中小企業で対策を始めるきっかけは、危機感より取引先からの要請であることが多くあります。チェックシートで対応状況を問われ、答えられないと商談が止まる、という形です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
この記事では、費用をかけずに今日できることから順に12項目を並べ、それぞれに確認方法を添えました。上から順に見ていけば、自社の現状が分かります。対策の全体像は不正アクセス対策とはにまとめています。
なぜ中小企業が狙われるのか
「うちは小さいから狙われない」と考える前に、今の攻撃の形を確認します。
- 専任の担当者がおらず、対策が後回しになりやすい
- 取引先の大企業に入るための「踏み台」にされることがある
- 共有アカウントが残っていることが多い
- 攻撃の多くは機械的で、企業規模は狙われるかどうかの基準にならない
今の攻撃は、ネットに出ている機器やアカウントを機械的に探し、入れるところから入る形が主流です（不正アクセスの基礎）。
優先順位の考え方
項目は多く見えますが、判断の基準は1つです。
最初に確かめること
| 段階 | 内容 | 費用 |
|---|---|---|
| 第1段階（項目1〜5） | 余計なアカウント・過剰な権限をなくす | 基本的に費用ゼロ |
| 第2段階（項目6〜9） | パスワードだけでは入れない状態にする | 投資が必要 |
| 第3段階（項目10〜12） | 起きたことが分かる・説明できる状態にする | 一部費用ゼロ |
第1段階：費用をかけずに今日から着手できること
どれも設定や確認だけで済み、費用はかかりません。
□ 1. 管理者アカウントを共有していないか
同じ管理者IDを複数人で使うと、漏れたときに経路を特定できません。まず個人ごとのアカウントを発行します。
確認方法：「このIDのパスワードを知っている人を全員挙げられますか」に即答できないIDがあれば該当します（共有アカウントの廃止、ID管理の基本）。
□ 2. 退職者・異動者のアカウントが残っていないか
確認方法：直近1年の退職者名簿とアカウント一覧を突き合わせます。1件でも残っていれば、棚卸しの仕組みが機能していません（退職者アカウントの削除）。
□ 3. 管理者権限を配りすぎていないか
被害の大きさは、破られたアカウントの権限で決まります。全員が管理者なら、どこが破られても被害は最大です。
確認方法：管理者権限を持つアカウントを数え、今日その権限が必要な人だけに絞れているかを見ます（最小権限の原則）。
□ 4. Windowsの自動ログインを有効にしていないか
自動ログインは、パスワードによる保護そのものを無効にします。確認方法：社用PCを再起動し、パスワードを求められずにデスクトップまで進むものがあれば該当します。
□ 5. 業務用パスワードを個人利用のサービスと使い回していないか
個人のサービスから漏れたIDとパスワードは、業務システムでも試されます。攻撃者にとって最も手数の少ない方法です。
確認方法：棚卸しのときに自己申告で確認します。責めると正直な答えが集まらないので、「変えれば済む話」として扱います（リスト型攻撃、パスワードポリシーの設計）。
第2段階：パスワードだけでは入れない状態にする
ここからは投資が必要ですが、被害を一番大きく左右する段階です。
□ 6. サーバー・重要PCに多要素認証を導入しているか
全端末を一度に対応できなくても、会計データや顧客情報が集まるサーバー・重要PCから入れれば、限られた予算でも被害を大きく抑えられます（多要素認証とは、Windows OSログインの2要素認証）。
確認方法：そのサーバーにID・パスワードだけでログインできれば未対応です。
□ 7. クラウドだけでなく社内サーバー・PCも対象にしているか
Microsoft 365などは対応済みでも、社内のサーバーやPCはID・パスワードのみという会社が少なくありません。実際のデータがあるのは社内側です（UTM・ウイルス対策と認証の違い）。
□ 8. スマートフォンを持たない従業員への対応を決めているか
現場や工場では、業務中にスマホを使えないことがあります。ここで導入が止まりやすいので、スマートフォンを使わない多要素認証で選択肢を確認してください。
□ 9. VPN・リモートアクセスの脆弱性対策をしているか
確認方法：VPN機器の型番とファームウェアの更新日を確認します。更新日が分からなければ「未対応」と判断してください（VPN脆弱性対策・社内Wi-Fiの入口、テレワークの対策）。
入られた後に、社内のPC・サーバーへ広げさせない
入口を固めても、入られる可能性はゼロになりません。被害が会社全体に及ぶのは、最初の1台から社内のPCやサーバーへ次々とログインされたときです。
入られた後のログイン
パスワードだけ
- 盗んだパスワードで隣のPCへ
- サーバーまで次々に広がる
2つ目の要素あり
- パスワードだけでは次の端末に入れない
- 広がりを最初の1台で止めやすい
確認方法：PC・サーバーのログインに2つ目の要素があるかを見ます。パスワードだけなら「未対応」です。
第3段階：起きたことが分かる・説明できる状態にする
侵入に気づき、取引先に説明できるようにする段階です。
□ 10. ログインの記録が残っているか
侵入は数週間〜数か月後に発覚することがあり、ログがなければ何が漏れたか特定できません。
確認方法：「3か月前のある日に、誰がどの端末にログインしたか」を調べられるか試します。Windowsのイベントログやクラウドのサインインログは標準機能で残せます（アクセスログの監査、ログインの異常の見つけ方）。
□ 11. 不正アクセス検知システムの導入も検討する
検知システムは早期発見に役立ちますが、アラートに対応する人がいなければ機能しません。第1・第2段階のあとの投資として考えてください（検知と予防の違い）。
□ 12. 取引先から対応状況を聞かれた際に説明できるか
SCS評価制度など、取引先選定で対応状況を問われる場面が増えています。
確認方法：「アカウント管理をどうしているか」に、口頭ではなく記録で示せるかを確認します（取引先や監査から問われたとき）。
第3段階の10〜12は、全PC・サーバーの状態とログイン記録を1か所で見られると、1台ずつ調べずに済みます。3か月前に誰がどのPCに入ったかも画面1つで絞り込めます。異変があるときだけ担当者のLINEに届くので、アラートを見張る人を置かなくて済み、何もない日は見に行かなくて構いません。取引先に聞かれたら、そのままCSVで示せます（アプリップリキー）。さらに、第2段階のPC・サーバーのログインの2つ目の要素は、本人のスマホを鍵にしたワンタッチログインで1台から進められます（PC版・サーバー版）。
社内で予算を通すための説明材料
対策が止まる最大の理由は、技術ではなく「なぜ今費用をかけるのか」を説明できないことです。経営層には次の3点が伝わりやすくなります。
- 被害の中身は「情報漏洩」より「業務停止」 — 受発注や請求が止まった日数が、そのまま売上の損失になります
- 漏洩時には期限のある手続きが走る — 個人データが関われば報告と本人への通知の義務が生じます（パスワード漏洩したらどうなるか）
- 取引の前提条件になりつつある — 選定で問われれば、費用ではなく売上の問題になります
よくある失敗
中小企業で多い、対策が止まるパターンです。
- ルールを作って終わる — 担当者と時期を決めて定例業務にしないと、必ず後回しになります
- 全端末を一度にやろうとして止まる — 最も多い失敗です。サーバーと重要PCだけでも効果があります
- 入口対策の強化で代わりにする — ウイルス対策やUTMは、盗まれた正規のパスワードでのログインを止められません
- パスワードの複雑化・定期変更で代わりにする — 主な漏洩経路は強度と無関係で、使い回しやメモを増やすこともあります
普段の管理が楽になると何が変わるか
中小企業では、PCの担当者がほかの仕事と兼任していることがほとんどです。チェックリストを年に一度埋めるために、1台ずつ見て回るのは続きません。全PC・サーバーの台数・OS・空き容量・利用者が1画面にまとまっていれば、棚卸しは画面を開くだけで済みます。7日以上連絡のないPCも一覧で出るので、使われていない端末にもすぐ気づけます。取引先のチェックシートには画面やCSVをそのまま添えて説明でき、PCのことで呼ばれる回数も調べる時間も減ります。
対策していない場合のリスク
手薄なままにすると、ID・パスワードの漏洩を起点としたランサムウェア被害や、取引先を巻き込むサプライチェーン攻撃につながる恐れがあります。
実例はID・パスワード漏洩の実例と対策と被害の統計と実例、対策の進め方は不正アクセス対策の進め方、法律は不正アクセス禁止法とはで解説しています。
よくある質問
Q. 中小企業でも本当に不正アクセス対策は必要ですか？
A. 必要です。近年の攻撃は対象を選ばず機械的に行われるため、企業規模は狙われるかどうかの基準になりません。取引先の大企業に入るための「踏み台」にされる例もあり、取引先から対応状況を聞かれる場面も増えています。
Q. 予算も人手も限られています。何から始めればよいですか？
A. まずは管理者アカウントの共有をやめること、退職者・異動者のアカウントを棚卸しすること、管理者権限を必要な人だけに絞ること、Windowsの自動ログインを無効化することから始めましょう。いずれも費用をかけずに今日から着手できます。
Q. すべての端末に多要素認証を導入する余裕がありません
A. 一度に全端末へ対応する必要はありません。会計データ・顧客情報が集まるサーバーや重要PCから優先的に導入することで、限られた予算でも被害を大きく抑えられます。対象を絞れずに導入自体が止まることが、最も多い失敗です。
Q. ウイルス対策ソフトやUTMを入れていれば十分ではないですか？
A. 不十分です。これらは「不審なファイルや通信を止める」対策であり、盗まれた正規のID・パスワードによるログインは止められません。攻撃者は正しい認証情報で、正規の入口から入ってくるためです。
Q. クラウドサービスで多要素認証を有効にしていれば対応済みですか？
A. 対象がクラウドだけであれば不十分です。会計データ・顧客情報・共有ファイルが実際に保管されているのは社内のサーバーやPCであることが多く、そちらのログインがID・パスワードのみなら、被害が最も大きい場所が空いたままになります。
Q. これらの対策を怠るとどうなりますか？
A. ID・パスワードの漏洩を起点としたランサムウェア被害や、取引先を巻き込むサプライチェーン攻撃につながる恐れがあります。実害は情報漏洩そのものよりも、業務停止による売上の損失と、取引先からの信用の低下で大きくなります。
持ち出しによる情報漏えいへの物理的な備えとして、USBメモリの制限があります。手順は USBメモリの使用をグループポリシーで禁止する手順を参照してください。
いまの運用を棚卸ししてみる
チェックリストの項目が自社でどこまでできているかを個別に確認するのは負担が大きい作業です。applippliの無料棚卸しでは、10問・約3分に答えるだけで、ログインまわりでいま何をやっていて、何が手つかずのまま残っているかが項目ごとの一覧になります。