情報セキュリティ対策は、人の行動、物理的な管理、技術、組織のしくみの4分野に分けて具体例を並べると、自社の抜けが見つかります。
今日やることは、IPAの5分でできる！情報セキュリティ自社診断の25項目に答え、できていない項目をこの記事の4分野に振り分けて数えることです。一番多い分野から手をつけます。
この記事は公開資料を整理したものです。全体はセキュリティの基本のカテゴリから見られます。
なぜ4つに分けるのか？
技術の対策だけ見ていると、抜けに気づかないからです。ウイルス対策ソフトが入っていても、退職者のアカウントが残っていたり、委託先に重要な図面を平文で送っていたりすれば、事故は起こり得ます。
4つの分け方は、私たちの独自の整理ではありません。個人情報保護委員会のガイドライン（通則編）は、安全管理措置を組織的、人的、物理的、技術的の項目で示しています。国際規格のISO/IEC 27001の2022年版でも、経済産業省の資料によれば、管理策が組織的、人的、物理的、技術的の4分類に整理されました。
どの分野に入れるかに厳密な正解はありません。目的は分類ではなく、抜けを見つけることです。
IPAの2024年度の実態調査では、約7割の中小企業で組織的なセキュリティ体制が整っていない状況がうかがえるとされました。多くの会社で薄いのは、技術よりも組織の分野かもしれません。
4分野の具体例を一覧で見ると？
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版にある自社診断25項目を、4分野に振り分けました。番号は自社診断の項目番号で、振り分けは私たちによるものです。
人の対策：うっかりと判断の誤りを減らす
| 診断の番号 |
具体例 |
工場や現場での見方 |
| 7 |
メールの添付やURLからの感染に気をつける |
取引先名のメールでも、不審なら電話で確かめる |
| 8 |
メールやFAXの送信ミスを防ぐ |
図面や見積の送信前に宛先を確認する |
| 11 |
ネット利用やSNSのトラブルに備える |
現場の写真の投稿範囲を決める |
| 20 |
教育や注意喚起を行う |
パートや派遣の方も対象に入れる |
訓練や教育の仕組みは自社で作らなくても構いません。セキュリティ教育サービスの比較で外部の教材を見られます。ただし、教育だけで防げるとは考えないでください。人はいつか間違えるので、ほかの分野で受け止めます。
物理の対策：物を失くさない、勝手に触らせない
| 診断の番号 |
具体例 |
工場や現場での見方 |
| 12 |
重要な書類や媒体を机上に放置しない |
現場に置いた図面の扱いを決める |
| 13 |
持ち出すときに盗難や紛失の対策をする |
出張や客先へのノートPCとUSBメモリ |
| 14 |
復元できない形で廃棄する |
古い検査装置のPCの処分も対象にする |
| 15 |
離席時に画面を見られたり操作されたりしない |
共用の端末はログアウトの決まりを作る |
| 16 |
関係者以外の立ち入りを制限する |
協力会社や配送の方の動線を見直す |
| 17 |
退社時にノートPCや備品を施錠保管する |
事務所の無人時間帯を想定する |
IPAの解説には、持ち出しは許可制にして内容を記録する、書類は溶解処理を委託して証明書を取得する、といった例があります。
技術の対策：機器とデータを守る
| 診断の番号 |
具体例 |
工場や現場での見方 |
| 1 |
OSやソフトを最新にする |
更新できない装置は一覧にして別に守る |
| 2 |
ウイルス対策ソフトを入れて定義を更新する |
ネットにつながない端末の更新方法も決める |
| 3 |
長く複雑なパスワードにする |
共用パスワードと初期設定を残さない |
| 4 |
共有設定を必要な人に限る |
図面フォルダの権限を部署で分ける |
| 5 |
定期的にバックアップを取る |
ネットワークから離して保管し、戻せるか試す |
| 9 |
重要情報を暗号化などで受け渡す |
取引先と図面を送る方法を決める |
| 10 |
無線LANに適切な暗号化を設定する |
来客用と業務用を分ける |
| 18 |
内部ネットワークを守る機能を設定する |
ルーターやVPNの設定を確認する |
| 19 |
公開すべきでない情報を公開しない |
サイトに置いた資料やファイルの公開範囲を見る |
端末の守りをどう選ぶかは、エンドポイントセキュリティの比較にまとめています。
組織の対策：決めて、続ける
| 診断の番号 |
具体例 |
工場や現場での見方 |
| 6 |
新しい脅威と対策を社内で共有する |
誰が注意喚起を読むかを決める |
| 21 |
私物の機器を業務で使うときの対策を決める |
現場の私物スマートフォンでの撮影も含める |
| 22 |
取引先との契約に秘密保持を定める |
預かった図面の扱いを確認する |
| 23 |
外部サービスの安全性を確かめる |
保守会社やクラウドの委託先も対象にする |
| 24 |
緊急時の体制と手順を作る |
夜間や休日の連絡先まで書く |
| 25 |
対策をルール化して従業員に明示する |
紙1枚からでも構わない |
組織の分野は、規程や台帳の文書が増えやすい分野です。量が増えて管理しきれなくなったら、ISMS管理ツールの比較が選択肢に入ります。最初から道具が要るわけではなく、IPAのガイドラインの付録には基本方針、規程、資産管理台帳のサンプルがあります。
一覧を使って抜けをどう見つけるのか？
自社診断の結果を4分野で数えると、会社の傾向が見えます。たとえば、部品を製造する会社で次のような結果が出たとします。
| 分野 |
項目数 |
できていない数の例 |
読み方 |
| 人 |
4 |
1 |
大きな穴は少ない |
| 物理 |
6 |
2 |
現場の図面と廃棄を確認 |
| 技術 |
9 |
3 |
機器の更新とバックアップを確認 |
| 組織 |
6 |
5 |
ここから着手 |
この例の数字は説明のためのもので、調査結果ではありません。この会社なら、新しい製品を買う前に、緊急時の連絡先と私物端末の決まりを作るほうが先です。
自社診断の結果は点数で終わらせず、できていない項目に担当者と期限をつけます。担当者が決められない項目は、組織の問題として経営者が引き取ります。IPAのガイドラインも、情報セキュリティ対策は経営者のリーダーシップで進めることを原則の1つにしています。
工場の装置はどの分野で見ればいいのか？
自社診断の項目は事務所のパソコンを想定した書き方が多いので、工場の装置には読み替えが要ります。4分野で見ると、次のような確認になります。
- 人：保守の人や協力会社が、どの端末に何をつないでよいかを知っているか
- 物理：制御盤の周りや保守用USBメモリの置き場に、誰でも触れられないか
- 技術：更新できない装置を一覧にし、事務所のネットワークと分けているか
- 組織：装置メーカーや保守会社との間で、更新や遠隔接続の責任を決めているか
装置のソフトを更新すると動作保証から外れる場合もあるので、現場の判断だけで進めず、装置メーカーに確認してください。
どの順番で進めればいいのか？
分野で迷ったら、ガイドライン第4.0版の順番を借りるのが手堅い方法です。
- 情報セキュリティ6か条に取り組む。更新、ウイルス対策ソフト、パスワード、共有設定、バックアップ、脅威の情報収集です。6か条の解説は2026年9月版です
- 自社診断で現状を把握し、基本方針を作って周知する
- 体制を整えて、本格的に取り組む
- 資産ごとのリスク分析などで、より強固にする
取り組みを自社で宣言する制度として、一つ星と二つ星の段階があるSECURITY ACTIONもあります。
取引先に説明を求められたときはどうするのか？
対策の一覧は、社外への説明にも使えます。IPAの2024年度調査では、発注元からの要請を受けた経験がある企業（511社）のうち42.1%が、要請された対策を行ったことが取引につながった大きな要因だと答えました。
2026年に公式サイトが公開されたSCS評価制度は、委託元が委託先に適切な段階を示し、対策を促して実施状況を確認する使い方を想定しています。制度の詳細では、要求項目は★3が26件、★4が43件です。★3は自己評価を確認責任者が確かめ、★4は評価機関の審査と技術検証を受けます。取得を求められたら、該当する段階と項目を確認し、この記事の4分野の結果と照らしてください。
なぜ規模を問わず狙われるのかを社内で説明するときは、犯人の儲け方から見た狙われ方が使えます。報告で使う言葉をそろえるなら、マルウェアとウイルスの違いが使えます。
