対策 — 企業・組織向けガイド

総務省・IPAの「サイバーセキュリティ経営ガイドライン」は、経営者がリスクを認識し、体制を整え、対策を実施・見直すことを前提に置いています。まずはセキュリティ方針の決定、予算づくり、責任者(情報セキュリティ責任者等)の任命から始めます。

方針が文書として存在することで、従業員への周知・委託先への説明・万一の公表時の説明責任の土台にもなります。

米国NISTのサイバーセキュリティフレームワーク(CSF)2.0は、統治(Govern)・識別(Identify)・保護(Protect)・検出(Detect)・対応(Respond)・復旧(Recover)の6機能で対策を整理します。2024年の改訂で新設された「統治」が先頭に置かれたのは、経営層の関与を出発点とする考え方だからです。

自組織がどの機能のどの領域が弱いかの議論の地図として使えます。

すべてを一度に実施するのは非現実的です。CIS Controls や CISA のクロスセクター・サイバーセキュリティ・パフォーマンスゴール(CPGs)は、費用対効果の高い基本対策(資産管理・MFA・ログ管理等)から順に列挙しています。

中小規模の組織は、CPGs で「基本(Essential)」とされる項目の達成を最初の目標にするのが現実的です。

被害は完全には防げない前提で、発生した場合の金銭的打撃(調査費・システム復旧・賠償・営業停止)をどう吸収するかも経営判断です。

サイバー保険の加入要件(MFA・バックアップ・脆弱性管理の実施など)そのものが対策のチェックリストとして使えます。

年1回のeラーニングだけでなく、実際に社内フィッシングメールを送る訓練を定期的に行い、リンクを開く率・報告率を可視化します。

「騙された・おかしいと思った」を報告しにくい空気をなくすことが、早期発見に直結します。報告した者を責めない文化を明示しましょう。

退職者のアカウントやアクセス権が残り続けることは、不正アクセス・内部不正の典型原因です。

入社・異動・退職のタイミングで必要な権限だけを付与・回収するプロセスを、人事手続きに組み込んで自動化します。

個人が勝手に導入したSaaS・無料ツールに顧客データが入ると、管理外からの漏えいになります。

利用中のクラウドサービスの棚卸しを行い、許可制・利用ルールを整備します。キャプチャ翻訳ツールや無料チャットへの機密情報貼り付けなど、うっかり利用も対象です。

社内メール・VPN・クラウド管理コンソールなど、外部からアクセスできる入口すべてにMFAをかけます。SMS認証より、認証アプリやFIDO2/パスキーが安全です。

2026年10月のPHP緊急リリース(CVE-2026-109618/109619)のように、アプリケーション側に重大な穴が開くことは前提にすべきで、認証の二重化は被害を限定する最も費用対効果の高い対策です。

全員がPCのローカル管理者権限を持っていると、マルウェア感染時の被害が大きくなります。日常利用は一般権限にします。

サーバーやクラウドの管理者アカウントは業務用アカウントと分離し、使用時のみ昇格する運用(PAM:特権アクセス管理)を目指します。

利用するSaaSが増えるほど、退職時のアカウント回収漏れが起きやすくなります。

IdP(認証基盤)でアカウントを一元管理し、ユーザーの追加・削除を一箇所で完結できる状態を目指します。どこにも属さない「野良アカウント」をなくすことが目的です。

使用中のOS・ミドルウェア・ライブラリを棚卸しし、脆弱性情報(JVN・CVE)を定期的に確認して適用するサイクルを作ります。「何のどのバージョンを使っているか」に答えられることが出発点です。

2026年10月21日のPHP緊急セキュリティリリースでは、サポート終了バージョンを使い続ける環境には緩和策しかない状況が浮き彫りになりました。サポート期限の切れた構成は計画的に更新します。

検出・隔離・調査の機能を持つEDR(Endpoint Detection and Response)を端末・サーバーに導入すると、侵害の早期発見と影響範囲の特定が可能になります。

導入後は「アラートを見る・判断する担当」を決めることが前提です。ツールだけでは対策になりません。

「社内ネットワーク=信頼できる」という前提を捨て、アクセスのたびに本人性と端末の状態を検証する設計に移行します。

重要システムへのアクセス経路を絞り、一部が侵害されても横展開(ラテラルムーブメント)しにくい構造を作ります。部門ごとのセグメント化は中小企業からでも段階的に進められます。

ランサムウェア被害からの復旧には、攻撃者が消せないバックアップが不可欠です。「3つのコピー・2つの異なる媒体・1つは別拠点(切り離し)」の3-2-1原則に沿って設計します。

バックアップは「復旧できて初めて意味がある」ため、定期的な復旧テストまでを運用に含めます。

顧客情報・人事情報・機密文書を棚卸しし、必要最小限の保持期間・アクセス権を定めます。情報資産の「所在・重要度・責任者」の把握が、すべてのデータ保護対策の土台です。

退会済み顧客データの削除期限や、収集目的と一致しない項目の削減も併せて見直します。

2025年4月1日から、個人情報の漏えい等が発生した場合の個人情報保護委員会への報告と本人への通知が義務化され(該当する場合)、違反には罰則が設けられました。

報告の要否判断・期限・必要な項目を事前に整理し、初動で慌てずに済む判断フローと記録様式を準備しておく必要があります。

保存時・転送時の暗号化、データベースやファイルサーバーへのアクセス制御(必要な人だけがアクセスできる状態)を組み合わせます。

「誰が・いつ・何にアクセスしたか」のログは、侵害調査だけでなく報告義務の要否判断の資料にもなります。改ざん防止も含めて保管します。

委託先・再委託先の管理状況は契約で確認・要求します。データの取り扱い範囲、アクセス権、漏えい時の報告義務と報告期限、監査権限を契約書に盛り込みます。

「再委託の事前承諾制」にしておくと、実態とかけ離れた下請け利用を防げます。

発注時だけでなく、定期的に委託先の対策状況を確認します。国内では印刷・発送委託先からの大規模漏えい(2024年のイセトー事例では約150万件)が相次ぎ、委託元の責任が問われる事例が増えています。

重要データを預ける委託先ほど、評価の頻度と深度を上げます。

「誰が隔離し、誰が調査し、誰が経営・法務・報告機関と話すか」を事前に決めておきます。

CSIRT(組織内対応チーム)を常設しない中小企業でも、役割分担と連絡先の一覧(カード化)を用意するだけで初動の速度は大きく変わります。

想定される報告先(個人情報保護委員会・業界の監督官庁・JPCERT/CC・警察サイバー犯罪対策部門・顧客)と、それぞれに必要な情報を整理しておきます。

インシデントの種類(個人情報漏えい・ランサムウェア・標的型攻撃)によって、報告義務の有無と期限が異なります。

年1回程度、シナリオ(ランサムウェア感染・メール誤送信・委託先からの漏えい通知)を想定した卓上演習を行います。

他社の公表事例は訓練シナリオの素材です。漏洩ウォッチの事案一覧で、同業種・同規模の事例が「初動・公表・原因」をどう扱ったかを読むことから始められます。