中小企業のセキュリティ対策は何から？AI時代の基本と担当を決める確認表

大きな会社の情報漏えいやランサムウェア被害を見ると、「小さな会社でも、今すぐ何か入れた方がいいのか」と迷います。そこへAIの話が加わると、確認する範囲がさらに広く感じられます。

中小企業のセキュリティ対策は、守る情報・使える人・更新する人・戻す人を決めるところから始められます。製品選びの前に、今の仕事で何を扱い、どこまで任せているかを一枚に書き出すと、確認先が見えてきます。

この記事では、日本の被害統計とAIの関係を分けて整理したうえで、IPAの基本対策を少人数の運用へ落とし込む確認表を紹介します。専任のIT担当がいない会社や、個人で仕事をしている方も使える形です。

中小企業のセキュリティ対策は、守る情報と担当を決めるところから

最初の作業は、「この情報が見られたら困る」「このシステムが止まると仕事ができない」を具体的にすることです。顧客名簿、見積書、従業員情報、経理データ、ウェブサイトなど、普段使っているものを挙げてみてください。

それぞれに、次の3点を添えます。

• 置き場所：会社のPC、共有フォルダ、クラウド、外注先など
• 触れる人：閲覧・編集・削除ができる人、外部へ送れる人
• 困ったときの担当：更新を確かめる人、停止や復旧を判断する人、連絡先

「外注先が見ているはず」「クラウドだから大丈夫」となっている箇所は、まず確認先を書けば十分です。未確認を、対応済みにしない。これだけでも次の作業がはっきりします。

IPAのガイドラインは、個人事業主や小規模事業者も利用対象に含めています。経営者が決めることと、実務で実施することを分けた構成なので、兼務担当だけで抱えずに話を進める土台になります。
出典：IPA「中小企業の情報セキュリティ対策ガイドライン」。

日本企業の被害実態と、AIとの関係を分けて見る

ランサムウェアは、中小企業にも報告がある

警察庁の2026年上半期の統計では、ランサムウェア被害の報告は123件。規模別の内訳は、中小企業79件、大企業31件、団体等13件です。小さな会社にも報告があることがわかります。

これは警察庁へ報告された被害の件数です。国内の全被害を数えた推計や、自社が被害に遭う確率としては扱えません。

感染経路の集計では、VPN機器から18件、リモートデスクトップから9件、その他9件。こちらの合計は不明・未回答を除いた36件です。123件すべての感染経路がわかっている、と読み替えないことが大切です。出典：警察庁「令和8年上半期のサイバー空間をめぐる脅威の情勢等」統計データ（図表4、図表6(1)、感染経路の集計）。

漏えいの報告件数と、サイバー攻撃の件数は別

個人情報保護委員会の令和7年度年次報告では、漏えい等事案に関する報告の処理は17,139件で、前年度の19,056件から減っています。対象は2025年4月1日〜2026年3月31日です。

この数値を「サイバー攻撃が17,139件あった」とは読めません。「漏えいが増えた」「減った」という説明を見たら、期間と集計対象も一緒に確かめましょう。出典：個人情報保護委員会「令和7年度年次報告」。

AIは、攻撃する側と使う側の両方から考える

IPAの「情報セキュリティ10大脅威 2026」では、AIの利用をめぐるリスクが組織向けの脅威として取り上げられています。AIを悪用して攻撃の手口を巧妙にする問題と、業務利用で機密情報を入力したり、出力を確認せず使ったりする問題は、分けて点検できます。

これらの統計だけでは、「AIが日本企業の漏えい増加の主因」とは言えません。個別の大手企業の事故についても、AIが原因だったと断定するには、その事故の調査結果が必要です。

なお、10大脅威の順位は、被害件数や危険度をそのまま並べたものではありません。自社の情報と使い方に合わせて優先順位を考えるための資料です。出典：IPA「情報セキュリティ10大脅威 2026」解説書・組織編（留意事項、AIの利用をめぐるサイバーリスク）。

IPA第4.0版の6か条で、基本対策を確認する

IPAは2026年3月27日にガイドライン第4.0版を公開しました。以前の5か条にバックアップが加わり、基本対策は6か条になっています。公式ページの9月30日の更新は解説編などの追加で、新版そのものの公開日とは分けて読めます。

次の表は、6か条をもとに、担当者へ聞く言葉へ整理したものです。

出典：IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」をもとに作成。確認の言葉と例は、本記事の編集上の整理です。

まずは、止まると困る業務や、顧客情報を扱う場所から担当を確かめてみてください。製品を追加する必要があるかも、現在の設定と保守の範囲を確認してから判断しやすくなります。

少人数でも使える、データ・権限・更新・復旧の確認表

基本対策がわかったら、自社の道具に結びつけます。ここでは、顧客情報を扱うクラウド、WordPress、AIを使う小さな事業を想定した架空の記入例を示します。

使うときは、右側に「現状」「担当者名」「確認する期限」「確認結果」の欄を足してください。日付や頻度を一律に決めるより、業務への影響と担当者が実施できる条件を相談する方が、続けやすくなります。

たとえば「バックアップあり」だけでは、確認の内容が曖昧です。「見積書の保存先は確認済み。復元は未確認なので、保守先に検証方法を相談する」と書けば、次の担当と作業が決まります。

この表は運用を整理するための記入例です。自社の対策項目をさらに確かめるときは、IPAの「5分でできる！情報セキュリティ自社診断」も併せて利用できます。

AIを業務で使う前に、入力情報と外部連携を点検する

AIを使う場面では、まずサービス名、業務用か個人用か、扱うデータを一覧にします。利用条件や保存・学習に関する設定は、実際の契約とサービスの公式案内で確認してください。

入力の判断では、文書の名前だけでなく中身を見ます。見積書の文章を整える作業でも、顧客名、連絡先、未公開の価格、契約条件が含まれる場合があります。必要な箇所だけ取り出す、機密部分を除く、入力可能な環境を確認する、といった作業に分けられます。

外部のファイルや業務ツールへつなぐ場合は、操作も分けて確認します。

• 読む：どのフォルダや情報を参照できるか
• 編集・削除：どの内容を変更できるか、戻す方法はあるか
• 送信・公開：送信先や公開前の確認を誰が担当するか

たとえば、社内資料を参照して下書きを作る仕事なら、必要な資料の範囲と、人が確認する地点を決めます。送信や公開まで任せたい場合は、その操作を追加する理由と確認方法を別に残しておくと、責任の範囲が曖昧になりにくくなります。これは本記事で提案する運用の整理例です。

AIに任せる作業と権限の考え方は、CodexをWindowsの仕事で使うためのガイドでも整理しています。セキュリティの確認表と一緒に、業務の範囲を決める材料にしてください。

WordPressや業務ツールを外注しても、保守と復旧の分担を残す

外注先に「保守をお願いします」と伝えた後も、何を保守する契約なのかがわかると安心です。WordPress本体、テーマ、プラグイン、サーバーなど、更新する対象と担当を確認しましょう。

クラウドも、提供側が管理する範囲と、利用側が決める設定や運用があります。IPAの「中小企業のためのクラウドサービス安全利用の手引き」は、利用する情報、提供条件、責任範囲などを確認する土台になります。

保守先との打ち合わせでは、次の問いを確認表へ入れてみてください。

• 更新の対象と、実施・動作確認を担当する人は誰か
• バックアップの対象と保存先はどこか。保存できたことを誰が確認するか
• 復旧が必要なとき、誰が判断し、誰が戻す作業をするか
• 夜間や担当者が不在のとき、どこへ連絡するか

バックアップは、保存した記録と、戻せることの確認を分けて持つと運用が明確になります。警察庁の啓発資料でも、オフラインを含むバックアップやログの保存、事業継続の準備を取り上げています。出典：警察庁「Cyber Police Agency Letter 2025 Vol.4」。

AI Work Hackには、AIを使ったWordPress保守プラグイン開発の記事や、XServerの不審なログインを確認した記録があります。後者は追加認証前にログインが止まった記録で、侵入や原因が確認された事例としては扱っていません。道具を作ることと、運用状況を確かめることを分けて読む参考になります。

WordPressの保守負担をきっかけにサイト構成を見直す場合は、StudioとWordPressの比較で、サービス側に任せられる部分と手元に残る仕事を確認できます。

異変があったときの連絡先を、使える状態で準備する

ファイルが開けない、不審なログイン通知が来た、身に覚えのない操作がある。こうしたときに、担当者を探すところから始めなくて済むよう、責任者、保守先、専門の相談先への連絡方法を準備しておきます。

IPAのインシデント対応の手引きは、状況の把握、被害の拡大防止、復旧などを段階的に説明しています。ネットワークからの隔離やシステムの停止は、準備した手順と担当者の判断に沿って進めます。不用意な電源断や初期化で、調査に必要な記録が失われる場合がある点にも注意が必要です。出典：IPA「中小企業のためのセキュリティインシデント対応の手引き」。

連絡するときは、発見した時刻、対象の機器やサービス、見えている症状、既に行った操作をまとめると、担当者へ状況を引き継ぎやすくなります。警察への通報・相談の連絡先も、前掲の警察庁資料から確認できます。

最初の一歩は、一つの業務を選ぶことです。扱う情報と権限を書き出し、更新と復旧について誰へ確認するかを決めてみてください。AIを使う場合も、その仕事に必要な情報と操作を一緒に整理できます。

少人数で使う道具の分担を整理したい場合は、AI Work Hackのお問い合わせから相談できます。現在のツール、扱うデータの種類、任せたい操作、更新・復旧を担当している人など、差し支えない範囲でお知らせください。

情報確認日：2026年10月6日。公的資料の要約と本記事の運用例を分けて記載しています。具体的な設定は、利用環境・契約・業務に合わせて確認してください。

LON | AI Work Hacker

非エンジニア実装家 / AI業務委託

XYouTubeContact

「コードは書かない。AIを操る。」

普段は業務委託のプロとして、AI企業のLINE運用や自動化システム構築を担当。

エンジニア経験ゼロから、AIだけを武器にツールを自作する「実務ハック」を研究中。