情報漏えい・不正アクセスから会社を守る第一歩　IPA「情報セキュリティ6か条」をやさしく解説

最近、企業や団体の情報漏えい・不正アクセスのニュースを目にすることが増えました。ウイルスでパソコンやサーバーのデータを使えなくして身代金を要求する「ランサムウェア」の被害や、盗まれたIDとパスワードを使った「不正ログイン」、クラウドサービスの設定ミスによる情報の流出などが、毎月のように報道されています。

「うちは小さな会社だから狙われない」と思うかもしれません。しかし実際には、対策が手薄な中小企業や、取引先・委託先を入り口にして大きな会社へ被害が広がるケースもあります。被害に遭うと、お客様や取引先の信用を失ったり、損害賠償を求められたり、業務が止まってしまったりするおそれがあります。

では、何から始めればよいのでしょうか。その答えとして、国の機関であるIPA（独立行政法人 情報処理推進機構）が示しているのが 「情報セキュリティ6か条」 です。

「情報セキュリティ6か条」とは

IPAが中小企業・個人事業主向けにまとめた、最初に必ず取り組んでほしい基本の対策 です。もともとは「情報セキュリティ5か条」でしたが、2026年3月の「中小企業の情報セキュリティ対策ガイドライン」第4.0版で 「バックアップを取ろう！」 が加わり、6か条になりました。

ひとつずつ見ていきましょう。

1. OSやソフトウェアは常に最新の状態にしよう！

パソコンやソフトウェアには、後から「弱点（脆弱性）」が見つかることがあります。古いまま使い続けると、その弱点を突いたウイルスに感染する危険があります。

今日からできること

• Windows Update（Macは「ソフトウェアアップデート」）を実行する
• ブラウザやPDF閲覧ソフトなど、使っているソフトを最新版にする
• サポートが終わったOS・ソフト・ネットワーク機器は使わない

2. ウイルス対策ソフトを導入しよう！

IDやパスワードを盗んだり、パソコンを遠隔操作したり、ファイルを勝手に暗号化したりするウイルスが増えています。

今日からできること

• パソコンなどにウイルス対策ソフトを入れる
• ウイルスを見分けるためのデータ（定義ファイル）が 自動で更新される よう設定する
• Windowsに標準で付いているセキュリティ機能も有効にしておく

3. パスワードを強化しよう！

推測されやすいパスワードや、他のサービスから流出したパスワードを使われて、不正にログインされる被害が増えています。合言葉は 「長く」「複雑に」「使い回さない」 です。

今日からできること

• パスワードは 10文字以上、大文字・小文字・数字・記号を組み合わせる
• 名前、電話番号、誕生日、簡単な英単語は使わない
• 同じパスワードを複数のサービスで使い回さない
• 機器を買ったときの初期パスワードは必ず変える
• 使えるサービスでは 多要素認証 や パスキー を有効にする（特にVPNや重要なシステム）

多要素認証とは、パスワードに加えて、スマートフォンに届く確認コードなど「別の方法」でも本人確認する仕組みです。パスワードが盗まれても、それだけではログインされにくくなります。

4. 共有設定を見直そう！

クラウドのファイル共有サービスや、ネットワークにつながった複合機・カメラ・NAS（共有ハードディスク）の設定を間違えて、無関係な人に情報を見られてしまうトラブルが増えています。

今日からできること

• 共有フォルダやクラウドの「共有範囲」を必要な人だけに限定する
• 社員の異動・退職時には、すぐにアカウントや共有設定を変更（削除）する
• パソコンは他の人と共有しない（どうしても共有するなら、ユーザーアカウントを分ける）
• 外出先でフリーWi-Fiを使うときは、パソコンのファイル共有をオフにする

5. バックアップを取ろう！（新しく追加）

故障や操作ミス、ランサムウェアなどで、データが消えたり暗号化されたりすることがあります。バックアップがあれば、仕事を続けることができます。

今日からできること

• 大切なデータを 定期的に バックアップする
• バックアップ用の外付けディスクなどは、バックアップするときだけ パソコンにつなぐ（つなぎっぱなしだと、ウイルスに一緒に暗号化されるおそれがあります）
• バックアップから 本当に元に戻せるか、ときどき確認する

「3-2-1ルール」 という考え方も覚えておきましょう。データのコピーを3つ以上持ち、2種類の保存先に分け、そのうち1つは別の場所（クラウドなど）に保管する方法です。

6. 脅威や攻撃の手口を知ろう！

取引先を装ってウイルス付きのメールを送ってきたり、本物そっくりの偽サイトに誘導してIDやパスワードを盗んだりと、手口はどんどん巧妙になっています。手口を知っておくことが、何よりの予防になります。

今日からできること

• IPAやNCO（国家サイバー統括室）などのウェブサイト・メールマガジンで最新の手口を知る
• 使っているネットバンキングやウェブサービスからの注意喚起を確認する
• 社内で注意喚起を共有し、「怪しい」と思ったらすぐに報告できる雰囲気をつくる

まとめ：まずは「できることから1つずつ」

情報漏えいや不正アクセスは、特別な会社だけの問題ではありません。とはいえ、難しい専門知識がなくても、6か条の多くは今日からすぐに始められます。まずは次の6つをチェックしてみましょう。

• ☐ パソコンとソフトは最新になっていますか？
• ☐ ウイルス対策ソフトは入っていますか？
• ☐ パスワードの使い回しはしていませんか？
• ☐ 共有フォルダは必要な人だけに見える設定ですか？
• ☐ バックアップは取っていますか？元に戻せますか？
• ☐ 怪しいメールの手口を社内で共有していますか？

IPAでは、6か条に取り組むことを宣言する 「SECURITY ACTION（セキュリティ対策自己宣言）」 という制度も用意しています。宣言すると「★一つ星」のロゴを使うことができ、取引先へのアピールにもなります。まずはチェックリストの中から、できることを1つ始めてみましょう。

参考資料

• IPA「中小企業の情報セキュリティ対策ガイドライン」
• IPA「情報セキュリティ6か条（解説編）」（2026年9月）
• IPA「SECURITY ACTION」