中小企業のセキュリティ対策は、コストや人材不足により「ツールの導入＝対策の完了」と誤認されがちである。しかし、クラウドセキュリティやITセキュリティの実効性は、自社の現状把握なくして成立しない。サプライチェーンを狙ったサイバー攻撃が中小企業にも波及する今、自社のセキュリティリスクを“見える化”し、優先順位を持って対策に取り組むことが重要だ。本稿では、専門知識がなくても実践可能な「セルフリスクチェックリスト」の使い方を解説する。情報漏洩、IT人材不足、リスク管理に悩む経営者向けの実践ガイドである。
現状把握なきセキュリティ対策は「迷走のもと」である
多くの中小企業では、セキュリティの第一歩を「ツール導入」から始めようとする。しかしこのアプローチこそが、最も危うい。自社の弱点や社員の理解度を知らぬままでは、導入したツールも正しく運用されず、いずれ「形骸化」する運命を辿る。
サプライチェーンを狙うサイバー攻撃の現実
アサヒグループやアスクルに対するサイバー攻撃のように、近年は大企業を突破口としてその取引先、中小企業へも波及するサプライチェーン攻撃が増加している。これは中小企業だから安全、という神話が崩壊している証左である。事例によってはVPN装置の脆弱性を突かれた結果、大手の生産ラインが止まるという実害も生じた。
「ツールから入るな、自社から始めよ」
IT顧問のススメでも紹介したように、多くの企業が「とりあえずツール導入」という誤った判断で、不要なコストを浪費している。自社にとって本当に必要な対策は何かを知るには、「今どこが弱いのか」を可視化しなければならない。現状認識なきセキュリティ対策は、ナビなしで山に登るようなものである。
セルフチェックリストで「見える化」を実践する
今回紹介するチェックリストは、中小企業の経営層・総務・現場社員が自らの手で「どこが弱点か」を把握できるように設計されている。ツールの導入に先立って行うことで、費用対効果の高い施策が打てるようになる。これにより、ベンダーへの相談時にも“根拠のある意思決定”が可能となる。
チェックリストの構成と概要
このリストは、全体で7つのカテゴリに分類されている。それぞれのカテゴリに複数のチェック項目が存在し、具体的な確認対象やチェック方法が明示されている。
| カテゴリ | 内容概要 |
|---|---|
| 組織と方針 | 情報セキュリティ方針の策定や経営層の関与度合い |
| IT資産管理 | パソコン、ネットワーク機器、クラウドサービスの管理状況 |
| データ保護 | バックアップの取得状況と復旧テストの有無 |
| アクセス権限 | アカウント発行・削除・権限管理の整備度 |
| 社員行動 | USB使用ルールや不審メール対応の社内周知 |
| 外部連携 | サプライチェーンのセキュリティ確認やクラウド連携の管理 |
| インシデント対応 | 通報体制、復旧手順、ログ確認の有無など |
すべての項目は「未整備（1点）」「一部整備（2点）」「運用実践（3点）」で評価する。
チェックリストの使い方（実践ガイド）
単なる自己満足の「やったつもり」に終わらせないために、以下の手順に沿って確実な活用をすすめたい。
実施メンバーを決め、カテゴリごとに役割分担
最低でも2名以上のチームで取り組む。カテゴリごとに担当を分け、例えば「IT資産」はシステム担当、「社員行動」は管理職、「方針と組織」は経営層が担当することで、主観や見落としを防ぐ。
原則「現物確認」で採点
書類や設定画面のスクリーンショット、バックアップログなど、すべての項目について「実物を確認した上で○×または1〜3点で評価」する。口頭確認や“聞いた話”での採点は禁止。
レーダーチャート化して経営会議で共有
各カテゴリの平均点をもとにレーダーチャートを作成し、経営会議や社内ミーティングで共有する。視覚化することで、弱点の発見と改善優先度の判断が容易になる。
必要に応じて専門家へ相談
チェック結果をもとにIT顧問や外部ベンダーへ相談することで、根拠ある提案依頼が可能になる。これは「費用対効果」の観点からも有効であり、無駄なIT投資を回避できる。
| ✔ | No. | カテゴリ | チェック項目 | チェック方法 | 対象（物・人） | 評価点 |
|---|---|---|---|---|---|---|
| 1 | 組織と方針 | 情報セキュリティ方針が文書化されている | 規程の有無と最終改定日の確認 | 規程文書 | (1–3) | |
| 2 | 組織と方針 | 役割・責任が明記されている | 組織図・役割票の確認 | 組織図・役割一覧 | (1–3) | |
| 3 | 組織と方針 | インシデント報告フローが明文化 | 手順書の有無・配布状況確認 | 手順書・社内掲示物 | (1–3) | |
| 4 | 組織と方針 | 年1回以上リスクレビュー実施 | 議事録・実施記録の確認 | 会議議事録 | (1–3) | |
| 5 | 組織と方針 | セキュリティ教育を定期実施 | 年次計画と出欠記録の確認 | 研修資料・受講記録 | (1–3) | |
| 6 | 組織と方針 | サイバー保険／外部連絡先を保有 | 契約書・連絡リストの確認 | 契約書・連絡網 | (1–3) | |
| 7 | 組織と方針 | 重要文書の版管理ができている | 版番号・改定履歴の確認 | 規程・手順の版管理表 | (1–3) | |
| 8 | 組織と方針 | 情報資産の分類基準が定義済み | 基準書・社内告知の確認 | 情報分類基準書 | (1–3) | |
| 9 | 組織と方針 | 持出・在宅のルールが明文化 | 就業規則・通達の確認 | 規程・通達文書 | (1–3) | |
| 10 | 組織と方針 | 定期の社内周知（掲示/メール） | 社内ポータル・掲示の確認 | 周知記事・メール | (1–3) | |
| 11 | IT資産・NW | 端末・サーバ・機器の台帳がある | 台帳の有無・更新日の確認 | 資産台帳（Excel/DB） | (1–3) | |
| 12 | IT資産・NW | OS/ソフト更新状況が把握済み | 更新レポート・自動更新設定確認 | 端末設定画面・WSUS等 | (1–3) | |
| 13 | IT資産・NW | ネットワーク構成図が最新 | 図面の在庫・最終更新確認 | NW図（VLAN/VPN含む） | (1–3) | |
| 14 | IT資産・NW | Wi-Fiは暗号化/来客用分離済み | SSID設定・暗号方式確認 | ルータ/AP設定画面 | (1–3) | |
| 15 | IT資産・NW | 廃棄・再利用の手順と記録あり | 廃棄証跡・データ消去記録確認 | 廃棄証明・消去ログ | (1–3) | |
| 16 | IT資産・NW | 私物端末/外部媒体の管理ルール | 通達・申請書式の確認 | 通達文・申請書 | (1–3) | |
| 17 | IT資産・NW | 重要機器の物理施錠/監視実施 | 現地点検・写真記録 | ルータ/UTM/サーバ | (1–3) | |
| 18 | IT資産・NW | 既存機器の脆弱機能を無効化 | 設定レビュー | 旧プロトコル/管理UI | (1–3) | |
| 19 | IT資産・NW | 管理者用アカウントが分離運用 | 管理用端末/IDの確認 | 管理端末・管理ID | (1–3) | |
| 20 | IT資産・NW | 監視ログの保存/確認サイクル | ログの有無・点検表確認 | Syslog/UTMログ等 | (1–3) | |
| 21 | データ保護/バックアップ | バックアップ対象が定義済み | 対象リストの確認 | 対象一覧（フォルダ/DB） | (1–3) | |
| 22 | データ保護/バックアップ | 3-2-1原則等の多重化を実施 | 保存先構成の確認 | 外部媒体/クラウド | (1–3) | |
| 23 | データ保護/バックアップ | 自動実行・結果ログを確認 | ジョブログ/失敗通知確認 | バックアップログ | (1–3) | |
| 24 | データ保護/バックアップ | 復元テストを定期実施 | テスト記録・所要時間確認 | 復元手順・記録 | (1–3) | |
| 25 | データ保護/バックアップ | 機密データの暗号化/権限制御 | 設定・権限一覧の確認 | 共有設定/ACL | (1–3) | |
| 26 | データ保護/バックアップ | 媒体の保管/持出管理が適切 | 施錠・持出簿の確認 | 金庫/鍵/持出簿 | (1–3) | |
| 27 | データ保護/バックアップ | SaaS内データの保護方針あり | ベンダ機能/別途保護の確認 | M365/Google等 | (1–3) | |
| 28 | データ保護/バックアップ | ランサム耐性（不可変/隔離） | スナップショット/保護設定 | NAS/クラウド設定 | (1–3) | |
| 29 | アクセス/アカウント | 固有アカウントのみ使用 | 共有IDの有無確認 | アカウント台帳 | (1–3) | |
| 30 | アクセス/アカウント | 入退社/異動時のID処理記録 | 申請/削除の突合確認 | 申請書/削除ログ | (1–3) | |
| 31 | アクセス/アカウント | 権限は最小化・定期見直し | 権限棚卸の実施確認 | 権限一覧・棚卸表 | (1–3) | |
| 32 | アクセス/アカウント | パスワード強度/保管方法適正 | 設定ポリシ/金庫・管理ツール確認 | 認証設定/管理ツール | (1–3) | |
| 33 | アクセス/アカウント | 二要素認証の適用範囲が明確 | 管理画面で適用状況確認 | SaaS/社内システム | (1–3) | |
| 34 | アクセス/アカウント | 外部委託のアクセス契約/期限 | 契約・権限の期限確認 | 契約書/権限一覧 | (1–3) | |
| 35 | 日常運用/社員行動 | 不審メール報告ルールの周知 | アンケート/掲示確認 | 従業員・社内掲示 | (1–3) | |
| 36 | 日常運用/社員行動 | 添付/URLの取扱い基準の遵守 | 小テスト/模擬訓練実施 | 従業員（本人） | (1–3) | |
| 37 | 日常運用/社員行動 | 私物USB/外部媒体の統制 | ログ/申請の有無確認 | 端末・持込媒体 | (1–3) | |
| 38 | 日常運用/社員行動 | 在宅時のWi-Fi設定の適正 | 申告書/写真・設定確認 | 自宅ルータ設定 | (1–3) | |
| 39 | 日常運用/社員行動 | 離職時の端末/データ回収記録 | チェックリスト突合 | 回収チェック表 | (1–3) | |
| 40 | 日常運用/社員行動 | 失敗・ヒヤリの申告制度運用 | 申告窓口/記録の確認 | 申告票・匿名箱 | (1–3) | |
| 41 | 外部連携/クラウド | 取引先/委託先一覧が最新 | リスト・契約の突合 | 取引先一覧 | (1–3) | |
| 42 | 外部連携/クラウド | VPN/API等の接続一覧が最新 | 設定と図面の照合 | 接続設定・NW図 | (1–3) | |
| 43 | 外部連携/クラウド | データ授受の暗号化ルールあり | 送受信手順・実施確認 | 送信手順/ツール | (1–3) | |
| 44 | 外部連携/クラウド | クラウド管理者/二重承認あり | 権限/承認ワーク確認 | 管理者設定 | (1–3) | |
| 45 | 外部連携/クラウド | 秘密保持契約（NDA）整備 | 契約書の有無確認 | NDA契約書 | (1–3) | |
| 46 | 外部連携/クラウド | 主要ベンダ障害時の代替手段 | 手順/代替先リスト確認 | 代替手順・連絡網 | (1–3) | |
| 47 | インシデント対応 | 緊急連絡網が即時参照可能 | 掲示・配布・更新日の確認 | 連絡網（紙/電子） | (1–3) | |
| 48 | インシデント対応 | 初動手順（隔離/連絡/記録）整備 | 手順書の有無・配布確認 | 初動マニュアル | (1–3) | |
| 49 | インシデント対応 | 外部通報先（IPA/警察/保険）明記 | 連絡先リスト確認 | 連絡先リスト | (1–3) | |
| 50 | インシデント対応 | 机上演習/訓練の実施記録あり | 訓練シナリオ・記録確認 | 訓練記録 | (1–3) | |
| 51 | インシデント対応 | 影響範囲/対外連絡の雛形整備 | テンプレ文書の確認 | 顧客通知テンプレ | (1–3) | |
| 52 | インシデント対応 | 復旧計画（RTO/RPO相当）明記 | 復旧手順・所要時間確認 | 復旧手順書 | (1–3) |
採点の目安（共通評価基準）
すべての項目は以下の基準で評価する。
| 点数 | 状態 | 判断基準例 |
|---|---|---|
| 1点 | 未整備 | 該当項目の証跡が確認できない |
| 2点 | 一部整備 | 仕組みはあるが運用や記録が曖昧 |
| 3点 | 運用実践 | 証跡あり、定期点検・改善サイクルが確認可能 |
結果の読み取り方と改善優先度
得点に応じたアクションプランを以下のように定める。
- 平均2.0未満：要改善ゾーン → 早期対策が必須
- 平均2.0〜2.4：改善中ゾーン → 運用定着を目指す
- 平均2.5以上：維持ゾーン → 年次レビューで継続管理
特に2.0未満のカテゴリは、次回会議の議題として優先的に取り上げるべきである。
まとめ：経営者が“現場と対話する”第一歩
中小企業にとって最大のセキュリティリスクは「知らないこと」である。サイバー攻撃の被害は「いつ起きるか」ではなく、「いつ気づけるか」がすべてだ。今回紹介したチェックリストは、経営者と現場の“対話ツール”でもある。
まずは社内会議の1時間を使って、このチェックを実施してみることから始めよう。それが「セキュリティ対策をツールに丸投げしない」という、経営者としての本当のスタート地点である。そして必要であれば、IT顧問や専門家を味方につけて、継続的な運用体制を構築すべきである。それが最も合理的かつ低コストで成果を生む、現実的なセキュリティ対策となる。
最後までお付き合いいただきありがとうございます。
また、お会いしましょ。
