中小企業もサイバー攻撃の標的に？ 専門家に聞く「最低限やるべき対策」

IT担当者がいない小規模企業でもできる3つの基本対策と、万が一の初動対応を解説

近年、企業へのランサムウェア攻撃や不正アクセスによる被害の拡大が相次いで報道されています。

中小企業や創業間もない会社では、「自社は狙われるほどの規模ではない」という認識に加え、「セキュリティ対策に十分な予算をかけられない」「専門のIT担当者がいない」といった課題を抱えるケースも少なくありません。しかし、サイバー攻撃は大企業だけの問題ではなく、自社が攻撃の「踏み台」となり、取引先にまで被害が及ぶおそれもあります。

今回は、株式会社セキュビット代表取締役の増村洋二氏に、中小企業が直面するサイバー攻撃の実態と、IT担当者がいない小規模企業でも実践できる「最低限やるべき対策」、万が一の際の初動対応について伺いました。

増村 洋二（ますむら ようじ）

株式会社セキュビット 代表取締役

2002年より情報セキュリティ業務に従事。LINE、楽天、ジンズ、カルチュア・コンビニエンス・クラブなどで、情報セキュリティ部門の立ち上げに携わり、責任者を歴任。計4万時間、5千件以上の対応経験を重ね、株式会社セキュビットを設立。情報セキュリティ・サイバーセキュリティに関するコンサルティングと研修を通じて、中小・中堅企業のセキュリティ対策を支援。企業向けIT専門メディア「ZDNET Japan」で「つながりで考えるセキュリティ対策」を連載中。

「うちは狙われない」は危険！中小企業もサイバー攻撃の標的に

増村：はい、中小企業も標的になっています。警察庁の統計では、2025年のランサムウェアの被害報告件数は226件で、そのうち約6割が中小企業でした。

「うちは狙われるほどの規模じゃない」というお話をよく伺います。ですが、攻撃者は必ずしも相手の規模を見て選んでいるわけではありません。インターネット上で弱点のある機器やアカウントを探し、入りやすいところから侵入します。支援の現場でも、それが実態に近いと感じています。

もう一つ知っておいていただきたいのは、被害が自社だけで終わらないことです。情報処理推進機構（IPA）が2024年度に実施した調査では、サイバーインシデントの被害を受けた中小企業の約7割が、取引先にも影響を及ぼす結果となったと回答しています。

取引先とシステムやネットワークでつながっている場合、自社が「踏み台」にされ、大切な取引先への攻撃の侵入元として使われるおそれもあります。いわゆる「サプライチェーン攻撃」です。

増村：被害に遭いやすい企業には、いくつか共通点があります。

• 機器を導入した後、アップデートを誰も確認していない
• パスワードだけでログインできるサービスが残っている
• バックアップは取っているものの、社内ネットワークにつながったままで、一緒に暗号化されてしまう

いずれも、担当者がいないことで生まれる「空白」です。

IT担当者がいなくてもできる「優先すべき3つのセキュリティ対策」

増村：まずは次の三つから始めてください。

• ① アカウントを守る（多要素認証を設定する）
• ② 更新を止めない（アップデートを自動にする）
• ③ バックアップを「戻せる形」で残す

① アカウントを守る（多要素認証を設定する）

メールやクラウドサービスには、パスワードに加えてスマートフォンの認証アプリなどで本人確認する「多要素認証」を設定します。主要なサービスの多くは、追加費用なしで設定できます。あわせて、パスワードの使い回しをやめ、アカウントや利用者権限が過剰に付与されていないかを確認しましょう。

② 更新を止めない（アップデートを自動にする）

パソコンやスマートフォンは、OSとソフトの自動更新を有効にします。見落とされやすいのが、ルーターやVPN機器などのネットワーク機器です。導入した際の契約に「アップデート」が含まれているかを確認し、含まれていなければ誰がやるのかを決めてください。メーカーのサポートが終わった機器は、使い続けないことが大切です。

③ バックアップを「戻せる形」で残す

大事なデータは、社内のネットワークから切り離した場所に保存します。警察庁も、ランサムウェアではバックアップも一緒に暗号化される場合が多いと指摘しています。そして、年に一度は実際に復元できるかを試してください。「バックアップを取っているつもり」になっている会社も散見されます。

予算の面では、この三つの多くは、追加費用をかけずに始められると思います。

増村：予算を多少使える場合は、機器やシステムの導入よりも優先したいのは相談先です。担当者がいない会社では、異常に気づくことも、気づいた後の判断も難しいからです。

セキュリティ人材を採用するには採用コストや人件費を新たに抱えることになります。中小企業や中堅企業向けの伴走サービスや支援業務を提供しているセキュリティ会社を選択肢にするとよいと思います。自社に最低限必要な対策は何かを相談でき、対策の実行までを支援してくれます。

セキュリティ対策というと対応する製品の導入に目が向きがちですが、そもそも運用する人や体制を決めないままツールを導入しても効果は限定的ですし、アラートが出ても確認する人がいない、ということになりかねません。費用対効果の観点からも安心できる相談先を見つけておくことをおすすめしたいと思います。

対策ソフトだけでは不十分？見落としがちな「設定」と「管理」

増村：対策ソフトやサービスを使っていると、「対策はできている」と思いがちです。しかし、そもそも正規のIDとパスワードでログインされてしまうと、ウイルス対策ソフトだけで防ぐのは難しくなります。

実際に見落とされやすいのは、ツールではなく「設定」と「管理」の部分です。

特にランサムウェア攻撃で狙われやすいVPN機器やルーターは、一度設置すると、その後は誰も確認しなくなりがちです。会社と導入した業者のどちらがアップデートを担当するのかが決まっていないと、脆弱性が放置され、侵入口になりかねません。

テストのために一時的に外部から接続できるようにしたリモートデスクトップが、担当者の異動後もそのまま残っていたということもありがちです。

まずは、社外から接続できる機器の一覧を作り、それぞれ誰が更新を担当するのかを確認してください。

サイバー攻撃が発覚したら？経営者が取るべき初動対応

増村：一番大事なのは、「おかしい」と思った時点で動くことです。確信が持てるまで待つ間に、被害は広がります。

疑いがあるとき、最初にやること

たとえば、不審なURLを開いたパソコンは、次の対応を取ります。

• ネットワークから切り離す： LANケーブルを抜き、Wi-Fiをオフにする
• 電源は原則として切らない： 調査に必要な記録を残すため
• IDやパスワードを入力した場合： 別の端末からすぐに変更する

不審なURLを開いたパソコンは、LANケーブルを抜き、Wi-Fiをオフにしてネットワークから切り離します。電源は、調査に必要な記録を残すため、原則として切らずにおきます。IDやパスワードを入力してしまった場合は、別の端末からすぐに変更しましょう。

不正アクセスの形跡が見つかった場合は、社内でむやみに機器を操作しないでください。記録が上書きされ、原因の特定が難しくなることがあります。

また、報告した社員は責めず、早く知らせてくれたことに感謝を伝えてください。責められると思えば、次から報告をためらうようになります。

技術的な調査は専門家に任せ、経営者は「どの業務を止めるか」「誰に連絡するか」の判断に集中します。

増村：主な相談・連絡先は以下の通りです。

• 契約しているセキュリティ支援会社やIT機器の保守業者
• 警察（都道府県警察本部のサイバー犯罪相談窓口）
• IPA（情報処理推進機構）の「企業組織向けサイバーセキュリティ相談窓口」

個人データの漏えい等が発生した場合、一定の条件に該当すると、個人情報保護委員会への報告が必要になります。報告対象となる場合は速やかに速報を行いましょう。発覚日から3〜5日以内が目安とされています。

専門家への相談は、「自社だけでは原因や影響の範囲が判断できない」と感じた時点で行ってください。IT担当者がいない会社なら、迷わず早めの相談をおすすめします。

万が一に備える！中小企業が平時から準備したい4つのこと

増村：サイバー攻撃を完全に防ぐことは難しいからこそ、平時のうちに「信頼できる相談先の確保」と「起きたときの手順」を決めておくことが、被害を小さく抑えることにつながります。

特に優先して決めておきたいのは、次の①～④です。

• ① 連絡体制と役割：最初の報告を誰が受け、誰が判断するのか。経営者が不在のときに代わりに判断する人も決めておきます。
• ② 外部の連絡先：セキュリティ支援会社・保守業者、警察の相談窓口、調査を依頼できる専門家。IT機器の導入・保守業者との契約に、インシデント対応が含まれているかも確認します。
• ③ 社外への報告と説明：個人情報保護委員会への報告や、取引先・顧客への説明を誰が担当するのか。
• ④ データと復旧の優先順位：重要なデータとバックアップがどこにあるのか、止まると困る業務をどの順番で復旧させるのか。

これらを「対応シート」にまとめ、紙でも保管してください。攻撃を受けると、メールや社内のシステムが使えなくなることがあるからです。

サイバー攻撃は、IT担当者がいない小規模企業にとっても決して他人事ではありません。まずは多要素認証や機器のアップデート、バックアップなど、できる対策から見直してみましょう。

また、万が一の際に慌てないよう、緊急時の連絡先や対応手順をあらかじめ決めておくことも大切です。

（編集：創業手帳編集部）