【2026年版】大企業のセキュリティ対策 見直しチェックリスト60｜アサヒ・アスクル事例から学ぶ総点検
2025年秋、日本を代表する企業が相次いでランサムウェアの被害に遭いました。アサヒグループホールディングスでは受注・出荷システムが止まり、手作業での対応が長期化。全商品の出荷再開は2026年4月までずれ込みました。アスクルでも物流システムが停止し、取引先や個人顧客の情報が流出しています。
「うちは十分に投資している」という大企業ほど、実は守るべき範囲が広く、どこかに穴が空いているものです。本記事では、情報システム部門・セキュリティ担当者・CISOの方が自社の状況を短時間で棚卸しできるよう、60項目のチェックリストとスコアによるレベル判定、優先度の付け方までをまとめました。
中小企業の方は、より簡易な「中小企業向けセキュリティ簡易チェック30」もあわせてご覧ください。
1. なぜ今、大企業こそ「見直し」が必要なのか
大型事例に共通する3つのポイント
公表されている調査結果を見ると、2つの事例には共通点があります。
| 事例 | 発生 | 侵入のきっかけ | 被害を広げた要因 |
|---|---|---|---|
| アサヒグループHD | 2025年9月29日に障害発生 | 障害の約10日前、グループ拠点のネットワーク機器を経由して侵入 | データセンターでパスワードの弱点を突かれ管理者権限を奪取。約191万件の個人情報が漏えいした可能性 |
| アスクル | 2025年10月19日に被害確認 | 業務委託先が使っていた管理者アカウントの認証情報が漏えい（多要素認証は未適用） | EDRが入っていない領域があり検知が遅れた。バックアップも暗号化され、約74万件が流出 |
共通するのは次の3点です。
- 入口は「外部とつながる機器」と「IDの認証情報」：最新の高度な攻撃ではなく、ネットワーク機器や委託先アカウントといった「基本の穴」から入られています。
- 侵入から発覚までに時間がある：数日〜数週間、社内を探索されてから暗号化されています。早く見つけられれば被害は小さくできました。
- バックアップと復旧計画が「攻撃される前提」になっていない：バックアップまで暗号化されると、復旧は数か月単位になります。
統計と制度の動き
- 被害件数：警察庁によると、2025年のランサムウェア被害報告は226件。復旧費用が1,000万円以上かかった組織が5割を超え、1か月未満で復旧できた組織は5割強にとどまります。
- 感染経路：警察庁の近年の統計では、VPN機器とリモートデスクトップ経由が合わせて約8割を占め続けています。
- 脅威の変化：IPA「情報セキュリティ10大脅威 2026（組織編）」では、1位ランサムウェア、2位サプライチェーンや委託先を狙った攻撃に続き、3位に「AIの利用をめぐるサイバーリスク」が初めてランクインしました。
- 制度の変化：経済産業省などが進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、★3・★4の運用が2026年度下期から始まる予定です。大企業は自社の対策に加え、取引先にどの水準を求めるかを決める立場になります。
つまり大企業には、「自社を守る」「グループ・委託先を含めて守る」「AIという新しい領域を守る」の3つが同時に求められています。
2. チェックリストの使い方
- 各項目を ◎（できている・証跡がある）＝2点／△（一部・属人的）＝1点／×（できていない・不明）＝0点 で評価します。
- 「たぶんできている」は△です。**規程や記録で示せるものだけ◎**にしてください。
- 「分からない」は×として扱います。分からないこと自体がリスクです。
- 本社だけでなく、海外拠点・グループ会社・買収した子会社も含めて回答するのが理想です。可能なら拠点ごとに採点しましょう。
- 60項目×2点＝120点満点です。
3. 大企業向けチェックリスト（60項目）
A. 経営・ガバナンス（8項目）
| No. | チェック項目 | 確認のポイント |
|---|---|---|
| A1 | サイバーセキュリティを経営リスクとして取締役会で定期的に議論している | 年1回以上の報告。議事録に残っているか |
| A2 | CISO（最高情報セキュリティ責任者）など責任者と権限が明確になっている | 兼務の場合も、意思決定の範囲が文書化されているか |
| A3 | セキュリティ予算・人員が、事業規模とリスクに見合っているか評価している | 他社比較や外部評価を参考にしているか |
| A4 | 社内にCSIRT（インシデント対応チーム）があり、連絡体制が最新になっている | 夜間・休日の連絡網、異動後の更新 |
| A5 | 情報セキュリティ規程を毎年見直し、クラウド・リモートワーク・AIを反映している | 規程が3年以上前のままになっていないか |
| A6 | 「システムが全停止したら何日で事業が止まるか」を経営層が把握している | 事業影響分析（BIA）の有無 |
| A7 | 個人情報漏えい時の報告義務（個人情報保護委員会への速報・確報）の手順が決まっている | 法務・広報との役割分担 |
| A8 | サイバー保険の補償範囲と、身代金・復旧費用の扱いを経営層が理解している | 免責条件の確認 |
B. IT資産・攻撃対象の把握（7項目）
| No. | チェック項目 | 確認のポイント |
|---|---|---|
| B1 | インターネットに公開している機器・ドメイン・IPアドレスを一覧で把握している | 部門が勝手に立てたサイト・検証環境も含む |
| B2 | VPN装置・ファイアウォール・ルーターなどの機種とバージョンを全拠点分把握している | 海外拠点・グループ会社が漏れやすい |
| B3 | 外部から見た自社の攻撃対象（ASM：アタックサーフェス管理）を定期的に調査している | 年1回ではなく継続的な監視が望ましい |
| B4 | 保守切れ（EOL）の機器・OS・ミドルウェアを把握し、更新計画がある | 期限と担当者が決まっているか |
| B5 | クラウド（AWS・Azure・Google Cloudなど）のアカウント・サブスクリプションを全社で把握している | 部門契約のクラウド・SaaSを含む |
| B6 | 重要データ（個人情報・技術情報・顧客情報）がどこにあるか分類・把握している | ファイルサーバー・SaaS・個人PC |
| B7 | M&Aや新規拠点の追加時に、セキュリティ評価を行う手順がある | 買収先のネットワーク接続前の確認 |
C. Webサービス・アプリケーションの脆弱性（10項目）
国際的なWebアプリの脆弱性ランキング「OWASP Top 10」の2025年版では、1位「アクセス制御の不備」、2位「設定ミス」、3位「ソフトウェアサプライチェーンの不備」が上位を占めています。開発の巧拙より、権限・設定・部品管理が問われています。
| No. | チェック項目 | 確認のポイント |
|---|---|---|
| C1 | 公開しているWebサービスは、リリース前と年1回以上の脆弱性診断を受けている | 大きな改修時にも実施しているか |
| C2 | 診断で見つかった脆弱性を、深刻度別の期限内に修正できている | 「高」は○日以内などのルール |
| C3 | 利用者ごとの権限チェック（他人のデータが見えないか）をテストしている | IDを書き換えるだけで他人の情報が見える不備が典型例 |
| C4 | 使っているライブラリ・部品の一覧（SBOM）を作り、脆弱性を自動検知している | 依存関係の更新が放置されていないか |
| C5 | クラウドの設定ミス（公開ストレージ、不要な公開ポート）を自動でチェックしている | CSPMなどのツールの有無 |
| C6 | WAF（Webアプリケーションファイアウォール）を導入し、ルールを更新している | 導入しただけで検知モードのままになっていないか |
| C7 | 管理画面は社内ネットワークや特定IPからしかアクセスできない | 管理画面のURLが外部に公開されていないか |
| C8 | 会員ログインに多要素認証や、不正ログイン（リスト型攻撃）対策がある | ログイン試行回数制限、異常検知 |
| C9 | 開発・テスト環境に本番データを使っていない、または匿名化している | テスト環境からの流出が多い |
| C10 | ソースコードやAPIキーがGitHub等に誤って公開されていないか監視している | シークレットスキャン |
D. ID・アクセス管理（8項目）
| No. | チェック項目 | 確認のポイント |
|---|---|---|
| D1 | VPN・リモートアクセス・クラウド管理画面のすべてで多要素認証を必須にしている | 「一部の例外アカウント」が狙われる |
| D2 | 委託先・保守ベンダーのアカウントにも多要素認証を必須にしている | アスクル事例の直接の原因 |
| D3 | 管理者権限（特権ID）を一覧で管理し、必要最小限に絞っている | ドメイン管理者の人数 |
| D4 | 特権IDの利用を申請制・時間制限にし、操作ログを残している | PAM（特権ID管理）の導入 |
| D5 | 退職者・異動者・契約終了した委託先のアカウントを速やかに削除している | 棚卸しの頻度（四半期ごとが目安） |
| D6 | 初期パスワードや共通パスワードが残っていない | ネットワーク機器・サーバーの管理者アカウント |
| D7 | 認証基盤（Active Directory / Entra IDなど）の設定を定期的に点検している | ADが乗っ取られると全社が停止する |
| D8 | ゼロトラストの考え方（社内でも常に認証・検証）への移行計画がある | 境界防御のみに頼っていないか |
E. 検知・監視（6項目）
| No. | チェック項目 | 確認のポイント |
|---|---|---|
| E1 | 全サーバー・全PCにEDR（端末の不審な動きを検知する仕組み）を導入している | データセンターやOT環境の例外がないか |
| E2 | EDRやログのアラートを24時間365日監視している（SOC・MDRの活用を含む） | 夜間・休日の対応者 |
| E3 | 主要なログ（認証・VPN・サーバー・クラウド）を一元的に集め、1年以上保管している | 侵入時期をさかのぼって調べられるか |
| E4 | 大量のデータ送信や深夜の管理者ログインなど、異常な動きを検知するルールがある | 情報窃取の段階で気づけるか |
| E5 | 脆弱性情報（JPCERT/CC・IPA・メーカー）を毎日確認し、緊急パッチを当てる手順がある | VPN機器の緊急パッチは数日以内 |
| E6 | 年1回以上、ペネトレーションテストやレッドチーム演習で検知力を確かめている | 実際に検知できたかの検証 |
F. バックアップ・復旧・事業継続（7項目）
| No. | チェック項目 | 確認のポイント |
|---|---|---|
| F1 | バックアップを、本番環境から切り離した場所（オフライン・書き換え不可）にも保管している | 本番と同じ認証で消せる場所はNG |
| F2 | バックアップ管理システムの管理者アカウントを、通常のADと分けている | AD乗っ取り時に連鎖しないか |
| F3 | バックアップから実際に復元するテストを年1回以上行っている | 「取れているが戻せない」を防ぐ |
| F4 | 基幹システム（受注・出荷・会計）の復旧優先順位と目標時間が決まっている | 復旧目標時間（RTO）の合意 |
| F5 | システム停止時に手作業で業務を続ける手順（縮退運転）がある | 紙の受注票、電話対応など |
| F6 | ランサムウェアを想定した机上演習を、経営層を含めて年1回以上行っている | 身代金の判断、公表のタイミング |
| F7 | 外部の専門家（フォレンジック・法律事務所・広報）とあらかじめ契約している | 発生後に探すと数日を失う |
G. サプライチェーン・委託先・グループ会社（7項目）
| No. | チェック項目 | 確認のポイント |
|---|---|---|
| G1 | 委託先・取引先を重要度で分類し、求めるセキュリティ水準を決めている | SCS評価制度の★3・★4の活用 |
| G2 | 委託契約にセキュリティ要件・事故時の報告義務・監査権を入れている | 再委託先の扱いも |
| G3 | 委託先がシステムに接続する経路とアカウントを一覧で把握している | リモート保守の常時接続は要注意 |
| G4 | 重要な委託先の対策状況を、年1回以上アンケートや監査で確認している | 回答をもらうだけで終わっていないか |
| G5 | グループ会社・海外拠点にも本社と同じ最低基準を適用している | ネットワークがつながっているなら同じリスク |
| G6 | 委託先で事故が起きたときの連絡・切り離し手順がある | 自社への影響を止める手順 |
| G7 | 自社が「取引先から見た委託先」として求められる水準を把握している | 主要顧客の要求、業界ガイドライン |
H. AI活用・新しい領域（7項目）
| No. | チェック項目 | 確認のポイント |
|---|---|---|
| H1 | 生成AIの利用ルール（入力してよい情報・禁止事項）を定め、周知している | 機密情報・個人情報の入力 |
| H2 | 社員が使っているAIサービスを把握し、許可していないサービス（シャドーAI）を検知できる | ブラウザ拡張・個人契約 |
| H3 | 社内に導入したAIチャットやRAG（社内文書検索AI）で、権限外の文書が見えないようにしている | アクセス権がAIに引き継がれているか |
| H4 | AIエージェントやMCP連携に与える権限を最小限にし、操作ログを残している | 外部送信・削除などの危険な操作の承認 |
| H5 | 自社のAIサービスに、プロンプトインジェクション（AIをだます入力）対策をしている | リリース前のテスト |
| H6 | 音声・映像のディープフェイクを使ったなりすまし（送金指示など）への対策がある | 送金時の別経路での確認ルール |
| H7 | OT（工場の制御システム）やIoT機器も、セキュリティ管理の対象に含めている | 製造業は被害件数の約4割 |
4. スコア判定：あなたの会社のレベルは？
合計点（120点満点）で、おおよそのレベルを判定します。
| 合計点 | レベル | 状態の目安 |
|---|---|---|
| 100〜120点 | レベル4：先進 | 仕組みが回っている。演習とサプライチェーン全体の底上げに注力 |
| 80〜99点 | レベル3：標準 | 基本はできているが穴がある。×の項目を優先的に解消 |
| 50〜79点 | レベル2：要改善 | 大型事例と同じ入口が残っている可能性が高い。経営判断で予算化を |
| 0〜49点 | レベル1：危険 | 早急に外部専門家による診断を受けることを推奨 |
ただし、**合計点より大事なのは「×の場所」**です。以下の項目に1つでも×があれば、点数に関係なく最優先で対応してください。
- B2（VPN等の機器の把握）／E5（緊急パッチ）：最も多い侵入経路
- D1・D2（多要素認証、委託先を含む）：アスクル事例の原因
- E1・E2（EDRと24時間監視）：侵入に気づけるかどうか
- F1・F3（隔離バックアップと復元テスト）：復旧できるかどうか
5. 優先度の付け方：90日アクションプラン
チェック結果をもとに、次の順で進めると効果が出やすくなります。
最初の30日：入口をふさぐ
- 外部公開している機器・VPN装置の棚卸しと、最新パッチの適用（B1・B2・E5）
- 多要素認証の例外アカウントをゼロにする。委託先アカウントも対象（D1・D2）
- 不要な管理者アカウント・退職者アカウントの削除（D3・D5）
31〜60日：気づける・戻せる状態にする
- EDRの未導入領域の洗い出しと導入、監視体制の確認（E1・E2）
- バックアップの隔離状況の確認と、復元テストの実施（F1〜F3）
- ログの保管期間と収集範囲の確認（E3）
61〜90日：組織と取引先に広げる
- 経営層を含むランサムウェア机上演習（F6）
- 重要委託先の分類と、求める水準（SCS評価制度の★3・★4など）の決定（G1〜G4）
- 生成AI・AIエージェントの利用ルールと権限の見直し（H1〜H4）
この90日の成果を取締役会に報告し、残りの△・×を中期計画に組み込むのが理想的な流れです。
6. よくある「やったつもり」の落とし穴
チェックの際に特に注意したい、実際によくある思い込みです。
- 「多要素認証は導入済み」 → 委託先用・保守用・サービス用アカウントが例外になっていないか
- 「EDRは全社導入済み」 → 対象がPCだけで、サーバー・データセンター・海外拠点が漏れていないか
- 「バックアップは毎日取っている」 → 本番と同じ管理者権限で消せる場所に置いていないか。戻したことはあるか
- 「脆弱性診断は毎年実施」 → 診断対象が主要サイトだけで、キャンペーンサイトや子会社のサイトが漏れていないか
- 「委託先には誓約書をもらっている」 → 実際の接続経路やアカウントを把握しているか
7. まとめ
大企業のセキュリティは、「高度な製品を入れたか」ではなく「基本の対策に例外がないか」で差がつきます。2025年の大型事例も、入口はネットワーク機器と委託先のIDという、基本の範囲でした。
まずは本記事の60項目で現状を採点し、×の項目、特に「入口」「検知」「復旧」に関わるものから手を付けてください。そして2026年度下期から始まるSCS評価制度を見すえ、グループ会社や委託先を含めた「サプライチェーン全体の底上げ」を経営課題として位置づけることが、これからの大企業に求められる役割です。
参考資料
- IPA「情報セキュリティ10大脅威 2026」
- 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」関連資料
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
- OWASP Top 10:2025
- アサヒグループホールディングス、アスクル各社の調査結果公表資料
※本記事のチェックリストは自己点検の目安です。網羅的な評価が必要な場合は、外部の専門家による診断をご検討ください。
コメント