委託先からの情報漏えいの公表が続いています。2026年10月には、大和証券、シチズン時計、損保ジャパンの3社が、同じ委託先への不正アクセスで顧客の情報が取られた可能性があると公表しました（経緯はこちら）。ニュースを見た社長から「うちは大丈夫なのか、調べておいて」と言われた方や、取引先から対策の確認を求められた方もいると思います。総務や経理、店長と兼ねていて、セキュリティの専門ではないという方も多いはずです。

それは珍しいことではありません。IPA（情報処理推進機構）の2024年度の調査では、情報セキュリティの体制を「組織的には行っていない（各自の対応）」と答えた中小企業が69.7%でした。直近3期のセキュリティ対策への投資は「投資をしていない」が62.6%です（Webアンケートで、回答者は小規模な企業が多い調査です）。

一方で、警察に報告されたランサムウェアの被害は、2026年上半期に123件で、半期として、統計を取り始めた2020年下半期以降で最多でした。警察庁は、被害企業の約6割が中小企業だとしています。

何から手をつければいいかは、IPA の「中小企業の情報セキュリティ対策ガイドライン」（2026年3月に第4.0版）に順番が書かれています。その順番に沿って、最初の1週間でできることを並べました。日割りは目安です。

1日目：6か条ができているかを確かめる

ガイドラインは、企業の規模に関わらず必ず実行すべき対策として、次の「情報セキュリティ6か条」を挙げています。第4.0版で、5番目に「バックアップを取ろう！」が加わりました。

  1. OS やソフトウェアは常に最新の状態にしよう！
  2. ウイルス対策ソフトを導入しよう！
  3. パスワードを強化しよう！
  4. 共有設定を見直そう！
  5. バックアップを取ろう！
  6. 脅威や攻撃の手口を知ろう！

ガイドラインには「経営者のトップダウンで実行を開始して」とあります。担当者が1人で抱え込まず、社長に「この6つから始めます」と伝えて、了解をもらってから動くのが近道です。

2日目：SECURITY ACTION の一つ星を宣言する

SECURITY ACTION は、中小企業や個人事業主が、自社の取り組みを自分で宣言する IPA の制度です。一つ星は、6か条に取り組むことの宣言です。対策を始める前でも宣言できます。

宣言しておくと、補助金で役に立つことがあります。「デジタル化・AI導入補助金2026」（旧IT導入補助金）は、すべての枠で、SECURITY ACTION の一つ星か二つ星のどちらかを宣言していることが申請の要件です。2026年10月8日時点で受付中で、6次の締切は2026年10月30日（金）17時です。

注意点が2つあります。

なお、この宣言は自分で宣言する制度で、IPA が対策の状況を認定するものではありません。

3〜4日目：25問で自社の弱みを把握する

次は、IPA の「5分でできる！情報セキュリティ自社診断」です。25問に「実施している／一部実施している／実施していない／わからない」で答えると、100点満点で今の状態がわかります。

答えるときは、記憶ではなく、実際の設定を開いて確かめるのがおすすめです。私も自分で答えたときに、画面ロックまでの時間が思っていたより長かったことに、設定を開いて初めて気づきました。

記入例と書き方のコツを足した Excel を置いています。回答を選ぶと点数も自動で出ます。登録なしでダウンロードできます。

記入用 Excel をダウンロード（無料）

（設問は IPA「5分でできる！情報セキュリティ自社診断」を利用しています。記入例と書き方のコツは、私が独自に追加したものです。）

5日目：基本方針を作って公開し、二つ星へ

ガイドラインの次の段階は、自社診断で弱みを把握したうえで、「情報セキュリティ基本方針」を作ることです。誰が責任を持ち、どう取り組むかを書いた1枚で、IPA が Word のサンプルを無料で配っています。

基本方針を作ってホームページなどで公開すると、SECURITY ACTION の二つ星を宣言できます。都内の中小企業向けに、東京都中小企業振興公社の「サイバーセキュリティ対策促進助成金」があり、二つ星の宣言が申請の前提です（次の受付は2027年1月8日〜15日の予定で、期間は1週間です）。

自社診断と基本方針は、取引先からセキュリティのチェックシートが届いたときにも、そのまま答えの土台になります。詳しくは 取引先からセキュリティのチェックシートが届いたら にまとめています。

上司への報告は1枚で

1週間でやったことは、次の3つに分けて1枚にまとめると伝わります。

「全部できています」と書くより、足りないところと順番が書いてある方が、社長も判断しやすくなります。

お金をかけずに使えるもの

まずは、IPA のガイドラインと付録です。基本方針のサンプル、社内規程のサンプル、資産管理台帳、自社診断、事故が起きたときの対応の手引きまで、無料で公開されています。

監視や駆け付けまで含めた外部のサービスを使いたい場合は、IPA の基準を満たした「サイバーセキュリティお助け隊サービス」があります。基本のサービス（1類）は、ネットワーク監視型が月額1万円（税抜）以下、端末監視型が1台あたり月額2,000円（税抜）以下と、価格の上限が基準で決められています（機能を足した2類には金額の上限はありません）。

また IPA は、2026年10月から「お助け隊サービス（新類型）」の実証事業を予定し、参加企業を受け付けています。参加は無償で、期間は事業者により最大で1年程度です。終了後も続ける場合は有償になります。参加企業は、制度づくりへの意見や情報提供への協力が求められます。15の事業者から選んで直接申し込む形で、枠に上限があります。国が準備しているサプライチェーンのセキュリティ評価制度（★3・★4）を目指す企業向けの内容です。

もし漏えいが起きたら

個人情報が漏れたとき、次のどれかに当たる場合は、個人情報保護委員会への報告と、本人への通知が必要です。漏れた「おそれ」がある段階でも対象になります。

なお、取引先から預かった個人データの場合は、まず委託元（取引先）に速やかに知らせます。委託元に通知すれば、委員会への報告と本人への通知は委託元が行います。

報告は、まず「速やかに」速報を出し（ガイドラインの目安は概ね3〜5日以内）、知った日から30日以内（不正の目的による場合は60日以内）に確報を出します。2026年7月17日に改正法が公布され、漏えい時の本人通知の見直しなどが予定されていますが、こうした部分の施行日はまだ決まっていません（公布から2年以内に政令で定めます）。今は現行のルールで動きます。

日頃の運用で漏えいを減らすルールは、情報漏洩対策、中小企業が最初に決める4つの社内ルール にまとめています。

手伝ってほしい方へ

今やっている対策の棚卸し、上司や取引先に説明する1枚づくり、基本方針などの文書の整備、SECURITY ACTION 二つ星の宣言までをお手伝いしています。機器やソフトの販売はしていません。内容は セキュリティチェックシート回答サポート にまとめています。ご相談は無料です。

出典