情シスがいない会社の、セキュリティの最低限 ― 最初にやる5つだけ

1バックアップ ― しかも「切り離した場所」に

ランサムウェア（データを暗号化して身代金を要求する攻撃）への備えとして、被害を小さくするうえで重要な対策の一つがバックアップです。ただし、同じネットワーク上にあるバックアップは、一緒に暗号化されるおそれがあります。

同じまとめでは、復旧にかかった費用が1,000万円以上という回答が全体の6割に上りました。備えの中心は、被害を防ぐことと同じくらい『戻せること』にあります。

• 重要なデータは2か所以上に置く
• そのうち1つは、普段ネットワークから切り離した場所（外付けドライブの付け外し、または世代管理ができるクラウドバックアップ）に
• 年に1回を目安に「実際に戻せるか」を試す

2二段階認証 ― 社長のアカウントから

パスワードが漏れても、二段階認証（ログイン時に追加の確認を入れる仕組み）があれば、不正ログインのリスクを下げられます。優先順位は「メール」「クラウドストレージ」「会計・給与」の順。まず社長と経理担当のアカウントから入り、全員分はその次で構いません。端末を替えたときの復旧方法も、社長が分かる場所に残しておきます（パスワードそのものは共有しません）。

3管理者権限を全員に配らない

普段使いのアカウントに管理者権限（ソフトのインストールなどが自由にできる権限）があると、ウイルスが入ったときの被害範囲が広がります。日常用と管理者用のアカウントを分け、管理者のパスワードは社長か担当者だけが知っている状態にします。例外的に管理者権限が必要な作業は、誰が・いつ使ったか分かる運用にしてください。

4アップデートを「後回し」にしない仕組み

攻撃の入口になりうるのが、古いままの機器やソフトです。特にインターネット接続に使う機器（ルーターやVPN機器）は、更新が出たら早めに適用する担当とタイミングを決めておきます。更新できない古い機器がある場合は、放置せず、買い替えか専門業者への相談を検討してください。

この項目を後回しにしない根拠として、公的な統計も挙げておきます。警察庁サイバー警察局「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月公表）によると、ランサムウェア被害への侵入経路はVPN機器が約半数を占めていました。インターネット側に置いた機器の更新を後回しにしないことは、入口をふさぐための具体的な対策の一つです。

5パスワードの使い回しをやめる道具を入れる

「使い回すな」と言うだけでは現場は変わりません。パスワード管理ツール（パスワードを安全に保管し、使い回しを防ぐサービス）を会社で1つ決めて入れると、ルールが道具で回るようになります。アカウントは会社管理にし、退職時にアクセスを止められる状態に。共用アカウントを残す場合は、利用者と変更タイミングを決めてください。