【連載第3回】中小企業のセキュリティ対策チェックリスト20項目
前回はサイバー攻撃の手口を解説しました。「では何をすればいいのか」を、優先度付きのチェックリスト形式でまとめます。
最優先（今すぐやるべき）
- 全アカウントに多要素認証（MFA）を有効化している
- OSとソフトウェアを最新の状態に保っている
- ウイルス対策ソフトが全端末に導入・更新されている
- 退職者のアカウントを速やかに無効化するプロセスがある
- 重要データのバックアップを定期的に取得し、リストアテストを実施している
この5項目で「できているつもり」になりやすい点
- MFA — 一部のユーザーだけ有効になっている状態が最も多いパターンです。管理者アカウントと、退職者の引き継ぎで残っている共有アカウントが例外になっていないかを確認してください。「全員に配布した」ではなく「未登録者が0人」で判定します
- 更新プログラム — PCは自動更新でも、複合機・NAS・ルーター・UTM・監視カメラの更新が止まっていることがあります。管理画面にログインする機会がない機器ほど放置されます
- ウイルス対策 — 導入済みでも、ライセンス切れや定義ファイルの更新停止で無力化している端末が混ざります。管理コンソールで「最終通信日時」を見てください
- 退職者アカウント — プロセスの有無ではなく、現在残っていないかを実際に一覧で確認します
- バックアップ — 取得しているかより、戻せるかどうかです。ここが最も飛ばされます
リストアテストは年1回でよいので必ずやる
バックアップの失敗は、必要になった日まで気づけません。年1回、ファイルを1つ復元するだけでも実施してください。
確認するのは次の3点です。
- 復元の手順を実行できるか（担当者以外でもできるか）
- 復元にどれくらい時間がかかるか（半日か、3日か。業務停止の見積もりに直結します）
- バックアップ先がランサムウェアの被害を受けない場所にあるか（常時接続の外付けHDDやNASは、本体と一緒に暗号化されます）
3番目は特に重要です。**「バックアップを取っていたのに暗号化されていた」**という事例は多く発生しています（3-2-1ルールの考え方）。
高優先度
- VPN装置のファームウェアが最新版に更新されている
- メールのSPF/DKIM/DMARCが設定されている
- 管理者アカウントと通常アカウントを分離している
- パスワードポリシー（最低12文字、複雑性要件）を設定している
- 不要なサービスやポートを外部に公開していない
補足
- VPN装置の更新 — 適用時に通信が切れるため後回しにされがちです。業務時間外に実施する段取りを平時に決めておくと、判断で止まらなくなります。あわせて機器の保守期限（EOL）を資産台帳に記録してください
- SPF/DKIM/DMARC — 設定済みでも、DMARCのポリシーが
p=none（監視のみ）のままでは、なりすましメールは配送されます。まずnoneで影響を確認し、段階的にquarantineへ引き上げるのが安全な進め方です - 管理者アカウントの分離 — 日常業務用アカウントに管理者権限を付けたままだと、そのユーザーがフィッシングに遭った瞬間にテナント全体が危険にさらされます
- パスワードポリシー — 定期変更を強制する設定は、現在は推奨されていません（パスワード管理の最新の考え方）。長さの確保とMFAの併用に切り替えてください
- 公開ポート — 「いつか使うかもしれない」で開いたリモートデスクトップ（RDP）が残っていないかを確認してください。外部公開されたRDPは常時攻撃を受けています
中優先度
- セキュリティ教育を年1回以上実施している
- フィッシングメール訓練を実施している
- Wi-Fiのセキュリティ設定（WPA3またはWPA2-Enterprise）が適切である
- 共有フォルダのアクセス権を定期的に見直している
- モバイルデバイス管理（MDM）を導入している
補足
- セキュリティ教育 — 実施回数より記録が残っているかが問われます。ISMSやPマークの審査でも、取引先からの照会でも、確認されるのは受講記録です
- フィッシング訓練 — クリック率を人事評価に使わないでください。報告が上がらなくなり、実害が出たときの発見が遅れます（研修プログラムの設計）
- 共有フォルダの権限 — 「全社員がアクセスできる状態」で放置されているフォルダが最も危険です。まず人事・経理のフォルダから確認してください
推奨
- セキュリティポリシーを文書化している
- インシデント対応手順書がある
- ログの取得・保管ルールが決まっている
- サイバー保険に加入している
- 定期的な脆弱性診断を実施している
補足
- インシデント対応手順書 — 作るだけでなく、印刷して保管してください。ランサムウェア被害では、手順書が入っているファイルサーバーごと使えなくなります（インシデント対応の実務手順）
- ログの保管 — VPN機器やファイアウォールのログは保存期間が短く、数日で上書きされて消えることがあります。侵入経路の特定に必要な情報が、調査を始める前に失われます
- サイバー保険 — 加入の有無だけでなく、補償範囲を確認してください。復旧費用は出るが、事業中断による逸失利益は対象外、といった条件があります
チェックリストの使い方
すべてを一度にやる必要はありません。まずは「最優先」の5項目を1ヶ月以内に完了させることを目標にしてください。特に多要素認証（MFA）の有効化は、コストゼロで最大の効果がある施策です。
優先度はこの順に決まっている
並び順は重要度だけでなく、**「費用がかからず、効果が大きい順」**です。
| 優先度 | 特徴 | 判断 |
|---|---|---|
| 最優先 | 追加費用ほぼゼロ、効果が大きい | 予算の議論をせずに着手できる |
| 高 | 既存機器の設定変更が中心 | 作業時間の確保だけで進む |
| 中 | 運用の習慣化や製品導入を伴う | 年度計画に組み込む |
| 推奨 | 費用または外部委託が必要 | 経営判断が要る |
予算がないことを理由に着手を遅らせないでください。 最優先と高優先度の10項目は、ほとんどが既存環境の設定変更で対応できます。実際、被害事例の多くはこの10項目のどこかが抜けています。
埋まらない項目こそ記録する
チェックが付かない項目は、空欄のままにせず「なぜできていないか」を1行書いてください。
- 予算がない → 経営判断が必要な項目として整理できる
- 担当者がいない → 外部委託の検討材料になる
- やり方が分からない → 調査タスクとして切り出せる
理由が書かれていれば、次に見たときに再検討から始めずに済みます。「未対応」と「対応しないと決めた」は別物です。後者はリスクを受け入れた記録として残す価値があります。
経営層への説明は「金額」と「止まる時間」で行う
技術的な項目名を並べても予算は通りません。次のように言い換えてください。
- 「MFAを導入する」→「アカウント乗っ取りによる不正送金と情報漏えいを、追加費用なしで防ぐ」
- 「バックアップのリストアテスト」→「ランサムウェア被害時に、業務が何日止まるかを事前に把握する」
- 「VPN装置の更新」→「社外から侵入される既知の穴を塞ぐ。未対応の期間は攻撃を受け続ける」
「他社もやっている」は説得材料になりません。 自社が止まったときに、何日・いくらの損失になるかを示してください。
進捗は担当と期限をセットで管理する
チェックリストは配って終わりにせず、項目ごとに担当者と期限を割り当ててください。 兼任のIT担当者が全項目を抱えると、優先度の高いものから順に遅延します。
- 全社周知が必要な項目（教育、退職者対応）は総務・人事と分担する
- 機器の設定変更は保守ベンダーに依頼できるものを切り分ける
- 四半期に1回、達成状況を見直す
次回は、MFA（多要素認証）の具体的な設定方法を解説します。
まとめ
- MFAは「配布した」ではなく「未登録者が0人」で判定する。管理者と共有アカウントの例外に注意
- 更新プログラムは複合機・NAS・ルーター・UTMなど、管理画面を開かない機器が止まりやすい
- バックアップは取得より戻せるか。年1回、1ファイルの復元でよいので実施する
- 常時接続の外付けHDDやNASは本体と一緒に暗号化される。バックアップ先の分離が要る
- DMARCは
p=noneのままでは効果がない。段階的にquarantineへ引き上げる - 外部公開されたRDPは常時攻撃を受けている。使っていないなら閉じる
- 教育は実施より記録。フィッシング訓練のクリック率を人事評価に使わない
- 手順書は印刷して保管する。VPN機器のログは数日で消えるため保管期間を確認する
- 優先度は**「費用がかからず効果が大きい順」**。最優先＋高の10項目は設定変更で対応できる
- できない項目は理由を1行書く。「未対応」と「対応しないと決めた」は別物
- 経営層には金額と止まる時間で説明する。「他社もやっている」は通らない
- 項目ごとに担当者と期限を割り当てる。兼任の情シスが全部抱えると遅延する
← 前回: 【連載第2回】攻撃の手口5選 ｜ 次回: 【連載第4回】多要素認証の設定ガイド →
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。