【2026年版】中小企業のセキュリティ簡易チェック30｜10分でわかる自社の対策レベル
「うちは小さい会社だから、ハッカーに狙われることはない」——そう思っていませんか？
警察庁によると、2025年に報告されたランサムウェア（データを暗号化して身代金を要求するウイルス）の被害226件のうち、143件、約6割が中小企業でした。さらに、被害に遭った組織の5割以上が、復旧に1,000万円以上かかっています。
攻撃者は会社の大きさで相手を選んでいるわけではありません。守りが手薄なところを機械的に探して、入れるところから入るのが今の攻撃です。そして中小企業が狙われるもう一つの理由が、「取引先の大企業へ入り込むための足がかり」になることです。
この記事では、IT担当者がいない会社の経営者の方でも10分で答えられる30の質問を用意しました。「はい／いいえ」で答えるだけで、自社のセキュリティの弱点と、まず何をすべきかがわかります。
大企業・中堅企業の情報システム部門の方は、より詳しい「大企業向け見直しチェックリスト60」をご覧ください。
1. 中小企業が狙われる3つの理由
理由1：古いままの機器が多い
ランサムウェアの侵入経路は、テレワーク用のVPN装置やリモートデスクトップが約8割を占めています（警察庁の近年の統計）。導入したときのまま更新していない機器は、攻撃者にとって「鍵の開いた裏口」です。
理由2：取引先への「踏み台」になる
2025年に被害を受けた大手通販会社アスクルでは、業務委託先が使っていたアカウントの情報が漏れたことが侵入のきっかけでした。中小企業が攻撃されると、自社の被害だけでなく、取引先に迷惑をかけ、取引を失うおそれがあります。
理由3：「何かあったとき」の備えがない
バックアップがない、相談先がわからない、という状態で被害に遭うと、業務の停止が長引きます。中小企業にとって、数週間の業務停止は経営そのものを揺るがします。
2. チェックの使い方
- 30の質問に「はい」か「いいえ」で答えてください。
- 「わからない」「たぶん」は「いいえ」として数えます。
- 「はい」の数を数えて、最後の判定表で自社のレベルを確認します。
- 社長お一人でわからない項目は、パソコンに詳しい社員や、サイトを作った制作会社に確認してみてください。確認すること自体が、最初のセキュリティ対策です。
3. 中小企業向け簡易チェック（30項目）
① 自社のWebサイト・ネットショップ（5項目）
ホームページやネットショップは、24時間インターネットに公開されている「お店の入口」です。改ざんされると、訪れたお客様にウイルスを配ってしまうこともあります。
| No. | 質問 | 「いいえ」の場合のひとこと対策 |
|---|---|---|
| 1 | ホームページ（WordPressなど）の本体・プラグインを、常に最新版に更新していますか？ | 自動更新を有効にするか、制作会社に保守を依頼しましょう |
| 2 | 使っていないプラグインや、古いキャンペーンサイトを削除していますか？ | 使わないものは「穴」になります。削除しましょう |
| 3 | サイトの管理画面のパスワードは推測されにくく、2段階認証を設定していますか？ | 「admin」「会社名＋123」などは危険です |
| 4 | サイトの制作・保守を委託している会社と、更新やトラブル時の対応範囲を決めていますか？ | 「作ったきり」になっていないか確認しましょう |
| 5 | ネットショップでカード決済をしている場合、脆弱性診断やカード会社の求める対策（本人認証の3Dセキュアなど）に対応していますか？ | クレジットカード業界のガイドラインで対策が求められています。決済代行会社に確認を |
② パソコン・ネットワーク機器（5項目）
| No. | 質問 | 「いいえ」の場合のひとこと対策 |
|---|---|---|
| 6 | 会社のパソコンのWindows・Macのアップデートを、自動で適用していますか？ | 更新の通知を後回しにしないルールを |
| 7 | サポートが終了したパソコンやOS（例：Windows 10）を使っていませんか？ | 2025年10月にサポート終了済み。早めの買い替えを |
| 8 | すべてのパソコンにウイルス対策ソフトを入れ、有効になっていますか？ | Windows標準のDefenderも、有効なら一定の効果があります |
| 9 | テレワーク用のVPN装置やルーターの機種を把握し、メーカーの更新プログラムを適用していますか？ | 最も多い侵入経路です。導入業者に確認しましょう |
| 10 | ルーターや複合機、防犯カメラなどの管理パスワードを、初期設定から変更していますか？ | 初期パスワードは攻撃者に知られています |
③ アカウント・パスワード（5項目）
| No. | 質問 | 「いいえ」の場合のひとこと対策 |
|---|---|---|
| 11 | 社員がそれぞれ自分専用のIDでパソコンやシステムを使っていますか？（共有IDではない） | 誰が何をしたか、わからなくなります |
| 12 | パスワードを使い回さず、長く推測されにくいものにしていますか？ | パスワード管理ツールの活用がおすすめです |
| 13 | メール（Microsoft 365・Google Workspaceなど）やVPNに2段階認証を設定していますか？ | 最も効果の高い対策の一つ。今日から設定できます |
| 14 | 退職した社員や、契約が終わった外部業者のアカウントをすぐに削除していますか？ | 退職手続きのチェック項目に入れましょう |
| 15 | パソコンの管理者権限を、必要な人だけに限定していますか？ | 全員が管理者だと、ウイルスの被害が広がりやすくなります |
④ データ・バックアップ（5項目）
| No. | 質問 | 「いいえ」の場合のひとこと対策 |
|---|---|---|
| 16 | 顧客情報・会計データなど大切なデータの保存場所を把握していますか？ | 「どこに何があるか」がすべての出発点です |
| 17 | 大切なデータのバックアップを、定期的に自動で取っていますか？ | 手動だと必ず忘れます |
| 18 | バックアップの一部を、ネットワークから切り離した場所（外付けHDDを外して保管、書き換えできないクラウド保存など）に置いていますか？ | つなぎっぱなしのHDDは、一緒に暗号化されます |
| 19 | バックアップから実際にデータを戻せるか、試したことがありますか？ | 「取れていたけど戻せなかった」はよくある失敗です |
| 20 | ノートパソコンやUSBメモリを紛失しても、中身を見られない設定（暗号化）にしていますか？ | Windowsの「BitLocker」、Macの「FileVault」で設定できます |
⑤ 社員・ルール（5項目）
| No. | 質問 | 「いいえ」の場合のひとこと対策 |
|---|---|---|
| 21 | 怪しいメール（添付ファイル・リンク）を開かないよう、社員に年1回以上注意喚起していますか？ | 実際の手口を紹介すると効果的です |
| 22 | 「振込先が変わりました」などのメールが来たとき、電話など別の方法で確認するルールがありますか？ | ビジネスメール詐欺は大きな金銭被害につながります |
| 23 | ChatGPTなどの生成AIに入力してよい情報・いけない情報を、社員に伝えていますか？ | 顧客の個人情報や未発表の情報は入力しないルールを |
| 24 | 私物のスマホやパソコンで仕事をする場合のルールを決めていますか？ | 禁止か、条件付き許可かを明確に |
| 25 | 「おかしいと思ったらすぐ報告」と社員に伝え、報告した人を責めない雰囲気がありますか？ | 隠されると被害が広がります。早い報告が一番の対策です |
⑥ 取引先・もしものとき（5項目）
| No. | 質問 | 「いいえ」の場合のひとこと対策 |
|---|---|---|
| 26 | 社内のパソコンやサーバーに、外部の保守業者がリモートで接続している場合、その経路を把握していますか？ | 「つなぎっぱなし」は危険。使うときだけ接続を |
| 27 | ウイルス感染など「何かあったとき」に、最初に誰に連絡するか決まっていますか？ | 社内の連絡先・ITベンダー・警察の相談窓口を1枚の紙に |
| 28 | 感染が疑われるとき、パソコンをネットワークから切り離す（LANケーブルを抜く・Wi-Fiを切る）ことを社員が知っていますか？ | 電源は切らずに、まずネットワークから外す |
| 29 | 個人情報が漏れたときに、個人情報保護委員会への報告が必要になることを知っていますか？ | 一定の場合は法律で報告が義務付けられています |
| 30 | 取引先から「セキュリティ対策の状況」を聞かれたときに、説明できる状態ですか？ | 今後、取引条件として求められる場面が増えます |
4. 判定：あなたの会社のセキュリティレベル
「はい」の数を数えて、下の表で確認してください。
| 「はい」の数 | レベル | 状態 |
|---|---|---|
| 27〜30 | ★★★★ しっかり型 | 基本対策はできています。年1回の見直しと、社員教育の継続を |
| 21〜26 | ★★★ あと一歩型 | 大きな穴は少ないものの、「いいえ」の項目が狙われる可能性があります |
| 13〜20 | ★★ 要注意型 | 攻撃者から見て「入りやすい会社」です。下の「まず5つ」から着手を |
| 0〜12 | ★ 危険型 | いつ被害に遭ってもおかしくない状態です。今週中に対策を始めましょう |
点数より大事な「赤信号」の項目
次の項目に「いいえ」がある場合は、点数が高くても最優先で対応してください。被害に直結しやすい項目です。
- No.9（VPN・ルーターの更新）：最も多い侵入経路
- No.13（2段階認証）：パスワードが漏れても守ってくれる
- No.18・19（切り離したバックアップと復元の確認）：被害に遭っても事業を続けられるか
- No.1（Webサイトの更新）：改ざんや情報漏えいの入口
5. 予算ゼロでもできる「まず5つ」
「何から手を付ければいいかわからない」という方は、次の5つから始めてください。どれも追加費用なしで、今日から取り組めます。
- メールとクラウドサービスに2段階認証を設定する Microsoft 365やGoogle Workspaceの設定画面から、全社員分を有効にします。
- パソコン・スマホ・ホームページの自動更新をオンにする OSやWordPressの自動更新を有効にするだけで、多くの攻撃を防げます。
- VPN装置・ルーターの機種名を調べて、メーカーのサイトで更新情報を確認する わからなければ、導入した業者に「最新の状態ですか？」と一本電話をしてみましょう。
- 大切なデータを外付けHDDにバックアップし、終わったら抜いて保管する 週1回でも、何もないよりはるかに安全です。一度、実際にファイルを戻せるか試してください。
- 「緊急連絡先メモ」を作って、全員が見える場所に貼る 社内の担当者、ITベンダー、都道府県警察のサイバー犯罪相談窓口の連絡先を1枚にまとめます。
6. 使える無料ツール・公的支援
中小企業向けには、国や公的機関が無料・低価格の支援を用意しています。
| 名称 | 内容 | こんな会社におすすめ |
|---|---|---|
| IPA「5分でできる！情報セキュリティ自社診断」 | 25の質問で自社の対策状況を診断できる無料ツール | 本記事のチェックの次の一歩に |
| IPA「中小企業の情報セキュリティ対策ガイドライン」 | 中小企業向けの対策をまとめた公式ガイド。規程のひな形付き | ルール作りから始めたい会社 |
| SECURITY ACTION（セキュリティ対策自己宣言） | 対策に取り組むことを宣言する制度。「一つ星」「二つ星」の2段階 | 取引先に取り組みを示したい会社 |
| サイバーセキュリティお助け隊サービス | 監視・駆けつけ・相談・保険をセットにした中小企業向けサービス（IPAが基準を満たすサービスを公表） | IT担当者がいない会社 |
| デジタル化・AI導入補助金（セキュリティ対策推進枠） | 2026年度にIT導入補助金から名称変更。お助け隊サービスの利用料の一部を補助 | 費用負担を抑えたい会社 |
| IPA「情報セキュリティ安心相談窓口」 | ウイルスや不正アクセスに関する相談窓口 | 困ったときの相談先として |
※補助金は、交付決定前に契約・支払いをした費用は原則として対象外です。申請前に公募要領を必ずご確認ください。
7. 取引先から「対策状況」を聞かれる時代へ
経済産業省などは、「サプライチェーン強化に向けたセキュリティ対策評価制度」の運用を2026年度下期から開始する予定です。企業のセキュリティ対策を★3〜★5の段階で示すしくみで、★3は「一般的なサイバー攻撃」への備えとして、専門家の確認付きの自己評価で取得する想定になっています。
今後は大企業が取引先を選ぶ際に、「★3以上を取得しているか」を確認するケースが増えると見込まれます。つまりセキュリティ対策は、守りのコストではなく、取引を続けるための条件になりつつあります。
本記事のチェックで「はい」が多い会社は、SECURITY ACTIONの宣言やIPAの自社診断へと進むことで、評価制度への準備にもつながります。
8. まとめ
中小企業のセキュリティは、高価な製品をそろえることより、**「更新する」「2段階認証にする」「切り離したバックアップを取る」「困ったら相談する」**という基本を確実にやることが一番の近道です。
まずは30の質問に答えて、「いいえ」の項目、特に赤信号の4項目から手を付けてください。そして年に一度、同じチェックをやり直して「はい」が増えているかを確認しましょう。それが、会社とお客様、そして取引先を守ることにつながります。
参考資料
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
- IPA「情報セキュリティ10大脅威 2026」
- IPA「中小企業の情報セキュリティ対策ガイドライン」「5分でできる！情報セキュリティ自社診断」
- IPA「SECURITY ACTION」「サイバーセキュリティお助け隊サービス」
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」関連資料
- アスクル株式会社 調査結果公表資料
※本記事のチェックは簡易的な自己点検の目安です。詳しい診断が必要な場合は、専門家やお助け隊サービスへのご相談をおすすめします。
コメント