SHORT ANSWER
結論
AZWorkが中小企業で最初に優先するのは、①多要素認証、②端末の更新・暗号化・マルウェア対策、③アカウントと権限・入退社管理、④バックアップと復元確認、⑤事故時の連絡・初動手順です。これは「この5つだけで安全」という意味ではなく、限られた予算で大きな事故を減らすための開始順序です。
1. 多要素認証を重要アカウントから必須にする
パスワードが漏れても、それだけでログインできない状態を作ります。特にメール、Microsoft 365、Google Workspace、クラウド管理者、金融・会計系サービスなど、侵害時の影響が大きいアカウントを優先します。
最低限ここまで
- 管理者アカウントはMFAを必須にする
- 一般ユーザーも可能なサービスからMFAを有効化する
- 共有アカウントを減らし、誰が操作したか分かる状態にする
2. 端末を更新し、暗号化とマルウェア対策を揃える
WindowsやmacOS、ブラウザ、Officeなどの更新を止めないことが基本です。会社PCには暗号化、画面ロック、マルウェア対策などの基準を設け、誰のPCだけ例外なのかを把握します。
3. アカウント・権限・入退社を仕組みにする
退職者のアカウントが残る、誰でも重要フォルダを見られる、管理者権限を日常利用する、といった状態は小規模企業でも起こります。
- 利用中のSaaSとアカウントを台帳化する
- 必要最小限の権限にする
- 入社・異動・退職時のチェックリストを作る
- 管理者アカウントは通常業務用と分ける
4. バックアップを「ある」ではなく「戻せる」にする
バックアップは保存しているだけでは不十分です。誤削除、ランサムウェア、端末故障など、想定する事故ごとにどこから戻せるかを確認します。クラウドサービスを使っていても、保持期間や復元範囲を理解しておく必要があります。
確認すること
- 何をバックアップ対象にするか
- どのくらい前まで戻せるか
- 誰が復元できるか
- 実際にテスト復元したことがあるか
5. 事故時の連絡先と初動を決める
不審メールを開いた、PCを紛失した、アカウントが乗っ取られた、ファイルが暗号化された。こうしたときに「まず誰へ連絡するか」が決まっていないと初動が遅れます。
- 社内の連絡先
- IT事業者・クラウド事業者への連絡方法
- 端末隔離、パスワード変更、アカウント停止など最初に行うこと
- 顧客・関係先・行政機関への報告要否を判断する責任者
この5つの次に進めること
基本対策が整ったら、メール保護、端末管理、ログ監視、脆弱性管理、セキュリティ教育、委託先管理、規程整備、BCPなどへ広げます。業種、扱う情報、取引先要求によって優先順位は変わります。
IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開しており、経営者の役割から実践手順、クラウド、インシデント対応まで体系的に確認できます。