中小企業の情報漏洩対策チェックリスト25項目 何から始めるか優先順位も解説
「情報漏洩対策が必要なのは分かるが、何から手をつければよいか分からない」
「専任のIT担当者がいないため、すべての対策を一度に行うのは難しい」
このように感じている中小企業は少なくありません。
情報漏洩対策は、高額なセキュリティ製品を導入すれば終わりではありません。使っているパソコンやサービスを把握する、退職者のアカウントを止める、更新を行う、バックアップから戻せるか確認する。このような日常の管理が土台になります。
この記事では、従業員15～40名程度で専任IT担当者がいない会社を想定し、情報漏洩対策を25項目に整理しました。「今日から」「1か月以内」「継続して」の3段階で確認できます。
すべてに一度でチェックを付ける必要はありません。未対応の項目を把握し、事故の影響が大きいものから順番に改善することが目的です。
2026年10月22日
まずは25項目を一覧で確認
| 段階 | 確認する分野 | 項目数 | 目安 |
|---|---|---|---|
| 今日から | 更新、認証、退職者、共有、バックアップ、相談先 | 8項目 | 最優先で現状確認 |
| 1か月以内 | 台帳、権限、メール、端末、クラウド、委託先、初動 | 10項目 | 担当者と期限を決める |
| 継続して | 教育、点検、復旧訓練、ログ、経営確認、改善 | 7項目 | 毎月・半年・年1回 |
第1段階 今日から確認する最優先の8項目
最初に、侵入や漏洩の入口になりやすく、事故時の影響を大きくする項目を確認します。追加費用をかけずに確認できる内容も多くあります。
1.OSとソフトウェアを更新している
- □ Windows、macOS、スマートフォンをサポート対象の状態で使用している
- □ Microsoft 365、ブラウザ、PDFソフト、業務ソフトを更新している
2.重要なサービスに多要素認証を設定している
- □ Microsoft 365、Google、クラウド、会計、勤怠などに多要素認証を設定している
3.パスワードを使い回していない
- □ サービスごとに異なる、長く推測されにくいパスワードを使用している
- □ 管理者パスワードを複数人で共有していない
4.退職者と過去の委託先のアカウントを停止している
- □ 退職者、異動者、契約終了した委託先のアカウントを確認した
5.外部共有と公開リンクを確認している
- □ OneDrive、SharePoint、Google Driveなどの外部共有先を確認した
- □「リンクを知っている全員」が見られる共有を必要最小限にしている
6.バックアップを本番環境と分けて保存している
- □ 重要データのバックアップがあり、同期とは別に保管されている
7.ウイルス対策と端末の画面ロックを有効にしている
- □ すべての業務端末でセキュリティ機能が有効になっている
- □ 離席時の自動画面ロック、ストレージ暗号化を設定している
8.怪しいときの相談先が決まっている
- □ 不審なメール、誤送信、端末紛失を最初に報告する相手が決まっている
第2段階 1か月以内に仕組みにする10項目
次に、担当者と期限を決めて会社の仕組みにします。総務担当者だけの記憶に残さず、一覧や手順として共有できる状態を目指します。
1.パソコン・機器・サービスの台帳を作る
- □ 端末、ルーター、VPN、複合機、サーバー、クラウドの一覧がある
2.情報資産を重要度で分ける
- □ 顧客情報、従業員情報、契約書、設計資料など重要情報の保管場所が分かる
3.管理者権限を必要最小限にする
- □ 管理者アカウントと通常業務用アカウントを分けている
- □ 誰が管理者権限を持つか一覧で確認できる
4.入社・異動・退職時の手順を決める
- □ アカウント作成、権限変更、停止、端末返却のチェックリストがある
5.メール誤送信と詐欺メールのルールを決める
- □ 外部宛てメールの確認、BCC、添付ファイルの扱いを決めている
- □ 送金・LINE・認証番号の依頼は別の方法で本人確認する
6.クラウド共有の標準設定を決める
- □ 共有先、編集権限、有効期限、ダウンロード可否の基準がある
7.パソコンとスマートフォンの持ち出しを管理する
- □ 会社端末の持ち出し、私物端末、USBメモリのルールがある
8.委託先と外部サービスを確認する
- □ どの会社へ、どの情報を預けているか一覧になっている
- 事故時の連絡先、報告期限、契約終了時の削除を確認している
9.バックアップから戻すテストを行う
- □ 実際にファイルやシステムを復元できることを確認した
10.事故時の初動手順と連絡網を作る
- □ 責任者、IT会社、保険会社、弁護士、委託先の連絡先がある
- □ 端末隔離、証拠保全、報告・本人通知の確認手順がある
第3段階 継続して定着させる7項目
1.社員教育を短時間でも繰り返す
- □ 入社時と年1回以上、誤送信・詐欺・持ち出しの教育を行っている
2.更新状況を毎月確認する
- □ 顧客情報、従業員情報、契約書、設計資料など重要情報の保管場所が分かる
3.アカウントと権限を定期点検する
- □ 管理者、退職者、外部ゲスト、共有リンクを3～6か月ごとに見直している
4.ログと警告を確認できる状態にする
- □ 不審なログイン、マルウェア検知、管理者操作を確認できる
5.バックアップと初動の訓練を行う
- □ 半年～1年に一度、復旧と連絡の机上訓練を行っている
6.取引先の要求と法令の変更を確認する
- □ セキュリティチェックシートや契約条件へ回答できる
7.経営者が年1回、対策状況と予算を確認する
- □ 未対応項目、事故・ヒヤリ事例、翌年の改善計画を経営者が確認している
チェック結果から優先順位を決める
| 判定 | 目安 | 次に行うこと |
|---|---|---|
| 要注意 | 第1段階に3項目以上の未対応がある | 最優先項目へ担当者と期限を設定 |
| 改善中 | 第1段階は概ね対応、第2段階に未対応が多い | 台帳・手順・権限管理を1か月で整備 |
| 定着前 | 第1・第2段階は対応、第3段階が未実施 | 定期点検と訓練を年間予定へ追加 |
| 継続運用 | 25項目を実施している | 記録を残し、環境変更時に見直す |
チェック数だけで安全性が決まるわけではありません。顧客情報を大量に扱う会社、取引先のシステムへ接続する会社、医療・健康・金融情報を扱う会社は、同じ従業員数でも追加対策が必要です。
費用をかけるなら、どこから優先する？
限られた予算では、被害が起きる可能性と起きた場合の影響が大きいものから投資します。会社の環境によって順番は変わりますが、一般的には次の考え方が参考になります。
| 優先度 | 対策 | 理由 |
|---|---|---|
| 最優先 | 多要素認証、更新、バックアップ分離、退職者停止 | 不正ログイン・侵入・復旧不能の基本リスクを下げる |
| 高 | 端末管理、メール対策、権限管理、ログ保存 | 社員数が増えても管理漏れを減らす |
| 中 | 教育、委託先管理、初動訓練、サイバー保険確認 | 事故の予防と発生後の混乱を抑える |
| 環境別 | EDR、SOC監視、ネットワーク分離、脆弱性診断 | 扱う情報や取引要件に応じて専門家と判断 |
製品名から選ぶのではなく、「どの事故を防ぐか」「誰が運用するか」「警告が出たとき誰が対応するか」まで決めます。使いこなせない高機能製品より、基本対策を確実に運用できる体制の方が重要です。
チェックリストを形だけにしないためのポイント
- □「導入済み」ではなく、「有効か」「対象は全端末か」まで確認する
- □ 担当者名と完了期限を決める
- □ 口頭確認ではなく、台帳・設定画面・ログなどの根拠を残す
- □ 入退社、機器追加、サービス変更のたびに更新する
- □ 未対応を責めず、影響と優先順位を経営者へ共有する
例えば「ウイルス対策ソフトあり」にチェックが付いていても、契約切れや警告停止があれば対策できているとはいえません。「バックアップあり」でも、一度も復元していなければ復旧できるか分かりません。実際に機能しているかを確認してください。
よくある質問
まとめ 完璧を待たず、最優先の8項目から始める
情報漏洩対策は、一度に完成させるものではありません。まず第1段階の8項目を確認し、未対応のものへ担当者と期限を設定してください。
- OS・ソフトウェアの更新
- 重要サービスの多要素認証
- パスワードの使い回し防止
- 退職者・委託先アカウントの停止
- 外部共有の確認
- 分離したバックアップ
- ウイルス対策・画面ロック・暗号化
- 怪しいときの相談先
その後、台帳、入退社手順、権限管理、委託先管理、初動連絡網を整え、定期点検と訓練へ進みます。チェックが付かない項目があること自体より、分からないまま放置することが危険です。
自社だけで確認が難しい項目は、一緒に整理できます
アルファパートナーズの「よろずITおまかせサポート」では、専任IT担当者がいない中小企業の情報漏洩対策を、現在の環境確認からお手伝いします。
- パソコン・アカウント・クラウド・契約の棚卸し
- Microsoft 365の多要素認証、権限、外部共有の確認
- バックアップ方法と復元手順の確認
- 入退社チェックリストと初動連絡網の作成
- 既存のIT業者やサービス会社への確認・調整
