社長が最初に確認すべきサイバーセキュリティ対策
- 山崎行政書士事務所
- 5月6日
- 読了時間: 14分
技術担当任せではなく、経営課題として説明
メタディスクリプション中小企業のサイバーセキュリティ対策は、ウイルス対策ソフトや専門ツールの導入だけでは足りません。社長が最初に確認すべき「事業停止リスク」「個人情報」「クラウド」「委託先」「復旧」「事故対応」を、企業法務とサイバーセキュリティの実務視点から解説します。
1. サイバーセキュリティは、もはや「IT担当者の仕事」ではない
サイバーセキュリティという言葉を聞くと、多くの社長は「うちは技術担当に任せている」「保守会社にお願いしている」「ウイルス対策ソフトは入っている」と考えがちです。しかし、現在のサイバー攻撃は、単なるパソコンの故障や迷惑メールの問題ではありません。
IPAの「情報セキュリティ10大脅威 2026」では、組織向けの脅威として、1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスクとされています。つまり、今の攻撃は「社内の1台のパソコン」ではなく、会社の業務停止、取引先への影響、個人情報漏えい、委託先管理、AI利用ルールに直結しています。
経済産業省の「サイバーセキュリティ経営ガイドライン」でも、経営者が認識すべき原則として、経営者自身のリーダーシップ、サプライチェーン全体への目配り、平時・緊急時の関係者とのコミュニケーションが示されています。これは、サイバーセキュリティを「技術担当者の守備範囲」ではなく、経営者が判断すべきリスク管理事項として位置付けるものです。
2. 社長が最初に確認すべきことは「どの製品を入れるか」ではない
社長が最初に聞くべき質問は、「どのセキュリティ製品を買えばよいか」ではありません。最初に確認すべきことは、次の3つです。
社長が確認すべきこと | 実務上の意味 |
何が止まると会社が困るのか | 受注、出荷、請求、給与、予約、EC、顧客対応など、止められない業務を特定する |
どの情報が漏れると信用を失うのか | 顧客情報、従業員情報、取引先情報、営業秘密、設計情報、認証情報を把握する |
事故が起きたとき誰が決めるのか | システム停止、顧客通知、行政報告、外部専門家への依頼、復旧優先順位を決める権限を明確にする |
ISMSの考え方でも、情報セキュリティは機密性・完全性・可用性を守る体系的な仕組みであり、技術的対策だけでなく、従業員の教育・訓練、組織体制の整備も含むものとされています。つまり、社長が見るべきものは製品一覧ではなく、会社として情報を守る仕組みが動いているかです。
NIST Cybersecurity Framework 2.0でも、中心に置かれているのは「GOVERN」です。これは、サイバーリスク管理の方針、役割、責任、権限、ポリシー、サプライチェーンリスク管理を組織全体のリスク管理に組み込む考え方です。
3. 社長がまず確認すべき10項目
1. 会社の重要業務は何か
最初に決めるべきは、「何を守るか」です。すべての情報、すべてのシステムを同じ優先順位で守ることはできません。
社長は、次の業務が止まった場合の影響を確認してください。
業務 | 確認すべきこと |
受注・予約 | 何時間止まると売上に影響するか |
出荷・納品 | 代替手段はあるか |
請求・入金 | 締日処理が止まった場合の資金繰りへの影響 |
顧客対応 | 顧客からの問い合わせ窓口を維持できるか |
給与・勤怠 | 従業員への支払いや労務管理が止まらないか |
EC・Webサイト | 改ざん、停止、決済情報漏えいのリスクはないか |
IPAの中小企業向けガイドライン第4.0版でも、セキュリティ対策は中小企業にとって重要な情報を漏えい、改ざん、消失などから保護し、事業継続への影響を未然に防ぐことを目的としています。
2. 管理者権限を持つ人とアカウントを把握しているか
ランサムウェア被害の現場でよく問題になるのが、管理者権限の過剰付与です。管理者アカウントが侵害されると、攻撃者は社内ネットワークを横展開し、ファイルサーバ、バックアップ、業務システムを一気に暗号化することがあります。
社長は、技術担当者に次の質問をしてください。
社長の質問 | 合格ライン |
管理者権限を持つアカウントはいくつあるか | 人数・用途・責任者が説明できる |
退職者や異動者のアカウントは残っていないか | 定期的に棚卸ししている |
管理者アカウントに多要素認証は設定されているか | 重要システムでは必須化されている |
共有IDを使っていないか | 誰が操作したか追跡できる |
「誰でも便利に使える状態」は、攻撃者にとっても便利な状態です。社長の立場では、細かい設定内容よりも、権限を持つ人が最小限で、責任者が明確で、記録が残るかを確認することが重要です。
3. 外部から入れる入口を把握しているか
攻撃者は、VPN、リモートデスクトップ、クラウド管理画面、Webサーバ、保守用アカウントなど、外部から入れる入口を探します。JPCERT/CCは、侵入型ランサムウェア攻撃の代表的な侵入経路として、リモートアクセスの入口、外部から接続可能なシステムの脆弱性、MSPなど保守サービス経由、メール起因の感染などを挙げています。
社長が確認すべきことは、専門的なポート番号ではありません。
「当社には、外部からログインできる入口がいくつあるのか」「それぞれ誰が管理しているのか」「多要素認証は入っているのか」「脆弱性が出たとき、何日以内に対応するのか」
この4つを答えられない会社は、事故対応以前に、入口管理が不十分です。
4. バックアップは「取っている」だけでなく「戻せる」か
ランサムウェア対策で最も重要なのは、バックアップです。ただし、単にバックアップを取っているだけでは不十分です。攻撃者はバックアップサーバやクラウド同期先まで暗号化しようとします。
社長が確認すべきバックアップのポイントは、次の5点です。
確認項目 | 社長が聞くべき質問 |
頻度 | いつの時点まで戻せるか |
保管場所 | 本番環境と分離されているか |
権限 | 通常の管理者権限で削除・改ざんできないか |
復元テスト | 実際に戻したことがあるか |
優先順位 | どのシステムから復旧するか決まっているか |
JPCERT/CCは、侵入型ランサムウェア攻撃への初動方針として、被害範囲の把握、侵入経路の封鎖、攻撃者の要求に応じずバックアップから復旧することを示しています。また、被害を認知した場合には、被害を免れたバックアップの保護を優先するよう説明しています。
5. 個人情報がどこにあるか把握しているか
サイバー事故が発生したとき、最初に問題になるのが「個人情報が含まれていたか」です。個人情報が漏えいした、または漏えいのおそれがある場合、報告や本人通知が必要になることがあります。
個人情報保護委員会は、漏えい等報告について、速報は発覚日から3〜5日以内、確報は原則30日以内、不正な目的で行われたおそれがある場合は60日以内と案内しています。報告が必要な場合として、要配慮個人情報、財産的被害のおそれ、不正目的のおそれ、1,000人を超える漏えい等が挙げられています。
プライバシーマーク付与事業者の場合は、PMK500に基づく事故等の報告義務、本人通知、公表、調査、注意・勧告、一時停止、取消しのリスクもあります。事故等には、漏えいだけでなく、紛失、滅失・き損、改ざん、目的外利用・提供、不正利用、これらのおそれも含まれます。
社長が確認すべき台帳は、最低限次の4つです。
台帳 | 内容 |
個人情報管理台帳 | どの部署が、何の個人情報を、どこに保存しているか |
クラウド/SaaS台帳 | どのクラウドに個人情報や顧客情報があるか |
委託先管理台帳 | どの委託先に個人データを渡しているか |
事故対応台帳 | 事故発生時の判断、報告、通知、再発防止を記録する |
6. クラウドとSaaSを「現場任せ」にしていないか
クラウドは便利ですが、契約、設定、権限、ログ、退職者アカウント、共有リンク、バックアップを管理しなければ事故の温床になります。
個人情報保護委員会は、クラウドサービスを利用して個人データを取り扱う場合、クラウド利用が個人データ取扱いの委託に該当するかを判断し、委託に該当する場合は必要かつ適切な監督を行う必要があると注意喚起しています。また、サービス機能だけでなくセキュリティ対策も確認し、役割や責任分担を規約や契約等で明確化することが求められています。
社長が確認すべきクラウド管理の要点は、次のとおりです。
確認項目 | 見るべきポイント |
利用承認 | 現場が勝手にSaaSを使っていないか |
管理者 | 管理者権限者が明確か |
MFA | 管理画面に多要素認証が入っているか |
共有設定 | 外部公開リンクが放置されていないか |
ログ | 誰が、いつ、何をしたか追えるか |
退職者 | アカウント削除が人事手続と連動しているか |
契約 | 障害時、漏えい時、退会時のデータ削除・返還が確認できるか |
7. 委託先・保守会社の事故に備えているか
中小企業の事故では、自社だけでなく、委託先、保守会社、クラウド事業者、システム開発会社、給与計算会社、EC運営会社などが関係します。IPAの10大脅威でも、サプライチェーンや委託先を狙った攻撃は組織向け脅威の2位に位置付けられています。
NIST CSF 2.0も、サプライチェーンのサイバーリスク要求事項を、契約その他の合意に組み込むことを示しています。
社長が見るべき契約条項は、次のとおりです。
条項 | 目的 |
セキュリティ体制 | 委託先に最低限の安全管理措置を求める |
事故報告 | 漏えい確定前の「疑い」の段階で連絡を受ける |
ログ提出・調査協力 | 原因調査、影響範囲確認、証拠保全を可能にする |
再委託 | 再委託先にも同等の義務を負わせる |
データ返還・削除 | 契約終了時の情報残存を防ぐ |
バックアップ・復旧 | 事業停止時の復旧責任を明確にする |
生成AI利用 | 顧客情報や秘密情報をAIに入力する範囲を制限する |
なお、発注者側が委託先に高度なセキュリティ対策を求める場合は、その費用や工数を一方的に押し付けないことも重要です。2026年1月1日から下請法は取適法へ変わり、協議に応じない一方的な代金決定などが問題になります。セキュリティ要求を仕様書に明記し、費用負担を協議し、発注条件として記録することが、発注者側の企業法務としても重要です。
8. 生成AIの利用ルールを決めているか
生成AIは業務効率化に有効ですが、個人情報、顧客情報、契約書案、営業秘密、未公開の技術情報を安易に入力すると、情報漏えい、契約違反、権利侵害の問題につながります。
個人情報保護委員会は、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合、利用目的の達成に必要な範囲内であることを確認すること、また本人同意なく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合には個人情報保護法違反となる可能性があるとして、機械学習に利用しないこと等を確認するよう注意喚起しています。
社長が最初に決めるべきAIルールは、難しいものではありません。
ルール | 内容 |
入力禁止情報 | 個人情報、顧客情報、未公開情報、認証情報、契約上秘密とされた情報 |
利用可能業務 | 文章のたたき台、一般的な調査、社内アイデア出しなど |
確認責任 | 出力内容をそのまま顧客提出しない |
利用サービス | 会社が承認したサービスだけを使う |
ログ・記録 | 業務利用の範囲と責任者を残す |
9. 事故対応の連絡網と判断権限があるか
事故は、平日の午前10時に起こるとは限りません。休日、夜間、社長不在時、担当者退職後、委託先からの突然の連絡で発覚することもあります。
社長が確認すべき事故対応の基本は、次の7点です。
誰が第一報を受けるか
誰がシステム停止・ネットワーク遮断を判断するか
誰が保守会社、クラウド事業者、外部専門家へ連絡するか
誰が顧客・取引先への説明を判断するか
誰が個人情報保護委員会等への報告要否を確認するか
誰が警察、JPCERT/CC、保険会社へ相談するか
誰が復旧後の再発防止と契約・規程見直しを行うか
JPCERT/CCは、侵入型ランサムウェア攻撃の対応として、社内連絡体制、社外向け窓口、外部組織と連携する担当者の確保も重要としています。
10. 年1回、机上訓練をしているか
規程やマニュアルは、作っただけでは会社を守れません。実際に動けるかを確認する必要があります。
最初の訓練は、1時間で十分です。例えば、次のシナリオで実施します。
シナリオ例：月曜朝、ファイルサーバのデータが開けなくなり、身代金要求画面が表示された。顧客情報が入っていた可能性がある。
このシナリオで、次のことを確認します。
確認事項 | 見るべきポイント |
初動 | 誰が誰に連絡するか |
技術対応 | どの端末・サーバを隔離するか |
経営判断 | 業務停止をどこまで許容するか |
法務対応 | 個人情報漏えい等報告が必要か |
顧客対応 | いつ、誰が、何を説明するか |
証拠保全 | ログ、画面、メール、脅迫文を保存するか |
復旧 | どのバックアップから、どの順番で戻すか |
この訓練を行うと、マニュアルの穴がすぐに見えます。多くの場合、「誰が判断するか」「顧客へ何を言うか」「委託先へ何を要求できるか」が曖昧です。
4. 社長が毎月見るべきサイバー経営指標
技術担当者に細かな専門用語で報告させる必要はありません。社長は、次のような経営指標で確認すれば足ります。
指標 | 社長が見る意味 |
多要素認証の適用率 | 重要アカウントが守られているか |
管理者アカウント数 | 権限が増えすぎていないか |
重要脆弱性の未対応件数 | 外部から入られる入口が残っていないか |
バックアップ成功率 | 復旧の土台があるか |
復元テスト実施日 | 実際に戻せるか |
EDR・ウイルス対策の稼働率 | 端末の異常検知が可能か |
クラウド/SaaS台帳更新日 | 現場利用が見える化されているか |
委託先セキュリティ確認件数 | 外部リスクを把握しているか |
インシデント訓練実施日 | 事故時に動けるか |
重要なのは、「事故ゼロ」を目標にしすぎないことです。事故を完全にゼロにすることは困難です。経営者が見るべきなのは、早く気づけるか、広げないか、戻せるか、説明できるかです。
5. 90日で整備する実務ロードマップ
第1段階：30日以内に見える化する
まず、社長主導で次の棚卸しを行います。
棚卸し対象 | 成果物 |
重要業務 | 業務停止影響一覧 |
重要情報 | 個人情報・営業秘密・認証情報の一覧 |
システム | サーバ、PC、ネットワーク、外部公開システムの一覧 |
クラウド/SaaS | 利用サービス台帳 |
委託先 | 委託先管理台帳 |
アカウント | 管理者権限・退職者アカウント確認表 |
IPAの中小企業向けガイドライン第4.0版は、必要最低限の対策から始め、5分でできる情報セキュリティ自社診断を活用し、自社の弱みを把握し、基本方針を作成するステップを示しています。
第2段階：60日以内にルールと契約を直す
次に、文書と契約を整備します。
文書 | 目的 |
情報セキュリティ基本方針 | 社長の意思を社内外に示す |
情報セキュリティ規程 | アカウント、端末、クラウド、持出し、廃棄を定める |
個人情報保護規程 | 取得、利用、委託、第三者提供、漏えい対応を定める |
クラウド利用基準 | SaaS承認、MFA、ログ、退会時削除を定める |
生成AI利用規程 | 入力禁止情報、利用範囲、確認責任を定める |
インシデント対応規程 | 初動、報告、復旧、再発防止を定める |
委託契約・個人情報取扱覚書 | 事故報告、再委託、調査協力、データ削除を定める |
第3段階：90日以内に訓練と改善を行う
最後に、実際に動かします。
実施事項 | 目的 |
バックアップ復元テスト | 戻せることを確認する |
ランサムウェア机上訓練 | 初動判断を確認する |
委託先事故連絡訓練 | 外部連携を確認する |
個人情報漏えい報告訓練 | 報告期限と判断者を確認する |
経営会議報告 | 社長が継続的に把握する |
6. 技術担当者に任せてよいこと、社長が決めるべきこと
技術担当者や外部ベンダーに任せてよいことはあります。たとえば、EDRの選定、ログ分析、脆弱性診断、ネットワーク設定、バックアップ構成、マルウェア解析などは専門性が必要です。
しかし、次の事項は社長または経営層が決めるべきです。
社長が決めるべきこと | 理由 |
どの業務を最優先で復旧するか | 売上、信用、資金繰りに直結する |
どこまで業務停止を許容するか | 事業継続判断そのもの |
どの情報を最重要情報とするか | 顧客・取引先との信用に関わる |
セキュリティ予算をどう確保するか | 経営資源の配分問題 |
顧客・取引先へいつ説明するか | 信頼維持と法務判断が必要 |
委託先にどの水準を求めるか | 契約・費用・取引適正化に関わる |
事故後にどこまで公表するか | 経営判断とレピュテーション対応 |
ここを技術担当者任せにすると、現場は「止めると怒られる」「報告すると責任を問われる」と考え、初動が遅れます。サイバー事故で最も危険なのは、感染そのものより、発見後の判断遅れです。
7. まとめ：社長が見るべきものは「セキュリティ製品」ではなく「会社を止めない仕組み」
社長が最初に確認すべきサイバーセキュリティ対策は、最新ツールの名前ではありません。
最初に見るべきものは、次の5つです。
止めてはいけない業務が明確か
守るべき情報が台帳化されているか
外部から入れる入口と管理者権限が管理されているか
バックアップから実際に復旧できるか
事故時に、誰が、何を、いつ判断するか決まっているか
サイバーセキュリティは、技術対策であると同時に、契約管理、個人情報管理、クラウド管理、委託先管理、事故対応、事業継続の問題です。つまり、社長が関与しなければ、会社全体として機能しません。
山崎行政書士事務所では、行政書士として対応できる範囲で、情報セキュリティ基本方針、個人情報保護規程、クラウド利用基準、生成AI利用規程、インシデント対応規程、委託契約書、個人情報取扱覚書、委託先管理チェックシート等の整備を支援しています。紛争性のある損害賠償交渉、訴訟対応、法的代理、専門的なフォレンジック調査が必要な場合は、弁護士・IT専門事業者等と連携し、会社を現実に守る体制づくりを支援します。
コメント