不正アクセスの対策は、ID、VPN、サイト、サーバーの4つの入口ごとに、外から入れる条件を厳しくしていくことです。
今日やることは、自社の入口の一覧を1枚にまとめることです。Microsoft 365などのクラウドのログイン、VPN、公開サイトの管理画面、外から接続できるサーバーを書き出し、それぞれの担当と多要素認証の有無を横に書きます。空欄が残った場所から見直します。
この記事は公的機関の資料を整理したものです。私たちが各製品を導入や検証したわけではありません。サイトの守り方はWebサイト・サーバー防御のカテゴリからも見られます。
なぜ入口ごとに見直す？
不正アクセスと一言で言っても、入り方によって対策が違うからです。
国家公安委員会、総務省、経済産業省の令和7年の発生状況（2026年3月公表）では、認知件数は7,190件で、前年より約34.2%増えました。ただし、そのうち4,747件はインターネットバンキング、1,484件は証券の取引です。会社のシステムへの侵入だけを数えた数字ではないので、全体の増加をそのまま自社に当てはめないでください。
同じ資料では、検挙された他人のIDを使う型399件の内訳も示されています。
| 入手の手口 |
件数 |
割合 |
| パスワードの設定・管理の甘さ |
84件 |
21.1% |
| フィッシングサイト |
77件 |
19.3% |
| 他人から入手 |
75件 |
18.8% |
| 元従業員や知人など |
61件 |
15.3% |
不正に利用されたサービスでは、社員・会員用などの専用サイトが122件で最多です。検挙できた事件の内訳であり、被害の全体を表すものではありません。それでも、IDの管理を見直す理由にはなります。
会社の被害で見ると、VPN機器の存在が目立ちます。警察庁の令和8年上半期の情勢では、ランサムウェアの被害報告が123件で半期として過去最多でした。被害組織へのアンケートで、侵入経路は約5割がVPN機器です。被害企業の約6割が中小企業、業種別では製造業が約3割を占めています。
IPAの情報セキュリティ10大脅威 2026でも、組織編の4位に「システムの脆弱性を悪用した攻撃」、8位に「リモートワーク等の環境や仕組みを狙った攻撃」が入っています。
入口ごとに最初に見直すことは？
全部を同時に進めなくて構いません。各入口で最初の1つを済ませ、そこから次へ進みます。
| 入口 |
最初に見直すこと |
次に見直すこと |
| ID |
多要素認証を入れる |
退職者と共有IDの整理 |
| VPN |
更新と保守の確認 |
管理画面の非公開 |
| サイト |
CMSや部品の更新 |
管理画面の接続元の制限 |
| サーバー |
外からの接続を減らす |
不要なサービスの停止 |
IDの入口はどう見直す？
外から使うログインに多要素認証を入れます。警察庁の企業・団体への調査（2026年1月）では、社外からの業務アクセスの認証がIDとパスワードのみという回答が全体の約4割（39.8%）でした。
順番は、VPN、メールなどのクラウド、管理者権限のIDです。全社員に一度に入れるのが難しければ、管理者と、VPNを使う人から始めます。製品は多要素認証の製品比較で見比べられます。複数のクラウドを使っていてログインが分かれているなら、IDaaSの製品比較も候補です。
もう1つは棚卸しです。上の表にあるとおり、元従業員や知人などによる検挙は61件ありました。退職者のIDをその日のうちに止める手順を、人事の退職手続きに組み込みます。共有IDは誰が使ったかわからなくなるので、できるだけ個人のIDに分けます。
パスワードについて、令和7年の資料のIPAの節は、推測されにくいものにする、使い回さない、多要素認証を採用するといった対策を勧めています。
VPNの入口はどう見直す？
機器の型番とファームウェアの版を確かめ、最新の状態かを見ます。先の警察庁の調査では、VPN機器を使う組織の52%が最新のパッチを適用していないと答えています。
IPAの2025年10月の注意喚起は、VPN機器の深刻な脆弱性が相次いで報告され、悪用も確認されているとしています。乗っ取られた機器が他組織への攻撃の踏み台に使われるおそれにも触れています。挙げられている対策は次のとおりです。
IPAが挙げるVPN機器の主な対策
- 修正プログラムを速やかに適用する
- サポートが終了した機器は更新か廃棄を検討する
- 管理画面は外部に公開せず、不要なサービスとポートを止める
- 外部からの公開状況を把握し、不審な通信を監視する
ありがちなのは、導入した会社との保守が切れていて、誰も更新の案内を受け取っていない状態です。メーカーの通知先を担当者個人でなく共有のメールアドレスにし、更新の担当を決めます。
使っていないアカウントの削除も同時に行います。機器の入れ替えを考えるなら、法人向けVPNの製品比較のほか、ZTNAの製品比較で、VPNとは別の接続方式も比べられます。
サイトの入口はどう見直す？
CMSやプラグインの更新状況を確かめます。先の令和7年の資料には、IPAへの届出の中で、ウェブサイトの脆弱性を悪用した改ざん被害が見られたとあります。
IPAの安全なウェブサイトの運用管理に向けての20ヶ条（2019年更新）は、ソフトの更新のほか、不要なサービスの停止、ログの保管と確認を挙げています。制作会社に任せたままのサイトは、更新の範囲が契約に入っているかを確かめてください。
管理画面は、できれば接続できる場所を社内やVPNに限ります。修正にすぐ手が回らない場合の備えとしてはWAFの製品比較が入口です。AWSで動かしているサイトならAWS WAFの料金と設定の手順に具体的な流れを書きました。使わなくなったキャンペーンサイトは、守るより閉じるほうが確実です。
サーバーの入口はどう見直す？
外から接続できる管理用の入口を減らします。令和7年上半期の警察庁の資料では、ランサムウェアの侵入経路のうち22.2%がリモートデスクトップでした。
インターネットに直接開いている接続があれば、VPN経由に限るか、接続元を限定します。自社で判断しにくければ、脆弱性診断の製品比較で外部に調査を頼む方法も比べられます。
OSとソフトの更新、不要なサービスの停止も欠かせません。サーバーの中まで製品で補うならサーバーセキュリティの製品比較を参照してください。公開サイトの暗号化の管理は別の話ですが、証明書の有効期限の短縮に備えるときに、入口の一覧をそのまま使えます。
製造業なら、どこを追加で確かめる？
一覧に足しやすいのは、社外の人が使う入口です。たとえば、設備メーカーや保守会社が工場の装置へつなぐ遠隔保守の回線、取引先が図面を受け取るためのサイト、海外拠点や関連会社からの接続です。
これらは情報システムの担当が把握していないことがあります。工場や購買の担当に、社外の誰がどの経路で接続しているかを聞いてください。
遠隔保守の回線なら、使うときだけ接続を有効にできるか、IDを保守会社で共有していないか、保守会社の担当が替わったときに連絡が来るかを確かめます。取引先に使ってもらうサイトは、退職者のIDが残りやすいので、年に一度は取引先へ利用者の確認を依頼します。
入られたときの備えは何をする？
入口を見直しても、侵入を完全に防げるとは言えません。入られたときに調べる材料と、戻す手段を用意します。
警察庁の調査のまとめは、被害調査に欠かせないログの取得と、オフラインを含むバックアップを対策に挙げています。事故対応の手順書は約4割の組織が未作成でした。令和8年上半期の調査では、復旧に総額1,000万円以上かかった組織が6割を占めます。
IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0版は、最初に取り組む項目を6か条にまとめ、「バックアップを取ろう!」を加えました。付録の自社診断には、外部から内部ネットワークへの不要な通信の遮断と、ウェブサイトの安全な運用も加わっています。自社の見直しの抜けを探すのに使えます。
進める順番の目安は？
製品を選ぶ前に済ませること
入口の一覧、多要素認証の対象の決定、VPNの更新状況の確認は、新しい製品がなくても進められます。製品を比べるのは、この3つで足りない部分が見えてからで間に合います。
進み具合は、経営者に数字で伝えます。入口の総数、多要素認証が入っている数、更新が遅れている機器の数の3つです。予算の相談をするときも、何が残っているかを示せます。
