IPAガイドラインと3ヶ月ロードマップ｜ハチマルヤ合同会社（808）

「セキュリティ担当になった」方へ。IPAの無料ガイドラインを活用した情報セキュリティ5か条・MFA導入・経営層への報告術・3ヶ月ロードマップまで、ハチマルヤ合同会社（808）が実践的に解説します。

---

「来週からセキュリティ担当もお願い」——そんな一言で、専門知識を持たないまま情報セキュリティの責任者に任命されてしまったという方は、日本企業に多くいます。

「何から手をつければいいかわからない」「専門用語が多くて何を勉強すればいいかわからない」「経営層にどう報告すれば動いてもらえるかわからない」——こうした悩みは、兼任・未経験のセキュリティ担当者が共通して抱える課題です。

この記事では、セキュリティ担当に突然任命された方が「まず3ヶ月で何をすればいいか」を、ハチマルヤ合同会社（808）が実践的に解説します。

---

まず知っておきたい：あなたに強力な味方がいる

最初にお伝えしたいのは、「ゼロから勉強する必要はない」ということです。

IPA（情報処理推進機構）という独立行政法人が、中小企業向けの実践的なセキュリティ資料を無料で公開しています。これが「最初の教科書」として最も信頼できるリソースです。

特に役立つ資料として以下があります。

「中小企業の情報セキュリティ対策ガイドライン」
初歩的な概念から優先すべき対策まで、体系的に整理されています。まず第3版以降をダウンロードして通読することをお勧めします。[※1]

「情報セキュリティ5か条」
たった5つの行動でセキュリティリスクを大幅に下げられる実践チェックリスト。経営層への説明資料としても活用できます。[※1]

---

情報セキュリティ5か条——まず最初に押さえる基本

IPAが定める「情報セキュリティ5か条」は、専門知識がなくても取り組める最初の一歩です。

1. OSやソフトウェアを最新の状態に保つ

WindowsのアップデートやOfficeのパッチ適用を怠ることで、既知の脆弱性を突かれるリスクが高まります。社内の全PCが自動更新設定になっているかを最初に確認します。

2. ウイルス対策ソフトを導入し、定義ファイルを常に最新に

導入だけでなく、「有効に機能しているか」「定義ファイルが更新されているか」の確認が重要です。

3. パスワードを強化する

「Password123」「会社名+生年月日」といった推測されやすいパスワードの使用と、複数サービスへの使い回しを禁止するルールを設けます。パスワードマネージャーの導入も有効です。

4. 共有設定を見直す

不要なファイル共有、外部公開設定のNASやクラウドストレージがないかを確認します。「知らないうちに外部から丸見えになっていた」という事故は珍しくありません。

5. 脅威や攻撃の手口を知り、対策を周知する

フィッシングメールや不審なUSBなど、社員の「気づき」がインシデントを防ぐ最初の防線です。年に一度の全社向けセキュリティ教育を担当者の責務として位置づけます。

---

最優先で取り組むべき対策：多要素認証（MFA）の導入

セキュリティ対策の中で、費用対効果が最も高い一手は**「多要素認証（MFA）の全面導入」**です。

Microsoftの研究によると、MFAを導入するだけでアカウント侵害リスクを約99.9%低減できるとされています。[※2] パスワードが漏洩しても、第二の認証がなければ攻撃者はログインできません。

Microsoft 365・Google Workspace・各種クラウドサービスのほとんどは、追加費用なしでMFAを設定できます。まずはこれらから着手します。

MFA導入の優先順位

1. VPN・リモートアクセス環境
2. Microsoft 365 / Google Workspace などのメール・グループウェア
3. 経理・人事などの重要業務システム
4. その他のクラウドサービス全般
   

---

経営層を動かすための「報告術」

「セキュリティ対策をやりたい」と思っても、予算も人手も経営層の承認なしには動きません。担当者が最も苦労するのが、この「経営層への説明」です。

技術の話をしないことが最重要

「SQLインジェクション」「ゼロデイ脆弱性」——こうした技術用語は、経営層に届きません。代わりに「事業継続リスク」と「損失金額」で話します。

刺さる説明例：

• 「ランサムウェア感染の場合、復旧まで平均5.8日、業務が全面停止します。その間の機会損失は〇〇万円になります」
• 「昨年、同業他社が〇〇万円の被害を受けました。現状の対策では同様のリスクがあります」
• 「今〇〇万円を投資すれば、〇〇万円の損失リスクを防止できます」

他社・業界事例を使う

「うちが攻撃されるわけない」という経営者には、同業種・同規模企業の事例が有効です。警察庁・IPAの年次レポートには実際の被害事例が豊富に掲載されています。

「できることから始める」提案を用意する

「全部やるには予算が大きすぎる」と言われる前に、「まずMFA導入から始めましょう。追加費用ゼロでリスクを99%下げられます」という「段階的提案」を準備しておきます。

---

3ヶ月ロードマップ

「何から始めればいいかわからない」という方向けに、最初の3ヶ月の優先順位を整理します。

1ヶ月目：現状把握

• 社内で使っているシステム・クラウドサービス・ネットワーク機器の棚卸し
• MFAが設定されていないサービスの洗い出し
• パスワード使い回しの実態確認
• IPAガイドラインの通読（中小企業の情報セキュリティ対策ガイドライン）
• セキュリティポリシーが存在するかの確認

2ヶ月目：基本対策の実施

• MFA導入：まず全クラウドサービスに設定（追加費用ゼロで最大の効果）
• OS・ソフトウェア更新ルールの徹底：自動更新設定と確認フローの整備
• VPN機器・ファームウェアの確認・更新：放置されがちな重要ポイント
• 社員向けセキュリティ啓発メール or 社内勉強会（フィッシングメール対策）

3ヶ月目：体制整備と経営層への報告

• インシデント発生時の初動対応フローの作成（誰に・何の順番で連絡するか）
• バックアップ体制の確認と整備（特にオフラインバックアップ）
• 経営層への定例報告フォーマット作成：毎月5分でセキュリティ状況を共有する仕組みを構築
• セキュリティポリシーがない場合は、IPAのひな型を活用して作成

---

ISMS取得を考えるべき3つのサイン

「うちもISMS（ISO27001）を取得した方がいいのか？」と悩む担当者も多いでしょう。取得には通常1〜2年、費用は数百万円規模の投資が必要です。以下のいずれかに該当する場合は、取得を本格的に検討するタイミングです。

サイン1：大手取引先から取得要請が来た
サプライチェーンセキュリティの観点から、取引条件としてISMS取得を求める大手企業が増えています。

サイン2：公共入札・官公庁案件に参入したい
政府調達の要件としてISMS相当の対策が求められるケースが増加しています。

サイン3：扱う個人情報が増加し、対外的な信頼証明が必要になった
Pマーク（プライバシーマーク）とセットで取得するケースも多くなっています。

---

まとめ

• 突然のセキュリティ担当任命には「IPAの無料ガイドライン」を最初の教科書にする。
• 情報セキュリティ5か条：OS更新・ウイルス対策・パスワード強化・共有設定確認・社員教育がスタートライン。
• MFA導入：追加費用なしで不正アクセスリスクを約99.9%低減できる最優先対策。[※2]
• 経営層への報告は「技術の話をせず、損失金額とリスクで話す」のが鉄則。
• 最初の3ヶ月は「現状把握→基本対策実施→体制整備」の順で進める。
• ISMS取得は「取引先から要請」「官公庁案件」「個人情報増加」の3つのサインが判断の目安。

---

ハチマルヤ合同会社（808）では、セキュリティ担当者が「何から始めればいいか」という段階から、現状診断・対策ロードマップ策定・経営層向け報告資料の作成支援まで、専門チームがサポートしています。まずはお気軽にご相談をご利用ください。

---

参考資料・出典

※1 IPA（情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン 第3.1版」（2023年）
https://www.ipa.go.jp/security/guide/sme/about.html

※2 Microsoft「Your Pa$$word doesn’t matter」（2019年）
https://techcommunity.microsoft.com/t5/azure-active-directory-identity/your-pa-word-doesn-t-matter/ba-p/731984