中小企業のセキュリティ、何から始めればいい？コスト0円からできる5つの対策

よくある悩み

「セキュリティ対策をしなければいけないのはわかっているが、何から手をつければいいかわからない」「予算も人もいないのに対策できるのか」——中小企業の経営者やIT担当者からよく聞く悩みです。安心してください。コスト0円で今日からできる対策から始めましょう。

コスト0円で今日からできる3つの対策

① MFA（多要素認証）を有効にする

M365をお使いなら、管理センターから「セキュリティの既定値群」を有効にするだけで全ユーザーにMFAが適用されます。所要時間は5分。これだけで不正アクセスの99.9%をブロックできます。追加費用はゼロです。

② Windows Updateを最新にする

全社員のPCでWindows Updateを実行してもらうだけです。既知の脆弱性の大半はアップデートで修正されます。「更新を後回しにしない」ルールを周知しましょう。

③ メールのSPF/DKIM/DMARCを設定する

ドメインのDNS設定でSPFレコード、DKIMレコード、DMARCレコードを追加します。なりすましメールの送信を防止し、自社ドメインの信用を守ります。設定自体は無料で、DNSの管理画面から行えます。

M365 Business Premiumで追加できる対策

Business StandardからPremiumへのアップグレードは1人あたり月額約750円の差額です（50名で月約3.75万円）。この差額で以下が追加されます。

• 条件付きアクセス：場所・デバイスに基づくアクセス制御
• Intune：PCのリモート管理、Windows Update統制、紛失時のリモートワイプ
• Defender for Business：EDR（次世代型ウイルス対策）

セキュリティの専門製品を個別に購入するより圧倒的に安く、ゼロトラストの基盤を構築できます。

SECURITY ACTION宣言の手順

IPAの「SECURITY ACTION」は中小企業が自ら情報セキュリティ対策に取り組むことを宣言する制度です。★1（一つ星）はIPAの「5か条」に取り組むだけで宣言でき、IT導入補助金の加点要件にもなります。

• ★1：IPAの情報セキュリティ5か条に取り組む → 自己宣言するだけ（無料）
• ★2：情報セキュリティ基本方針を策定・公開 → IPAテンプレートで作成可能（無料）

さらに進む場合

基本対策が完了したら、以下のステップに進みます。

• 情報セキュリティポリシーの策定（→ 策定ガイド）
• 従業員向けセキュリティ教育（年1回）
• サイバー保険の検討（→ 加入ガイド）
• 外部セキュリティ診断（年1回）

よくある質問

予算がなくてもできる対策はありますか？

あります。①MFAの有効化（M365なら管理センターから「セキュリティの既定値群」を有効にするだけ、所要5分、追加費用ゼロ）、②Windows Updateの最新化、③メールのSPF/DKIM/DMARC設定（DNS管理画面から無料で設定可能）の3つです。

MFAはどのくらい効果がありますか？

Microsoftは多要素認証によりアカウント侵害の大半を防げるとしています。パスワードだけの認証に比べ、フィッシングでパスワードが漏れても不正ログインを防げるため、コスト対効果が最も高い対策です。

Business Premiumにすると何が追加できますか？

場所・デバイスに基づく条件付きアクセス、PCのリモート管理とWindows Update統制・紛失時のリモートワイプができるIntune、EDR（次世代型ウイルス対策）であるDefender for Businessが使えるようになります。

SECURITY ACTIONはどう宣言しますか？

★1はIPAの情報セキュリティ5か条に取り組むことを自己宣言するだけで無料です。★2は情報セキュリティ基本方針を策定・公開する必要がありますが、IPAのテンプレートで作成でき、こちらも費用はかかりません。

まとめ

セキュリティ対策は「MFAの有効化」から始めてください。コスト0円・所要時間5分で、最も効果の高い対策が完了します。次にWindows Update、SPF/DKIM/DMARC。Business Premiumへのアップグレード（月750円/人の差額）で条件付きアクセス＋Intune＋EDRが追加され、ゼロトラストの基盤が整います。