小さな会社のセキュリティ対策｜今日からできる10のチェックリスト

小さな会社やお店のセキュリティは、特別なツールを入れるよりも、まず「基本を徹底すること」でずいぶん変わります。

日々ご相談をお受けしていると、困りごとの多くは高度なサイバー攻撃ではなく、「大事なアカウントに二段階認証がない」「Wi-Fiが買ったときのまま」「ホームページが作ったときのまま」といった、基本の抜けから生まれています。

この記事では、よくあるつまずきと、今日から確かめられる「基本対策チェックリスト（10項目）」をご紹介します。全部できていなくても大丈夫です。ご自身の会社に当てはめながら、気軽に読み進めてみてくださいね。

小さな会社で多いのは、「高度な攻撃」より「基本の抜け」

セキュリティというと、高度なウイルスや大規模な情報漏えいを想像されるかもしれません。でも実際に多いのは、次のような「基本がまだ整っていない」状態です。

絶対に取られてはいけない「コアアカウント」

Googleアカウント、Apple ID、Microsoftアカウント、そして補助金や行政手続きに使うGビズID。これらは、メール・SNS・広告・ホームページ・ドメインなど、ほかのサービスの入口になる「コアアカウント」です。

ここを乗っ取られると、つながっているサービスを芋づる式に取られてしまいます。よく見かけるのは、次のような状態です。

• 二段階認証（パスワードに加えて、スマホなどでもう一段階確認する仕組み）が設定されていない
• 復旧用のメールや電話番号が、退職した人や以前の委託先のまま
• 同じパスワードを、いくつものサービスで使い回している
• 誰が管理者なのか、社内で分からない

Wi-Fiが、買ったときの設定のまま

自宅兼事務所のWi-Fiを家族と共有していたり、来客にも同じWi-Fiを渡していたりするケースは少なくありません。ルーターの管理画面のパスワードが、初期設定のままということもよくあります。

業務と家庭が地続きなのが、小さな会社の実情です。だからこそ、「業務用」と「家族・来客用」を分けるだけでも安心感が変わります。

ホームページ・WordPressが、作ったときのまま

WordPressで作ったホームページは、とくに注意が必要です。

• 本体・テーマ・プラグインが、何年も更新されていない
• 停止中のプラグインや、不要な管理者ユーザーが残っている
• 制作会社や前任者と連絡が取れず、管理者が分からない
• ドメインやサーバーの契約名義と更新期限を、誰も把握していない

「作ったときのまま」が、いちばん危ない状態です。更新が止まったサイトは、古い弱点（脆弱性）を突かれやすくなります。

便利なツールへの、広すぎるアクセス権

無料のアプリやAIツールを次々に試し、「Googleでログイン」でDriveなどへの広いアクセスを許可している——そして、どのツールに何を渡したか誰も把握していない。最近とても増えているパターンです。

これは悪意ではなく「便利だから」で起きていることです。誰かを責めるのではなく、まずは棚卸しから始めましょう。

まず何から始める？ 最初の一歩は「棚卸し」

最初にやることは、「何を持っていて、誰が管理しているか」を見える化することです。全体が見えると、次にやるべきことも自然と決まってきます。

1. 誰が・何の管理者かを、一覧にする
2. コアアカウントの二段階認証を確認する
3. 退職者や以前の委託先の権限を消す
4. 連携アプリを確認し、不要な連携を切る

基本対策チェックリスト（10項目）

ご自身の会社で、いくつチェックが付くか確かめてみてください。チェックが付かなかった項目が、次に取り組むテーマです。

①アカウント

• [ 　] 1. コアアカウント（Google／Apple ID／Microsoft／GビズID）に二段階認証を設定している
• [ 　] 2. 復旧用のメール・電話番号が今の担当者のもので、パスワードを使い回していない
• [　 ] 3. 退職者・以前の委託先の権限を削除し、不要な連携アプリを外している

②環境

• [ 　] 4. ルーターの初期パスワードを変更し、業務用と家族・来客用でWi-Fiを分けている
• [ 　] 5. パソコン・スマホのOSを更新していて、サポートが切れたパソコン（Windows 10など）がない
• [　 ] 6. バックアップが自動で取れていて、元に戻せることも確認している

③ホームページ

• [ 　] 7. WordPressの本体・テーマ・プラグインを更新し、使わないものは削除している
• [　 ] 8. 管理者ユーザーを整理し、ログインに二段階認証を設定している
• [　 ] 9. ドメイン・サーバーの名義と更新期限、ログイン先を経営者が把握している

④もしもの時

• [　 ] 10. 制作会社・サーバー会社・相談窓口の連絡先を、1枚にまとめている

進め方のコツは「全部を一度に」ではなく「まず1つ」

セキュリティは「怖い話」ではなく、「整える話」です。不安になって一度に全部やろうとすると、かえって手が止まってしまいます。

• 今日できる1つから始める（おすすめは、コアアカウントの二段階認証）
• できたことを確認して、次の1つに進む
• 社内で話すときは専門用語を避け、「うちの業務でいうと何か」に置き換える

セキュリティは、担当者任せにしない「経営のテーマ」

セキュリティは、パソコンに詳しい人だけの仕事ではありません。次の3つの意味で、経営そのものに関わるテーマです。

• ガバナンス：管理を特定の1人に任せきりにしない
• 事業継続：被害に遭っても、事業を止めずに元に戻せる備えをしておく
• 取引先からの要請：取引先からセキュリティ対策を求められる場面が増えている

取引先からの要請については、経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度」も、令和8年度末ごろに申請の受付が始まる予定です（サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度））。

入口としておすすめの「SECURITY ACTION」

取り組みの入口としておすすめしているのが、IPA（情報処理推進機構）の自己宣言制度「SECURITY ACTION」です。

• 無料で始められる
• 「経営として取り組む」姿勢を、取引先やお客さまに示せる
• デジタル化・AI導入補助金（旧IT導入補助金）の申請要件にもなっている

2026年4月からは、GビズIDを使って申し込む仕組みに変わりました（IPA）。GビズIDも、先ほどの「取られてはいけないアカウント」のひとつですね。

a.designもSECURITY ACTION二つ星を宣言し、情報セキュリティ基本方針を公開しています。実際にやってみると、自社の管理を見直す良いきっかけになりました。

人に手伝ってもらうときに、気をつけたいこと

パソコンやホームページのことを、詳しい知人や外部の業者に手伝ってもらう場面も多いと思います。そのときこそ、次の点に気をつけてください。

• IDやパスワードを、口頭やメールで人に教えない：共有が必要な場合は、担当者ごとにアカウントや権限を分けてもらいましょう
• 操作はできるだけご自身で：画面共有で教えてもらう場合も、操作は自分の手で行うのが安心です
• お客さまの情報を、むやみに生成AIや私物の端末に入れない
• 「サポート窓口」や公的機関をかたる連絡に注意する：届いたファイルやURLは、開く前に送り主を確かめましょう

善意の「代わりにやっておきますよ」が、思わぬ入口になることもあります。相手を信頼しているからこそ、渡すのは必要な分だけにしておきましょう。

困ったときの相談先

• IPA：情報セキュリティ安心相談窓口や、各種の資料
• 警察：都道府県警察のサイバー犯罪相談窓口
• サイバーセキュリティお助け隊サービス：中小企業向けの民間サービスで、補助金での導入支援もあります
• Webの専門家：ホームページまわりは、Web制作・運用の専門家へ

被害が疑われるときは、この順番で

1. ネットから切り離す（電源は切らない）
2. 画面や状況を記録する
3. 専門窓口へ相談する

電源を切ってしまうと、原因を調べる手がかりが消えてしまうことがあります。慌てず、この順番を思い出してくださいね。

よくある質問

Q. 小さな会社でも、サイバー攻撃の対象になりますか？

はい、なります。多くの攻撃は相手を選ばず、更新されていないホームページや二段階認証のないアカウントなど「入りやすいところ」を機械的に探しています。また、取引先の大きな会社へ入り込むための「踏み台」として、小さな会社が狙われることもあります。

Q. まず何から始めればいいですか？

最初は「誰が・何の管理者か」を一覧にする棚卸しから始め、次にコアアカウント（Google／Apple ID／Microsoft／GビズID）の二段階認証を確認するのがおすすめです。どちらも費用をかけずに、今日から取り組めます。

Q. 二段階認証の設定は難しいですか？

難しくありません。多くのサービスでは、アカウントの「セキュリティ」設定から、スマホのアプリやSMSを使った確認を有効にするだけです。設定後は、機種変更のときに引き継ぎを忘れないよう注意しましょう。

Q. SECURITY ACTIONに費用はかかりますか？

自己宣言そのものは無料です。2026年4月からはGビズIDでの申し込みになっているため、GビズIDをお持ちでない場合は先に取得しておくとスムーズです。

Q. ホームページの管理者が分からない場合は、どうすればいいですか？

まずはドメインとサーバーの契約名義・ログイン先を確認し、経営者が把握できる状態にすることが先決です。制作会社や前任者と連絡が取れない場合は、Web制作・運用の専門家に相談して、管理権限を取り戻す手順を一緒に確認してもらいましょう。

まとめ：今日から意識したい3つのこと

1. 最初に「管理の棚卸し」をする
2. 分からないことは、専門家につなぐ
3. セキュリティを、経営の話の中に置く

特別なことをしなくても、基本を整えるだけで事業はずいぶん守りやすくなります。チェックリストで気になる項目があった方は、a.designにお気軽にご相談くださいね。

AI時代こそ、人間力。

参考

• サプライチェーン強化に向けたセキュリティ対策評価制度 FAQ（経済産業省）
• SECURITY ACTION デジタル化・AI導入補助金の申請について（IPA）
• サイバーセキュリティお助け隊サービス制度（IPA）