情報セキュリティの脅威とは？中小企業が対策を選ぶ順番

この記事の内容

1. 情報セキュリティの脅威とは何か
2. 会社に影響する主な脅威と入口
3. 機器・アカウント・データを洗い出す
4. 起きやすさと事業への影響で優先順位を決める
5. 最初の対策と見直し方

情報セキュリティの脅威とは、会社の情報が漏れる、書き換えられる、必要なときに使えなくなる原因となる出来事です。中小企業では、脅威の順位だけで対策を選ばず、自社の機器・アカウント・データを洗い出し、起きやすさと事業への影響を見て優先順位を決めます。最初は更新、認証、バックアップ、権限、連絡体制など、複数の脅威に効く基本から確認します。

情報セキュリティの脅威とは何か

脅威には、外部からの攻撃のほか、誤送信や設定ミス、機器の故障などもあります。脆弱性や管理の不足につけ込まれると、顧客情報の流出、資料の改ざん、業務の停止といった被害につながります。脅威の名前を覚えることより、自社のどの情報や業務が影響を受けるかを考えることが大切です。

IPA の情報セキュリティ10大脅威 2026は、前年の事案を踏まえて選ばれた組織向けの脅威を知る資料です。組織編の順位は、個々の会社で先に対策すべき順番や危険度を示すものではありません。過去の順位を扱った記事は情報セキュリティ10大脅威 2023 から学ぶことにあります。ここでは年次の順位ではなく、会社で対策を決める手順を説明します。

会社に影響する主な脅威と入口

同じ脅威でも、扱う情報や業務の止まり方によって影響は変わります。自社で使っていない仕組みへの対策を先に買うより、実際の入口と守る対象を確認します。

機器・アカウント・データを洗い出す

まず、業務を止められない順に、顧客情報、受発注データ、会計資料、共有フォルダー、メールなどを挙げます。各情報について、保存場所、使う人、管理する人、外部と共有しているか、失ったときに復旧できるかを書き出します。次に、それらへ接続するパソコン、サーバー、クラウドサービス、管理者アカウントを確認します。

IPA の中小企業の情報セキュリティ対策ガイドライン第4.0版は、情報資産の洗い出し、リスク値の算定、対策の決定という順番を示し、資産管理台帳の例も公開しています。全てを一度に調べられない場合は、止まると業務や取引先への影響が大きい情報から始めます。

起きやすさと事業への影響で優先順位を決める

情報ごとに、漏えい・改ざん・利用停止が起きた場合の影響を考えます。その上で、外部から使える状態か、更新が遅れていないか、権限が広すぎないか、復旧できるかを確認します。IPA のガイドラインも、情報の重要度と被害発生可能性を使ってリスクを見積もる方法を示しています。

表は判断の例であり、全社に共通する順位ではありません。顧客への影響、取引先との約束、止められない業務は、情報の責任者と経営者を交えて確認します。

最初の対策と見直し方

• 更新する……パソコン、サーバー、ルーター、業務ソフトの更新状況と担当者を決めます。
• アカウントを守る……使っていないアカウントを止め、管理者権限を必要な人に絞り、利用できるサービスでは多要素認証を使います。
• 戻せるようにする……重要なデータのバックアップを取り、実際に復元できるかを確かめます。
• 共有を絞る……情報を使う人と外部共有を確認し、不要な権限やリンクを外します。
• 連絡を決める……不審なメール、紛失、感染が疑われるときの社内の連絡先と初動の担当を決めます。

IPA の中小企業向けガイドラインは、まず取り組む基本対策としてバックアップも挙げています。対策を実施した後は、担当者、実施日、未対応の点を記録します。機器やサービスの追加、担当者の変更、取引先との共有方法の変更があったときに見直し、定期的にも情報資産の一覧と対策を照らし合わせます。

インフィニティの会社サイトから

会社のITを任されている方へ

このサポートサイトを書いているインフィニティは、会社のITの決めごとをコラムと解説動画にまとめています。

• インフィニティのコラムなりすましメール対策。DMARCを設定する順番
• 解説動画・第17回・約20分セキュリティ設定。多要素認証とセキュリティの既定値群
• 7問で確かめる無料・登録なし7問のIT診断