取引先や同業他社がランサムウェアで業務停止に追い込まれたというニュースを見て、「自社は大丈夫だろうか」と不安を感じていませんか。警察庁の集計では、ランサムウェア被害を受けた企業のうち約6割を中小企業が占めており、規模が小さいから狙われないとは言えない状況です。
とはいえ、専任のセキュリティ担当者を置けず、予算も限られるなかで「何から手をつければよいのか」が分からないという声は少なくありません。対策の種類は多く、専門用語も飛び交うため、全体像をつかむだけでも一苦労です。
本記事では、企業を狙う主なサイバー攻撃の種類と被害から、どの企業でもまず取り組むべき基本対策、限られた予算・人手での優先順位、国が用意する公的支援、そして被害に遭ったときの初動までを順に整理します。対策を形にするサービスも、守る対象ごとに紹介します。自社の次の一手を決める材料としてご活用ください。
目次
一括ダウンロードする
企業を狙う主なサイバー攻撃の種類と、放置した場合の被害
対策を考える前に、まず自社がどんな攻撃にさらされているかを押さえておきます。IPA（独立行政法人情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威 2025」では、組織（企業・団体）向けの脅威として次の順位が示されています（本記事で取り上げる脅威を中心に抜粋）。
1位 ランサム攻撃による被害
出典：情報セキュリティ10大脅威 2025（組織向け）｜独立行政法人情報処理推進機構（IPA）
2位 サプライチェーンや委託先を狙った攻撃
3位 システムの脆弱性を突いた攻撃
4位 内部不正による情報漏えい等
5位 機密情報等を狙った標的型攻撃
8位 分散型サービス妨害攻撃（DDoS攻撃）
ここからは、企業が特に警戒したい攻撃を種類ごとに取り上げ、「何をされるのか」「放置すると何が起きるのか」をあわせて見ていきます。
ランサムウェア（業務停止・データの暗号化と二重の脅迫）
ランサムウェアは、IPAの10大脅威で1位に挙がる攻撃です。警察庁は、その手口を次のように説明しています。
ランサムウェアとは、端末等に保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価（金銭又は暗号資産）を要求する不正プログラムである。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
被害はデータの暗号化による業務停止だけにとどまりません。盗んだデータの公開をちらつかせる二重の脅迫により、支払いを拒んでも情報漏えいのリスクが残ります。
警察庁の集計では、令和7年のランサムウェア被害報告は226件と高い水準が続き、被害企業の約6割を中小企業が、業種別では製造業が約4割を占めました。復旧に総額1,000万円以上を要した組織は全体の5割を超えており、事業の存続に関わる規模の損害につながります。
フィッシング・不正ログイン（アカウントの乗っ取り）
フィッシングは、金融機関や取引先を装ったメール・SMSで偽サイトに誘導し、ID・パスワードを盗み取る攻撃です。盗まれた認証情報は不正ログインに悪用され、社内システムやクラウドサービスへの侵入、不正送金、さらなる攻撃メールの発信元化へとつながります。
近年はクラウドサービスの利用が広がり、ID・パスワードさえ分かれば社外からでもログインできる環境が増えました。パスワードの使い回しがあると、一つの漏えいが他のサービスの乗っ取りにも波及します。
標的型攻撃・サプライチェーン攻撃（取引先経由の侵入）
標的型攻撃は、特定の企業を狙い、業務に関係するふりをしたメールの添付ファイルやリンクから侵入する攻撃です。IPAの10大脅威では「機密情報等を狙った標的型攻撃」が5位に挙がっています。
同10大脅威で2位に挙がるのが「サプライチェーンや委託先を狙った攻撃」です。セキュリティ対策が手薄な取引先や子会社を踏み台にして、本来の標的である大企業へ侵入します。経済産業省は、一社の被害が取引先に連鎖する現象を次のように説明しています。
サイバー攻撃によって企業の業務が停止したことにより、その取引先の企業や、さらにその取引先の業務も停止してしまうという「サイバードミノ」が起きており、一つの企業に対するサイバー攻撃が産業界全体に大きな打撃を与えています。
出典：サイバーセキュリティ対策をはじめたい・支援策を知りたい｜経済産業省
自社の対策不足が取引先の信頼を損ない、取引の継続に影響する時代になっています。中小企業であっても「守る責任」は免れません。
Webアプリケーションへの攻撃
自社でECサイトや会員向けサービスなどを公開している場合、Webアプリケーションの脆弱性を突く攻撃の標的になります。入力欄に不正な命令を送り込んでデータベースを操作するSQLインジェクションや、閲覧者のブラウザで不正なスクリプトを実行させるクロスサイトスクリプティング（XSS）が代表例です。
これらを突かれると、顧客の個人情報やクレジットカード情報が流出し、損害賠償やサービス停止に直結します。IPAの10大脅威でも「システムの脆弱性を突いた攻撃」が3位に挙がっており、公開サービスを持つ企業には見過ごせないリスクです。
DDoS攻撃（サービスの停止）
DDoS攻撃（分散型サービス妨害攻撃）は、大量の通信を一斉に送りつけてサーバーをパンクさせ、Webサイトやオンラインサービスを利用できない状態に追い込む攻撃です。IPAの10大脅威では8位に挙がっています。
直接の情報窃取はなくても、ECサイトや予約システムが止まれば売上の機会損失が生じ、復旧対応にも人手がかかります。攻撃を金銭要求の材料にする手口もあります。
企業がまず取り組む基本のサイバー攻撃対策【チェックリスト】
攻撃の種類は多岐にわたりますが、まず取り組むべき基本は共通しています。IPAは中小企業がまず実践すべき項目を「情報セキュリティ6か条」として示しています（従来の5か条にバックアップを加えた現行版です）。
1. OSやソフトウェアは常に最新の状態にしよう！
出典：SECURITY ACTION「一つ星」情報セキュリティ6か条｜独立行政法人情報処理推進機構（IPA）
2. ウイルス対策ソフトを導入しよう！
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. バックアップを取ろう！
6. 脅威や攻撃の手口を知ろう！
この6か条をふまえ、実務で押さえておきたい観点も加えて、次の6つに整理しました。各対策が先ほどのどの攻撃に効くかを一覧にしています。自社でできているかを下表で点検してみてください。
| 対策項目 | 主に効く攻撃 | まず確認すること |
|---|---|---|
| OS・ソフトウェアの更新 | 脆弱性を突く攻撃・標的型攻撃 | 自動更新が有効か。サポート終了製品を使い続けていないか |
| 多要素認証・強固なパスワード | フィッシング・不正ログイン | 重要なクラウドサービスで多要素認証を有効にしているか |
| バックアップ | ランサムウェア | 本番から切り離して保管し、実際に復元できるか試しているか |
| アクセス権限の最小化 | 内部不正・被害の横展開 | 業務に必要な範囲へ権限を絞り、退職者アカウントを無効化しているか |
| 従業員教育・標的型メール訓練 | フィッシング・標的型攻撃 | 不審メールの報告先を周知し、訓練で効果を測っているか |
| メール・エンドポイント対策 | ウイルスメール・端末への攻撃 | メールの入口フィルタと端末の検知の仕組みがあるか |
また、自社でWebサイトやECサイトなどを公開している場合は、これらの基本対策に加えて、WAF（Webアプリケーションを狙う攻撃を防ぐ専用の防御壁）やCDN（コンテンツ配信網）といった公開サービス向けの専用対策が別途必要になります。守る対象ごとの選び方は、後半のサービス比較や関連記事を参考にしてください。
OS・ソフトウェアを最新の状態に保つ
OSやソフトウェアの古いバージョンには、修正されていない脆弱性が残っています。これはWebアプリケーションへの攻撃や標的型攻撃の侵入口になるため、更新プログラムが出たら速やかに適用することが基本です。自動更新を有効にし、サポートが終了した製品は使い続けないようにします。
多要素認証と強固なパスワードでアカウントを守る
フィッシングや不正ログインへの最も効果的な備えが、多要素認証（MFA）です。ID・パスワードに加え、スマートフォンの認証アプリや生体認証など別の要素を組み合わせることで、パスワードが漏れても単独ではログインできなくなります。あわせて、推測されにくい長いパスワードを設定し、サービスごとに使い分けることが重要です。
バックアップで「復旧できる状態」を保つ
ランサムウェアで暗号化されても、安全なバックアップがあれば身代金を払わずに復旧できます。ポイントは、バックアップを本番環境から切り離して保管することです。ネットワークにつなぎっぱなしだと、バックアップごと暗号化される恐れがあります。定期的に取得し、実際に復元できるかを確認しておきます。
ランサムウェアへの備えを、予防・バックアップの設計・感染時の対応まで一通り整理して確認したい場合は、以下の記事で詳しく解説しています。
アクセス権限を必要最小限にする
従業員一人ひとりに、業務で必要な範囲のアクセス権だけを与えます。権限を絞っておけば、万一アカウントが乗っ取られても被害が及ぶ範囲を限定でき、内部不正の抑止にもなります。退職者のアカウントを速やかに無効化する運用も忘れないようにします。
従業員教育と標的型メール訓練で「人」の対策を固める
フィッシングや標的型攻撃は、最終的に人の判断を突いてきます。不審なメールの見分け方やインシデント発生時の報告先を周知し、知識を共有することが欠かせません。実際の攻撃を模した訓練メールを配信し、開封率やクリック率を測る標的型メール訓練を使えば、教育の効果を具体的に把握できます。
メール・エンドポイント対策で入口での検知を高める
攻撃の多くはメールと端末（エンドポイント）から入り込みます。不審なメールをメールサーバーの手前でフィルタリングする仕組みや、端末上の不審な挙動を検知・隔離するセキュリティソフトを導入することで、人の判断に頼りきらない多重の防御になります。具体的なサービスは後半で紹介します。
出典・参考資料（2件）
「入口・内部・出口」で考える多層防御
基本対策を一つずつ積み上げるときは、「入口・内部・出口」という3つの段階で整理すると、どこに穴があるかを見つけやすくなります。攻撃は単一の対策で完全には防げないため、各段階で重ねて守る「多層防御」の考え方が基本です。
入口対策は、攻撃を社内に侵入させないための備えです。メールのフィルタリングや端末のウイルス対策、OSの更新などが該当し、フィッシングやウイルス付きメールを水際で止めます。
内部対策は、万一侵入されても被害を広げないための備えです。アクセス権限の最小化や通信の監視により、攻撃者が社内を自由に動き回る「横展開」を抑えます。
出口対策は、重要な情報を外部へ持ち出させないための最後の砦です。外部との不審な通信を検知・遮断し、情報漏えいを食い止めます。入口をすり抜けた攻撃を内部・出口で捉える、という重なりが防御の要になります。
中小企業は何から？限られた予算・人手での優先順位
すべてを一度に揃えるのは現実的ではありません。専任担当者がいない中小企業は、費用をかけずに始められるものから段階的に取り組むのが近道です。
IPAは、まず「情報セキュリティ6か条」に取り組み、その実践を宣言する「SECURITY ACTION」から始めることを推奨しています。費用をかけずに着手できるのは、OSの更新、多要素認証の有効化、バックアップの取得、アクセス権限の見直しといった運用面の対策です。
これらを踏まえると、着手の順番は次のように整理できます。
- 費用をかけずにできる運用対策から始める：OSの更新、多要素認証の有効化、バックアップの取得、アクセス権限の見直し。
- 「SECURITY ACTION」を宣言する：情報セキュリティ6か条への取り組みを宣言し、社内外に示します。
- 自社の状況を点検する：何を守るのか（資産と重要業務の棚卸し）、外部に公開しているシステム・認証・バックアップの状態、被害に気づいたときの緊急連絡体制の3点を確認します。
- 足りない領域に投資する：点検で見えた弱点（メール・端末・通信監視・認証・訓練・診断など）に、サービスの導入や外部委託で手当てします。
何から着手するかの優先順位と費用感を、さらに具体的な手順に落として確認したい場合は、以下の記事で掘り下げています。
使える公的支援と相談先
自力で足りない部分は、国が用意する支援策で補えます。ここまでに挙げた基本対策のどこを支えるかとあわせて、代表的な支援策を見ていきます。経済産業省は中小企業向けに複数の支援策をまとめており、これらを知っているかどうかで対策の進めやすさが変わります。
SECURITY ACTION（自己宣言）
SECURITY ACTION（セキュリティ・アクション）は、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度です。IPAは制度の趣旨を次のように説明しています。
中小企業自らが、本ガイドラインに示した情報セキュリティ対策に取組むことを自己宣言する制度です。
出典：中小企業の情報セキュリティ対策ガイドライン｜独立行政法人情報処理推進機構（IPA）
情報セキュリティ6か条への取り組みを宣言する「一つ星」と、自社診断で現状を把握し基本方針を策定・公開する「二つ星」の2段階があります。費用はかからず、前章で挙げた基本対策（6か条）に取り組む最初の区切りになります。
サイバーセキュリティお助け隊サービス（補助金の対象）
サイバーセキュリティお助け隊サービスは、中小企業向けに監視・駆けつけ・保険などをパッケージで提供する民間サービスを国が基準に沿って認定したものです。経済産業省のページでは、このサービスが「デジタル化・AI導入補助金」の対象であることが示されており、費用負担を抑えて専門的な支援を受けられます。自社で手が回らない端末や通信の監視を任せたいときの受け皿になり、専任担当者を置けない企業に向きます。
補助の対象となるのは、認定サービスの利用料です。補助率や補助額の上限は、公募の回ごとに設定されます。申請を検討する際は、IPAの「サイバーセキュリティお助け隊サービスリスト」で対象サービスを確認し、補助の条件は事務局が公表する最新の公募要領で確かめるとよいでしょう。
ガイドラインとインシデント対応の手引き
IPAの「中小企業の情報セキュリティ対策ガイドライン」は、経営者が認識すべき指針と、現場で対策を実践する手順・手法をまとめた資料です。あわせて「中小企業のためのセキュリティインシデント対応の手引き」も公開されており、被害に遭ったときの動き方まで無料で確認できます。何から手をつけるか迷ったら、まずこれらを自社の点検に使うのが確実です。
相談窓口（IPA／JPCERT/CC／都道府県警察）
困ったときや被害に遭ったときの相談先も公的に用意されています。経済産業省は主な支援機関として、次の窓口を挙げています。
情報セキュリティ情報提供窓口（独立行政法人情報処理推進機構（IPA）ホームページ）
出典：サイバーセキュリティ対策をはじめたい・支援策を知りたい（主な支援機関）｜経済産業省
インシデント相談・情報提供（被害組織／保守・調査ベンダー向け）（一般社団法人JPCERTコーディネーションセンターホームページ）
サイバー事案に関する相談窓口（都道府県警察）（警察庁ホームページ）
出典・参考資料（3件）
被害に遭ってしまったときの初動対応
どれだけ備えても被害をゼロにはできません。実際に攻撃を受けたとき、最初の動き方を決めておくことが被害の拡大を防ぎます。IPAの「中小企業のためのセキュリティインシデント対応の手引き」は、対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階に分けて整理しています。
初動でまず行うのは、被害の切り離しです。手引きは次のように説明しています。
初動対応として、対象となる情報が外部からアクセスできる状態にある場合や、被害が広がる可能性がある場合は、ネットワークの遮断、情報や対象機器の隔離、システムやサービスの停止を行います。ただし、対象機器の電源を切る等、不用意な操作でシステム上に残された記録を消さないようにします。
出典：中小企業のためのセキュリティインシデント対応の手引き｜独立行政法人情報処理推進機構（IPA）
ここで押さえておきたいのは、慌てて電源を切らないことです。電源を落とすと原因調査に必要な記録が消え、後の対応が難しくなります。ネットワークから切り離しつつ、機器はそのままにしておきます。
あわせて、いつ・どこで・誰が・何を・なぜ・どうしたのか（5W1H）の観点で状況を記録し、証拠を保全します。そのうえで、個人情報の漏えいがあれば個人情報保護委員会、犯罪性があれば警察、ウイルス感染や不正アクセスであればIPAへ届け出ます。被害組織向けの相談は、前述のJPCERT/CCや都道府県警察のサイバー事案相談窓口も利用できます。
初動から報告義務、やってはいけない操作まで、インシデント対応の手順を一通り押さえておきたい場合は、以下の記事が参考になります。
対策を形にするサービスの選択肢と比較検討の進め方
ここからは、基本対策を実際のツール・サービスで形にする方法を見ていきます。社内のセキュリティは「守る対象」ごとに製品が分かれるため、自社に足りない領域から検討するのが効率的です。
対策カテゴリ別のサービスの選択肢
先に挙げた基本対策は、おおむね次の対策カテゴリに対応します。メール対策（入口での検知）、端末のセキュリティ（エンドポイント対策）、社内ネットワークの通信監視（内部・出口対策）、認証の強化（多要素認証）、標的型メール訓練（従業員教育）、脆弱性診断（弱点の把握。統合パッケージを含む）です。それぞれに代表的なサービスがあり、まずは下表で全体像を確認してください。
| サービス名 | Eye"247" Spam Shield | Eye"247" Safety Zone | Network Blackbox | CloudGate UNO | FB SATMail | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|---|---|
| 対策カテゴリ | メール対策 （入口での検知） | 端末のセキュリティ （エンドポイント対策） | 社内ネットワークの通信監視 （内部・出口対策） | 認証の強化 （多要素認証・SSO） | 標的型メール訓練 （従業員教育） | 脆弱性診断を含む 統合パッケージ |
| 主な機能・特徴 | 標的型・迷惑・ウイルスメールを サーバー到達前に遮断。 DMARC・送信ドメイン認証にも対応 | EPPとEDRを単一製品で搭載。 Bitdefenderの検知エンジン。 ランサムウェア検知時にファイルを自動バックアップ | NDR（ネットワーク検知・対応）。 全パケットを保存し、検知・脅威探索・ フォレンジック・対応までを担う | SSOと多要素認証に加え、 パスキー（FIDO2）のパスワードレス認証。 端末・場所・時間でのアクセス制限 | 攻撃を模した訓練メールを配信し、 開封・クリック・添付開封を記録。 ダッシュボード・CSV出力に対応 | 予防（月次の脆弱性診断）・ 復旧（隔離バックアップ）・ 補償（サイバー保険）を一体で提供 |
| 料金の目安 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 月額400円〜／ユーザー （税込440円〜。無料トライアル30日） | 年額36,000円〜 （初期費用30,000円。100通プラン） | 月額1,250円〜／台 |
| 提供形態・導入方法 | クラウド型 （MXレコードの変更のみ） | 端末にソフトを導入 （ブラウザで一元管理） | ミラーリング方式で導入 （既存ネットワークへの影響を抑制） | クラウド型（IDaaS） | クラウド型 （訓練メール配信サービス） | パッケージ型 （最短2週間・設置10分） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※料金・機能は各社の公式情報による（2026年11月時点）。詳細・最新の条件は各社の資料・公式サイトでご確認ください。
以下では、各カテゴリの代表的なサービスを1例ずつ取り上げます。同じカテゴリの他のサービスも含めて横断的に比較したい場合は、守る対象別にタイプと代表サービスを整理した比較記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
Eye”247” Spam Shield（株式会社フーバーブレイン）｜メール対策
メールの入口を固めたい企業に向くのが、クラウド型メールセキュリティのEye”247” Spam Shieldです。自社のメールサーバーの手前でフィルタリングし、標的型攻撃メール・迷惑メール・ウイルスメールがサーバーに届く前に遮断します。導入はMXレコード（メールの宛先サーバーを指定するDNS設定）の変更のみで、専用機器のインストールは不要です。
受信だけでなく、自社からの迷惑メール送信を防ぐ送信側の対策や、なりすましを見抜くDMARC・送信ドメイン認証のチェックにも対応します。
Eye”247” Safety Zone（株式会社フーバーブレイン）｜端末のセキュリティ
Eye”247” Safety Zoneは、フーバーブレインが提供する端末（エンドポイント）向けのセキュリティソフトです。ウイルスの侵入を防ぐEPPと、侵入後の不審な挙動を検知・調査するEDRを単一の製品に統合し、Bitdefenderの検知エンジンを採用しています。
アプリケーションの動きを常時監視する振る舞い検知に加え、ランサムウェアを検知するとファイルを自動でバックアップし、直近の状態へ復元できる機能を持ちます。公式には中堅・中小企業向けと位置づけられています。
Network Blackbox（Quad Miners）｜社内ネットワークの通信監視
Network Blackboxは、社内ネットワークを流れる全パケットを記録して脅威を可視化するNDR（ネットワーク検知・対応）製品です。侵入後の内部の動きを捉える通信監視に用い、不審な通信の検知から、脅威の探索、通信を遡って調べるフォレンジック、対応までを担います。
通信そのものを保存するため、事後に「何が起きたか」をパケット単位でたどれる点が特徴です。ミラーリング方式で導入するため、既存ネットワークへの影響を抑えられます。
CloudGate UNO（株式会社ISR）｜認証の強化
フィッシングや不正ログインへの備えとして認証を強化するなら、国産のID基盤（IDaaS）であるCloudGate UNOが選択肢になります。一度の認証で複数のクラウドサービスにアクセスできるシングルサインオン（SSO）に、多要素認証やパスキー（FIDO2）によるパスワードレス認証を組み合わせられます。
IPアドレスや端末、時間帯によるアクセス制限も設定でき、料金は1ユーザー月額400円（税込440円）からです。
FB SATMail（株式会社フーバーブレイン）｜標的型メール訓練
FB SATMailは、フーバーブレインが提供する標的型攻撃メール訓練のサービスです。実際の攻撃に似せた訓練メールを社内に配信し、開封・リンクのクリック・添付ファイルの開封といった反応を記録して、従業員の「気づく力」と組織のリスクを可視化します。
結果はダッシュボードで確認でき、CSVでの出力にも対応します。料金は年間100通プランで年額36,000円（初期費用30,000円）から始められます。
KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）｜脆弱性診断を含む統合パッケージ
自社の弱点を定期的に把握したい場合は、KATABAMI サイバーセキュリティ対策パッケージがあります。これは脆弱性診断の専業ツールではなく、予防・復旧・補償を束ねた統合型のパッケージです。
ネットワーク内部から月次で脆弱性を診断し改善策を示す「予防」、隔離した経路へ自動バックアップする「復旧」、サイバー保険を自動付帯する「補償」を組み合わせます。料金は1台あたり月額1,250円からで、公式には最短2週間で利用を始められるとしています。
脆弱性診断では、どの企業にもあるオフィス機器やサーバーに、基本的な穴が見つかることが少なくありません。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。それから、ネットワーク機器やサーバーの管理者権限の問題もあります。一般ユーザー権限と管理者権限を分けて使うことはご存じの通りですが、実際に管理者権限でログインを試してみると、簡単に入れてしまうケースもあります。
費用感と外部委託の考え方（自社対応か外部委託か）
サービスの費用は、認証強化のように1ユーザー月額数百円で始められるものから、診断や監視のように要問い合わせとなるものまで幅があります。まずは運用で対応できる基本対策（更新・認証・バックアップ）を固め、自社だけで手が回らない監視や診断を外部に委ねる、という切り分けが現実的です。
専任担当者を置けない場合は、前述のサイバーセキュリティお助け隊サービスのように、監視・駆けつけ・保険をまとめて外部委託する選択肢もあります。自社で抱える部分と委託する部分を見極め、必要な資料を取り寄せて比較検討を進めましょう。
一括ダウンロードする
まとめ
サイバー攻撃対策は、完璧を目指して立ち止まるよりも、できるところから着実に進めることが大切です。まずはOSの更新・多要素認証・バックアップ・アクセス権限の見直しといった、費用をかけずにできる基本対策を点検しましょう。
次に、SECURITY ACTIONの宣言やIPAのガイドライン・インシデント対応の手引きといった公的支援を活用し、自社の抜けを埋めます。そのうえで、メール・端末・通信監視・認証・訓練・診断のうち足りない領域については、サービスの資料を取り寄せて比較検討を始めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 企業のサイバー攻撃対策とは何ですか？
A. 企業のサイバー攻撃対策とは、OSの更新・多要素認証・バックアップ・従業員教育といった基本対策を、「入口・内部・出口」の各段階で重ねて守る多層防御の取り組みです。単一の対策だけで攻撃を完全に防ぐことは難しいため、侵入を防ぐ入口対策、侵入されても被害を広げない内部対策、情報を持ち出させない出口対策を組み合わせて備えます。
IPAは、中小企業がまず実践すべき基本を「情報セキュリティ6か条」として示しています。
Q. 中小企業がまずサイバー攻撃対策として始めるべきことは何ですか？
A. 中小企業がまず始めるべきは、費用をかけずにできるOSの更新・多要素認証の有効化・バックアップの取得・アクセス権限の見直しと、IPAの「情報セキュリティ6か条」に取り組む「SECURITY ACTION」の自己宣言です。すべてを一度に揃える必要はなく、運用で対応できる基本対策から段階的に進めます。
あわせて、何を守るか（資産と重要業務の棚卸し）、外部に公開しているシステム・認証・バックアップの状態、緊急時の連絡体制の3点を点検すると、次にどこへ投資すべきかが見えてきます。
Q. 個人向けと企業向けのサイバー攻撃対策は何が違いますか？
A. 企業向けの対策は、守る資産と利用者が多く被害の影響範囲も広いため、個人の端末防御にとどまらず、アクセス権限の管理・従業員教育・緊急連絡体制といった組織としての備えまで必要になる点が大きく違います。自社の被害が取引先にまで連鎖する「サイバードミノ」のように、企業は社外への責任も負うため、個人の自衛よりも広い範囲をカバーする必要があります。
Q. IPAなどの公的資料はサイバー攻撃対策の自社点検に使えますか？
A. 使えます。 IPAの「中小企業の情報セキュリティ対策ガイドライン」や「情報セキュリティ6か条」は、自社の対策状況を確認するチェックリストとして活用でき、被害に遭ったときの動き方は「中小企業のためのセキュリティインシデント対応の手引き」で確認できます。
いずれも無料で公開されており、「SECURITY ACTION」の自己宣言も費用はかかりません。何から手をつけるか迷ったら、まずこれらを自社の点検に使うのが確実です。
Q. 企業のサイバー攻撃対策にはどのくらいの費用がかかりますか？
A. サイバー攻撃対策の費用は、OSの更新・多要素認証・バックアップなど運用で対応できる基本対策は費用をほぼかけずに始められ、認証強化などのサービスは1ユーザー月額数百円から、監視や診断は要問い合わせとなるものまで幅があります。まずは無料でできる基本対策を固め、自社だけで手が回らない監視や診断を外部に委ねるという切り分けが現実的です。
中小企業向けの「サイバーセキュリティお助け隊サービス」は「デジタル化・AI導入補助金」の対象で、費用負担を抑えて専門的な支援を受けられます。
Q. サイバー攻撃の被害に遭ったら企業はまず何をすべきですか？
A. 被害に気づいたらまず、被害の拡大を防ぐためにネットワークから切り離して対象機器を隔離し、このとき原因調査に必要な記録が消えないよう不用意に電源を切らないことが重要です。あわせて、いつ・どこで・誰が・何を・なぜ・どうしたのか（5W1H）の観点で状況を記録し、証拠を保全します。
そのうえで、個人情報の漏えいがあれば個人情報保護委員会、犯罪性があれば警察、ウイルス感染や不正アクセスであればIPAへ届け出て、JPCERT/CCや都道府県警察のサイバー事案相談窓口も利用します。
社内セキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、メール・端末・認証・通信監視・脆弱性診断など、サイバー攻撃対策に使える法人向けサービスの最新資料を無料で一括請求できます。守りたい領域から、機能や料金を比べて選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
