サイバー攻撃やランサムウェアの被害が報じられ、取引先からセキュリティ対策の状況を尋ねられる場面も増えています。自社で何ができていて、何が足りないのかを一度に把握したいと考える企業は少なくありません。
情報セキュリティ対策とは、企業が持つ情報資産を不正アクセスや漏えい、改ざん、災害などの脅威から守るための取り組みの総称です。対策は、システムで守る技術的なものだけでなく、人や組織のルール、設備や書類の管理にまで及びます。
本記事では、企業が取るべき情報セキュリティ対策を技術的・組織的（人的）・物理的の3つの面で一覧に整理し、各対策で具体的に何をすればよいかを解説します。あわせて、何から着手すべきかの優先順位と、各対策をツールやサービスで実現する方法もまとめました。自社の対策状況を棚卸しする際の確認材料としてご活用ください。
目次
一括ダウンロードする
情報セキュリティ対策の一覧（技術的・組織的・物理的）
ここからは、企業が取るべき対策を3つの面に分けて整理します。情報セキュリティマネジメントの国際規格であるISO/IEC 27001（国内規格はJIS Q 27001）は、管理策を組織的・人的・物理的・技術的の4つに分類しています。本記事ではこのうち組織的と人的を「組織的・人的対策」としてまとめ、3つの面で一覧にします。
まず全体像を一覧で確認し、自社でどこまで実施できているかを突き合わせてみてください。各面の個別の対策は、この表のあとで一つずつ具体的に解説します。
| 対策の面 | 技術的対策 | 組織的・人的対策 | 物理的対策 |
|---|---|---|---|
| 主な対策項目 | OS・ソフトウェアの更新（脆弱性対策） ウイルス対策ソフト・EDRの導入 IDとパスワードの管理 多要素認証（二段階認証） アクセス権限の最小化 データの暗号化 バックアップ ファイアウォール・UTMによる通信の防御 | 情報セキュリティ方針・規程の策定 従業員への教育・訓練 情報の持ち出し・管理ルールの整備 権限の運用と退職・異動時の対応 インシデント対応体制の整備 | サーバー室・執務室の入退室管理 書類・媒体の施錠保管 端末の盗難・のぞき見対策 耐震・耐火など災害への備え 機器廃棄時のデータ消去 |
※上記は対策の面ごとの代表的な項目です。自社に必要な対策は、扱う情報資産や業務環境によって異なります。
技術的対策
技術的対策は、システムや機器の設定・ソフトウェアによって脅威を防ぐ取り組みです。多くの企業がまず着手する領域で、公的機関も基本として挙げています。
OS・ソフトウェアの更新は、脆弱性を悪用する攻撃を防ぐ基本です。OSやアプリケーションを最新の状態に保ち、修正プログラム（パッチ）が公開されたら速やかに適用します。警察庁も基本的なセキュリティ対策の一つ目に「OSやソフトウェアの適切な更新」を挙げています。
ウイルス対策ソフト・EDRの導入では、端末に侵入したマルウェアを検知・駆除します。従来のウイルス対策ソフトに加え、侵入後の不審な挙動を検知して対応するEDR（Endpoint Detection and Response）を組み合わせると、未知の攻撃への備えになります。
IDとパスワードの管理は、不正アクセスを防ぐ要です。警察庁は、安全なパスワードの設定方法として次の点を挙げています。
出典：基本的なセキュリティ対策｜警察庁
- パスワードの文字列は10文字以上にする。
- 推測されやすい単語、生年月日、数字、キーボードの配列順等の文字の並びやＩＤは含めない。
- 大小英字・数字・記号を全て使う。
- 複数のＩＤでパスワードを使い回さない。
あわせて、初期パスワードは必ず変更し、使い回しを避けることが基本です。
パスワードに加えて多要素認証（二段階認証）を使うと、認証はさらに強くなります。通常のパスワードに生体認証やワンタイムパスワードを組み合わせることで、パスワードが漏れても不正ログインを防ぎやすくなります。
アクセス権限の最小化では、各従業員に業務上必要な範囲だけの権限を与えます。共有アカウントは避けて個人ごとにIDを割り当て、異動や退職で不要になった権限は定期的に見直します。
データの暗号化は、持ち出しや盗難時の情報漏えいに備える対策です。社外へ持ち出すノートパソコンやUSBメモリはディスク全体を暗号化し、特に重要なファイルは個別に暗号化しておくと安全です。
バックアップは、ランサムウェア被害や機器故障からの復旧に備えます。重要なデータは定期的に、社内とクラウドなど複数の場所へ世代を分けて保管し、実際に復元できるかを試しておきます。本番データと同時に暗号化されないよう、ネットワークから切り離した控えを持つことも有効です。
社内ネットワークの出入口にはファイアウォールやUTM（統合脅威管理）を置き、外部からの不正な通信を遮断します。
組織的・人的対策
組織的・人的対策は、ルールづくりと従業員の行動によって情報を守る取り組みです。技術で守る仕組みを整えても、運用する人や組織に抜けがあると効果が下がります。
情報セキュリティ方針・規程の策定は、組織として守るべきルールの土台です。総務省も、経営層が取り組むこととして情報セキュリティポリシーの策定と見直しを挙げています。方針を文書にまとめ、従業員が参照できる状態にしておきます。
従業員への教育・訓練では、標的型攻撃メールの見分け方や情報の取り扱いルールを周知します。実際に模擬の攻撃メールを送る訓練を行うと、従業員が手口を体感でき、対応の定着につながります。
情報の持ち出し・管理ルールの整備では、データの持ち出し手続きや私物端末の業務利用の可否、クラウドサービスの利用範囲を定めます。権限の運用と退職・異動時の対応も欠かせず、退職や異動の際にはIDの削除やパスワード変更を速やかに行い、使われないアカウントが残らないようにします。
万一に備えたインシデント対応体制の整備では、事故が起きたときの連絡先と対応手順、公表や報告の判断基準を事前に決めておきます。初動が早いほど被害の拡大を抑えやすくなります。
出典・参考資料（2件）
物理的対策
物理的対策は、設備や書類、機器そのものを守る取り組みです。ネットワーク経由の攻撃に目が向きがちですが、盗難や紛失、災害による情報の損失も現実的なリスクです。
ISO/IEC 27001・JIS Q 27001の管理策でも、物理的対策は独立した分類として整理されています。サーバー室や執務室の入退室管理では、ICカードや生体認証で入室できる人を限り、入退室の記録を残します。重要書類や記録媒体は鍵付きのキャビネットに施錠保管し、鍵の管理者を決めておきます。
離席時に画面をロックする、のぞき見防止フィルターを使うといった盗難・のぞき見対策も、オフィスや外出先での情報漏えいを防ぎます。地震や火災に備える耐震・耐火など災害への備えは、データの可用性を守る対策です。
使わなくなったパソコンやドライブを廃棄する際のデータ消去では、初期化だけでは復元される恐れがあるため、専用ソフトでの消去や物理破壊を行います。処分を外部へ委託する場合は、消去証明書を受け取ると確実です。
対策を怠るとどうなるか
対策に手が回らないまま運用を続けると、事業そのものに影響する損失につながりかねません。情報漏えいや不正アクセスが起きると、顧客や取引先からの信頼を失い、損害賠償や対応費用といった金銭的な損失が発生します。
ランサムウェアに感染すればデータが暗号化されて業務が停止し、復旧までの時間と費用がかかります。自社の端末が攻撃の踏み台にされ、取引先へ被害を広げる加害者になる恐れもあります。
被害は決して珍しいものではありません。警察庁によると、令和6年（2024年）に企業・団体などから報告されたランサムウェアの被害は222件にのぼり、高い水準が続いています。調査・復旧に1,000万円以上の費用を要した組織も報告されており、中小企業も例外ではありません。
出典・参考資料（1件）
どの脅威に備えるべきかは、IPA（独立行政法人情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」が参考になります。2026年版の組織向けの順位は以下のとおりです。
情報セキュリティ10大脅威 2026 ［組織］
出典：情報セキュリティ10大脅威 2026｜独立行政法人情報処理推進機構（IPA）
- ランサム攻撃による被害
- サプライチェーンや委託先を狙った攻撃
- AIの利用をめぐるサイバーリスク
- システムの脆弱性を悪用した攻撃
- 機密情報を狙った標的型攻撃
- 地政学的リスクに起因するサイバー攻撃（情報戦を含む）
- 内部不正による情報漏えい等
- リモートワーク等の環境や仕組みを狙った攻撃
- DDoS攻撃（分散型サービス妨害攻撃）
- ビジネスメール詐欺
これらの脅威は、本記事で挙げた対策と対応しています。上位のランサム攻撃はバックアップやEDR、サプライチェーンを狙った攻撃は委託先の管理、標的型攻撃は従業員教育やメール訓練が備えになります。
2026年版で初めて選出された「AIの利用をめぐるサイバーリスク」は、生成AIへ機密情報を入力して漏えいする事態や、AIを悪用して巧妙化する攻撃などを指します。この順位は脅威の種類を示すものであり、被害の大きさの順ではないため、自社の業務環境に関わりの深い脅威から対策の優先度を見極めることが重要です。
一括ダウンロードする
まず何から着手すべきか（優先順位と最低限やるべきこと）
対策の項目は多岐にわたるため、専任の担当者を置きにくい中小企業では、すべてを一度に実施するのは簡単ではありません。限られた人員と予算の中では、着手する順序を決めることが現実的です。
おすすめの順序は、まず技術的対策の基本（OS更新・ウイルス対策・パスワード管理・バックアップ）を固めることです。次に情報セキュリティ方針の策定と自社の棚卸しという組織的対策へ広げ、その後にインシデント対応体制の整備や物理的対策を整えます。日々の業務を直接守る技術的対策を先に、運用を支える組織・物理の対策を続けて整える流れです。
この順序を公的な制度に沿って進めたい場合は、IPAの「SECURITY ACTION」が手がかりになります。中小企業が情報セキュリティ対策に取り組むことを自己宣言する制度で、最初の段階である「一つ星」は、次の「情報セキュリティ6か条」に取り組むことを宣言します。
情報セキュリティ6か条
出典：SECURITY ACTION 一つ星を宣言する｜独立行政法人情報処理推進機構（IPA）
OSやソフトウェアは常に最新の状態にしよう！
ウイルス対策ソフトを導入しよう！
パスワードを強化しよう！
共有設定を見直そう！
バックアップを取ろう！
脅威や攻撃の手口を知ろう！
一つ星は対策を実施する前でも申し込めるため、着手の宣言として最初に位置づけやすい取り組みです。6か条は、更新・ウイルス対策・パスワード・共有設定・バックアップ・脅威の把握という、技術的対策の基本と重なります。
基本を押さえたら、次の「二つ星」で組織的な取り組みを開始します。二つ星は、IPAの「5分でできる！情報セキュリティ自社診断」の実施と、情報セキュリティ基本方針の策定・外部公開に取り組むことを宣言するものです。自社診断は現状の棚卸しに、基本方針の策定は組織的対策の出発点になります。
より詳しい対策は、IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）が経営者編と実践編にまとめています。構成や6か条、自社診断の中身を先に押さえたい場合は、要点を整理した以下の記事が参考になります。
自社の状況を確認する際は、次の観点で棚卸しすると着手すべき箇所が見えやすくなります。
- OSやソフトウェアを最新の状態に保ち、更新の運用ルールがあるか
- すべての端末にウイルス対策ソフトを導入し、定期的にスキャンしているか
- パスワードの強度ルールがあり、重要なシステムで多要素認証を使っているか
- 重要なデータを定期的にバックアップし、復旧を試したことがあるか
- 情報セキュリティの方針・規程を文書化し、従業員に周知しているか
- 退職・異動時にアカウントを削除・変更する手順があるか
出典・参考資料（3件）
情報セキュリティ対策をツール・サービスで実現する
ここまで整理した対策は、すべてを自前で運用する必要はありません。各領域には、端末を守るセキュリティソフト、ネットワークを守るUTM、ID・アクセスを管理するID基盤（IDaaS）といったツールの類型があります。専用のツールやサービスを使えば、専任の担当者がいなくても一定の水準を保ちやすくなります。
これらの類型は、守る対象で役割が分かれます。端末を守るのはウイルスを検知・駆除するEPPと侵入後の挙動に対応するEDR、ネットワークの出入口はファイアウォールやUTMが担います。ID・アクセスはSSOや多要素認証をまとめたID基盤が、情報の持ち出しはログ管理やDLPが受け持ちます。自社で手薄な領域から対応するツールを選ぶと検討を進めやすくなります。
ここでは、端末・ネットワーク・ID管理の3領域に対応する代表的なサービスを紹介します。それぞれの対策領域・主な機能・料金・対象規模は以下のとおりです。
| サービス名 | Eye"247" Safety Zone | Eye"247" Safety Zone USAV Ⅵ | CloudGate UNO |
|---|---|---|---|
| 提供会社 | 株式会社フーバーブレイン | 株式会社フーバーブレイン | 株式会社インターナショナルシステムリサーチ |
| 対策領域 | 端末（エンドポイント）保護 | ネットワーク・端末・人の統合対策 | ID・アクセス管理（IDaaS） |
| 主な機能 | EPP＋EDR（振る舞い検知） ランサムウェア対策（自動バックアップ・リストア） フィッシングサイトの自動ブロック Webアクセスコントロール | UTM（ファイアウォール・IPS等） EPP＋EDR（Safety Zone） 業務可視化・情報漏えい対策 標的型攻撃メール訓練（年2回） | シングルサインオン（SSO） 多要素認証・パスキー（FIDO2） アクセス制限（IP・端末・時間帯など） ID管理・プロビジョニング |
| 対象規模 | 専任担当者を置けない中堅・中小企業 | 中小企業（クライアント数10〜200台を想定） | 規模の限定なし（中規模で導入実績） |
| 提供形態 | 端末インストール型ソフト＋ブラウザ管理コンソール | UTM機器を同梱した統合パッケージ | クラウド型（IDaaS） |
| 料金 | 要お問い合わせ （導入台数・契約期間に応じた個別見積もり） | 要お問い合わせ （販売代理店による個別見積もり） | 月額400円（税込440円）〜/ユーザー ※別途初期費用 |
| 無料トライアル | 記載なし | 記載なし | 30日間 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
1. Eye"247" Safety Zone（株式会社フーバーブレイン）
Eye"247" Safety Zoneは、東証スタンダード市場に上場する株式会社フーバーブレインが提供する、端末向けのセキュリティソフトです。マルウェアを検知・隔離するEPP（Endpoint Protection Platform）に、侵入後の不審な挙動を検知・調査するEDRを組み合わせています。検知エンジンはBitdefenderと共同開発したものを採用しています。
アプリケーションの動作を常時監視する振る舞い検知に加え、ランサムウェア対策としてファイルを自動でバックアップし、被害時に直近のバックアップからリストアできる機能を備えます。フィッシングサイトの自動ブロックや、利用できる時間帯を指定するWebアクセスコントロールにも対応します。
公式サイトは、専任のセキュリティ担当者を置けない中堅・中小企業に向くとしています。料金は導入台数や契約期間に応じた個別見積もりで、資料で詳細を確認できます。
2. Eye"247" Safety Zone USAV Ⅵ（株式会社フーバーブレイン）
同じくフーバーブレインが提供するEye"247" Safety Zone USAV Ⅵは、ネットワーク・端末・人への対策を1つのパッケージにまとめた統合型の製品です。中心となるのは、Check Point製のUTM（ファイアウォール・IPS〈不正侵入防止〉・URLフィルタリングなどを束ねたネットワーク防御機器）です。
これに、端末向けのEye"247" Safety Zone、業務可視化・情報漏えい対策のソフト、標的型攻撃メール訓練を組み合わせています。
標的型攻撃メール訓練は年2回が標準で付帯し、人への教育面もパッケージに含まれます。クライアント数10〜200台の構成を想定しており、ネットワークから端末、従業員教育までを1契約でまとめたい中小企業に向く構成です。導入は販売代理店を通じた個別見積もりで進みます。
3. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤で、ID・アクセス管理の領域を担います。一度の認証で複数のクラウドサービスへアクセスできるシングルサインオン（SSO）、多要素認証、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、アカウントの自動管理（プロビジョニング）を提供します。
IPアドレスや国・地域、時間帯、デバイス証明書による端末単位のアクセス制限に対応し、パスキー認証はすべてのプランで利用できます。料金はStandard Plusが1ユーザーあたり月額400円（税込440円）からで、別途初期費用がかかります。
導入実績は1,400社以上と公表されています。本記事で挙げた多要素認証やアクセス権限の管理をまとめて実現したい場合の選択肢になります。
前半で触れた多要素認証は、採用する方式によって攻撃への耐性が異なります。同社は認証方式の違いについて次のように説明しています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
ここで取り上げたのは、端末・ネットワーク・ID管理それぞれの代表的なサービスです。守る対象ごとにどのタイプのソリューションがあるかを見比べ、自社に合うものを選びたい場合は、以下の記事が全体像のガイドになります。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
情報セキュリティ対策は、技術的・組織的（人的）・物理的の3つの面に分けて考えると、自社の抜け漏れを確かめやすくなります。更新・ウイルス対策・パスワード管理といった基本から着手し、SECURITY ACTIONや中小企業向けガイドラインを手がかりに、組織的な取り組みへと段階的に広げていくのが現実的です。
端末・ネットワーク・ID管理といった対策は、専用のツールやサービスを活用することで、限られた人員でも一定の水準を保ちやすくなります。自社の課題に合うサービスの資料を取り寄せ、対策の具体化を進める際の材料としてご活用ください。
一括ダウンロードする
よくある質問（FAQ）
Q. 情報セキュリティの3要素（機密性・完全性・可用性）とは何ですか？
A. 情報セキュリティの3要素とは、情報を守るうえで維持すべき「機密性・完全性・可用性」の3つの性質を指します。機密性は許可された人だけが情報にアクセスできる状態、完全性は情報が改ざんや欠落なく正確に保たれている状態、可用性は必要なときに情報へアクセスできる状態を意味します。
英語の頭文字からCIAとも呼ばれ、本記事で挙げた技術的・組織的・物理的の各対策は、いずれかの性質を守るための取り組みと整理できます。
Q. 情報セキュリティ対策は法律で義務付けられていますか？
A. 個人情報を扱う事業者は、個人情報保護法によって安全管理措置を講じることが義務付けられています。同法は、取り扱う個人データの漏えい・滅失・毀損を防ぐために、組織的・人的・物理的・技術的な安全管理措置を求めており、取り扱う人数の規模にかかわらずすべての事業者が対象です。具体的に講じるべき措置の内容は、個人情報保護委員会のガイドラインに示されています。
出典・参考資料（1件）
Q. ウイルス対策ソフトを導入していれば情報セキュリティ対策は十分ですか？
A. ウイルス対策ソフトだけでは不十分で、複数の対策を組み合わせる多層的な防御が必要です。ウイルス対策ソフトは端末に侵入したマルウェアへの備えですが、それだけでは不正アクセスや内部不正、設定ミスによる情報漏えい、災害によるデータ損失には対応できません。
OSの更新、多要素認証、アクセス権限の管理、バックアップ、従業員教育などを組み合わせ、技術的・組織的・物理的の各面を互いに補い合う形にすることが重要です。
Q. 情報セキュリティ対策は費用をかけずに始められますか？
A. 基本的な対策の多くは、大きな費用をかけずに始められます。OSやソフトウェアの更新、パスワードの強化、共有設定の見直し、バックアップ、脅威や攻撃の手口を知ることといったIPAの「情報セキュリティ6か条」は、既存の仕組みや運用ルールの徹底で対応できます。取り組みを自己宣言するIPAの「SECURITY ACTION」も、宣言自体に費用はかかりません。
一方で、EDRやUTM、ID基盤といったツールの導入には費用が発生するため、優先度の高い領域から段階的に検討するのが現実的です。
Q. テレワーク（リモートワーク）で特に注意すべき情報セキュリティ対策は何ですか？
A. 社外からの接続経路の安全確保と、端末・ネットワークの利用ルールの整備が特に重要です。社内システムへ接続する通信の暗号化（VPNなど）、端末の紛失・盗難に備えた暗号化と多要素認証、業務データを私物端末へ保存する可否や共有Wi-Fi利用のルール化が求められます。
IPAの「情報セキュリティ10大脅威 2026」でも「リモートワーク等の環境や仕組みを狙った攻撃」が挙げられており、総務省が公開するテレワークセキュリティガイドラインが具体的な対策をまとめています。
出典・参考資料（1件）
Q. 自社の情報セキュリティ対策を確認できるチェックリストはありますか？
A. IPAが中小企業向けに「5分でできる！情報セキュリティ自社診断」などのチェックリストを無料で公開しています。設問に答えることで自社の対策状況を把握でき、どの面が弱いかを確かめられます。本記事の「まず何から着手すべきか」で挙げた棚卸しの観点とあわせて使うと、着手すべき箇所が見えやすくなります。
この自社診断は、IPAの「中小企業の情報セキュリティ対策ガイドライン」に付属資料として収録されています。
Q. ISMSやプライバシーマークの認証は取得したほうがよいですか？
A. 取得は義務ではありませんが、取引先からの信頼獲得や社内体制の整備に有効です。ISMS（ISO/IEC 27001）は情報セキュリティ全般のマネジメント体制を、プライバシーマークは個人情報の取り扱い体制を、それぞれ第三者機関が認証する制度です。
取引や入札の条件として求められる場合があるほか、認証取得の過程で対策の抜け漏れを体系的に点検できる利点があります。まず自社に必要かを見極めたうえで、SECURITY ACTIONのような段階的な取り組みから始める方法もあります。
情報セキュリティ対策のサービス資料を一括チェック
MCB FinTechカタログでは、端末対策・UTM・ID基盤など情報セキュリティ対策に役立つサービスの最新資料を無料で一括請求できます。機能や対象規模を比べながら、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
