【セキュリティ入門 第1回】情報セキュリティってなに？——「うちみたいな小さい会社が狙われるの？」に答える

中小企業のための情報セキュリティ超入門 1 / 8

「うちみたいな小さい会社、わざわざ狙う人なんかいないでしょ」——昼休みに同僚とそんな話をしていた数日後、取引先から「御社から不審な請求書メールが届いたんですが」と電話が入る。慌てて確認すると、自社の役職者を装った偽メールが取引先10社にばらまかれていた……。

これは特別な大企業の話ではなく、ふつうの中小企業で実際に起きていることです。

本シリーズ全8回の出発点となるこの第1回では、「情報セキュリティ」とは何を守るための取り組みなのか、なぜ中小企業こそ狙われるのかを整理し、シリーズ全体の地図を描きます。

この記事でわかること

• 情報セキュリティが「守る対象」を3つに分けてとらえる考え方

• なぜ中小企業がいま標的にされやすいのか（最新の公的データ）

• 攻撃に遭ったときに会社で起きること（業務停止・金銭被害・取引先への波及）

• このシリーズ全8回で身につく「守りの基本セット」

情報セキュリティとは「3つの状態」を守ること

情報セキュリティ（会社や個人の情報を、こわされたり盗まれたり使えなくされたりしないように守るための取り組み）は、漠然と「ウイルス対策」と思われがちですが、本当に守りたいものは情報そのものの「3つの状態」です。

ひとつ目は機密性（きみつせい：見るべき人だけが見られる状態）。お客様の名簿や見積書が、社外の人や、社内でも権限のない人に見られない状態を保つことです。

ふたつ目は完全性（かんぜんせい：勝手に書き換えられていない状態）。請求書の金額や口座番号が、誰かに改ざんされていない状態を保つことです。

三つ目は可用性（かようせい：必要なときに使える状態）。「ファイルが暗号化されて開けない」「サーバーが止まって受注処理ができない」といった事態を防ぐことです。

セキュリティの話題はあれこれ次々と出てくるように見えますが、「いまの話はこの3つのうちどれを守るためか」と当てはめると、目的が一気に整理されます。

なぜ中小企業こそ狙われるのか——「うちは関係ない」が一番危ない

「狙われるのは大企業や有名企業」というイメージは、もう古いものになっています。警察庁が2025年9月に公表した「令和7年上半期 サイバー空間をめぐる脅威の情勢」によれば、2025年上半期に報告されたランサムウェア（パソコンやサーバーのファイルを暗号化して身代金を要求する不正プログラム）の被害116件のうち、77件——約3分の2——が中小企業です。
件数・割合ともに、半期ベースで過去最多となりました。

なぜ中小企業ばかりが選ばれるのか。理由はおおむね3つあります。

第一に、対策が手薄なほど侵入の手間が少なく、攻撃者から見て「効率がよい」獲物になるためです。

第二に、サービスとして攻撃ツールを貸し出すRaaS（ラース：Ransomware as a Service。攻撃の道具と仕組みをサブスクのように貸し出すヤミ業者の仕組み）が広がり、技術が高くない犯人でも攻撃を始められるようになったことです。

第三に、大企業を直接狙うより、その取引先である中小企業を踏み台にしたほうが入り込みやすいという「サプライチェーン攻撃（取引先を経由して本命の企業に攻撃をしかける手口）」の流れが強まっているためです。

IPA（アイピーエー：情報処理推進機構。国のIT政策を支える独立行政法人）が公表した「情報セキュリティ10大脅威 2026」でも、組織向けの脅威ランキングは1位がランサム攻撃、2位がサプライチェーン攻撃と、ここ数年変わらず上位を占めています。中小企業向けの実態調査でも、回答した中小企業の約2割が直近1年でサイバー攻撃を経験したと答えています。

「被害」は思ったよりも広く、長く尾を引く

攻撃を受けたとき、会社の中で起きるのは「データが見られた」という1点だけではありません。業務がまるごと止まります。
受発注のシステムやファイルサーバーが使えなくなれば、見積書の作成も出荷指示も電話確認以外できなくなり、復旧まで何日もかかります。

警察庁が公表したランサムウェア被害企業へのアンケートでは、調査・復旧費用が1000万円以上かかった組織の割合は2024年の50%から、直近の集計で59%に増えています。

金銭的な被害も発生します。
身代金そのものに加え、再構築のためのIT費用、休業期間中の機会損失、お詫び対応や臨時の人件費が積み重なります。さらに取引先への影響が無視できません。

IPAの中小企業実態調査では、攻撃を受けた中小企業の約7割で、影響が取引先にも及んだと回答されています。
自社の事故が、長年築いた信用ごと吹き飛ばしかねない、という現実があります。

ここで強調したいのは、これらの被害は「予防」だけでは防ぎきれず、「初動の良し悪し」で被害規模が大きく変わるということです。

あやしいメールに気づいた時点で開封しないで上司に共有する、感染が疑われたパソコンはネットワークから外す（有線LANのケーブルを抜く、Wi-Fiをオフにする）、勝手に電源を落とさず情報システム担当または外部のITサポートへ連絡する——この最初の判断が、被害を10倍にも100倍にもしないための鍵です。

このシリーズで身につく「守りの基本セット」

全8回を通して、難しい暗記をしなくても回せる「日常運用」を作ることを目指します。第2回でパスワードの守り方、第3回で多要素認証（MFA：エムエフエー。Multi-Factor Authentication。パスワードに加えてもう1つの確認を組み合わせるしくみ）、第4回でフィッシング詐欺の見抜き方、第5回でウイルス・ランサムウェア対策、第6回で安全なファイル共有とアクセス権限、第7回でスマホ・パソコンの紛失盗難対策、第8回で社内ルールづくりとインシデント対応チェックリストへ進みます。

会社がMicrosoft 365（マイクロソフト サンロクゴ：Word・Excel・Outlookなどをまとめた法人向けサービス）を使っていても、Google Workspace（グーグル ワークスペース：Gmail・ドキュメント・ドライブなどをまとめた法人向けサービス）を使っていても、その両方の手順を並べて解説します。

まとめ：第1回のポイント

• セキュリティの守る対象は「機密性・完全性・可用性」の3要素。事件が起きたら「いまどれが崩れているか」で状況を整理できる

• 中小企業の被害は他人事ではない。ランサムウェア被害の約3分の2は中小企業で、対策の手薄さ・RaaSの普及・サプライチェーン攻撃の3つが背景にある

• 被害を最小化する鍵は初動の3手順。「あやしい時点で共有」「感染端末をネットワーク切断」「ITサポートへ連絡」をこの順で動けるよう、全社員で共有しておく

次回は、もっとも身近で、もっとも狙われている入り口——「パスワード」の正しい守り方を取り上げます。使い回しをやめるだけで、被害確率はぐっと下がります。

情報セキュリティ対策や社内ルールづくりでお困りのことがあれば、みよし屋までお気軽にご相談ください。

#情報セキュリティ #中小企業 #サイバーセキュリティ #ランサムウェア #Microsoft365 #GoogleWorkspace #IT初心者 #みよし屋