中小企業がやるべき不正アクセス対策チェックリスト

「うちのような中小企業は攻撃者に狙われない」と考えている方も多いかもしれません。しかし実際には、セキュリティ対策への投資が手薄になりやすい中小企業こそ、不正アクセスの標的にされやすいという指摘もあります。また取引先の大企業から見ても、中小企業が「弱い輪」になっていないかが問われる時代です。

この記事では、限られたリソースの中で中小企業が優先的に取り組むべき対策を、費用をかけずに今日できることから順に12項目のチェックリストで整理します。各項目には何をどう確認すればよいかを添えているので、上から順に見ていけば自社の現状が把握できます。

なぜ中小企業が狙われるのか

• 専任のセキュリティ担当者がおらず、対策が後回しになりやすい
• 取引先の大企業に侵入するための「踏み台」として悪用されるケースがある
• ID・パスワードの管理がルール化されておらず、共有アカウントが残っていることが多い
• 攻撃の多くは対象を選ばず機械的に行われるため、企業規模は狙われるかどうかの基準にならない

近年の攻撃は「この会社を狙う」という形ではなく、インターネットに露出している機器やアカウントを機械的に探し、入れるところから入るという形が主流です。規模が小さいことは、対象から外れる理由になりません。侵入の全体像は 不正アクセスの基礎で整理しています。

優先順位の考え方

対策を並べると数が多く見えますが、判断基準は1つです。「盗まれた正規のID・パスワードで入られる状態を残していないか」から先に潰します。ウイルス対策ソフトやUTMのような入口対策は、正しいパスワードでのログインを止められないためです。

第1段階：費用をかけずに今日から着手できること

□ 1. 管理者アカウントを共有していないか

複数人で同じ管理者IDを使い回している場合、漏洩経路の特定が困難になります。まずは個人ごとのアカウント発行から着手しましょう。

確認方法：「このIDのパスワードを知っている人を全員挙げられますか」と聞いて、即答できないIDが1つでもあれば該当します。詳しくは 共有アカウントの廃止と ID管理・アカウント管理の基本をご覧ください。

□ 2. 退職者・異動者のアカウントが残っていないか

使われなくなったアカウントは、コストをかけずに今すぐ棚卸しできる対策です。定期的な確認をルール化しましょう。

確認方法：直近1年の退職者名簿と、システム上のアカウント一覧を突き合わせます。1件でも残っていれば、棚卸しの仕組み自体が機能していないと判断できます（退職者アカウントの削除）。

□ 3. 管理者権限を配りすぎていないか

侵入されたときの被害の大きさは、そのアカウントの権限で決まります。全員が管理者権限を持っている状態では、どのアカウントが破られても被害は最大になります。

確認方法：管理者権限を持つアカウントを数え、「業務上その権限が今日必要な人」だけに絞れているかを確認します（権限管理・最小権限の原則）。

□ 4. Windowsの自動ログインを有効にしていないか

起動時のパスワード入力を省略する自動ログイン設定は、パスワードによる保護そのものを無効化します。端末を起動できる人は誰でもログインできる状態です。

確認方法：社用PCを再起動して、パスワード入力を求められずにデスクトップまで進むものがあれば該当します。

□ 5. 業務用パスワードを個人利用のサービスと使い回していないか

個人で使っているサービスが漏洩すると、そのIDとパスワードの組み合わせが業務システムでも試されます。攻撃者にとっては最も手数の少ない侵入方法です。

確認方法：棚卸しの機会に、使い回しの有無を自己申告で確認します。責任を問う形にすると正直な回答が集まらないため、「変えれば済む話」として扱うのが実務的です（リスト型攻撃、パスワードポリシーの設計）。

第2段階：パスワードだけでは入れない状態にする

□ 6. サーバー・重要PCに多要素認証を導入しているか

すべての端末を一度に対応するのが難しくても、会計データ・顧客情報が集まるサーバーや重要PCから優先的に導入することで、限られた予算でも被害を大きく抑えられます。詳しくは 多要素認証（MFA）とは？の解説記事をご覧ください。Windows PC・Windows ServerのOSログインの2要素認証の具体的な導入方法・選び方は こちらの記事で解説しています。

確認方法：会計データや顧客情報が保存されているサーバーに、ID・パスワードだけでログインできるかを試します。できるのであれば未対応です。

□ 7. クラウドだけでなく社内サーバー・PCも対象にしているか

Microsoft 365などクラウド側の多要素認証は導入済みでも、社内のサーバーやPCのログインはID・パスワードのみという企業が少なくありません。実際のデータが保管されているのは社内側です。この違いは UTM・ウイルス対策があれば認証は不要？守っている領域の違いで整理しています。

□ 8. スマートフォンを持たない従業員への対応を決めているか

現場や工場では、業務中にスマートフォンを使えない・持たせていないことがあります。「スマホ前提の多要素認証しか選べない」と考えて導入自体が止まるケースが多いため、 スマートフォンを使わない多要素認証で選択肢を確認してください。

□ 9. VPN・リモートアクセスの脆弱性対策をしているか

テレワークや外部委託先からのアクセスが増えている場合、 VPN脆弱性対策と テレワークのセキュリティ対策もあわせて確認しましょう。

確認方法：VPN機器の型番とファームウェアの更新日を確認します。更新日が分からない場合は「未対応」と判断してください。

第3段階：起きたことが分かる・説明できる状態にする

□ 10. ログインの記録が残っているか

侵入は数週間から数か月後に発覚することがあります。そのときにログが残っていなければ、何が漏れたのかを特定できません。

確認方法：「3か月前の特定の日に、誰がどの端末にログインしたか」を調べられるかを試します。Windowsのイベントログやクラウドのサインインログは標準機能で残せます（アクセスログの監査、ログインの異常の見つけ方）。

□ 11. 不正アクセス検知システムの導入も検討する

多要素認証と合わせて、ログの異常やアカウントの不審な挙動を検知する不正アクセス検知システムを併用すると、中小企業でも早期発見の体制を作りやすくなります。ただしアラートに対応する人がいなければ機能しません。第1・第2段階が済んだ後の投資として検討してください（検知システムと予防診断の違い）。

□ 12. 取引先から対応状況を聞かれた際に説明できるか

国主導の SCS評価制度など、取引先選定の指標として自社のセキュリティ対応状況が問われる場面が増えています。今のうちに確認しておくことで、機会損失を防げます。

確認方法：「アカウント管理をどうしているか」を聞かれたときに、口頭の説明ではなく記録として示せるかを確認します（取引先や監査から問われたとき）。

社内で予算を通すための説明材料

中小企業でこの種の対策が止まる最大の理由は、技術面ではなく「なぜ今それに費用をかけるのか」を説明できないことです。次の3点は経営層に伝わりやすい論点です。

• 被害の中身は「情報漏洩」より「業務停止」 — 受発注や請求が止まった日数がそのまま売上の損失になります。情報セキュリティの話ではなく事業継続の話として説明できます
• 漏洩時には法令上の期限がある事務手続きが走る — 個人データが関わる場合、報告や本人への通知の義務が生じます。準備の有無が対応工数を大きく変えます（パスワード漏洩したらどうなるか）
• 取引の前提条件になりつつある — 対策の有無が取引先選定で問われれば、費用ではなく売上の問題になります

よくある失敗

• ルールを作って終わりにする — 棚卸しや権限確認は、担当者と実施時期を決めて定例業務に組み込まないと必ず後回しになります
• 全端末を一度に対応しようとして止まる — 対象を絞れず「予算が足りないので来年」となるのが最も多い失敗です。サーバーと重要PCだけでも効果があります
• 入口対策の強化で代替しようとする — ウイルス対策やUTMは、盗まれた正規のパスワードによるログインを止められません（UTM・エンドポイント対策と認証強化の違い）
• パスワードを複雑にする・定期変更させることで代替しようとする — 主な漏洩経路は強度と無関係です。かえって使い回しやメモの増加を招くこともあります

対策していない場合のリスク

これらの対策が手薄なまま放置すると、ID・パスワードの漏洩を起点とした ランサムウェア被害や、取引先を巻き込む サプライチェーン攻撃につながる恐れがあります。実際の被害事例は ID・パスワード漏洩の実例と対策、公的統計と主要インシデントの時系列は 不正アクセス・ランサムウェア被害の統計と実例で紹介しています。

対策の全体像と優先順位をより詳しく整理した内容は不正アクセス対策の進め方｜優先順位と具体的な手順、法律上の位置づけは不正アクセス禁止法とはで解説しています。

よくある質問

Q. 中小企業でも本当に不正アクセス対策は必要ですか？

A. 必要です。セキュリティ投資が手薄になりやすい中小企業ほど狙われやすく、取引先の大企業に侵入するための「踏み台」として悪用されるケースもあります。近年の攻撃は対象を選ばず機械的に行われるため、企業規模は狙われるかどうかの基準になりません。

Q. 予算も人手も限られています。何から始めればよいですか？

A. まずは管理者アカウントの共有をやめること、退職者・異動者のアカウントを棚卸しすること、管理者権限を必要な人だけに絞ること、Windowsの自動ログインを無効化することから始めましょう。いずれも費用をかけずに今日から着手できます。

Q. すべての端末に多要素認証を導入する余裕がありません

A. 一度に全端末へ対応する必要はありません。会計データ・顧客情報が集まるサーバーや重要PCから優先的に導入することで、限られた予算でも被害を大きく抑えられます。対象を絞れずに導入自体が止まることが、最も多い失敗です。

Q. ウイルス対策ソフトやUTMを入れていれば十分ではないですか？

A. 不十分です。これらは「不審なファイルや通信を止める」対策であり、盗まれた正規のID・パスワードによるログインは止められません。攻撃者は正しい認証情報で、正規の入口から入ってくるためです。

Q. クラウドサービスで多要素認証を有効にしていれば対応済みですか？

A. 対象がクラウドだけであれば不十分です。会計データ・顧客情報・共有ファイルが実際に保管されているのは社内のサーバーやPCであることが多く、そちらのログインがID・パスワードのみなら、被害が最も大きい場所が空いたままになります。

Q. これらの対策を怠るとどうなりますか？

A. ID・パスワードの漏洩を起点としたランサムウェア被害や、取引先を巻き込むサプライチェーン攻撃につながる恐れがあります。実害は情報漏洩そのものよりも、業務停止による売上の損失と、取引先からの信用の低下で大きくなります。

持ち出しによる情報漏えいを物理的に防ぐ設定として、USBメモリの制限があります。手順は USBメモリの使用をグループポリシーで禁止する手順を参照してください。

まずは無料診断で現状を把握する

チェックリストの項目が自社でどこまでできているかを個別に確認するのは負担が大きい作業です。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・パスワード窃取リスクと、国主導のSCS評価制度への対応状況をまとめて確認できます。