「セキュリティ対策が大事なのは分かっている。でも、何から手をつければいいか分からない」。そう感じて、つい後回しにしていませんか。

沖縄の中小企業では、総務の方がIT担当を兼ねていることがよくあります。共有パソコンのパスワードが付箋で貼ってあったり、辞めたパートさんのアカウントがそのまま残っていたり。専任の担当者も、大きな予算もない中で、完璧を目指すのは現実的ではありません。

そこでこの記事では、無料・標準機能でできる最低限の対策を、チェックリスト形式でまとめました。読みながら「済」か「未」かを仕分けし、未の項目だけを埋めれば大丈夫です。

「最低限」ってどこまで？ ゴールを先に決める

対策を始めるとき、いちばん困るのは「どこまでやれば十分なのか」が見えないことです。ゴールがないと、やってもやっても不安が残ります。

そこで、この記事では国が示す基準を「最低限のものさし」にします。目安にするのは、IPA（情報処理推進機構）という公的な機関が用意している2つの仕組みです。

  • 5分でできる！情報セキュリティ自社診断：25の質問に答えて、自社の現状を点数で確認できる無料の診断
  • SECURITY ACTION（セキュリティアクション）：中小企業が「対策に取り組みます」と自分で宣言する制度。まずは一つ星から始められる

SECURITY ACTIONには「★一つ星」と「★★二つ星」の2段階があります。違いを整理すると次のとおりです。

  • ★一つ星：「情報セキュリティ5か条」への取組みを宣言する
  • ★★二つ星：「5分でできる！情報セキュリティ自社診断」で自社を診断し、基本方針（情報セキュリティポリシー）を定めて外部に公開する

一つ星の宣言は、これまで対策をしたことがない会社でもすぐに始められます。無料で取り組めて、ロゴを名刺やホームページに使えます。

さらに、デジタル化・AI導入補助金（旧：IT導入補助金）では、SECURITY ACTIONの「★一つ星」または「★★二つ星」いずれかの宣言が申請の必須要件になっています。つまり、補助金を使いたい会社にとっては避けて通れない手続きです。

なお、第2次公募（2026年5月12日 17時以降）からは、従来の自己宣言IDでは申請できなくなり、デジタル化・AI導入補助金で使用するGビズIDを用いてSECURITY ACTIONの宣言を行う運用に変更されています。申請前に最新の手続きをご確認ください（出典：IPA「SECURITY ACTION」https://www.ipa.go.jp/security/security-action/it-hojo.html）。

つまり「一つ星に届く状態」を、この記事のゴールにします。完璧なセキュリティではなく、まず基本の穴をふさぐ。それが最初の一歩です。

沖縄の小さな事務所で、二人の従業員が一枚の紙のチェックリストを机に広げ、項目を指でたどりながら確認し合っている落ち着いた場面

最低限チェックリスト15項目（済/未で仕分け）

ここが記事の中心です。技術・人・運用の3つをバランスよく並べました。各項目に「なぜ必要か」と「今日やること」を一言添えています。□に「済」を入れながら読み進めてください。

技術の対策（機械側で守る）

  • ① OS・ソフトの更新を自動にする：古いままだと弱点を突かれます。自動更新をオンにするだけでOK
  • ② ウイルス対策を有効にする：Windowsは標準のDefenderが入っています。オフになっていないか確認
  • ③ パスワードの使い回しをやめる：1か所漏れると芋づる式に破られます。重要なサービスだけでも別々に
  • ④ 重要サービスに二段階認証を付ける：パスワードが漏れても、もう一段の確認で守れます
  • ⑤ バックアップを取る：台風の停電や故障でデータが飛ぶ前に。外付けとクラウドの二重が安心

人の対策（従業員の行動で守る）

  • ⑥ 怪しいメール・添付の共通ルールを決める：「開く前に送信元を確認」を全員の約束事に
  • ⑦ Wi-Fiの初期パスワードを変える：買ったときのままだと近所から入られる恐れがあります
  • ⑧ 共有PCの付箋パスワードを見直す：見える場所に貼らない。来客の目にも触れます
  • ⑨ 私物スマホの扱いルールを決める：仕事のデータをどこまで入れてよいかを決めておく

運用の対策（続ける仕組みで守る）

  • ⑩ 退職者・異動者のアカウントを止める：辞めた人のクラウドが生きているのは大きな穴
  • ⑪ クラウド共有の公開範囲を確認する：「リンクを知っている全員」になっていないか
  • ⑫ データの持ち出し・保管ルールを決める：USBに入れて持ち歩く運用を見直す
  • ⑬ 事故時の連絡先・報告先を決めておく：慌てないために「誰に言うか」を先に決める
  • ⑭ 利用中の外部サービスを棚卸しする：使っていないサービスは解約して穴を減らす
  • ⑮ 簡単なルールを1枚にして共有する：頭の中ではなく、紙やファイルで全員に

15項目のうち「未」が多くても大丈夫です。次の章で、まず取りかかる順番を決めます。

まず今日やる3つ（優先順位）

15項目を一度にやろうとすると、たいてい途中で止まります。そこで、効果が高くて無料ですぐできる3つに絞ります。この3つだけは、今日中に手を付けてください。

  1. 更新の自動化（①）：一度オンにすれば、あとは自動で守り続けてくれます
  2. 二段階認証（④）：メールやクラウドが乗っ取られる被害を大きく減らせます
  3. バックアップ（⑤）：もしものとき、データが戻せるかどうかで被害が変わります

この3つは「設定すれば終わり」に近い対策です。人の習慣を変える必要がなく、少人数の会社でも回せます。

残りの12項目は、1週間で全部やる必要はありません。今週は3つ、来週はメール関連、というように順番で進めれば十分です。大切なのは、完璧に一度でやることではなく、止めずに埋めていくことです。

手を動かす具体手順（つまずきどころ付き）

「設定しろと言われても、場所が分からない」という声にお答えします。代表的な項目を、画面の流れで説明します。

Windows Updateを自動にする

Windows 11の場合の手順です。

  1. 画面下のスタートボタンから「設定」を開く
  2. 左側の一覧から「Windows Update」を選ぶ
  3. 「詳細オプション」で自動更新がオンになっているか確認する

Windows 10の場合は経路が少し違います。「設定」→「更新とセキュリティ」→「Windows Update」と進んでください。

つまずきどころ：更新後の再起動を「あとで」にし続けると、更新が完了しません。昼休みや退勤前に再起動する習慣にしておくと安心です。

メールやクラウドに二段階認証を付ける

GoogleやMicrosoftのアカウントは、無料で二段階認証を付けられます。

  1. アカウントの「セキュリティ」設定を開く
  2. 「2段階認証プロセス」または「多要素認証」を選ぶ
  3. スマホのアプリやSMSで確認する設定を有効にする

つまずきどころ：スマホを機種変更すると確認できなくなることがあります。予備の確認手段（バックアップコード）を印刷して保管しておきましょう。

バックアップを二重にする

バックアップは「3-2-1」という考え方が目安です。むずかしく聞こえますが、要は次の3つです。

  • データは2か所以上に持つ（例：パソコン＋外付けハードディスク）
  • そのうち1か所は別の場所に置く（例：クラウド）

外付けとクラウドの両方にコピーがあれば、事務所が停電や浸水にあってもデータを守れます。まずは無料・標準の機能から始めれば十分です。

「人」と「運用」の最低限（後回しにされがちな部分）

技術の設定は一度やれば終わりますが、後回しにされやすいのが「人」と「運用」の部分です。ここは沖縄の少人数企業でつまずきやすい場所でもあります。

退職者・私物スマホ・メールルール

たとえば、辞めたパートさんのクラウドアカウントが生きたままだと、外から会社のデータに入れる状態が続きます。退職や異動のたびにアカウントを止める、という手順を決めておきましょう。

私物のスマホで仕事のメールを見ている場合も、「どこまで入れてよいか」を決めておくと安心です。難しいルールは要りません。

A4一枚のルールにまとめる

これらは、頭の中に置くと必ず忘れます。おすすめは、次のような内容をA4一枚に書いて全員に配ることです。

  • 怪しいメールを開く前にすること
  • パスワードのつくり方の約束
  • 退職者が出たときに止めるアカウント一覧
  • 事故が起きたときの連絡先

「教育は研修を外注しないと」と身構える必要はありません。まずは社内で一枚の紙を共有するだけでも、行動はそろいます。外注を検討するのは、その先で十分です。

こうしたルールを1枚にまとめる作業は、属人化を防ぐ業務マニュアルの作り方の考え方がそのまま使えます。

無料でできる公的ツール・制度の使い方

最後に、現状を確認して宣言までつなげる流れを紹介します。どちらも無料です。

まず現状を知る：5分でできる自社診断

IPAの「5分でできる！情報セキュリティ自社診断」は、25の質問に答えると、自社のできている点・弱い点が見えます。まずこれで現状を点数化しましょう。この記事のチェックリストと合わせて使うと、抜けが見つけやすくなります。

なお、この5分診断は二つ星の要件にあたります。一つ星は「情報セキュリティ5か条」への取組みを宣言するもので、診断そのものは必須ではありません。とはいえ、現状把握のために一つ星の段階でも診断を受けておくことをおすすめします。

次に宣言する：SECURITY ACTION

現状を把握したら、SECURITY ACTIONの一つ星を宣言します。基本的な対策に取り組むことを自分で宣言する制度で、申込はIPAのサイトから行えます。

宣言するとロゴが使えます。取引先に「うちは対策しています」と示す材料になり、前述のとおりデジタル化・AI導入補助金の申請要件を満たすことにもつながります。

よくある質問

  • どこまでやれば十分？：まずは一つ星相当。チェックリストの15項目が「済」になれば、最低限の穴はふさげます
  • 無料ツールで足りる？：多くの中小企業は、標準・無料機能で最低限に届きます
  • 有料の製品はいつ検討する？：無料・標準で埋まらない穴が見えてから。順番を逆にしないことが大切です

まとめ

セキュリティ対策は、完璧を目指すと動けなくなります。まずは基本の穴を1つずつふさぐことが第一歩です。

  • ゴールは「IPAの一つ星相当」と決める
  • チェックリストで「未」の項目を仕分けする
  • 今日は3つ（更新の自動化・二段階認証・バックアップ）から始める
  • 人と運用はA4一枚のルールにまとめる
  • 5分診断で現状把握 → 一つ星を宣言する

この順番なら、専任の担当者がいなくても無理なく進められます。今日、まず3つから始めてみてください。