「パスワードの使い回しはやめて」と言う側だった私が、ひとり社長のセキュリティを何から直したか

こんにちは、なつきです😊

35歳でIT企業を退職して、今はひとり社長として働いています。会社員時代は社内SEを8年やっていて、社員向けのセキュリティ研修を毎年回していたのも私でした。

会社にいたころ、私は「パスワードの使い回しはやめてください」と言う側の人間だったんです。

それを言ってた本人が、独立して2年、自分の環境を一度も点検してませんでした💦

気づいたきっかけは、外付けハードディスクを久しぶりにつないだこと。最後にコピーした日付が、去年のままだったんですよね。

会社が黙って肩代わりしてくれていたもの、という意味では健康診断の話と同じでした。体のメンテの次は、情報のメンテだったなと。

今日は、Claudeに自分の環境の穴を棚卸しさせて、そのうち3つだけ直した記録です。最初の週末に全部やろうとして何ひとつ終わらなかったところも、含めて書きます。

独立した日から、情報を守るのは「誰の仕事でもなくなる」

会社員のとき、バックアップは自動で回っていて、パスワードのルールは会社が決めていて、期限が来たら勝手に変更を求められました。あのうっとうしい仕組みは、全部だれかの仕事でした。

独立すると、その担当者がいなくなります。

私はずっと「面倒だから後回しにしてる」と自分を責めていたんですけど、それは違ったなと今は思います。本当の原因は、面倒くささじゃなくて「担当者がいなくなったことに気づいてなかった」ことでした。誰かがやってくれる前提のまま、2年が過ぎていたんです。

じゃあ何をどこまでやればいいのか。助かったのが、IPA（情報処理推進機構）の「情報セキュリティ6か条」でした。

①OSやソフトウェアは常に最新の状態にしよう！
②ウイルス対策ソフトを導入しよう！
③パスワードを強化しよう！
④共有設定を見直そう！
⑤バックアップを取ろう！
⑥脅威や攻撃の手口を知ろう！

（出典：IPA「SECURITY ACTION 一つ星」https://www.ipa.go.jp/security/security-action/onestar/）

正直、私の記憶は「5か条」で止まっていました。ひとつ増えていたのも知らなかったです。

もうひとつ知らなかったこと。個人情報保護委員会のFAQには、個人情報データベース等を事業に使っている人は「特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当します」とあります。5,000人分以下なら対象外という線引きは、平成29年5月30日の施行より前の話でした。

（出典：個人情報保護委員会「よくある質問」https://www.ppc.go.jp/all_faq_index/faq1-q1-50/）

つまり、取引先が3社でも、扱っているのが名前とメールアドレスだけでも、私は当事者でした。

契約書のリスクは前に別記事で書いています。あちらは「相手との約束」の話、今日は「自分の手元」の話です。→ 元社内SEの私が独立して一番ビビったのは"契約書"

会社で私が注意していたことを、独立後の私は全部やっていた

まず自分の状態を書き出しました。ここが一番しんどかったです。

ひとつめ。パスワードは会社員時代のものを少し変えて使い回し。二段階認証はメールと会計ソフトだけで、あとは「あとでやる」のまま。

ふたつめ。クライアントの資料が、私物のMacBookのデスクトップとダウンロードに散らばっていました。どこに何があるか自分でも即答できない状態です。

みっつめ。バックアップは「気づいたときに外付けへコピー」。気づかなければ何も起きない仕組みでした。

3つ全部、会社員時代の私が「やめてください」と言っていたことでした😭

知らなかったわけじゃないんです。知識としては全部わかっていて、優先順位を下げ続けた結果、そこに落ちていた。知らない人は調べれば直せるけど、知ってる人は「わかってるから大丈夫」で止まる。ここが一番こわいところでした。

売上に直結しない作業って、ひとりだと本当に後ろへ回りますよね。

Claudeに「私の環境の穴」を棚卸しさせたら、順番がついた

ここでClaudeに投げたんですが、最初の投げ方は失敗でした。「私のセキュリティは大丈夫ですか？」と聞いたら、一般的な注意事項がきれいに並んで返ってきただけ。読んでも何も動けません。

効いたのは、「診断」ではなく「順番づけ」を頼むことでした。実際に投げたのはこういう内容です。

「私はひとり社長のフリーランスです。クライアントの個人情報（名前・メール・請求先住所）を私物のMacで扱っています。現状は次のとおりです。
①パスワードは会社員時代のものを使い回し、二段階認証は2サービスだけ
②クライアント資料がデスクトップとダウンロードに散在
③バックアップは手動で最後が去年。
IPAの情報セキュリティ6か条を基準にして、いま空いている穴を全部リストにしてください。
そのあと、私がひとりで、今週の土曜の午前中だけで終わらせられる作業を3つ選んで、理由つきで順番をつけてください。すぐ終わらないものは『順番待ち』として別のリストにしてください」

効いた要素は3つ。自分の現状を先に全部書くこと（省くと一般論しか返りません）。基準を外から与えること（「6か条を基準に」の一言で、私の思い込みから離れます）。

そして、いちばん大事だったのが使える時間を先に伝えること。「土曜の午前だけ」と書いたので、返ってきたリストが最初から3つに絞られていました。

Claudeが1番に置いてきたのは、バックアップの自動化。私もそこは同意でした。パスワードや暗号化は「まだ起きていないこと」への備えだけど、データが消えるのは、起きたらその日に事業が止まる。順番をつけるなら、止まるほうが先だなと。

3つだけ直した。全部やろうとして一度こけた話

先に、こけたほうを書きます。

3つに絞ってもらったのに、リストの残りが気になって仕方なかったんですよね。

棚卸しを見た最初の週末、私は6か条を全部やろうとしました。結果、その土日で終わった項目は0です。ソフトの比較を2つ同時に読み始めて、どっちも決まらないまま日曜の夜になりました。

翌週やり方を変えました。対象を「クライアントの情報が入っている場所」1か所だけに絞ったんです。私物のMacの中の、その1フォルダだけ。

そうしたら、土曜の午前だけで3つ終わりました。6か条のうち3つです。

ひとつめ、バックアップの自動化。手動コピーをやめて、決まった時間に勝手に走る設定にしました。「気づいたら」を仕組みから消しただけです。

ふたつめ、クライアント資料の置き場所を1か所に集約。デスクトップとダウンロードから全部移して、共有リンクの設定も見直しました。誰でも見られる状態のまま放置していたものが、正直ありました。

みっつめ、パスワード。管理ツールを入れて、クライアント情報に触るサービスだけ使い回しをやめ、二段階認証も入れました。全アカウントは無理なので触っていません。

残りの3つは順番待ちで、来月やります。ぜんぶ終わってから記事にしようとすると永遠に書けないので、途中で書きました。

これで安全になったとは思っていません。やったのは、起きたときに事業が止まらない準備と、うっかりの確率を下げることまでです。

まとめ

✅ 独立すると情報を守る担当者がいなくなる。面倒だからではなく「担当がいないことに気づいてない」のが原因

✅ 基準は自分で作らなくていい。IPAの情報セキュリティ6か条を借りるのが早い

✅ AIには「診断して」ではなく「使える時間を伝えて順番をつけて」。土曜の午前だけで3つ終わりました✨

明日できる最初の一歩は、外付けハードディスクかクラウドの最後のバックアップの日付を見ることだけです。

1分で終わります。私はそれを見て、2年ぶんの後回しに気づきました。

⚠️ 個人情報の扱いが自分のケースで法律上どうなるかは、状況によって変わります。判断に迷うところは、専門家や公式の窓口で確認してくださいね。

同じところで止まってる方、Xでゆるくつながれたらうれしいです → https://x.com/ai_manabukun1