中小企業のサイバーセキュリティ対策｜2026年に最低限やるべき7つの施策
中小企業がサイバー攻撃の主要ターゲットに
ランサムウェアの被害報告のうち約半数が中小企業から発生しています。攻撃者にとって中小企業は「セキュリティが甘く、対策する余力がない」格好のターゲットです。「うちは小さいから狙われない」は過去の認識であり、2026年現在は規模に関係なくすべての企業が攻撃対象です。
優先度順：7つの必須施策
施策1：多要素認証（MFA）の全社適用【最優先】
不正アクセスの99.9%を防止できるとMicrosoftが公表している、最もコストパフォーマンスの高い対策です。M365、GWS、VPN、すべてのクラウドサービスでMFAを有効化してください。追加コストはかかりません。
施策2：EDR（エンドポイント検知・対応）の導入
従来のウイルス対策ソフトでは防げない高度な攻撃を検知・対応するツールです。M365 Business PremiumにはMicrosoft Defender for Businessが含まれており、追加費用なしでEDRを導入できます。
施策3：パッチ管理の徹底
Windows Update、Office更新、ブラウザ更新を定期的に適用してください。脆弱性の放置は攻撃者に侵入口を与えることと同じです。Intuneで自動配信する仕組みを構築するのが理想です。
施策4：バックアップの確保と復旧テスト
ランサムウェアに感染した場合の最後の砦がバックアップです。3-2-1ルール（3つのコピー、2種類のメディア、1つはオフサイト）に従い、オフラインバックアップを確保してください。四半期に1回は復旧テストを実施し、「実際に復旧できるか」を検証してください。
施策5：メール認証の設定（SPF/DKIM/DMARC）
なりすましメール（フィッシング）を防止するためのDNS設定です。自社ドメインのメールが詐称されることを防ぎ、取引先からの信頼も維持できます。
施策6：セキュリティ教育・フィッシング訓練
技術的な対策だけでなく、社員の意識向上も重要です。フィッシングメールの見分け方、不審なリンクをクリックしない習慣、USBメモリの取り扱いルールなど、年1〜2回のセキュリティ研修を実施してください。
施策7：アカウントの棚卸し
退職者のアカウントが有効なまま残っていないか、不要な管理者権限が付与されていないか、四半期に1回棚卸しを実施してください。
費用と着手の目安
7施策のうち、追加費用がかからないものが半数以上あります。 予算の議論を待たずに着手できる項目から手を付けてください。
| 施策 | 追加費用 | 着手の目安 |
|---|---|---|
| 1. MFA | なし | 数日〜2週間（周知と登録期間） |
| 2. EDR | Business Premium ならなし | 数日（ただし端末の登録作業が要る） |
| 3. パッチ管理 | 管理ツールによる | 継続的 |
| 4. バックアップ | 保管先の費用 | 1〜2週間（復旧テストを含む） |
| 5. メール認証 | なし（DNS設定のみ） | 1〜2週間（送信元の洗い出しが主作業） |
| 6. 教育・訓練 | 実施方法による | 年1〜2回 |
| 7. アカウント棚卸し | なし | 半日〜1日（四半期ごと） |
MFA・メール認証・アカウント棚卸しの3つは、追加費用ゼロで実施できます。 予算が理由で着手できないという説明は、この3つには当てはまりません。
「やったつもり」になりやすい点
各施策で、実施済みと判断してしまいがちな落とし穴があります。
- MFA — 「全員に案内した」ではなく未登録者0人で判定する。管理者と共有アカウントの例外に注意
- EDR — ライセンスがあっても、端末を登録しなければ有効になりません。管理画面の台数と実台数を突き合わせる
- パッチ管理 — PCは自動更新でも、複合機・NAS・ルーター・UTMが止まっていることがある
- バックアップ — 取得できていることと戻せることは別。常時接続のNASは本体と一緒に暗号化される
- メール認証 — DMARCが
p=noneのままではなりすましは止まっていません - 教育 — 実施回数より記録が残っているか。取引先の照会でも審査でも確認されるのは記録
- 棚卸し — 一覧を見るだけで終わらせない。削除候補の基準を先に決める
最初の1ヶ月の進め方
- 1週目：MFAの未登録者を洗い出し、期限を切って全社に案内する
- 1週目：EDRのライセンスがあるか確認し、あれば端末の登録を開始する
- 2週目：外部公開している機器（VPN、ルーター、ファイアウォール）の更新状況と保守期限を確認する
- 3週目：バックアップからファイルを1つ復元してみる
- 4週目：アカウント一覧と在籍者一覧を突き合わせ、退職者のアカウントを無効化する
この5つは、いずれも予算の承認を待たずに実行できます。 経営層への報告は、着手後に「何が分かったか」を添えて行うほうが具体的になります。
まとめ
- MFA・メール認証・アカウント棚卸しは追加費用ゼロ。予算を理由に止まる項目ではない
- EDRはライセンスがあっても端末を登録しなければ有効にならない
- 判定は「案内した」ではなく未登録者0人・未登録端末0台
- パッチ管理で止まりやすいのは、管理画面を開かない機器（複合機、NAS、ルーター、UTM）
- バックアップは戻せるかで判定する。常時接続のNASは本体と一緒に暗号化される
- DMARCが
p=noneのままではなりすましは止まっていない - 教育は実施回数より記録。棚卸しは削除候補の基準を先に決める
- 最初の1ヶ月でできることは、すべて予算の承認を待たずに実行できる
7つの施策のうち、MFA・EDR・パッチ管理の3つは今月中に着手してください。これだけでセキュリティリスクを大幅に低減できます。完璧を目指すのではなく「今日からできることを今日やる」姿勢が重要です。
情シス365では、セキュリティ対策を月額料金内で提供しています。