中小企業のセキュリティ対策ガイド｜まずやる5つと費用、IPAガイドライン第4.0版の要点
「情報システムの担当者はいないし、予算も多くは割けない」——そんな中小企業の経営者・総務の方に向けたページです。セキュリティ対策は、高価な製品から始める必要はありません。最初の5つの対策と、国が無料で公開している診断・ひな形で、かなりの部分まで手が届きます。まずやること、最新の被害状況、IPAのガイドライン第4.0版の要点、費用と補助金を整理し、テーマごとの記事へご案内します。
⏱ 忙しい人向け 3行まとめ
- 狙われるのは中小企業も同じ。2026年上半期に警察庁へ報告されたランサムウェア被害123件のうち、中小企業が79件（約6割）を占めています
- 最初にやるのは「更新・多要素認証・バックアップ・VPN機器の点検・退職者アカウントの整理」の5つ。あわせてIPAの無料の自社診断（25問）で今の状態を測ります
- 費用は無料でできることから始め、監視が必要ならお助け隊サービス（ネットワーク監視型は月額1万円・税抜以下が基準）。補助金の対象になり得ますが、制度は公募回で変わるため最新は公式で確認してください
中小企業のセキュリティ対策は「最初の5つ」から
中小企業のセキュリティ対策は、次の5つから始めるのが現実的です。どれも大きな費用をかけずに取りかかれ、実際の被害でよく使われる入り口をふさぐ対策です。
1. パソコン・スマホ・ネットワーク機器を最新の状態にする
OSやソフトは自動更新に。見落とされやすいのがルーターやVPN機器などのネットワーク機器で、サポートが終わった機器を使い続けていないかも確認します。
2. メール・クラウド・VPNに多要素認証を設定する
パスワードに加えて、スマホのアプリや確認コードでも本人確認する仕組みです。パスワードが漏れてもログインされにくくなります。社外から入れる仕組みから優先して設定します。
3. バックアップを「切り離して」取り、戻せるか確かめる
バックアップ先が社内のネットワークにつながったままだと、元のデータと一緒に暗号化されることがあります。バックアップの時だけつなぎ、実際に戻せるかを定期的に試すところまでがセットです。
4. VPN機器とリモートデスクトップを点検する
社外から社内に入る入り口がいくつあり、誰が使っているかを書き出します。使っていないリモートデスクトップは閉じ、VPN機器は更新・強いパスワード・多要素認証を確認します。分からなければ導入した業者に点検を頼むのが近道です。
5. 退職者・異動者のアカウントを整理する
辞めた人のアカウントや共有パスワードが残っていないかを確認します。入退社の手続きに「アカウント停止・共有パスワード変更」を1行加えると、消し忘れを防ぎやすくなります。
この5つは、IPAの自社診断の項目（OSやソフトの更新、強固なパスワードと多要素認証、共有設定の見直しと異動・退職時の設定変更、定期的なバックアップ）に沿ったものです。（出典：IPA「5分でできる！情報セキュリティ自社診断」2026年6月版、2026年10月22日確認）
中小企業が狙われる理由と最新の被害状況
「うちのような小さな会社は狙われない」と考えがちですが、統計を見るとそうとは言えません。警察庁によると、最近は標的型メールの添付ファイルより、インターネットにつながった機器の弱いところや漏れたパスワードから入られる手口が多くを占めています。更新されていない機器や使い回されたパスワードがあれば、会社の規模に関係なく被害にあう可能性があります。
警察庁のまとめでは、2026年上半期（1〜6月）のランサムウェア被害の報告は123件で、統計を取り始めた2020年下半期以降、半期として最多でした。侵入経路が分かった36件のうち、VPN機器からが18件、リモートデスクトップからが9件です。（出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」本文・統計データ、2026年10月22日確認）
バックアップの難しさも見えてきます。被害組織の多くはバックアップを取っていましたが（回答50件中44件）、バックアップから元に戻せなかった組織が回答40件中29件ありました。戻せなかった理由で最も多いのは「バックアップも暗号化・消去された」ことです。また、調査・復旧の費用が1,000万円以上かかった組織は回答35件中21件と、約6割にのぼります。（出典：同上）
IPAが毎年公表している「情報セキュリティ10大脅威」の2026年版（組織編）でも、1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」です。そして3位には「AIの利用をめぐるサイバーリスク」が初めて選ばれました。業務での生成AIの利用が増え、入力した情報の漏えいなど新しいリスクが意識されるようになっています。（出典：IPA「情報セキュリティ10大脅威 2026」2026年1月29日公開、2026年10月22日確認）
中小企業の情報セキュリティ対策ガイドライン第4.0版で変わったこと
IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は、中小企業が何をどこまでやればよいかをまとめた公的な基本資料で、2026年3月27日に第4.0版が公開されました。「経営者編」と「実践編」の2部構成で、個人事業主や小規模事業者も対象です。主な変更点は次の3つです。
- 「情報セキュリティ6か条」に：はじめに取り組む「5か条」（更新・ウイルス対策ソフト・強いパスワード・共有設定の見直し・脅威や手口を知る）に「バックアップを取ろう!」を追加。自社診断にも「外部から内部ネットワークへの不要な通信の遮断」「ウェブサイトの安全な運用」の2項目が加わりました
- 取引先からの評価制度を見すえた内容に：経済産業省などが検討している「サプライチェーン強化に向けたセキュリティ対策評価制度」の考え方に沿った内容に
- 人材の確保・育成の付録を追加：「中小企業のためのセキュリティ人材の確保・育成の実践ガイドブック」が付録1になりました
すぐに使える付録が8点あります。全部読む必要はなく、必要なものから使います。
| 付録 | 中身 | こんなときに |
|---|---|---|
| 付録1 人材の確保・育成ガイドブック | 担当者の決め方・育て方（14ページ） | 誰が担当するか決めたい |
| 付録2 情報セキュリティ基本方針（サンプル） | 会社の方針を1枚で示すひな形 | 取引先に方針を示したい |
| 付録3 5分でできる！情報セキュリティ自社診断 | 25問で今の状態を点数にする | まず現状を知りたい |
| 付録4 情報セキュリティハンドブック（ひな形） | 社員に配る手引きのひな形 | 社員に守ってほしいことを伝えたい |
| 付録5 情報セキュリティ関連規程（サンプル） | 社内規程のひな形（59ページ） | 規程を一から作りたくない |
| 付録6 資産管理台帳（サンプル） | パソコン・データ・サービスの一覧表 | 何を守るのか洗い出したい |
| 付録7 クラウドサービス安全利用の手引き | クラウドを使うときの確認点 | クラウドの業務ソフトを使っている |
| 付録8 セキュリティインシデント対応の手引き | 事故が起きたときの動き方 | 万一の連絡先と手順を決めたい |
（出典：IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版、最終更新2026年9月30日、2026年10月22日確認）
最初に手をつけるなら、付録3の自社診断がおすすめです。25問に「実施している（4点）」「一部実施している（2点）」「実施していない（0点）」「わからない（−1点）」で答える形式で、満点は100点です。点数の低い項目が自社の優先課題です。経営者と、パソコンに比較的詳しい社員の2人で答えると実態とのずれが少なくなります。
診断のあとは、付録2で基本方針を決め、「SECURITY ACTION」（対策に取り組むことを自社で宣言するIPAの制度）を宣言するのが次の一歩です。一つ星は「6か条」に取り組む宣言、二つ星は自社診断を行い基本方針を定めて公開する宣言です。SECURITY ACTIONは、2026年4月1日からGビズID（プライムまたはメンバー）でログインして申し込む方式に変わりました。2026年3月以前の宣言は引き続き使えますが、デジタル化・AI導入補助金の申請（2026年5月12日17時以降の第2次公募から）には使えず、補助金で使うGビズIDで申し込み直す必要があります。（出典：IPA「SECURITY ACTION申込方法の変更」「SECURITY ACTION｜デジタル化・AI導入補助金」、2026年10月22日確認）
中小企業のセキュリティ対策の費用の目安と補助金
中小企業のセキュリティ対策の費用は、「無料でできること」から順に積み上げるのが基本形です。無料の対策で入り口をふさいでから、足りない部分にお金をかける方が無駄が少なくなります。
| 段階 | 主な中身 | 費用の目安 |
|---|---|---|
| ① 無料でできること | 更新・多要素認証・アカウント整理、IPAの自社診断・ひな形、SECURITY ACTION | 社内の作業時間のみ |
| ② 見守りを頼む | お助け隊サービス（相談窓口・異常の監視・事故のときの駆け付け支援・簡易サイバー保険） | ネットワーク監視型は月額1万円（税抜）以下、端末監視型は1台あたり月額2,000円（税抜）以下が基準 |
| ③ それ以上 | 専門業者による診断・監視、規程づくりの支援など | 内容によって大きく変わるため個別の見積もり |
②の「サイバーセキュリティお助け隊サービス」は、中小企業に必要なサービスを1つにまとめた民間のサービスで、IPAが基準を満たしたものを登録しています。（出典：IPA「サイバーセキュリティお助け隊サービス」「サイバーセキュリティお助け隊サービス基準 2.1版」、2026年10月22日確認）
お助け隊サービスの導入は、デジタル化・AI導入補助金の「セキュリティ対策推進枠」の対象です。補助額は5万〜150万円、補助率は中小企業が1/2以内、小規模事業者が2/3以内で、サービス利用料は最大2年分が対象になります。現在受付中の締切は2026年10月30日（金）17:00で、それ以降のスケジュールは公表されていません（2026年10月22日時点）。（出典：デジタル化・AI導入補助金 事務局「セキュリティ対策推進枠」「スケジュール」、2026年10月22日確認）
制度は公募回で変わります
補助額・補助率・対象経費・締切は、公募回や年度によって変わります。申請にはGビズIDとSECURITY ACTIONが必要で、GビズIDの取得には日数がかかることがあります。最新の公募要領を公式サイトで必ず確認し、判断に迷う場合は支援事業者や専門家に相談してください。対象・手順・締切への逆算は「セキュリティ対策の補助金」で詳しく整理しています。
補助金の全体像は「デジタル化・AI導入補助金とは」、GビズIDの準備は「GビズIDの取得方法」もあわせてご覧ください。
万一のときに慌てないための準備
対策をしていても、被害をゼロにするのは難しいのが実情です。起きたときに誰が何をするかを先に決めておくと、被害の広がりを抑えやすくなります。ガイドラインの付録8がそのための資料です。
知っておきたいのが、個人情報が漏えいした（おそれがある）ときの報告です。不正アクセスなど不正の目的によるおそれがある場合や、本人の数が1,000人を超える場合などは、個人情報保護委員会への報告が必要になります。速報は発覚から3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）が目安とされています。（出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」、2026年10月22日確認）
- 事故に気づいたときの社内の連絡先（経営者・担当者）を決めたか
- 相談できる外部の連絡先（導入業者、お助け隊サービスなど）を控えたか
- パソコンをネットワークから切り離す手順を社員に伝えたか
- 個人情報保護委員会への報告期限を、担当者が知っているか
- 取引先・顧客への連絡を誰が判断するか決めたか
目的別：セキュリティ対策の記事一覧
テーマごとの詳しい記事です。気になるところから読んでください。
🔐 ランサムウェアに備えたい
💰 費用を補助金で抑えたい
🤖 生成AIからの漏えいを防ぎたい
✉️ 詐欺メールに備えたい
🛡 見守りサービスを知りたい
👥 社員に伝えたい
つまずきポイント
製品を入れたことで安心してしまう
製品やサービスを契約すると「これで済んだ」と感じやすくなります。ただ、警察庁の2026年上半期の統計では、ランサムウェア被害にあった組織の多くがウイルス対策ソフトを導入していた（回答47件中40件）一方、未適用の更新プログラムがあった組織が回答29件中17件ありました。製品があっても、運用の部分で被害が広がることがあります。最初の5つが回っているかを年に1回は確かめると安心です。
担当者1人に任せきりにしてしまう
「パソコンに詳しい社員」に丸投げすると、その人が辞めたときに何も分からなくなります。機器の入れ替えや予算は、担当者だけでは決めにくいものでもあります。自社診断の点数と、次にやる1項目を、経営者が月1回確認するくらいの関わり方が続けやすい形です。
よくある質問
Q. 社員が数人の会社でも、セキュリティ対策は必要ですか？
A. 必要性は規模によらないと考えた方が安全です。警察庁の統計では、ランサムウェア被害の約6割を中小企業が占めています。ただし、やることは大企業と同じではありません。IPAのガイドラインは小規模事業者も対象にしており、「6か条」と自社診断から始めれば、大きな費用をかけずに基本を押さえられます。
Q. 何から手をつければいいか、まったく分かりません。
A. IPAの「5分でできる！情報セキュリティ自社診断」（25問・100点満点）から始めるのがおすすめです。点数の低い項目が優先課題です。そのうえで「最初の5つ」のうち、できていないものを1か月に1〜2項目ずつ進めてください。
Q. セキュリティ対策に補助金は使えますか？
A. デジタル化・AI導入補助金の「セキュリティ対策推進枠」で、お助け隊サービスの導入費と最大2年分の利用料が対象になります。補助額は5万〜150万円、補助率は中小企業1/2以内・小規模事業者2/3以内です（2026年10月22日確認）。申請にはGビズIDとSECURITY ACTIONの宣言が必要です。制度は公募回で変わるため、最新は事務局の公式サイトで確認してください。