中小企業のセキュリティ対策は、費用をかける前に自社診断で現状をつかむことから始めます。予算は、診断で見えた弱い点に順番に当てていきます。
今日やることは、IPAの「5分でできる！情報セキュリティ自社診断」を1回記入することです。25項目に答えるだけなので、社長か総務の担当者が分かる範囲で埋めてください。「わからない」が多い項目も、そのまま次の課題になります。
情シス専任がいない会社は誰が決める？
専任者がいない会社で先に決めるのは、製品ではなく責任者です。
IPAの中小企業向けガイドライン第4.0版は、経営者が実行を指示する重要7項目の中に、方針を定めること、予算や人材を確保すること、緊急時の体制を整えることを挙げています。
社内に詳しい人がいなくても構いません。技術の判断は外部に頼めます。ただし、予算を出す、業務を止める、取引先へ連絡するといった判断は、社内の人にしかできません。総務の担当者を窓口にする場合は、社長に直接報告できる形にしておきます。
予算別の最初の一手は、次のように整理しました。金額の区切りは、制度の決まりではなく私たちの整理です。
| 予算 |
最初の一手 |
手に入るもの |
| 0円 |
自社診断、6か条、一つ星の宣言 |
現状の一覧と基本の設定 |
| 月数万円 |
相談窓口つきの監視サービス |
異常に気づく目と相談先 |
| 年100万円 |
弱点の診断と重点への配分 |
取引先に説明できる根拠 |
0円で何をする？
支払いは増えませんが、担当者の時間は使います。この段階で進められることは多くあります。
IPAのガイドラインは、SECURITY ACTIONの一つ星の要件として、情報セキュリティ6か条を挙げています。
- OSやソフトウェアを常に最新の状態にする
- ウイルス対策ソフトを導入する
- パスワードを強化する
- 共有設定を見直す
- バックアップを取る
- 脅威や攻撃の手口を知る
このうち費用をかけずに確かめられる点を、先に片づけます。総務省の説明では、現在のほとんどのコンピュータにセキュリティ対策ソフトが標準で備わっています。OS標準の機能が有効かを確かめ、市販品を入れている場合は期限を確認します。
使っているクラウドやVPNに多要素認証の設定があるかも確かめます。設定があれば、管理者と社外から入るアカウントを先に有効にします。バックアップは、保存先と、データを戻せるかを1回試します。
一つ星の宣言は無料で、ロゴマークも無料で使えます。ただし認定ではありません。IPAは「宣言しました」が適切で、「取得しました」は不適切な例だと案内しています。
自己宣言の時期に注意
IPAは補助金向けの案内で、2026年3月以前に申し込んだ自己宣言は補助金の交付申請に使えないとしています。補助金を考えている会社は、宣言の時期を確かめてください。
月数万円で何をする？
この予算で比べたいのが、サイバーセキュリティお助け隊サービスです。IPAの基準に合ったサービスが登録され、相談窓口、異常の監視、初動対応（駆付け支援等）、簡易サイバー保険がまとまっています。
サービス基準（2.1版）の1類には、価格の上限があります。
- ネットワーク監視は月額1万円（税抜）まで
- 端末監視は端末1台あたり月額2,000円（税抜）まで
- 初期費用などは、片方の監視で50万円（税抜）まで、併用で100万円（税抜）まで
- 端末1台から契約でき、最低契約期間は2年以内
たとえば、従業員約30人でパソコン20台の部品メーカーが端末監視を選ぶ場合、月額の上限は20台×2,000円で4万円（税抜）です。実際の価格はサービスごとに違うため、IPAの一覧で確かめます。
この案内には、従業員約30名の医療機器メーカーの導入事例も載っています。ITベンダーの見積もりが高額で消極的になっていたところ、お助け隊サービスを知り、必要十分な機能と判断して導入した例です。
費用の一部は補助の対象になります。デジタル化・AI導入補助金のセキュリティ対策推進枠は、補助額が5万〜150万円、補助率は中小企業が2分の1以内、小規模事業者が3分の2以内です。お助け隊サービスリストに載り、支援事業者によって登録されたサービスの費用が、最大2年分対象になります。締切は回ごとに決まるため、申請前に公式サイトで確認してください。
監視サービスとは別に、ログインを固める費用も検討します。多要素認証（MFA）の製品比較で、対応するサービスと費用の出し方を確かめられます。
年100万円で何をする？
ここで製品を一つ買って終わりにすると、弱い点が残ります。金額の配分は会社ごとに違うので、次の順で決めます。
1. 第三者に弱点を見てもらう
自社診断は自己申告です。外から見える機器の状況や設定を、専門家に確かめてもらう価値があります。診断の範囲は業者によって違うため、セキュリティ診断・コンサルティングの比較で、範囲と報告の中身を比べます。
2. 端末とログインを固める
エンドポイントセキュリティの製品比較で、監視の有無と、誰が警告を見るのかを確かめます。社内で警告を見られない場合は、監視まで任せられる形を選びます。
IPAは、監視の強化や定期的なコンサルティングの実施などを要件とするお助け隊サービス2類も設けています。監視や支援を厚くしたい会社は、1類と並べて比べられます。
3. 取引先に説明できる形にする
取引先からの要請が届いている、あるいは届きそうな会社は、SCS評価制度の要求項目を早めに読みます。★3は26件の要求項目で、専門家の確認付き自己評価です。IPAの案内では、2027年3月の受付開始に向けて整備が進められています。
IPAの2024年度調査では、発注元からの要請を受けた企業のうち、ISMSを取得済みの企業の73.9％が、対策の実施が取引につながったと答えました。未取得の企業は30.3％です。もちろん、認証を取れば取引が増えるという話ではありません。ただ、対策の費用を取引の説明と結びつけて考える材料にはなります。
見積もりを取るときに何を聞く？
専任者がいない会社ほど、製品の機能表より運用の中身を確かめます。私たちが聞く項目として挙げるなら、次の5つです。
- 警告が出たとき、誰が見て、誰が連絡してくるのか
- 夜間や休日の対応は料金に含まれるのか
- 初期費用、月額、解約時の費用はそれぞれいくらか
- 最低契約期間は何年か
- 事故が起きたときの駆付けや調査は費用に含まれるのか
外部の相手を探すときは、IPAのガイドラインが案内している「中小企業向けサイバーセキュリティ対策支援者リスト」や「情報セキュリティサービス基準適合サービスリスト」も使えます。ITに詳しい人がいない場合、自社で構築するより外部サービスを使うほうがコスト面で有利な場合があるとガイドラインは述べています。ただし、利用規約や付随する対策を十分に検討するよう求めています。
製造業はどこに予算を寄せる？
製造業では、止まると出荷に響くデータを先に守ります。
たとえば、図面と生産計画をファイルサーバーに置く工場の場合を考えます。パソコン全台の高機能化より先に、そのサーバーのバックアップと、そこへ入れるアカウントの整理に予算を寄せる判断が考えられます。法人向けバックアップの比較では、保存先と世代管理の違いを確かめられます。
何を先に守るかは、サイバー攻撃で最初に見直す5つの点と、社内への入口別の整理を見ると決めやすくなります。社長としての考え方はサイバーセキュリティと会社の責任、基本の全体像はセキュリティの基本に置いています。
