不正アクセスや情報漏えい、ランサムウェアによる業務停止のニュースが続いています。大企業だけの話ではありません。会員サイト、予約、EC、社内向けクラウドを持つ中小企業でも、同じ経路が狙われています。
一方で、「何から手をつければよいか分からない」という声も多いです。高価な製品を一気に入れる前に、まず共通して効く基本があります。
IPA（情報処理推進機構）は、中小企業向けに「情報セキュリティ6か条」と「5分でできる！情報セキュリティ自社診断」を公開しています。2026年3月に改訂されたガイドライン第4.0版では、バックアップが6か条に入り、Webサイトの安全な運用や不要な外部通信の遮断も診断項目に加わりました。
この記事では、その6か条を現場の言葉に落とし、公開しているWeb・アプリ・管理画面で先に見る場所を整理します。ペンゾーも久々にアイキャッチに登場しています。案内役として、チェックの入口を少しやわらかくしています。
なぜ今、基本の見直しなのか
攻撃の入口は、特別なゼロデイだけではありません。更新されていないOSやソフト、使い回しのパスワード、インターネットに開いたままの管理画面、バックアップのないサーバー。どれも「分かっているが後回し」になりやすい項目です。
IPAの注意喚起でも、外部公開アプリや外部サービス、保有データの棚卸しが繰り返し求められています。サプライチェーン経由の被害も増え、取引先から対策状況を聞かれる場面が増えています。
対策は完璧を目指すより、止まっている穴を先に閉じる方が効きます。6か条はその「先に閉じる穴」の一覧です。
情報セキュリティ6か条（現場向けの言い換え）
公式の表現を、開発・運用の現場で使いやすい言葉にすると、次のとおりです。
- OSやソフト、言語（PHPなど）を最新の安全な版にする
- ウイルス対策を入れ、定義を更新し続ける
- パスワードは長く・複雑に・使い回さない。可能なら多要素認証
- 共有設定を見直し、関係ない人に開かない
- バックアップを取り、復元できることを確認する
- いまの攻撃手口を知り、社内で共有する
第4.0版でバックアップが明示されたのは、ランサムウェアで業務が止まる事例が増えたからです。取れているだけでなく、「戻せる」ことが条件です。
自社診断の25項目は、基本・従業員・組織に分かれています。全部を一度に埋めなくても、6か条と診断で「できていない」と分かった項目から進めて問題ありません。
Web・システムで先に見る場所
公開サイトや業務システムを持つ会社では、6か条に加えて次を先に見ると効果が大きいです。
- 管理画面の公開範囲（全世界に出していないか）
- 管理者・委託先アカウントの棚卸しと多要素認証
- アプリとサーバー（PHP・Node・ミドルウェア）の版
- APIキー・トークンの置き場所と権限の最小化
- ログの取得内容と、異常に気づける体制
- 個人情報や顧客データの持ちすぎがないか
管理画面は、攻撃者から見ると「ログインできれば全部見える」入口になりやすいです。VPNやIP制限、多要素認証を足すだけで、リスクは大きく下がります。
言語やフレームワークの緊急修正が出たときは、アプリのコードより先に、動いている版を確認します。ファイルを置いただけでは古いプロセスが残ることがあるので、ワーカーの再起動までセットで見ます。
委託先やクラウドのアカウントが残っているケースも多いです。誰が何を契約しているかの一覧がないと、異常アカウントを見つけられません。まずは名簿からで十分です。
よくある落とし穴
機能追加を急いだ結果、認証が弱い管理画面が残る。開発用の初期パスワードが本番に残る。ログを短期間しか取っていないので、侵入に気づけない。データは溜める一方で、誰が何を持っているか分からない。
「セキュリティ製品を買えば安心」も誤解しやすいです。製品は役に立ちますが、版の更新・権限・バックアップ・共有設定が弱いと、穴は残ります。
AIで素早く画面を作った場合も、公開範囲と認証を後回しにしないことが大切です。速さは価値ですが、入口の穴は速さでは埋まりません。
進め方の目安
いきなり規程や監査から始める必要はありません。次の順番が現実的です。
- 6か条と自社診断で、できていない項目を洗い出す
- 公開面（管理画面・会員機能・API）の穴を先に閉じる
- バックアップの取得と復元テストを確認する
- 委託先・クラウドのアカウントと権限を一覧化する
- 基本方針や社内ルールを、短い文書で共有する
経営者の役割は、対策を情シスだけに任せないことです。IPAのガイドライン第1部でも、リーダーシップと説明責任が強調されています。現場が「止められない」と言ったとき、優先度を上げられるのは経営側です。
まとめ
セキュリティ対策は、特別な製品から始める必要はありません。IPAの情報セキュリティ6か条と自社診断で足りない点を知り、公開しているWeb・管理画面・バックアップから閉じるのが近道です。
ガイドライン第4.0版や診断シートは、IPAのサイトから入手できます。一次情報はそちらを見てください。
Makoto Tejimaでは、公開サイトや業務システムの版、管理画面の公開範囲、バックアップの取り方などを一緒に整理しています。ご相談ください。