不正アクセス対策はどこから始める？IT担当のいない会社の優先順位

情報漏えいの報道が続き、自社の顧客名簿は大丈夫かと気になり始めた方も多いはずです。

個人情報保護委員会の注意喚起を開いてみたものの、聞き慣れない言葉が並び、どこから手を付ければよいのか分からず止まっていないでしょうか。社長から「うちは何か対策しているの？」と聞かれて、答えに詰まった経験もあるかもしれません。

対策例は多く見えますが、IT担当がいなくても自社で今週から進められるのは、実は3つだけです。

個人情報保護委員会の対策例は、小さな会社にも関係あるのか

攻撃が速くなり、規模で狙われるかどうかは決まらない

「うちのような小さな会社は狙われないだろう」と思っていませんか。不正アクセスによる漏えいの報道が続くなか、専門家は攻撃側のAI利用を指摘しています。アカマイ・テクノロジーズの中西一博氏は、人が数日〜数週間かける攻撃の準備が数分に縮むとみて、「使われていないと考える方が不自然」と述べています（ITmedia NEWS）。

セキュリティ専門家3人の合同見解でも、攻撃者は1つの手口に絞らず、使える不備を幅広く探しているとされます（ITmedia AI+）。穴を探す側から見れば、会社の大きさはあまり関係がないのです。

対策例を言い換えると、自社に当てはまるのはこの範囲

個人情報保護委員会(以下、保護委)が2026年10月7日に公表した注意喚起には、次の対策例が並んでいます（個人情報保護委員会）。

つまり、今週自社で手を付けられるのは多要素認証、アカウントの停止、不要データの消去の3つです。端末の絞り込みと見張りの仕組みは、取引先のIT業者に相談してください。

名指しされていなくても、安全管理と漏えい時の報告は自社の義務

注意喚起が特に対応を求めた相手は、高いシェアのサービスで大量の個人情報を持つ事業者や、機微性の高い情報を持つ事業者でした。とはいえ、安全管理措置(漏えいを防ぐための管理)は規模を問いません。ガイドラインは従業員100人以下の会社を中小規模事業者としつつ、同じく法第23条の措置を求めています。本人の数が5,000を超える会社や、委託を受けて個人データを扱う会社は、中小規模事業者にも入りません（個人情報保護委員会）。

「うちの顧客名簿、何件あったかな？」と思ったら、件数を確かめておきましょう。

漏えい時の報告も他人事ではありません。報告が必要な4つの事態のうち、不正の目的によるおそれがある漏えいには人数の条件が書かれていないからです（個人情報保護委員会）。速報は概ね3〜5日以内、確報は30日以内(不正目的のおそれは60日以内)に出し、本人への通知も求められます（個人情報保護委員会）。

不正アクセス対策を今週から進める順番

自社で手を付けられる3つが見えたところで、次は進める順番です。乗っ取られたときの被害が大きいものから順に並べます。

ステップ1：管理者アカウントから多要素認証を掛ける

最初は管理者アカウントです。事務所のどの部屋も開けられるマスターキーのようなもので、設定の変更も全員のデータの閲覧もできるため、乗っ取られたときの被害がいちばん大きくなります。管理者が済んだら、顧客名簿や従業員情報に触れる社員へ広げます。

• Microsoft 365：Microsoft Entra^[5] 管理センターで「Entra ID」>「Overview」>「Properties」>「セキュリティの既定値群の管理」を有効にして保存します。必要なライセンスはなしです。管理者はサインインのたびに確認を求められ、社員は Microsoft Authenticator^[6] の通知で登録します。2019年10月22日以降に作った環境では、すでに有効の場合があります（Microsoft）
• Google Workspace：管理コンソールの「セキュリティ」>「認証」>「2 段階認証プロセス」で設定し、組織部門やグループ単位で一部の人から始められます（Google）。追加費用の有無は管理者ヘルプに書かれていないため、契約中のプランで確かめてください

Microsoftは、多要素認証がIDへの攻撃の99.2%超を防ぐとしています(提供元の発表)（Microsoft）。

銀行などで、SMSに届いたコードを入力したことはありませんか。一般に、SMSのコードは偽のログイン画面に打ち込ませれば盗めますが、パスキーは登録した本物のサイトにしか反応しないため、偽サイトでは使えません。Googleは「セキュリティ キーのみ」の設定でパスキーも使え、セキュリティキー^[7]と同じ水準のフィッシング対策になるとしています。

ログインできなくなる不安への備え

「全員が締め出されて、業務が止まったらどうしよう……」という心配には、次の3つで備えます。

1. 予備の手段を先に用意する：Microsoftは、全体管理者の緊急用アカウントを2つ作るよう勧めています（Microsoft）。Googleの「セキュリティ キーのみ」では、キーを無くした人に管理者がバックアップ確認コードを渡します
2. 管理者から順に広げる：Googleは新しい人の登録期間を1日〜6か月で選べます（Google）。Microsoftは2024年7月29日以降、登録の14日間の猶予が無くなったため（Microsoft）、社員へ広げる日を先に伝えておくと混乱を抑えられます
3. 操作はIT業者と一緒に進める：Microsoftは有効にする前に、管理者が古い認証方式を使っていないか確かめるよう警告しています。画面を一緒に見ながら進めてください

ステップ2：退職者と使っていないアカウントを止める

返してもらっていない入館証と同じで、辞めた人のIDが生きたままでは、パスワードが漏れたときに入口が残ります。保護委の別紙も、退職などに合わせて権限を変えることを挙げています。

1. 管理画面のユーザー一覧を書き出す
2. 在籍者名簿と1人ずつ突き合わせる
3. 名簿にいない人のアカウントを停止する
4. 共有アカウントと、会計や名簿管理など外部サービスのアカウントも同じように確認する

ステップ3：個人データの置き場所を洗い出し、要らないものを消す

保護委は法第22条(不要になった個人データを消す努力義務)を引き、消去が徹底されず漏えいが深刻になった事例に接していると注意を促しました（個人情報保護委員会）。報道では、タイムズカーが退会後も約7年間、免許証情報を含む個人情報を保存していたとされます（ITmedia NEWS）。

保護委の事例集には、社員が各自のパソコンに業務ファイルを置く運用が慣例になり、消すべき古いデータまで漏れた例もあります（個人情報保護委員会）。顧客名簿や従業員情報が、どこに、どの版で、誰が触れる状態で置かれているかを一覧にしてください。

法令などの保存の根拠が無いデータから消すのが進め方です。クラウドではサービスの正式な削除方法で消します。私物スマホからの接続は、許可した端末だけに絞る方向でIT業者に相談しましょう。

社長や取引先に「何をしたか」を伝えるには

では、進めた作業を社長や取引先にどう伝えればよいのでしょうか。「で、うちは結局何をしたの？」と聞かれる前に、短いメモへ残しておきます。項目は次の3つで足ります。

• 保護委の対策例のどれに対応したか
• 実施日と、対象にしたアカウントの数
• まだ手を付けていない項目と、その予定

保護委は、対策はどれか1つでよいのではなく重ねて講じる必要があり、経営層を交えて組織で対応するよう求めています。措置が不十分だと、法第23〜25条の違反と判断される可能性もあります（個人情報保護委員会）。日付入りのメモは、どんな安全管理をしていたかを示す記録になるのです。

自社で判断しにくい項目は、IT業者への質問の形でメモに入れてください。「不審なログインに気づける仕組みは今ありますか？」「被害が出たら、どの順でパソコンやアカウントを止めますか？」と書いておけば、次の打ち合わせでそのまま聞けます。

不正アクセス対策を始めるなら、まず今日何をするか

メモの形まで見てきて、それでも対策例を全部やるのは無理だ、と感じた方もいるのではないでしょうか。全部を一度に進める必要はありません。今日できるのは、次の3つです。

1. 管理者アカウントが誰で、いくつあるかを確かめる
2. そのアカウントに多要素認証を掛ける日を、IT業者と決める
3. 在籍者名簿とユーザー一覧を突き合わせる日を決める

保護委が今回挙げたのは、強い多要素認証や不要なデータの消去といった、大きな投資を待たずに始められる手でした。管理者アカウントの数を数えるところから、今日始めてください。

用語の注釈

1. フィッシング 本物そっくりの偽サイトや偽メールで、IDやパスワードを入力させて盗む手口です。 ↩
2. パスキー パスワードの代わりに、スマホやパソコンの指紋・顔認証などでログインする仕組みです。登録した本物のサイトにしか反応しません。 ↩
3. IDS/IPS ネットワークへの不正な侵入を見つける仕組み(IDS)と、見つけて止める仕組み(IPS)です。 ↩
4. EDR パソコンなどの端末上の不審な動きを見張り、被害を広げないよう対処する仕組みです。 ↩
5. Microsoft Entra Microsoft 365 のユーザーやログインの設定を管理するサービスです。 ↩
6. Microsoft Authenticator ログイン時の確認に使う、Microsoftのスマホ用アプリです。 ↩
7. セキュリティキー USBなどで差し込んだりかざしたりして、本人確認に使う小さな機器です。 ↩