IPA（情報処理推進機構）は、2026年7月に「中小企業の情報セキュリティ対策ガイドライン」の第4.0版を公開しました。約3年ぶりの改訂です。
改訂の背景には、ランサムウェアによって被害が情報漏えいにとどまらず事業の停止にまで広がったこと、取引先を含むサプライチェーン全体での対策が求められるようになったこと、中小企業でセキュリティを担う人材が足りないことが挙げられています。
ガイドラインには、次のような事例が紹介されています。
ある建設業の会社では、VPN機器から侵入され、パソコンとファイルサーバーがランサムウェアに感染しました。
復旧の訓練をしていたため、基幹システムは5日で戻せましたが、ほかの社内システムの再開には41日かかり、社内のファイルの一部は失われました。調査と復旧、再発防止にかかった費用は約2.5億円以上です。
この会社は、感染の1か月前にVPN機器の入れ替えを議論していましたが、後継機種を待つと決めた間に侵入を許していました。
この記事では経営者に向けて、ガイドラインの要点と、経営者でなければ決められないことを、当社の視点で整理します。ネットワークの具体的な対策は、情報システムの担当者向けの記事で取り上げています。
ガイドラインは、経営者が認識すべき「3原則」と、経営者が担当者に指示すべき「重要7項目の取組」を挙げています。要点は次のとおりです。
| 3原則 | 要点 |
|---|---|
| 経営者が主導する | 対策は現場任せにせず、経営者が判断して進める |
| 委託先まで考える | 委託先で情報が漏れても、委託元としての責任を問われる |
| 関係者と日頃から話す | 対策と事故のときの対応を、顧客や取引先に説明できるようにしておく |
重要7項目の取組は、次の7つです。
組織全体の方針を定める
予算と人材を確保する
必要な対策を検討させ、実行を指示する
対策を定期的に見直させる
緊急時の対応と復旧の体制を整える
委託先や外部サービスとの責任を明確にする
最新の動向を集める
重要7項目を実際に動かすには、担当者に「対策をしておいて」と頼むだけでは足りません。次の5つは、経営者でなければ決められないことです。
| 止まったら困るものを決める | 受注、生産、会計、顧客とのやり取りなど、止まったら事業が続かない業務と、それを支えるシステムやデータを挙げ、優先順位を付けます。何日まで止まっても耐えられるかも決めます。 事例の会社は基幹システムを5日で戻せましたが、それ以外の再開には1か月以上かかりました。どこから先に戻すかを決めておかないと、復旧の順番で迷います。 |
|---|---|
| 予算と人を続けて確保する | 対策は一度で終わりません。機器やサービスの費用に加えて、更新や監視を続ける人の手間を、毎年の予算として確保します。 社内に専任の担当者を置けない場合は、監視や一次対応を外部に任せる判断も、経営者の役割です。 |
| 古い機器の入れ替えを先送りしない | 事例の会社は、VPN機器の入れ替えを議論しながら、後継機種を待つと決めた間に侵入されました。サポートや更新が終わった機器、終わりが近い機器の入れ替えを「次の予算で」と先送りすると、それ自体が大きなリスクになります。 |
| 委託先や取引先との線引きを決める | システムの保守を任せている業者、クラウドサービス、取引先との間で、誰が何を守るのかを契約で明確にします。障害や侵入が起きたときに、誰がいつまでに何をするかも決めておきます。 |
| 止まったときの判断の順番を決める | 侵入が分かったときに、ネットワークを切り離すか、業務を止めるか、取引先や顧客、関係機関にいつ知らせるかは、経営者が判断します。誰に連絡が届き、誰が決めるのかを平時に決め、訓練しておきます。 |
ガイドラインは、最初からすべてをそろえるのではなく、段階を踏んで進めることを勧めています。
| 段階 | やること | 目安 |
|---|---|---|
| できるところから始める | 「情報セキュリティ6か条」を実行する（OSとソフトウェアの更新、ウイルス対策、パスワードの強化、共有設定の見直し、バックアップ、攻撃の手口を知る） | SECURITY ACTIONの一つ星を自己宣言できる |
| 組織として取り組む | 自社診断で現状を把握し、基本方針を作って社内に周知する | 二つ星を自己宣言できる |
| 本格的に取り組む | 規程の整備、情報資産の管理、防御と検知の仕組み、インシデント対応の体制、取引先の管理 | SCS評価制度の★3・★4に相当 |
第4.0版では、6か条に「バックアップを取ろう！」が加わりました。ランサムウェアでデータを暗号化されても、事業を戻せるようにするためです。
1段目は大きな費用をかけずに始められますが、2段目から先は、機器の入れ替えや監視の体制など、予算と人が要ります。前の節で決めた優先順位に沿って、止まったら困るところから進めます。
経済産業省などは、サプライチェーンを構成する企業の対策の水準を評価する「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の整備を進めています。2026年度下期の開始を目指していて、専門家の確認付きの自己評価である★3と、第三者による評価である★4が設けられる予定です。
制度が始まれば、取引先から★3や★4を求められる場面が出てくると考えられます。今のうちに段階を進めておけば、求められたときに慌てずに済みます。制度のしくみは、SCS評価制度の記事で整理しています。