インターネットやクラウドサービスの普及により、中小企業や個人事業主にとっても、サイバー攻撃への備えが欠かせなくなっています。しかし、専任の担当者がおらず、「何から始めればよいか分からない」という方も多いのではないでしょうか。
この記事では、これからセキュリティ対策を始める中小企業や個人事業主に向けて、最低限取り組みたい対策をチェックリスト付きで紹介します。
＼はじめてのアシスタントサービスなら、月額2.75万円〜の「タスカル」🤗／
オンラインアシスタント「タスカル」は、経理や事務作業、Web・SNS更新などを丸投げOK！初期費用なし＆低コストの月額で始められるので、一人社長やフリーランスに選ばれています。
中小企業や個人事業主にもセキュリティ対策が必要な理由
不正アクセスによる顧客情報の流出やアカウントの乗っ取り、ランサムウェアによる業務の停止など、サイバー攻撃は企業の規模を問わず発生しています。中小企業や個人事業主であっても、こうした被害を防ぐためのセキュリティ対策は欠かせません。
特に、顧客情報や取引先の情報が流出した場合、自社だけでなく取引先にも被害が及ぶおそれがあります。顧客からの信頼低下や損害賠償請求につながる可能性もあるため、十分な対策ができていない場合は、まず基本的なセキュリティ対策から取り組むことが大切です。
【チェックリスト付】中小企業・個人事業主がまずチェックすべきセキュリティ対策
セキュリティ対策をこれから始める中小企業や個人事業主に向けて、最低限確認しておきたい項目をチェックリストにまとめました。
まずは、自社でどのような対策ができているかを確認しましょう。すべてを一度に実施するのが難しい場合は、できていない項目のうち、取り組みやすいものから始めることが大切です。
【チェックリスト】
□ OSやソフトウェア・機器を最新の状態にする
□ パスワードを適切に管理する
□ ウイルス対策機能を有効にする
□ データをバックアップする
□ 多要素認証を設定する
□ アクセス権を管理する
□ 無線LANの暗号化設定を確認する
□ 不審なメールの添付ファイルやURLを開かない
□ 機密情報を適切に廃棄する
□ 情報の持ち出しを管理する
OSやソフトウェア・機器を最新の状態にする
OSやソフトウェアには、セキュリティ上の欠陥である「脆弱性」が見つかることがあります。更新を放置すると、脆弱性を悪用したサイバー攻撃を受けるリスクが高まるため、最新の状態を保つことが大切です。
まずは、業務で使用しているパソコンのOSやブラウザ、ソフトウェアに更新がないか確認しましょう。自動更新を有効にしておくと、更新忘れを防ぎやすくなります。
また、パソコンだけでなく、Wi-Fiルーターやネットワークに接続しているプリンター、複合機なども更新が必要です。サポートが終了しているOSや機器については、買い替えや入れ替えも検討しましょう。
パスワードを適切に管理する
複数のサービスで同じパスワードを使い回していると、1つのサービスからパスワードが流出した際に、ほかのサービスにも不正ログインされるリスクがあります。
パスワードは、できるだけ長く、第三者に推測されにくいものを設定しましょう。また、複数のサービスで同じパスワードを使い回さないことも重要です。
業務用アカウントは従業員ごとに作成し、パスワードの共有は原則として避けましょう。複数のパスワードを安全に管理する方法として、パスワード管理ツールの活用もおすすめです。
なお、パスワードは定期的に変更することよりも、使い回しを防ぐことが重要です。パスワードの流出や不正利用が疑われる場合は、速やかに変更しましょう。
ウイルス対策機能を有効にする
ウイルス対策ソフトは、パソコンに侵入しようとする不正なプログラムを検知・防御するためのツールです。リアルタイム保護を有効にすることで、ウイルス感染などのリスクを軽減できます。
Windowsには、標準で「Microsoft Defender ウイルス対策」が搭載されています。まずは、業務で使用しているパソコンのウイルス対策機能が有効になっているか、最新の状態に更新されているかを確認しましょう。
標準機能だけでは管理が難しい場合や、複数の端末をまとめて管理したい場合は、必要に応じて追加のセキュリティ対策ソフトを検討するとよいでしょう。
データをバックアップする
ランサムウェアとは、パソコン内のデータを暗号化するなどして利用できなくし、復旧と引き換えに金銭を要求する悪質なプログラムです。
データのバックアップは、こうしたサイバー攻撃だけでなく、誤操作による削除や機器の故障に備えるうえでも重要です。
顧客情報や契約書、会計データなど、業務に必要なデータは、クラウドのバックアップサービスや外付けHDDなどを利用して定期的に保存しましょう。
ただし、クラウドストレージの同期機能だけでは、誤って削除したデータなどが同期先からも失われる場合があります。バックアップの保存先や復元方法を確認し、必要なときにデータを復元できるか、定期的に確かめておくことも大切です。
外付けHDDを利用する場合は、バックアップ時以外はパソコンから取り外して保管すると、ランサムウェアなどの被害が及ぶリスクを軽減できます。
多要素認証を設定する
多要素認証（MFA）とは、パスワードに加えて、認証アプリや生体認証など、異なる種類の認証要素を組み合わせて本人確認を行う方法です。
多要素認証を設定しておけば、万が一パスワードが流出した場合でも、第三者による不正ログインのリスクを軽減できます。
まずは、業務で使用しているメールアカウントやクラウドストレージ、会計ソフトなどで、多要素認証が有効になっているか確認しましょう。特に、顧客情報や機密情報を扱うサービスでは、優先的に設定することが大切です。
アクセス権を管理する
アクセス権の管理とは、業務に必要な人だけが情報を閲覧・編集できるように設定することです。適切に管理することで、情報漏洩や誤操作によるデータの削除などのリスクを軽減できます。
例えば、GoogleドライブやMicrosoft 365などでは、ユーザーごとに閲覧・編集などの権限を設定できます。
まずは、業務で使用しているサービスの共有設定を確認し、必要以上の権限が付与されていないか見直しましょう。
また、退職者や契約が終了した外部スタッフのアカウントが残っている場合は、速やかにアクセス権を削除することも重要です。必要な人だけが必要な情報にアクセスできる状態を保ちましょう。
無線LANの暗号化設定を確認する
オフィスや自宅で使用しているWi-Fi（無線LAN）も、適切なセキュリティ設定が必要です。暗号化設定が不十分な場合、第三者に通信内容を読み取られたり、ネットワークを不正利用されたりするおそれがあります。
無線LANの暗号化方式には、WEP、WPA、WPA2、WPA3などがあります。このうち、WEPやWPAは古い規格であり、現在は推奨されていません。
利用中のWi-Fiルーターが対応している場合は、安全性の高いWPA3を優先して設定しましょう。WPA3に対応していない機器では、WPA2（AES）の利用を検討します。
また、Wi-Fiの接続パスワードには推測されにくいものを設定し、ルーターの管理画面の初期パスワードも確認しておきましょう。
不審なメールの添付ファイルやURLを開かない
取引先や公的機関を装ったメールで、偽のWebサイトへのアクセスや添付ファイルの開封を促し、情報を盗んだり、ウイルスに感染させたりする手口があります。
メールの送信者や件名に見覚えがあっても、添付ファイルやURLを安易に開かないことが大切です。
不審なメールが届いた場合は、送信元のメールアドレスや文面を確認しましょう。メールに記載されたURLから直接アクセスするのではなく、公式サイトを検索してアクセスするなど、別の方法で確認することも有効です。
また、従業員が不審なメールを受信した場合に、誰に報告するかを決めておくと、被害の拡大防止につながります。
機密情報を適切に廃棄する
顧客情報や取引先の情報は、パソコン上のデータだけでなく、紙の書類にも含まれています。不要な書類をそのまま廃棄すると、第三者に持ち出され、情報が流出するおそれがあります。
個人情報や機密情報を含む書類は、そのままゴミに出さず、シュレッダーや溶解処理サービスなどを利用して、内容を読み取れない状態にしてから廃棄しましょう。
また、パソコンや複合機などの機器を処分する場合は、内部に保存されたデータにも注意が必要です。通常のファイル削除だけではデータが残る場合があるため、適切な方法でデータを消去することが大切です。
情報の持ち出しを管理する
業務データやパソコンを社外に持ち出す場合、紛失や盗難、画面ののぞき見などによって情報が流出するリスクがあります。
特に、リモートワークや外出先での業務が多い場合は、持ち出しに関するルールを決めておくことが重要です。
例えば、持ち出してよい端末やデータ、保存先などをあらかじめ定めておくと、情報の管理がしやすくなります。
また、持ち出すパソコンやスマートフォンには画面ロックを設定し、必要に応じて端末の暗号化や遠隔ロック機能なども活用しましょう。
中小企業や個人事業主がセキュリティ対策を進めるためのポイント
セキュリティ対策では、技術的な設定だけでなく、社内で守るべきルールや管理体制を整えることも重要です。専任担当者がいない中小企業や個人事業主でも取り組める、セキュリティ対策を進めるための3つのポイントを紹介します。
社内のセキュリティルールを設定・周知する
情報漏洩は、従業員の人為的なミスや不注意によって発生することもあります。セキュリティ対策を徹底するためには、従業員全員が守るべきルールを決め、共有することが大切です。
例えば、次のようなルールが考えられます。
- 外出先のフリーWi-Fiを利用する際は、機密情報を扱わない
- 業務データを私物のパソコンやUSBメモリに無断で保存しない
-
離席時はパソコンの画面をロックする
基本的な内容でも、ルールを明確にすることで、従業員ごとの対応のばらつきを減らせます。
小規模な会社でも、ルールを口頭で伝えるだけでなく、文書にまとめて共有し、必要に応じて見直すようにしましょう。
セキュリティ対策の担当者を決めておく
小規模な会社では、従業員全員がセキュリティに気を付けていても、対策状況を誰が確認するのか決まっていないケースがあります。
セキュリティ対策を継続するためには、社内の管理担当者を決めておくことが大切です。
担当者は、必ずしもITの専門家である必要はありません。経営者や総務担当者などが兼任し、社内ルールの運用状況やセキュリティ対策の実施状況を定期的に確認する方法もあります。個人事業主の場合は、自分で確認する項目やタイミングを決めておくとよいでしょう。
例えば、従業員の入退社時にアカウントの追加・削除やアクセス権の見直しが必要になるため、人事・労務関連の業務とあわせて管理するのも方法のひとつです。
トラブル発生時の対応や窓口を決めておく
セキュリティトラブルが発生した際に、対応方法や報告先が決まっていないと、初動が遅れ、被害が拡大するおそれがあります。
例えば、不審なメールのURLを開いてしまった場合や、業務用パソコンを紛失した場合などに、誰へ連絡するのかをあらかじめ決めておきましょう。
社内の報告先だけでなく、ITベンダーやクラウドサービスのサポート窓口など、外部の連絡先も整理しておくと安心です。
また、トラブル発生時の初動対応や、顧客・取引先への連絡が必要となる場合の判断方法についても、事前に確認しておくことが大切です。
セキュリティ対策に関する事務作業は外部への依頼も検討しよう
従業員が少ない会社では、セキュリティ対策の専任担当者を置くことが難しく、日々の業務に追われて管理が後回しになるケースもあるでしょう。
セキュリティ対策には専門的な知識を要する作業もありますが、社内ルールの文書化やチェックリストの作成・更新、従業員向け資料の作成など、事務的な作業も発生します。
こうした業務は、必要に応じてオンラインアシスタントなどの外部サービスを活用するのも方法のひとつです。
ただし、セキュリティ対策の方針やアクセス権の設定などは自社で適切に判断し、専門的な技術対応が必要な場合はITベンダーなどに相談しましょう。
まずはすぐに取り組めるセキュリティ対策から始めよう
セキュリティ対策は、一度に完璧を目指す必要はありません。まずは、OSやソフトウェアの更新、パスワードの適切な管理、多要素認証の設定など、基本的な対策から取り組みましょう。
また、対策を継続するには、社内ルールの整備や定期的な見直しも大切です。こうした事務作業に手が回らない場合は、マニュアル作成や資料整理などをサポートするオンラインアシスタント「タスカル」への相談もご検討ください。
