中小企業がサイバー攻撃の標的になる時代において、「何もしない」はもはや選択肢ではありません。まずはMFAの全社導入から始め、バックアップ体制の確認、EDRの導入と段階的に対策を強化しましょう。5つの対策を着実に実施するだけで、セキュリティリスクは劇的に低減できます。
中小企業に対するサイバー攻撃の実態
「サイバー攻撃の標的になるのは大企業だけ」——これは過去の常識です。警察庁の統計によれば、ランサムウェアの被害報告のうち約半数が中小企業からのものです。攻撃者にとって中小企業は「セキュリティが甘く、身代金を払いやすい」格好のターゲットなのです。
被害の実態は深刻です。ランサムウェアに感染した中小企業では、業務データが暗号化されて数日〜数週間の業務停止に追い込まれるケースが相次いでいます。復旧に要するコストは平均で数百万円〜数千万円に達し、中には廃業に追い込まれた企業もあります。
また、直接的な攻撃だけでなく、サプライチェーン攻撃も増加しています。大企業のセキュリティは堅固でも、取引先の中小企業を踏み台にして侵入する手口が増えており、自社が加害者側になるリスクもあります。
なぜ中小企業が狙われるのか
- セキュリティ投資の不足 — 専任のセキュリティ担当者がいない。対策が「ウイルスソフトだけ」の企業が多い
- 古いシステムの放置 — Windows Serverの旧バージョン、パッチ未適用のVPN装置など、既知の脆弱性が放置されている
- セキュリティ意識の低さ — フィッシングメールの見分け方を知らない社員が多く、1クリックで被害に
- 認証の甘さ — 単純なパスワード、パスワードの使い回し、多要素認証（MFA）未導入
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →最低限やるべきセキュリティ対策5選
対策①：多要素認証（MFA）の全社導入【最優先】
コスト対効果が最も高いセキュリティ対策です。Microsoft 365やGoogle Workspaceには標準でMFA機能が搭載されており、追加コスト0円で導入できます。MFAを導入するだけで、アカウント乗っ取りのリスクを99.9%以上削減できるとMicrosoftは発表しています。
SMS認証よりもMicrosoft AuthenticatorやGoogle Authenticatorなどの認証アプリの利用を推奨します。SIMスワップ攻撃のリスクを回避できるためです。
対策②：定期的なバックアップと復旧テスト
ランサムウェア対策の最後の砦がバックアップです。ポイントは「3-2-1ルール」の遵守です。
- 3つのコピーを保持（本番データ＋2つのバックアップ）
- 2種類の異なるメディアに保存（クラウド＋外部HDD等）
- 1つはオフサイト（物理的に離れた場所）に保管
バックアップを取っていても、復旧テストを実施していなければ意味がありません。四半期に1回は復旧手順の検証を行いましょう。
対策③：エンドポイント保護（EDR）の導入
従来のウイルス対策ソフトは「既知のマルウェアのパターン」に基づいて検知するため、新種の攻撃には対応できません。EDR（Endpoint Detection and Response）は、端末の挙動を監視して異常を検知する次世代のセキュリティ対策です。
Microsoft 365 Business Premiumに含まれるMicrosoft Defender for Businessは、中小企業向けに設計されたEDRです。1ユーザーあたり月額約3,000円の追加で、エンタープライズレベルのエンドポイント保護を得られます。
対策④：OSとソフトウェアの自動アップデート
既知の脆弱性を突いた攻撃は、パッチを適用していれば防げたものが大半です。Windows UpdateやSaaS各種のアップデートを自動適用に設定し、パッチ適用の遅延を最小限に抑えましょう。特にVPN装置やルーターのファームウェア更新は見落とされがちですが、これが原因での侵入被害は非常に多いです。
対策⑤：社員向けセキュリティ研修
技術的な対策だけでは不十分です。フィッシングメールの91%は人的ミスから被害に発展します。年に1〜2回のセキュリティ研修を実施し、以下の内容を周知しましょう。
- フィッシングメールの見分け方（送信元アドレス、リンク先URLの確認）
- 不審なメールを受信した際の報告フロー
- パスワード管理のルール（使い回し禁止、パスワードマネージャーの活用）
- フリーWi-Fi利用時のリスクとVPNの使い方
IPAの情報セキュリティ5か条
何から手を付けるか迷う場合は、IPA（情報処理推進機構）が中小企業向けに示している「情報セキュリティ5か条」が出発点になります。SECURITY ACTION（一つ星）の宣言要件でもあります。
- ① OSやソフトウェアは常に最新の状態にする
- ② ウイルス対策ソフトを導入する
- ③ パスワードを強化する
- ④ 共有設定を見直す
- ⑤ 脅威や攻撃の手口を知る
ここから一段進んだ取組みは IPA 中小企業の情報セキュリティ対策ガイドライン第4.0版、取引先から格付けを求められている場合は SCS評価制度 総合ガイド をご覧ください。
優先度順の実施計画10施策
前章の5選を含め、実務で着手する順に10施策を並べると次のようになります。上から順に実施すれば、費用対効果の高いものから片付きます。
| 優先度 | 施策 | 効果 | コスト |
|---|---|---|---|
| 1 | MFA（多要素認証）の全ユーザー適用 | 不正アクセスの大半をブロック | 無料（M365に含む） |
| 2 | Windows／ソフトウェアの自動更新 | 既知の脆弱性を解消 | 無料 |
| 3 | EDR（Defender for Business）の導入 | ランサムウェア等の検知・対応 | Business Premiumに含む |
| 4 | バックアップの3-2-1ルール実施 | ランサムウェア被害からの復旧 | 月額数千〜数万円 |
| 5 | メールセキュリティ（SPF／DKIM／DMARC） | なりすましメールの防止 | 無料（DNS設定のみ） |
| 6 | 条件付きアクセスの設定 | 場所・デバイスに基づくアクセス制御 | Business Premiumに含む |
| 7 | 従業員向けセキュリティ教育 | フィッシング被害の防止 | 年1回 数万円〜 |
| 8 | 退職者アカウントの即時無効化 | 内部不正・情報漏洩の防止 | 無料（運用ルールの整備） |
| 9 | 情報セキュリティポリシーの策定 | 組織としてのルールの明文化 | IPAテンプレートで無料 |
| 10 | インシデント対応手順の策定 | 事故発生時の迅速な対応 | 無料（手順書の作成） |
このうち1〜3と5〜6は Microsoft 365 Business Premium に含まれており、追加コストなしで実施できます。Business Standardをご利用の場合、最大の投資判断は「Premiumへのアップグレード」になります。ポリシーの作り方は 情報セキュリティポリシーの作り方、事故時の手順は インシデント対応ガイド にテンプレートがあります。
対策にかかるコスト感
| 対策 | コスト目安 | 備考 |
|---|---|---|
| 多要素認証（MFA） | 0円 | M365 / Google Workspace標準機能 |
| バックアップ | 月額5,000〜30,000円 | クラウドバックアップサービス利用時 |
| EDR | 月額2,000〜3,500円/人 | Defender for Business等 |
| 自動アップデート設定 | 0円（設定作業のみ） | Intune等でポリシー配布 |
| セキュリティ研修 | 10〜30万円/回 | 外部講師活用時。自社実施なら無料 |
50名の企業であれば、月額15〜20万円程度で上記5つの対策を網羅できます。ランサムウェア被害の平均復旧コストが数百万〜数千万円であることを考えれば、圧倒的にコストパフォーマンスの高い投資です。
情シス365のSecurity365プランでは、セキュリティ運用をSOCライトとして代行。MFAの全社展開、EDR運用監視、インシデント対応までカバーします。
→ 情シス365の詳細を見る
よくある質問
中小企業も本当に狙われるのですか？
狙われます。警察庁の統計によれば、ランサムウェアの被害報告のうち約半数が中小企業からのものです。攻撃者にとって中小企業は「セキュリティが甘く、身代金を払いやすい」ターゲットになっています。
なぜ中小企業が狙われるのですか？
専任のセキュリティ担当者がおらず対策が「ウイルスソフトだけ」というセキュリティ投資の不足、Windows Serverの旧バージョンやパッチ未適用のVPN装置といった古いシステムの放置、そしてセキュリティ意識の低さが理由です。
最低限やるべき対策は何ですか？
①MFAの全社導入（M365やGoogle Workspaceに標準搭載され追加コスト0円で導入でき、コスト対効果が最も高い）、②定期的なバックアップと復旧テスト（3-2-1ルール）、③EDRの導入、④OSとソフトウェアの自動アップデート、⑤社員向けセキュリティ研修の5つです。
パッチ適用で見落としがちなものは？
VPN装置やルーターのファームウェア更新です。既知の脆弱性を突いた攻撃はパッチを適用していれば防げたものが大半ですが、これらの機器は更新が後回しになりがちで、実際に侵入経路として悪用されています。
まとめ
中小企業がサイバー攻撃の標的になる時代において、「何もしない」はもはや選択肢ではありません。まずはMFAの全社導入から始め、バックアップ体制の確認、EDRの導入と段階的に対策を強化しましょう。5つの対策を着実に実施するだけで、セキュリティリスクは劇的に低減できます。