中小企業のサイバーセキュリティ対策の点検は、IPAの自社診断25項目に、外部接続機器の確認を足せば半日で見て回れます。質問に頭の中で答えるのではなく、実物を見て確かめます。
今日やることは、IPAの自社診断シートを印刷し、この記事の表と一緒に持って事務所を歩くことです。必要なのは印刷した紙とペン、社内の機器の管理画面に入れる人です。
この記事は公開資料をもとに私たちが点検の順番を組んだもので、IPAが定めた手順ではありません。私たちが顧客の社内を点検した結果でもありません。ほかの基本は情報セキュリティの基礎のカテゴリにあります。
どのチェックリストを使えばいい？
土台は中小企業の情報セキュリティ対策ガイドライン 第4.0版の付録3です。Part1の基本的対策、Part2の従業員としての対策、Part3の組織としての対策に分かれ、25項目で採点します。実施は4点、一部実施は2点、実施していないは0点、わからないはマイナス1点です。
第4.0版では「バックアップを取ろう！」が加わり、5か条が6か条になりました。社内に古い版が残っていれば、差し替えます。Excel版もあります。
点が高いほど安全だと言い切ることはできません。ただ、IPAの2024年度の実態調査（4,191社）では、合計点が高い企業ほど、サイバーインシデントの影響を「特になし」と答えた割合が高い傾向がありました。
自社診断に足すのは、外部とつなぐ機器です。警察庁の令和8年上半期の報告では、ランサムウェアの侵入経路は被害組織へのアンケートでVPN機器が約5割でした。
半日をどう配分する？
4つの場所を順に回ります。合計で3〜4時間を想定した私たちの案です。社員数や拠点の数で変わります。
| 時間 |
場所 |
一緒にいる人 |
| 60分 |
事務所と机の周り |
総務 |
| 60分 |
ネットワーク機器とサーバー |
情シス兼任、保守会社 |
| 60分 |
クラウドと公開サイト |
各サービスの管理者 |
| 30分 |
社長の席 |
社長 |
1. 事務所では何を見る？
実際に数台のパソコンの設定画面を開いて確かめます。「更新しているはず」は「わからない」として扱います。
| 確かめること |
できていない時の直し方 |
| OSとソフトが最新か（項目1） |
自動更新を有効にする。サポートのあるOSへ移す計画を立てる |
| ウイルス対策ソフトと定義ファイルが最新か（項目2） |
定義ファイルの自動更新を設定する |
| パスワードが10文字以上で使い回しがないか（項目3） |
長く複雑に変える。多要素認証やパスキーがあれば使う |
| 離席時に画面がロックされるか（項目15） |
スクリーンロックを設定する |
| 重要な書類が机の上にないか（項目12） |
鍵付き書庫に入れる。机の上を片付ける |
| 関係者以外が事務所に入れないか（項目16） |
鍵を管理し、最終退出者が施錠して記録する |
| 無線LANの暗号化方式とパスワード（項目10） |
WPA3など強固な方式を選び、初期パスワードを変える |
| 個人の端末を業務に使うルール（項目21） |
許可制にして、使うときのルールを決める |
2. 機器とサーバーでは何を見る？
ここが一番時間をかける場所です。自社診断の項目18と、外部接続の確認を一緒に行います。
たとえば、工場の設備に設備メーカーの遠隔保守用の回線が付いている場合です。事務所のネットワークとは別の扱いで、総務の管理表に載っていないことがあります。現場の担当者にも聞き、配線をたどって機器を数えます。
| 確かめること |
できていない時の直し方 |
| 社外とつなぐ機器の一覧があるか |
VPN機器、ルーター、遠隔保守の機器を書き出す |
| 機器ごとに更新の担当が決まっているか |
自社か保守会社かを決め、文書で確認する |
| ファームウェアが最新か（項目18） |
最新にする。サポートが切れていれば交換を検討する |
| 出荷時パスワードのままではないか（項目18） |
強固なものへ変える |
| VPNに多要素認証がかかっているか |
機能があれば有効にする。委託先のアカウントも例外にしない |
| バックアップから実際に戻せるか（項目5） |
1ファイルでも戻してみる。戻せるか定期的に確認する |
| バックアップが常時つながっていないか（項目5） |
取得時だけつなぐ装置や、別の保管場所に分ける |
| 共有フォルダを見られる人が必要な人だけか（項目4） |
共有範囲を限定し、異動者と退職者の権限を消す |
機器の台帳がなければ、付録6の資産管理台帳のサンプルを使えます。台数が多く手で追えないときは、IT資産管理ツールの比較を見る方法もあります。
工場の装置は無理に更新しない
生産設備につながるパソコンは、更新すると装置が動かなくなることがあります。その日は更新せず一覧に載せ、設備メーカーへ確認する項目として残します。
3. クラウドと公開サイトでは何を見る？
管理画面に入れる人と一緒に見ます。IPAが2026年10月9日に公開した注意喚起も、利用中のサービスをできる限り網羅的に把握し、ログやアカウントの異常を確かめるよう求めています。
| 確かめること |
できていない時の直し方 |
| 使っているクラウドの一覧があるか（項目23） |
部署ごとの利用も含めて書き出す |
| 作った覚えのないアカウントがないか |
異常があれば事故として扱い、相談先へ連絡する |
| 退職者のアカウントが残っていないか（項目4） |
削除または無効化する |
| 共有リンクの範囲が広すぎないか（項目4） |
必要な人だけに限定する |
| 利用規約と補償内容を確認したか（項目23） |
付録7のクラウド利用の手引きで確かめる |
| 公開ファイルに個人情報などがないか（項目19） |
公開前に確認する担当を決める |
| 使っていないキャンペーンページが残っていないか（項目19） |
期間限定のページや不要なサイトを閉じる |
| CMSを最新にしているか（項目19） |
更新の担当を決める。委託先なら契約を確かめる |
4. 社長には何を聞く？
最後は30分です。項目は項目20、22、24、25です。ここは実施率が低めの項目で、上の実態調査でも「ルール化し従業員に明示」は39.2%、「緊急時の体制や手順の準備」は39.8%でした（実施と一部実施の合計）。
| 確かめること |
できていない時の直し方 |
| 事故のとき、誰が何をするか決まっているか（項目24） |
付録8の手引きで役割を1枚にまとめる |
| 相談先の連絡先が紙であるか（項目24） |
保守会社、IPA、警察、保険会社を1枚に書く |
| 秘密保持の契約が取引先とあるか（項目22） |
契約や覚書を結ぶ。再委託にも同じ秘密保持を求める |
| 社員への教育や注意喚起をしているか（項目20） |
短い題材を定期的に回す |
| ルールが文書になっているか（項目25） |
付録4のハンドブックのひな形を自社用に直す |
社員教育の組み方は社員のセキュリティ教育の進め方に書きました。電話で始まる手口を受付や総務に伝えるときは、サイバー対策の電話の見分け方を使えます。
点検のあと、どの順で直す？
全部を一度に直そうとすると止まります。私たちは次の順で書きました。公開資料で確かめた攻撃の事例に繰り返し出てくる項目を先に置いています。
- 社外とつなぐ機器の更新、多要素認証、担当者の決定
- 本番と分けたバックアップと、戻せるかの確認
- 事故の連絡先と役割を1枚にする
- 退職者のアカウントと共有範囲の整理
- ルールの文書化と教育
点検の記録は日付を入れて残し、次の見直しと比べます。SECURITY ACTIONの二つ星は、自社診断を行い、情報セキュリティ基本方針を作って外部に公開することを宣言します。よくある質問によると申込み時の点数は何点でも構いません。
取引先からのチェックシートが増えているなら、セキュリティチェックシート回答・委託の比較があります。自社だけで判断できない項目が多いときは、セキュリティコンサルティングの比較を見て、頼む範囲を絞ります。
