中小企業の多くには、専任の情報システム担当者がいません。セキュリティで気になることがあると、自社で調べるより先に、日ごろPCや複合機、ネットワークを任せているITベンダーに相談するのが普通です。
最近は、ランサムウェアの報道や取引先からの確認、サプライチェーン対策評価制度（SCS評価制度）の話題をきっかけに、「うちのPCはパスワードだけで大丈夫なのか」という相談が増えています。この記事は、そうした相談を受けるITベンダー・システム会社の方に向けて、答え方と提案の進め方をまとめたものです。
相談から提案までの流れ
- 1
現状を一緒に整理する
どのPC・サーバーがパスワードだけか
- 2
質問に統計で答える
狙われるのか・今のままで足りないのか
- 3
数台で試す提案をする
1台・1部署から、判断基準を決めて
質問1「うちのような小さな会社が狙われるのか」
いちばん多い質問です。警察庁が公表した2026年上半期のランサムウェア被害は123件で、そのうち79件（約6割）が中小企業でした。攻撃の多くは会社を名指しで選ぶのではなく、外から入れる入口が開いている会社を探して入るやり方です。
答え方の例
質問2「パスワードを複雑にすれば足りるのでは」
警察庁・総務省・経済産業省の資料（令和8年3月公表）では、検挙された不正アクセスの9割以上が、他人のIDとパスワードを使う手口でした。パスワードは、複雑にしても漏れれば使われます。漏れたあとでも本人以外が入れないようにするには、パスワードとは別の確認を足す必要があります。
答え方の例
質問3「Microsoft 365には2要素認証を入れている」
クラウドサービスの2要素認証と、PCやサーバーそのもののログインは別物です。VPNなどから社内に入られたあと、PCや社内サーバーに次々とログインされる（横展開される）場面では、クラウド側の設定は効きません。社内のWi-Fiも、VPNと同じく社内への入口です。被害事例の多くは、この社内に入られたあとの広がりで大きくなっています。
答え方の例
質問4「SCS評価制度では何が求められるのか」
SCS評価制度は任意の制度で、★3の段階では、多要素認証が必須とされているのはクラウドサービスなどです。PCログインの多要素認証は、★3の時点では必須ではありません。ただ、取引先から対策状況を聞かれたときに、「PC・サーバーのログインもパスワードだけではない」と答えられることは、説明の材料になります。
答え方の例
質問5「手間や費用がかかるのでは」
顧客がいちばん気にするのは、毎日のログインが面倒にならないかと大がかりな工事にならないかです。ここは方式の選び方で大きく変わります。
| 顧客の状況 | 提案しやすい形 |
|---|---|
| ADがない・情シスがいない | 認証用のサーバーを置かずに、PCごとに入れられる方式 |
| 社員がICカードや鍵を持ち歩きたくない | 社員が持っているスマホで確認する方式 |
| リモートデスクトップでサーバーに入っている | Windows Serverのログインも対象にできる方式 |
| まず効果を見てから決めたい | 1台から始められる方式 |
ADや情シスがない顧客に提案しやすい形
アプリップリキーは、全PC・サーバーの状態とログイン記録を1か所で見られるようにし、さらにPC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにします（PC版・サーバー版。リモートデスクトップでのログインも対象）。
- 顧客の全PC・サーバーの状態・ログイン記録・更新漏れを1画面で見られ、訪問やリモート接続で1台ずつ確かめる手間が減る
- ADがあってもなくても導入でき、設定は5分ほど
- 認証用のサーバーや専用の機器が要らない
- ネットにつながらない場所でもログインできる
- ログインの連続失敗を検知すると相手のIPを自動で遮断し、ランサムウェアの前兆とあわせてLINEで知らせる
- 社員の毎回の操作はスマホでワンタッチだけ
- PC1台から始められる
ベンダー側から見ると、顧客先での作業が短く、顧客の「PCのことで困った」にすぐ答えられるため、保守契約のある顧客への追加提案として組み込みやすい商材です。
入れたあと日々の仕事で変わること
顧客から「PCに入れない」「ロックされた」と電話があったとき、訪問しなくても、どのPCで誰が失敗したかをその場で確かめられます。更新漏れやサポートが切れたOSは深刻な順に並ぶので、次の訪問でどのPCから直すかを迷わずに決められます（更新作業そのものは自動ではありません）。
顧客が取引先のチェックシートで「ログイン記録はありますか」と聞かれたときも、その日のうちにCSVで出して渡せます。定例の報告では、画面やCSVをそのまま見せて説明できます。顧客にとっては「聞けばすぐ答えが返ってくる」状態になり、ベンダーにとっては調べる時間と訪問の回数が減ります。
ITベンダー・システム会社の方へ
顧客から「パスワードだけで大丈夫？」と聞かれたときに、全PC・サーバーをまとめて管理でき、さらに2要素認証にもできる商材として扱ってみませんか。
販売パートナー様には、専用サイト・専用ダイヤル・技術支援の勉強会をご用意しています。
販売パートナーについて相談する提案の前に使える「10問の棚卸し」
顧客に提案する前に、ログインの現状を10問で整理する診断を使うこともできます。入力欄はなく、答えを選ぶだけで約3分です。顧客にURLを送って答えてもらえば、どこがパスワードだけかを顧客自身が把握した状態で話を始められます。
あわせて読みたい（ITベンダー向け）
全PC・サーバーの状態とログイン記録を1か所でまとめて見る方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
よくある質問
ADがない顧客にも提案できますか
できます。アプリップリキーはADがあってもなくても導入でき、認証用のサーバーや専用の機器も要りません。また、顧客の全PC・サーバーの状態とログイン記録を1画面で管理でき、1台ずつ訪問して確かめる手間が減ります。
リモートデスクトップで使うWindows Serverも対象にできますか
できます。アプリップリキーのサーバー版で、Windows Serverのログインを本人のスマホを鍵にしたワンタッチログインにできます（リモートデスクトップでのログインも対象）。PC版もPCへのリモートデスクトップ接続に対応しています。
小さく試せますか
PC1台から始められます。まず数台で試し、顧客が「楽になった」と感じたところから広げる提案ができます。
ITベンダー・システム会社の方へ
販売パートナーとしての取り扱い条件や、顧客向け資料について、まずはお気軽にご相談ください。
販売パートナー様には、専用サイト・専用ダイヤル・技術支援の勉強会をご用意しています。
販売パートナーについて相談する出典
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」
- 警察庁・総務省・経済産業省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和8年3月）
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」関連資料