中小企業のセキュリティ対策｜最初の30日で確認すること

「対策が必要なのは分かるけれど、誰が何から始めればよいのか」。専任の担当者がいない会社では、まず確認する対象と担当者を決めることが出発点です。

この記事では、30日間の作業例を紹介します。30日は当サイトの進め方の提案であり、この期間で安全が保証されるものではありません。すでに不審な操作や業務停止が起きている場合は、通常の点検計画を待たず、社内の連絡先や保守窓口へ相談してください。

最初に「判断する人」と「調べる人」を決める

社長がすべての設定画面を操作する必要はありません。費用や業務停止を判断する人、現状を調べる人、作業を依頼する保守会社を整理します。同じ人が兼任しても、誰に確認すれば進むのかを明確にしましょう。

対象	担当	期限	確認できた証拠	残課題
記入例：共有データのバックアップ	総務担当	2週目末	保存先と最終成功日時を確認	復元できるか未確認
＿＿	＿＿	＿＿	＿＿	＿＿

業務PC、共有端末、メール、クラウドストレージ、会計サービスなどを挙げます。各項目に「利用者」「管理者」「契約先」を書き足します。共有IDを見つけた場合は、誰が使っているか分かる状態かを確認します。

この一覧にパスワードそのものは記載しません。まずは管理者が不明なサービスや、退職者名義の契約を見つけることが目的です。分からない項目は空欄のまま放置せず、「未確認・確認先・期限」を記録します。

更新は「自動設定がオンか」に加え、直近の適用結果を確認します。業務ソフトへの影響がある場合は、保守先に確認し、作業日時を決めます。

バックアップは保存先、対象データ、最終成功日時、復元手順を確認します。試す場合は担当者と調整し、テスト用の保存先へ少量のファイルを復元して開けるか確認します。業務中の原本を上書きして試す必要はありません。

更新とバックアップを含む基本的な対策は、IPAの中小企業向けガイドラインでも整理されています。第4.0版を参照し、自社で未確認の項目を補いましょう。

退職者や異動者の権限が残っていないか、管理者権限が必要以上に配られていないかを確認します。アカウントを止める前には、共有処理や自動処理で使われていないかも調べます。

あわせて、メールが使えない場合でも連絡できる保守先・社内責任者の連絡方法を用意します。「誰が」「何を判断するか」を一文で書くだけでも、初動の迷いを減らせます。

未対応の項目ごとに、止まった場合の影響、代わりの手段、対応に必要な時間を整理します。たとえば「請求データを復元できるか不明」は、毎日の業務への影響と復元方法を優先して確認する候補です。

現状によります。すでに契約しているサービスの設定や運用で改善できることもあります。棚卸しをしてから不足する機能を判断すると、選ぶ理由が明確になります。

未確認事項と担当が明確になったことも成果です。「対応済み」と一括記載せず、残っている課題を次の予定へ引き継ぎましょう。

会社の規模、困っていること、対象サービス、希望時期を整理してください。最初の連絡でパスワードや顧客データを送る必要はありません。お問い合わせから相談内容をお知らせください。対応範囲や進め方は個別に確認します。