兼任の担当者が毎週見るセキュリティ情報は、JPCERT/CCのWeekly ReportとIPAの重要なセキュリティ情報の2つに絞れます。全部を追うのではなく、自社の機器一覧と照らして、関係のあるものだけを拾います。
今日やることは、インターネットに面している機器とサービスを紙1枚に書くことです。VPN装置、ファイアウォール、ホームページ、メール、クラウドのサービスについて、メーカー名と製品名、保守の連絡先を書きます。どの情報を読むかより、この一覧があるかどうかで、確認にかかる時間が変わります。
この記事は公開情報を整理したものです。下の週15分という配分は私たちの提案で、公的な基準ではありません。関連する記事は情報セキュリティの基礎のカテゴリにあります。
なぜ情報源を絞るの？
全部読むことを目標にすると、続きません。JVNのトップページには、次々と脆弱性情報が並びます。2026年11月6日に見たときには、10月28日から11月6日までの15本が掲載されていました。自社で使っていない製品の話も多く含まれます。
一方で、社内で情報を回す仕組み自体がない会社は少なくありません。IPAの2024年度 中小企業における情報セキュリティ対策に関する実態調査では、「新たな脅威や攻撃の手口を知り対策を社内共有する仕組みはできていますか」に、実施または一部実施と答えた企業は37.9%でした。25項目の中で最も低い数字です。
だから目指すのは、たくさん読むことではありません。少ない情報源を、決まった日に、決まった人が見ることです。
毎週見るのはどの2つ？
週に1回見るのは、次の2つです。
Weekly Reportは、公開日が毎週水曜日です。ただし、月曜から水曜に祝日が入る週や、連休の時期はこの限りではありません。ウェブのほか、メーリングリストでも受け取れます。担当者の机に届く形にしておくと、見忘れが減ります。
IPAの一覧は、1件ごとに緊急と注意の2つの区分が付いています。緊急は、影響度の高い問題が公開され、その問題を悪用した攻撃が行われているもの（情報公開時点）です。注意は、影響度の高い問題が公開されたか、今後攻撃が行われる可能性があり、対策が必要なものです。
なお、IPAは毎日の確認を呼びかけています。兼任で毎日開くのが難しければ、定例は週1回にして、JPCERT/CCの注意喚起をメールで受けておきます。注意喚起は、深刻で影響範囲の広い脆弱性などを告知する文書です。届いた日だけ、週の定例を待たずに確認します。
週15分をどう割り振る？
水曜日か木曜日に、15分の枠を予定表に入れます。
- Weekly Reportを読む（5分）：題名を見て、一覧にある製品やサービスの名前だけ探す
- IPAの一覧を見る（5分）：前回から増えた行を見て、緊急の行は必ず開く
- 一覧と照らして記録する（5分）：関係があったものについて、判断と担当を1行で書く
記録は表計算ソフトで足ります。列は、日付、情報の題名、自社に関係あるか、誰がいつまでに何をするか、の4つです。関係がなければ「なし」とだけ書きます。半年後に「あのとき確認したか」と聞かれたときに答えられますし、担当者が休んだ週や交代したときの引き継ぎにもなります。
代わりに見る人を1人決めておきます。休暇の週が空白になるのを防ぐためです。
自社に関係があるかはどう判断する？
3つの順に聞いていきます。
- うちで使っている製品か：一覧になければ、ここで終わり
- インターネットから触れる場所にあるか：触れるなら優先する
- 攻撃が確認されているか：IPAの緊急の区分やメーカーの発表で確かめる
インターネットに面した機器を優先するのには理由があります。警察庁の令和8年上半期におけるサイバー空間をめぐる脅威の情勢等についてによると、ランサムウェアの被害組織へのアンケートでは侵入経路の約5割がVPN機器でした。同じ資料は、インターネットに露出した箇所から侵入する手口が多くを占めると説明しています。
2026年10月の掲載を例にすると、判断は次のように分かれます。
| 掲載された情報 |
関係する会社 |
することの例 |
| Microsoft製品（IPA、10月14日、緊急） |
Windowsを使う会社のほぼ全部 |
更新が済んでいるかを確かめる |
| PHP（IPA、10月22日、注意） |
ホームページや業務システムで使っている会社 |
制作会社や保守会社に対応の予定を聞く |
| 国内組織への不正アクセス（JPCERT/CC、10月23日更新） |
内容を読んで判断 |
書かれた対策を一覧と照らす |
IPAの一覧では、2026年の8月、9月、10月のいずれも、Microsoft製品の情報が第2水曜日に緊急で掲載されています。この日付だけは、毎月の予定に入れておけます。
自社で直せないものも多いはずです。その場合に担当者がすることは、直すことではなく、保守会社への確認です。一覧に保守の連絡先を書いておく理由がここにあります。
工場の機器はどこで確かめる？
事務所の情報源とは少し違います。たとえば、三菱電機の制御機器を使う工場の場合、確認先は2つあります。
一つはJVNです。JPCERT/CCとIPAが運営するサイトで、2026年11月6日の一覧には三菱電機の製品の情報（10月30日）のほか、Siemens製品の月次の更新情報、米国CISAの産業制御システム向けアドバイザリの情報が並んでいました。製品名で探すと、自社の機器に関係があるかを確かめられます。
もう一つはメーカーの公式ページです。三菱電機はPSIRTという体制を設け、脆弱性の情報を公開しています。ほかのメーカーの場合も、製品のセキュリティ情報のページがあるかを、保守の窓口に聞いておきます。
工場の機器は、更新の判断が事務所と違います。止められる日が限られますし、更新が生産に影響することもあります。情報を見つけた人が自分で当てるのではなく、設備の担当者と保守会社に渡し、いつ何をするかを一緒に決めます。
月に1回だけ見ればよい情報源は？
毎週見る必要はないものの、置いておくと役に立つ情報源があります。
- 国家サイバー統括室：関係機関の相談窓口や、各種の発表、注意喚起へのリンクがまとまっている
- SCS評価制度のページ：経済産業省の制度。★3と★4は2026年度末頃の開始を目指すとされ、要求事項は2026年10月28日にVer1.1が公開された
- CISAのKEVカタログ：実際に悪用が確認された脆弱性の米国の一覧。英語だが、対応の順番に迷ったときの材料になる
取引先から対策の確認を求められている会社は、SCS評価制度の動きを月1回は見ておきます。同じページで、制度に関わる不適切な勧誘への注意も呼びかけられています。国家サイバー統括室も、その名をかたる不審な電話やメールに注意を促しています。
突然の電話や営業メールを情報源にしないことも決めておきます。「お宅の機器が危ない」と連絡があれば、その場で判断せず、一覧にある保守の連絡先に確かめます。
15分で回らなくなったら？
機器が増えると、手作業の照合には限界が来ます。その段階で、外の力を借ります。
- 一覧と脆弱性情報の照合を自動にしたい：脆弱性管理ツールの比較
- 何を優先すべきかを外部の人に見てほしい：セキュリティコンサルティングの比較
- 外部から見た自社や取引先の状態を数字で把握したい：セキュリティレーティングサービスの比較
監視まで任せたいなら、IPAが公開しているサイバーセキュリティお助け隊サービスの一覧とサービス価格も見られます。
どれを入れても、結果を受け取って判断する人は社内に残ります。週15分の習慣と機器の一覧は、ツールを入れるときにも土台になります。
この確認を社内の決まりとして残すなら、情報セキュリティポリシーの作り方で担当と頻度を1行書いておきます。そもそも何を守る話なのかを社内で共有するときは、紙と人まで含めた情報セキュリティの範囲が説明の材料になります。
