中小企業のセキュリティ対策【2026年】IPAガイドライン第4.0版の使い方

「うちは狙われない」が通用しなくなった

中小企業の経営者と話していると、セキュリティについて「うちみたいな小さな会社を狙っても、攻撃者に得はないでしょう」という声をよく聞きます。

ところが、数字は逆を示しています。警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年上半期のランサムウェア被害の報告件数は123件で、統計を取り始めた2020年下半期以降、半期として過去最多でした。被害企業を規模別に見ると、中小企業が約6割を占めています。被害組織へのアンケートでは、侵入経路の約5割がVPN機器でした。

攻撃者は「会社の規模」ではなく「入りやすさ」で相手を選びます。更新していないVPN機器や使い回しのパスワードがあれば、それだけで標的になります。さらに、自社が大手企業の取引先であれば、その会社に入るための足がかりとして狙われることもあります。

この記事では、中小企業がセキュリティ対策を始めるときに、まず土台にすべきIPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」を読み解きながら、何から手を付ければよいかを実務の順番で整理します。内容は2026年11月時点の情報に基づいています。

---

中小企業の情報セキュリティ対策ガイドラインとは

IPAが公開している、中小企業向けのセキュリティ対策の手引きです。専任の担当者を置きにくい会社でも、段階を踏んで対策を進められるように作られています。無料で、個人事業主も含めて使えます。

2026年3月27日に第4.0版が公開されました。ネット上にはまだ第3.1版（5か条、旧構成）を前提にした記事が多いので、これから読む場合は第4.0版を選んでください。

第4.0版の構成

| 構成 | 内容 | |---|---| | 第1部 経営者編 | 経営者が認識すべき「3原則」と、実行すべき「重要7項目の取組」 | | 第2部 実践編 | 成熟度に応じた4つのSTEPで、具体的な対策の進め方を解説 | | 付録1 | セキュリティ人材確保・育成の実践ガイドブック | | 付録2 | 情報セキュリティ基本方針（サンプル、Word） | | 付録3 | 5分でできる！情報セキュリティ自社診断（25項目） | | 付録4 | 情報セキュリティハンドブック（ひな形、PowerPoint） | | 付録5 | 情報セキュリティ関連規程（サンプル、Word） | | 付録6 | 資産管理台帳（サンプル、Excel） | | 付録7 | クラウドサービス安全利用の手引き（15項目のチェックシート付き） | | 付録8 | セキュリティインシデント対応の手引き |

第3.1版からの主な変更点

• 「情報セキュリティ5か条」に「バックアップを取ろう！」が加わり6か条になった

• 経済産業省などが進めるSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の考え方を反映し、実践編を全面改訂

• 自社診断に「外部からの不要な通信の遮断」「ウェブサイトの安全な運用」に関する項目を追加

• セキュリティ人材の確保・育成のガイドブックを付録に追加

バックアップが独立した項目になったのは、ランサムウェア被害の広がりを受けたものです。データを暗号化されても、戻せるバックアップがあれば事業は止まりません。

---

経営者編：3原則と重要7項目

ガイドラインがまず経営者に向けて書かれているのは、セキュリティ対策は予算と人の配分を決められる人が動かないと進まないからです。

認識すべき3原則

情報セキュリティ対策は経営者のリーダーシップで進める

委託先の情報セキュリティ対策まで考慮する

関係者とは常に情報セキュリティに関するコミュニケーションをとる

2つ目は見落とされがちです。委託先から情報が漏れても、顧客から見れば責任は委託元にあります。逆に自社が受託側なら、委託元の求める対策に応える必要があります。

実行すべき重要7項目の取組

| 取組 | 内容 | 中小企業での具体例 | |---|---|---| | 1 | 組織全体の対応方針を定める | 情報セキュリティ基本方針を作り、社内外に示す | | 2 | 予算や人材などを確保する | 担当者を1人決め、年間の対策予算を確保する | | 3 | 必要な対策を検討させて実行を指示する | 自社診断の結果から対策を決め、社内ルールとして文書にする | | 4 | 適宜の見直しを指示する | 四半期ごとに実施状況を報告させる | | 5 | 緊急時の対応や復旧の体制を整備する | 連絡先リストと対応手順を作り、訓練する | | 6 | 委託や外部サービス利用時の責任を明確にする | 契約書にセキュリティの責任範囲を書く | | 7 | 最新動向を収集する | IPA、国家サイバー統括室（NCO）、警察庁の発信を定期的に確認する |

---

実践編：4つのSTEPで自社の位置を決める

第4.0版の実践編は、会社の状況に合わせて4段階から取り組むSTEPを選ぶ形になりました。

| STEP | 取り組みの目安 | 想定される会社 | |---|---|---| | STEP1 | 情報セキュリティ6か条で、必要最低限の対策から始める | アナログ中心だったが、最近ITを取り入れ始めた | | STEP2 | 自社診断で弱みを把握し、基本方針を作って組織的に取り組む | ITシステムの本格導入を進めている。対策が人によってばらばら | | STEP3 | 必要に応じて外部専門家を交え、体制を整備して本格的に取り組む | 取引先から高度な対策を求められた | | STEP4 | リスク分析を行い、技術的対策も含めて包括的に取り組む | 外部監査への対応が必要。DXを積極的に進めている |

多くの中小企業は、まずSTEP1〜2を固めるのが現実的です。STEP1はIPAの「SECURITY ACTION」一つ星、STEP2は二つ星の宣言要件にもなっています。宣言の手順はセキュリティアクションの解説にまとめています。

---

STEP1：情報セキュリティ6か条

規模に関係なく、すべての会社がやるべき対策です。どれもお金をあまりかけずに始められます。

| 6か条 | 具体的にやること | |---|---| | 1. OSやソフトウェアは常に最新の状態にしよう！ | パソコン・スマホの自動更新をオンにする。VPN機器やルーターのファームウェアも対象 | | 2. ウイルス対策ソフトを導入しよう！ | 全端末に入れ、定義ファイルを自動更新にする。OS標準の機能も有効か確認 | | 3. パスワードを強化しよう！ | 長く複雑にし、使い回さない。重要なサービスは多要素認証を設定 | | 4. 共有設定を見直そう！ | クラウドストレージの「リンクを知っている全員」共有や、退職者のアカウントを整理 | | 5. バックアップを取ろう！ | 重要データを定期的に取得。バックアップ先は普段つなぎっぱなしにせず、戻せるか定期的に試す | | 6. 脅威や攻撃の手口を知ろう！ | IPAなどの注意喚起を社内で共有する仕組みを作る |

5番目のバックアップについて、IPAは「バックアップ装置や媒体はバックアップ時のみパソコンと接続する」ことを挙げています。社内ネットワークに常時つながったNASだけでは、ランサムウェアに一緒に暗号化されてしまうおそれがあるからです。

---

5分でできる！情報セキュリティ自社診断

STEP2で使うのが、付録3の「5分でできる！情報セキュリティ自社診断」です。25の質問に答えるだけで、自社の対策状況が点数でわかります。

診断の構成

| パート | 設問 | 内容 | |---|---|---| | Part1 基本的対策 | No.1〜6 | 6か条に対応（更新、ウイルス対策、パスワード、共有設定、バックアップ、脅威情報の共有） | | Part2 従業員としての対策 | No.7〜17 | メールの添付・URL、誤送信、重要情報の受け渡し、無線LAN、書類や媒体の保管・持ち出し・廃棄、離席時の画面ロック、入退室など | | Part3 組織としての対策 | No.18〜25 | 不正アクセス対策、ウェブサイトでの情報公開、教育、私物端末の業務利用、秘密保持契約、外部サービスの選定、緊急時の体制、ルール化 |

採点と使い方

各設問に「実施している（4点）」「一部実施している（2点）」「実施していない（0点）」「わからない（-1点）」で答え、合計します。満点は100点です。

使うときのコツは3つあります。

• 社長1人で答えない。実施状況を知っている担当者や部門長が記入し、拠点や部署が多ければ部署ごとに記入して集計します

• 「わからない」を放置しない。マイナス点になるのは、把握できていないこと自体がリスクだからです。最初に潰すべき項目です

• 年1回など定期的に繰り返す。点数の推移を見ると、取り組みが進んでいるか経営者にも伝わります

診断の解説編には、項目ごとに「対策しないと起きる被害」と「あまり費用をかけずにできる対策例」が載っています。点数が低かった項目から、解説編を見て対策を決めます。

---

何から手を付けるか：優先順位チェックリスト

ガイドラインは網羅的なぶん、「結局どれからやればいいのか」で止まってしまう会社もあります。警察庁が示す侵入経路の傾向や、IPAの「情報セキュリティ10大脅威 2026」（組織編の1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」）を踏まえて、着手の順番を整理しました。

今週中にやる

• [ ] VPN機器、ルーター、UTMなど、インターネットに面した機器のファームウェアを最新にする

• [ ] メール、クラウドストレージ、会計・銀行系サービスの管理者アカウントに多要素認証を設定する

• [ ] 退職者・異動者のアカウントが残っていないか確認して削除する

• [ ] 重要データのバックアップがあるか、最後にいつ取ったかを確認する

今月中にやる

• [ ] 自社診断（25項目）を実施し、「わからない」をなくす

• [ ] パソコン・スマホ・ネットワーク機器の一覧（資産管理台帳）を作る

• [ ] バックアップを社内ネットワークから切り離した場所にも保管し、復元テストをする

• [ ] 緊急時の連絡先リスト（社内責任者、保守業者、相談窓口）を作る

3か月以内にやる

• [ ] 情報セキュリティ基本方針を作り、SECURITY ACTION二つ星を宣言する

• [ ] 社内ルール（情報セキュリティ関連規程やハンドブック）を作って周知する

• [ ] 委託先・クラウドサービスとの契約で、セキュリティの責任範囲を確認する

• [ ] 全社員向けに、標的型メールや生成AIの使い方を含む研修を行う

社内ルールの作り方は情報セキュリティポリシーの作り方とひな形で詳しく解説しています。

---

予算別：どこまでお金をかけるか

セキュリティ対策というと高額な製品を想像しがちですが、STEP1〜2の大半は、今あるパソコンやクラウドサービスの設定で対応できます。

| 予算の段階 | 主な対策 | ポイント | |---|---|---| | 費用をほぼかけない | OS・ソフトの自動更新、OS標準のウイルス対策、多要素認証の設定、共有設定の見直し、自社診断、基本方針の作成 | ガイドラインの付録（サンプル・ひな形）は無料。まずここを100%にする | | 少額の追加投資 | 外付けやクラウドへのバックアップ、パスワード管理ツール、業務用クラウドサービスの上位プラン（端末管理やログ機能付き） | すでに契約中のサービスに含まれている機能がないか先に確認する | | 外部サービスを使う | 「サイバーセキュリティお助け隊サービス」、EDRなどの監視、脆弱性診断、専門家による体制づくりの支援 | 社内に詳しい人がいないなら、STEP3以降は外部の力を借りるほうが早い |

サイバーセキュリティお助け隊サービス

IPAが要件を定め、満たした民間サービスを登録・公表している制度です。ガイドラインでは「見守り」「駆付け」「保険」など、中小企業に必要なサービスをワンパッケージで安価に提供するものと説明されています。料金や内容はサービスごとに異なるので、IPAのサイトに掲載されているサービス一覧で比較してください。

補助金も使える

デジタル化・AI導入補助金（旧IT導入補助金）には「セキュリティ対策推進枠」があり、お助け隊サービスの利用料（最大2年分）が補助対象になります。補助額は5万円〜150万円で、補助率は中小企業が1/2以内、小規模事業者が2/3以内です（2026年11月時点）。申請スケジュールなどはデジタル化・AI導入補助金2026の解説を参照してください。

なお、テレワークやクラウド利用が増えた会社では、「社内ネットワークの内側なら安全」という前提が成り立ちにくくなっています。すべてのアクセスを都度確認するゼロトラストの考え方も、まずは多要素認証と端末管理から少しずつ取り入れていけば、中小企業でも無理なく進められます。

---

インシデントが起きたときの対応

どれだけ対策しても、被害をゼロにはできません。付録8の「セキュリティインシデント対応の手引き」では、対応を3つの段階に分けています。

| 段階 | やること | 注意点 | |---|---|---| | 1. 検知・初動対応 | 責任者へ報告し、経営者が対応体制を立ち上げる。被害が広がるおそれがあれば、ネットワークの遮断や機器の隔離を行う | 電源を切るなど、記録を消してしまう操作をしない | | 2. 報告・公表 | 影響を受ける本人や取引先へ連絡する。影響が広い場合はWebサイトなどで公表し、問い合わせ窓口を設ける | 公表の時期・内容が被害拡大につながらないよう配慮する | | 3. 復旧・再発防止 | 原因を調べて修正・復元し、システムを復旧する。根本原因を分析して再発防止策を実施する | 訴訟に備えて証拠を保全し、必要に応じてフォレンジック調査を行う |

ランサムウェアに感染した疑いがあるときは、まず感染した端末やサーバーの利用を止め、ネットワークから切り離すことが重要です。

相談先・届出先

• IPA 企業組織向けサイバーセキュリティ相談窓口：対応に迷ったときの相談先

• JPCERT/CC：インシデント対応の依頼

• 警察：犯罪性がある場合（各都道府県警察のサイバー犯罪相談窓口）

• 個人情報保護委員会：個人情報やマイナンバーが漏えいした場合の報告

• IPA コンピュータウイルス・不正アクセス届出制度：ウイルス感染や不正アクセスの届出

いざというときに調べ始めるのでは遅いので、この一覧を連絡先リストに入れておいてください。

---

生成AI時代に追加したい対策

IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織編の3位に初めて選ばれました。第4.0版のガイドラインにも、生成AIの利用に関するコラムが加わっています。そこで示されている注意点は次の4つです。

生成AIの利用規約やプライバシーポリシーを事前に確認し、データの扱いを把握する

機密情報や個人情報など、外部に漏れると問題になるデータは入力しない

生成された成果物は必ず人が確認し、正確性や法的リスクをチェックする

AIの出力をそのまま使わず、補助的なツールとして活用する

ただ、ガイドラインの付録にある規程サンプルには、生成AIに関する条文はまだ含まれていません。実務では、次のような点を自社のルールに加える必要があります。

• 使ってよいツールを会社として決める。社員が個人アカウントで勝手に使う「シャドーAI」を防ぐには、禁止よりも、学習に使われない法人向けプランを用意するほうが効果的です

• 入力してよい情報を区分表で示す。「機密情報は入力禁止」だけでは現場が判断できません

• AIエージェントに与える権限を絞る。メール送信やファイル操作をAIに任せる場合は、実行前に人が確認する仕組みを入れます

• AIで作られた精巧な詐欺メールを前提に教育する。日本語の不自然さで見抜ける時代ではなくなっています

生成AIに特有のリスクと社内でできる対策は生成AIのセキュリティリスクと対策で詳しく解説しています。

---

まとめ

• 中小企業のセキュリティ対策は、IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月公開）を土台にするのが近道

• まずSTEP1の6か条、次にSTEP2の自社診断と基本方針。ここまではほぼ費用をかけずにできる

• 優先すべきはインターネットに面した機器の更新、多要素認証、切り離したバックアップ

• インシデント対応は「検知・初動」「報告・公表」「復旧・再発防止」の3段階で、相談先を事前に控えておく

• 生成AIの利用ルールは、ガイドラインのサンプルに自社で書き足す必要がある

取引先からSCS評価制度への対応を求められている場合は、SCS評価制度の解説もあわせて確認してください。

---

AI時代のセキュリティ対策はSwaaabにご相談ください

Swaaabは、AI開発やAIエージェント開発を手がける立場から、中小企業のAIセキュリティ対策を支援しています。生成AIを導入するときのリスク整理、生成AIの利用ガイドラインや情報セキュリティポリシーの策定、AIエージェントの権限設計、SECURITY ACTIONやSCS評価制度への対応準備、社員研修まで、会社の規模に合わせて進めます。脆弱性診断やペネトレーションテストが必要な場合は、提携する専門会社と連携して手配します。

• AIを止めずに安全に使う仕組みづくりはAIセキュリティ対策

• 「自社診断をやってみたが、どこから直せばいいかわからない」といったご相談も歓迎です

まずはお問い合わせから、現在の状況をお聞かせください。