対策は侵入させない／広げない／戻せるの3段で整理できます。

• 侵入させない：OSやソフトウェアの脆弱性を放置しない（10大脅威4位）。リモートワーク用のVPN機器やリモートデスクトップは狙われる入口として8位に挙げられており、更新と認証の強化が要になります。
• 広げない：共有設定の見直しと権限の最小化。全社員が全ファイルサーバーに書き込める状態は、感染時の被害範囲をそのまま拡大させます。
• 戻せる：バックアップ。ここが最重要です。ネットワークに常時つながったバックアップは本体と一緒に暗号化されるため、取得したデータを切り離して保管し、定期的に復元テストまで行うことで初めて対策になります。

身代金を払っても復旧する保証はありません。だからこそ6か条は「バックアップを取ろう」を独立した1条に置いています。中小企業への助言としては、高価な製品の導入より先に、6か条と自社診断25項目という無料で始められる型を通すこと。これが診断士としての現実的な第一手です。