情報セキュリティ5か条とは？中小企業が今すぐ始めるべき基本対策と実践手順
デジタル化が進む中で、中小企業を狙ったサイバー攻撃が急増しています。IPAが2025年2月に発表した調査によると、過去3期内でサイバーインシデントが発生した中小企業における被害額の平均は73万円、復旧までに要した期間の平均は5.8日という深刻な実態が明らかになりました。また、帝国データバンクの調査ではサイバー攻撃を受けた経験がある企業は全体の32.0%に上り、中小企業の30.3%が被害を経験しています。
しかし、多くの中小企業では「何から始めればいいのかわからない」という声が聞かれます。そこで重要となるのが、独立行政法人情報処理推進機構（IPA）が策定した「情報セキュリティ5か条」です。専門的な知識がなくても実践できる基本指針として、中小企業のセキュリティ対策の出発点となる重要な取り組みです。
本記事では、情報セキュリティ5か条の各項目について、実務で直面する具体的な課題とその解決策を交えながら、実践的な観点から解説していきます。
情報セキュリティ5か条とは
情報セキュリティ5か条は、経済産業省のIT政策実施機関である独立行政法人情報処理推進機構（IPA）が、中小企業・小規模事業者に向けて策定した基本的なセキュリティ対策の指針です。SECURITY ACTIONという自己宣言制度の「★一つ星」を取得する際の実施項目としても位置づけられており、組織規模を問わず最低限実行すべき5つの対策事項をまとめています。
5か条の内容は次のとおりです。
OSやソフトウェアは常に最新の状態にしよう
ウイルス対策ソフトを導入しよう
パスワードを強化しよう
共有設定を見直そう
脅威や攻撃の手口を知ろう
一見すると基本的な内容に思えますが、経済産業省の調査では、サイバーインシデントにより取引先に影響が及んだ企業は約7割に達しており、基本対策の不徹底がサプライチェーン全体に波及するリスクが浮き彫りになっています。
ここで重要なのは、各条項を単なるチェックリストとして捉えるのではなく、自社の業務フローやIT環境に即して具体的な実施手順に落とし込むことです。では、各条項について詳しく見ていきましょう。
第1条：OSやソフトウェアは常に最新の状態にしよう
OSやソフトウェアに脆弱性が見つかると、製造元は修正プログラム（セキュリティパッチ）を提供します。しかし、これを適用せずに古いバージョンを使い続けると、その脆弱性を狙った攻撃を受けるリスクが高まります。
なぜ更新が必要なのか
IPAの調査によれば、不正アクセスされた企業の48.0%が脆弱性を突かれています。攻撃者は公開された脆弱性情報をもとに、パッチ未適用のシステムを標的とします。特にVPN機器やリモートアクセスツールの脆弱性は、テレワーク環境の急速な普及に伴い格好の攻撃対象となっています。
実際、2024年に発生した中小企業のランサムウェア被害は前年から37%増加しており、その多くは既知の脆弱性を突かれたものでした。パッチ適用という基本的な対策を怠ったことで、データの暗号化や業務停止という深刻な被害につながっています。
実践のポイント
更新を確実に行うためには、次のような仕組みづくりが有効です。
自動更新の活用と管理
Windows UpdateやmacOSのソフトウェア・アップデートは自動更新を有効にしましょう。ただし、業務システムとの互換性を確認する必要がある場合は、テスト環境での検証後に本番環境へ適用するプロセスを定めます。更新の適用タイミングは業務時間外に設定し、翌営業日の始業前に動作確認を行う運用が理想的です。
脆弱性チェックツールの利用
IPAが提供するMyJVN バージョンチェッカを使えば、利用中のソフトウェアに脆弱性が存在しないかを定期的に確認できます。月に1回程度、担当者を決めてチェックする習慣をつけるだけでも、見落としによるリスクを大幅に減らせます。
サポート終了製品への対応
製造元のサポートが終了した製品はセキュリティパッチが提供されなくなります。Windows 7やOffice 2010など、サポート終了済みのソフトウェアを使い続けているケースは珍しくありませんが、これは常に脆弱性にさらされている状態です。移行計画を立て、早めにサポート対象製品へ更新することが求められます。
ファームウェアの更新も忘れずに
意外と見落とされがちなのが、ルーターやNAS（ネットワーク接続型ストレージ）、複合機などのファームウェアです。これらの機器も定期的にメーカーサイトで更新情報を確認し、適用しましょう。特にインターネットに直接接続されている機器は優先度が高くなります。
第2条：ウイルス対策ソフトを導入しよう
ウイルス対策ソフトは、マルウェアの侵入を検知・ブロックする最も基本的な防御策です。しかし、導入しているだけでは不十分で、適切な設定と運用が必要です。
ウイルス対策の重要性
近年のマルウェアは高度化しており、パソコンを遠隔操作したり、データを勝手に暗号化して身代金を要求したりする「ランサムウェア」が猛威を振るっています。警察庁の統計によると、2024年のランサムウェア被害の約6割が中小企業で発生しています。
ウイルス対策ソフトを導入していない、あるいは有効期限が切れている状態で被害に遭うと、企業としてのセキュリティ責任を果たしていなかったとして、賠償責任を問われる可能性も高まります。
実践のポイント
統合型セキュリティ対策の検討
従来型のアンチウイルスソフトに加え、最近では「統合型セキュリティ対策ソフト」が普及しています。これは、ウイルス対策に加えて、ファイアウォール、不正侵入検知、Webフィルタリングなど複数の機能を統合したものです。規模の小さな企業では、個別に複数の製品を導入・管理するよりも、統合型の方が運用負荷を抑えられます。
定義ファイルの自動更新
ウイルス対策ソフトは、新しい脅威に対応するため「定義ファイル」を日々更新しています。この更新が止まると新種のマルウェアを検知できなくなるため、必ず自動更新を有効にしてください。また、定期的に更新状況を確認し、エラーが発生していないかチェックする仕組みも必要です。
リアルタイムスキャンの有効化
ファイルのダウンロードやUSBメモリの接続時に自動でスキャンする「リアルタイムスキャン」機能を必ず有効にしましょう。定期スキャンと組み合わせることで、侵入経路を多重に監視できます。
OS標準機能の活用
Windows 10/11には「Windows Defender」というセキュリティ機能が標準搭載されています。予算的に有償製品の導入が難しい場合でも、これらの標準機能を確実に有効化し、適切に設定することで一定のセキュリティレベルを確保できます。ただし、より高度な脅威への対応や管理機能が必要な場合は、有償製品の検討も視野に入れましょう。
第3条：パスワードを強化しよう
パスワードが推測や解析されたり、Webサービスから流出したID・パスワードが悪用されたりすることで、不正ログイン被害が後を絶ちません。強固なパスワード管理は、あらゆるシステムやサービスを守る基盤となります。
パスワードの脆弱性がもたらすリスク
簡単なパスワードや使い回しは、攻撃者にとって格好の標的です。例えば、あるサービスで流出したパスワードを使って他のサービスへの不正ログインを試みる「パスワードリスト攻撃」は非常に一般的な手口です。
また、誕生日や社名を含むパスワード、「password123」のような単純な文字列は、自動化ツールによる総当たり攻撃（ブルートフォース攻撃）で容易に破られてしまいます。不正ログインが成功すると、機密情報の窃取、取引先への不正メール送信、金銭の不正送金など、深刻な被害につながります。
実践のポイント
強固なパスワードの作成
パスワードは10文字以上で、大文字・小文字・数字・記号を組み合わせて作成します。名前、電話番号、誕生日、辞書に載っている単語などは避けましょう。ランダムに生成された文字列が理想的ですが、覚えにくい場合は「複数の無関係な単語を記号でつなぐ」手法も有効です（例：Coffee!Tree#Sky9）。
重要なのは「長さ」です。12文字以上にすることで、総当たり攻撃に対する耐性が飛躍的に向上します。
パスワード管理ツールの活用
複数のサービスで異なるパスワードを使い分けることは必須ですが、すべてを記憶するのは現実的ではありません。そこで有効なのがパスワード管理ツールです。1PasswordやBitwardenなどのツールを使えば、マスターパスワード1つで複数のパスワードを安全に管理でき、自動入力機能により利便性も確保できます。
企業で導入する場合は、チーム機能を持つ製品を選ぶことで、退職者のアカウント管理や権限変更もスムーズに行えます。
多要素認証（MFA）の導入
パスワードに加えて、SMSやアプリで生成されるワンタイムコード、生体認証などを組み合わせる多要素認証は、セキュリティを大幅に強化します。たとえパスワードが漏洩しても、第2の認証要素がなければログインできないため、不正アクセスを防げます。
クラウドサービスやリモートアクセスツールでは多要素認証が提供されていることが多いので、必ず有効化しましょう。
定期的なパスワード変更の見直し
従来は「定期的なパスワード変更」が推奨されていましたが、最近では考え方が変わってきています。頻繁な変更を強制すると、ユーザーが覚えやすい簡単なパスワードにしたり、小さな変更で済ませたりする傾向があり、かえってセキュリティが低下する可能性があるためです。
現在の推奨は「強固なパスワードを設定し、漏洩の疑いがある場合や退職者が出た際に変更する」という方針です。ただし、組織のポリシーとして定期変更を採用している場合は、それに従いましょう。
第4条：共有設定を見直そう
ファイルサーバーやクラウドストレージの共有設定が不適切だと、機密情報が関係者以外に閲覧・編集される危険性があります。アクセス権限の管理は、情報漏洩を防ぐ重要な防御線です。
共有設定の不備がもたらすリスク
「うっかりミス」による情報漏洩は珍しくありません。例えば、クラウドストレージで共有リンクを生成する際、公開範囲を「リンクを知っている全員」に設定してしまい、本来閲覧すべきでない人に機密情報が渡ってしまうケースです。また、退職者のアカウントが削除されずに残っていると、その元従業員が引き続き社内データにアクセスできる状態が続きます。
共有設定の不備は、外部からの攻撃だけでなく、内部関係者による意図的・非意図的な情報持ち出しのリスクも高めます。
実践のポイント
必要最小限の原則
アクセス権限は「業務に必要な人に、必要な範囲だけ」という原則で設定します。全社員が全ファイルにアクセスできる状態は避け、部門やプロジェクトごとにフォルダを分け、適切な権限を付与しましょう。
編集権限と閲覧権限を明確に区別することも重要です。閲覧のみで十分な場合は、誤操作や意図的な改ざんを防ぐため、読み取り専用権限を設定します。
定期的な棚卸し
人事異動や組織変更があった際は、アクセス権限の見直しが必須です。しかし、日々の業務に追われて後回しになりがちです。四半期に1回など定期的に「誰がどのファイルにアクセスできるか」を確認し、不要な権限を削除する運用を確立しましょう。
特に退職者のアカウントは、退職日当日に無効化することが原則です。引き継ぎのために一定期間アクセスを許可する場合でも、期限を明確にし、その後は確実に削除します。
クラウドサービスの設定確認
Google DriveやMicrosoft OneDrive、Dropboxなどのクラウドストレージを利用している場合、共有リンクの設定に注意が必要です。社外との共有が必要な場合でも、パスワード保護や有効期限の設定を活用し、不要になったら速やかにリンクを無効化します。
また、管理者は定期的に「組織外に共有されているファイル」のレポートを確認し、意図しない公開がないかチェックしましょう。
ファイルサーバーの監査ログ
誰がいつどのファイルにアクセスしたかを記録する監査ログを有効にしておくと、万が一情報漏洩が疑われる際の原因究明に役立ちます。また、定期的にログを確認することで、不審なアクセスパターンを早期に発見できる可能性があります。
第5条：脅威や攻撃の手口を知ろう
サイバー攻撃の手口は日々巧妙化しています。脅威や攻撃手法を知らないことは、自己防衛が難しくなることを意味します。最新の情報を継続的に収集し、組織全体で共有する体制が求められます。
なぜ攻撃手口を知る必要があるのか
標的型攻撃メールは、本物の業務メールを装って受信者を騙し、偽のURLやマルウェア付きファイルを開かせる手法です。攻撃の手口を知らないユーザーは、疑うことなくリンクや添付ファイルを開いてしまいます。
例えば「請求書.pdf.exe」というファイル名は、一見PDFファイルに見えますが、実際には実行ファイル（.exe）であり、開くとマルウェアに感染します。こうした手口を知っていれば、不審なメールを見抜く確率が高まります。
また、経済産業省の調査では、サイバーインシデントにより取引先に影響が及んだ企業が約7割に達しており、自社だけでなく取引先への被害波及を防ぐためにも、脅威に関する知識は不可欠です。
実践のポイント
信頼できる情報源からの情報収集
IPAは、最新のセキュリティ脅威や対策情報を発信しています。IPAセキュリティセンターのWebサイトやメールマガジンに登録し、定期的に情報をチェックしましょう。また、JPCERT/CCなどの専門機関も有益な情報を提供しています。
利用中のクラウドサービスやインターネットバンキングが発信する注意喚起も重要な情報源です。これらのメールは見逃さずに確認する習慣をつけてください。
従業員への定期的な教育
セキュリティ対策は、経営層や情報システム部門だけの問題ではありません。全従業員が当事者意識を持つことが重要です。年に1〜2回、セキュリティ教育の機会を設け、最新の脅威や具体的な攻撃事例を共有しましょう。
効果的なのは「他社の失敗事例」を自社に置き換えて考える演習です。「もし自社がこの攻撃を受けたらどうなるか」「どのように対処すべきか」をグループディスカッションすることで、リアリティを持って学べます。
模擬訓練の実施
標的型攻撃メールの訓練を実施している企業も増えています。擬似的な攻撃メールを従業員に送信し、開封率やクリック率を測定することで、組織の脆弱性を可視化できます。訓練後は結果を分析し、開封してしまった従業員には個別にフィードバックを行います。
ただし、訓練の目的は「犯人探し」ではなく「組織全体のセキュリティレベル向上」です。失敗を責めるのではなく、学びの機会として前向きに捉える文化づくりが大切です。
テレワーク環境での注意喚起
テレワークでは、オフィスと異なり周囲に相談できる人がいないため、判断に迷うメールを受信した際の対応が遅れがちです。管理者は従業員に対して、不審なメールを受信した場合の報告ルートを明確にし、躊躇なく相談できる雰囲気を醸成しましょう。
また、家庭用Wi-Fiのセキュリティ設定（暗号化方式や管理者パスワードの変更）についても、定期的にリマインドすることが有効です。
情報セキュリティ5か条を組織に浸透させるために
5か条を知識として理解するだけでは、実効性のあるセキュリティ対策にはなりません。組織全体で実践し、継続的に取り組む文化を醸成することが重要です。
経営層のコミットメント
セキュリティ対策は、経営課題として捉える必要があります。経営者が「セキュリティは重要だ」というメッセージを明確に発信し、予算や人員を確保することで、従業員の意識も変わります。
「情報セキュリティ基本方針」を策定し、組織としての姿勢を明文化することも有効です。IPAの中小企業の情報セキュリティ対策ガイドラインには、基本方針のサンプルも用意されています。
実施状況の確認
IPAが提供する「5分でできる！情報セキュリティ自社診断」を活用すると、自社の対策状況を客観的に把握できます。診断結果をもとに、不足している対策を優先順位付けし、計画的に改善していきましょう。
また、SECURITY ACTIONの「★★二つ星」を目指すことで、組織的な取り組みへとステップアップできます。
継続的な改善サイクル
セキュリティ対策は一度実施すれば終わりではありません。新たな脅威が出現し、業務環境も変化するため、定期的な見直しが必要です。
PDCAサイクル（計画→実行→評価→改善）を回し、対策の実効性を高めていくことが求められます。四半期ごとにセキュリティ会議を開催し、インシデントの発生状況、対策の実施状況、課題の洗い出しを行う仕組みを作りましょう。
取引先との連携
経済産業省の調査では、セキュリティ対策投資を行っている企業の約5割が取引につながったと実感しています。取引先から「御社のセキュリティ対策状況を教えてください」と問われるケースも増えており、SECURITY ACTIONのロゴマークを取得していることが取引の条件になる場合もあります。
自社の対策を充実させることは、取引先との信頼関係を強化し、ビジネス機会の拡大にもつながるのです。
まとめ
情報セキュリティ5か条は、中小企業が取り組むべき基本的なセキュリティ対策を分かりやすくまとめたものです。各条項は決して難しいものではありませんが、確実に実践し、組織全体に浸透させることが重要です。
サイバー攻撃の脅威は年々高まっており、「うちは小さい会社だから狙われない」という考えは通用しません。IPAの調査によれば、中小企業の23.3%が2023年度にサイバーインシデントの被害を受けており、被害額は平均73万円、復旧期間は平均5.8日に及びます。
情報セキュリティ5か条を実践することで、こうしたリスクを大幅に低減できます。まずは「できることから始める」姿勢が大切です。5か条すべてを一度に完璧に実施しようとせず、優先順位をつけて段階的に取り組みましょう。
SECURITY ACTIONの「★一つ星」宣言は、組織としてセキュリティ対策に取り組む意思表示であり、取引先や顧客への信頼性向上にもつながります。ぜひ、情報セキュリティ5か条を出発点として、組織全体でセキュリティ文化を育てていきましょう。
