情報漏えい対策として簡単にできることって何？｜気になったのでIPAの公式ガイドと、被害企業が公表した再発防止策から14個を紹介します

タイムズカーの約660万件、アサヒやアスクルのランサムウェア、イエローハットの最大180万件。2025〜2026年に公表された情報漏えい事件を公式発表で追うと、入口は「公開Webシステム」「VPN機器」「盗まれたID・パスワード」「委託先」「設定ミス」の5つに収まっていました(前回の記事「情報漏えい事件12件の原因と対策」)。

では、明日から何をすればいいのか。この記事では、IPAの「情報セキュリティ6か条」と「5分でできる!情報セキュリティ自社診断」、IPA「情報セキュリティ10大脅威 2026」の対策欄、警察庁のランサムウェア対策、個人情報保護委員会の漏えい等報告の規定、そして被害企業が自社サイトで公表した再発防止策だけを根拠に、費用がほとんどかからず、担当者1人でも今週中に手をつけられる対策を14個選びました。すべて「何をするか」「なぜ効くか(公式の根拠)」「どの事件と関係するか」を書いています。

一気に14個の対策

ID・パスワード
1. 管理者・従業員・委託先のアカウントに多要素認証を入れる
2. パスワードを「長く」し、使い回しをやめる
3. 退職者・契約終了者のアカウントを削除し、権限を棚卸しする

端末と機器
4. OS・ソフトを最新にし、自動更新を有効にする
5. VPN機器・ルーターのパッチを当て、サポート終了機器を使わない
6. ウイルス対策ソフト(できればEDR)を全端末に入れ、定義ファイルを最新にする
7. 離席時の画面ロックと、ノートPC・スマホの暗号化

データ
8. クラウド・共有フォルダの共有設定を見直す
9. バックアップを取り、ネットワークから切り離して保管する
10. 持たなくてよい個人情報を持たない(本人確認書類の画像など)

人
11. メールの添付ファイル・リンクを開く前のルールを決める
12. 手口を知る。フィッシング訓練を年1回やる
13. USBメモリなど外部記憶媒体の利用を制限する

外部・備え
14. データを預けている委託先・つないでいる外部サービスの一覧を作り、契約を確認する

以下、順に説明します。

1. 管理者・従業員・委託先のアカウントに多要素認証を入れる

やること:Microsoft 365・Google Workspace・VPN・クラウドサービスの管理者アカウントから順に、多要素認証(MFA)を必須にする。SMSよりアプリ・セキュリティキー・パスキーを優先する。

根拠:IPAの10大脅威2026(組織編)は、1位「ランサム攻撃」の対策として「多要素認証(MFA)やFIDO/FIDO2の利用」を挙げています。警察庁のランサムウェア対策ページも「多要素認証等の強固な認証手段の導入」を求め、NISCのハンドブックは「必ず二要素以上の多要素認証を設定しておきましょう」「SMS方式は…トークン、USBセキュリティキー、生体認証方式を推奨」としています。金融庁も証券口座の乗っ取りを受けて「パスキー等のフィッシング耐性のある多要素認証」を推奨しています。

関係する事件:アスクル(「認証情報を窃取し不正に使用したと推定」→再発防止策に「多要素認証の徹底」)、KADOKAWA(フィッシングでアカウント窃取)。

出典:IPA 情報セキュリティ10大脅威 2026 解説書(組織編)、警察庁 ランサムウェア被害防止対策、NISC インターネットの安全・安心ハンドブック、金融庁 フィッシング詐欺等に関する注意喚起

2. パスワードを「長く」し、使い回しをやめる

やること:業務システムのパスワードを他サービスと共用していないか、全員に確認する。パスワード管理ツールを配る。共有IDをやめる。

根拠:IPA「情報セキュリティ6か条」の第3条は「パスワードを強化しよう!」で、理由は「パスワードが推測や解析されたり、ウェブサービスから流出したID・パスワードが悪用されたりすることで、不正にログインされる被害が増えています」。自社診断の項目3は「パスワードは破られにくい『長く』『複雑な』パスワードを設定していますか?」。NISCは「桁数が多い方が安全に資する」「それぞれのサービスは別々のIDとパスワード管理を設定することを推奨」としています。

関係する事件:アサヒ(「パスワードの脆弱性をついて管理者権限を奪取」→「全システムにおけるパスワード変更および認証・権限管理の強化」)。

出典:IPA 情報セキュリティ6か条、IPA 5分でできる!情報セキュリティ自社診断(第4.0版)、アサヒグループHD 再発防止策(2026年2月18日)

3. 退職者・契約終了者のアカウントを削除し、権限を棚卸しする

やること:退職・異動・委託契約終了の手順に「ID削除」「鍵・端末回収」を入れる。半年に1回、誰がどのシステムの管理者権限を持っているかを一覧にする。

根拠:IPAの中小企業ガイドライン第4.0版は「従業員の異動や退職時には速やかに設定を変更(削除)する」とし、10大脅威の「内部不正」対策欄にも「離職時のID削除」「利用者IDおよびアクセス権の登録・変更・削除に関する手順」「アクセス権の最小限付与」が並びます。個人情報保護委員会のFAQも「識別に基づいたアクセス制御の実施」と権限の最小化・定期点検を挙げています。

関係する事件:アサヒ(再発防止策に「人的作業ミスや削除漏れを防ぐためのアカウント作成・変更・削除の自動化」)、アスクル(「権限管理の見直し」)。

出典:IPA 中小企業の情報セキュリティ対策ガイドライン 第4.0版、個人情報保護委員会 FAQ(技術的安全管理措置)

4. OS・ソフトを最新にし、自動更新を有効にする

やること:Windows・macOS・スマホ・ブラウザ・Officeの自動更新を全端末で有効にする。更新が止まっている端末を探す。

根拠:6か条の第1条「OSやソフトウェアは常に最新の状態にしよう!」、理由は「OSやソフトウェアを古いまま放置していると、セキュリティ上の問題点が解決されず、それを悪用したウイルスに感染してしまう危険性があります」。総務省のテレワークセキュリティの手引きでも「OS・アプリの最新セキュリティ更新」は最優先(◎)の項目です。

出典:IPA 情報セキュリティ6か条、総務省 中小企業等担当者向けテレワークセキュリティの手引き(第3版)

5. VPN機器・ルーターのパッチを当て、サポート終了機器を使わない

やること:自社のVPN装置・ファイアウォール・ルーターの機種名とファームウェアの版を書き出し、メーカーのサポート状況と最新版を確認する。管理画面がインターネットから見えないようにする。

根拠:警察庁は令和7年のランサムウェア被害について「侵入経路はVPN機器が6割以上を占める状況」とし、対策として「VPN機器やOS等の更新ファイルやセキュリティパッチが公開された場合は速やかに適用」を挙げています。IPAは2025年10月に「VPN機器等に対するORB化を伴うネットワーク貫通型攻撃のおそれ」として、パッチの迅速な適用、サポート終了機器の更新、管理画面を外部に公開しないことを求めました。サポート終了OSについてIPAは「製品ベンダによる修正等の対応が期待できず、セキュリティリスクを解消することができなくなります」としています。

関係する事件:デジタル庁GSS(VPN機器の脆弱性)、アサヒ(「拠点にあるネットワーク機器を経由し…侵入」→「リモートアクセスVPN装置の全面廃止」)。

出典:警察庁 令和7年におけるサイバー空間をめぐる脅威の情勢等について、IPA 注意喚起(2025年10月31日)、IPA Windows 10サポート終了に関する注意喚起

6. ウイルス対策ソフト(できればEDR)を全端末に入れ、定義ファイルを最新にする

やること:入っていない端末・更新が止まっている端末をゼロにする。予算があればEDR(不審な動きを検知して止める仕組み)に切り替える。

根拠:6か条の第2条「ウイルス対策ソフトを導入しよう!」。理由は「ID・パスワードを盗んだり、遠隔操作を行ったり、ファイルを勝手に暗号化するウイルスが増えています」。自社診断の項目2は「ウイルス対策ソフトを導入し、ウイルス定義ファイルは最新の状態にしていますか?」。

関係する事件:アサヒ(「全パソコン端末のEDRの設定強化」)、アスクル(「EDRの強化」)。

出典:IPA 情報セキュリティ6か条、アスクル 第13報(2025年12月12日)

7. 離席時の画面ロックと、ノートPC・スマホの暗号化

やること:5分で自動ロックする設定を全端末に配る。BitLocker・FileVault・スマホの暗号化を有効にする。

根拠:自社診断の項目15「離席時にパソコン画面の覗き見や勝手な操作ができないようにしていますか?」。総務省の手引きでは「離席時の画面ロック」が最優先(◎)、「端末の記憶媒体の暗号化」「重要情報は端末に保存しない」が推奨(○)です。IPAの情報漏えい対策のしおりは「データを暗号化することにより、万一…盗まれたり、紛失したりしても、大切なデータを、ある程度、情報漏えい事故から保護することができます」としています。

出典:IPA 自社診断(第4.0版)、総務省 テレワークセキュリティの手引き(第3版)、IPA 情報漏えい対策のしおり

8. クラウド・共有フォルダの共有設定を見直す

やること:Google Drive・OneDrive・Boxで「リンクを知っている全員」になっているフォルダを検索する。複合機・NAS・管理システムのアクセス権を確認する。

根拠:6か条の第4条「共有設定を見直そう!」。理由は「データ保管などのウェブサービスやネットワーク接続した複合機の設定を間違ったために、無関係な人に情報を覗き見られるトラブルが増えています」。自社診断の項目4は「データの共有設定を必要な人に限定していますか?」。個人情報保護委員会は、漏えい等報告が必要な例として「システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり、当該個人データに係る本人の数が1,000人を超える場合」を挙げています。

関係する事件:マイナビ(「社給端末管理システムのアクセス権限の誤設定」で約3年間閲覧可能に)。

出典:IPA 情報セキュリティ6か条、個人情報保護委員会 漏えい等の対応、マイナビ お知らせ(2025年10月3日)

9. バックアップを取り、ネットワークから切り離して保管する

やること:重要データのバックアップを、常時接続していない場所(オフライン媒体、書き換え不可のクラウド)にも残す。復元できるか年1回試す。

根拠:2026年3月の改訂で6か条に加わった第6条「バックアップを取ろう!」。警察庁は「復旧を妨害するため、バックアップも一緒に暗号化される場合が多い」として「ネットワークから切り離してオフラインで保存」を求め、IPAの10大脅威は「バックアップ運用(WORM機能等を含む)」「定期的な復旧訓練」を挙げています。

関係する事件:アサヒ(「バックアップデータの健全性を保持するため、バックアップシステムを一時停止」し、「安全性の確認されたバックアップデータからシステム復旧」。再発防止策に「バックアップの仕組みの更なる強化」「復旧手順の定期的な見直し・訓練」)。

出典:IPA 情報セキュリティ6か条、警察庁 令和7年の脅威の情勢、警察庁 ランサムウェア被害防止対策

10. 持たなくてよい個人情報を持たない

やること:本人確認書類の画像、退会者のデータ、古い応募者情報など、「今の業務に必要か」を確認し、不要なものは削除する。保管期間を決める。

根拠:自社診断の項目14「重要情報が記載された書類や重要なデータが保存された媒体を破棄する時は、復元できないようにしていますか?」、項目19「ウェブサイトで公開すべきでない情報を公開していませんか?」。個人情報保護委員会は、要配慮個人情報や「不正に利用されることにより財産的被害が生じるおそれがある個人データ」の漏えいは1件でも報告義務の対象としています。持っていなければ、漏れません。

関係する事件:タイムズカー(退会済み・入会未完了の方を含む約660万件、運転免許証画像など本人確認書類約160万件が漏えい)。

出典:個人情報保護委員会 漏えい等の対応、パーク24 第2報・第3報

11. メールの添付ファイル・リンクを開く前のルールを決める

やること:「請求書・履歴書・配送通知の添付は、送信元を電話やチャットで確認してから開く」「ログインを求めるリンクはメールから開かず、ブックマークから入る」を明文化する。

根拠:自社診断の項目7「電子メールの添付ファイルや本文中のURLリンクを介したウイルス感染に気をつけていますか?」、10大脅威の「安易に添付ファイルの開封やリンク・URLのクリックをしない」。金融庁は「メール・SMSのリンクを避ける、ブックマークからアクセスする」を推奨しています。誤送信については項目8「電子メールやFAXの宛先の送信ミスを防ぐ取り組みを実施していますか?」があり、委員会は「BCC欄に入力して送信すべきところをCC欄に入力して一括送信した場合」(1,000人超)を報告義務の例に挙げています。

関係する事件:KADOKAWA(「フィッシングなどの攻撃により従業員のアカウント情報が窃取」)。

出典:IPA 自社診断(第4.0版)、個人情報保護委員会 漏えい等の対応、KADOKAWA 2024年8月5日発表

12. 手口を知る。フィッシング訓練を年1回やる

やること:IPAの10大脅威と注意喚起を年1回、全員で読む。無料・低価格のフィッシング訓練サービスで、開封率を測る。

根拠:6か条の第5条「脅威や攻撃の手口を知ろう!」。理由は「取引先や関係者と偽ってウイルス付のメールを送ってきたり、正規のウェブサイトに似せた偽サイトを立ち上げたりしてID・パスワードを盗もうとする巧妙な手口が増えています」。自社診断の項目6「新たな脅威や攻撃の手口を知り対策を社内共有する仕組みはできていますか?」、項目20「従業員に情報セキュリティに関する教育や注意喚起を行っていますか?」。

関係する事件:アサヒ(「従業員向けセキュリティ教育の強化・継続」「最新の攻撃手法に備えた実践的なセキュリティ訓練の継続」)。

出典:IPA 情報セキュリティ6か条、IPA 情報セキュリティ10大脅威 2026

13. USBメモリなど外部記憶媒体の利用を制限する

やること:業務でのUSBメモリ利用を原則禁止にし、必要なら会社支給の暗号化USBだけにする。端末側で外部媒体の接続を制限する。

根拠:10大脅威の「内部不正」対策欄に「物理的管理(USB制限等)」、基本対策資料に「外部記憶媒体の接続を制限する」。自社診断の項目13「重要情報が記載された書類や電子媒体を持ち出す時は、盗難や紛失の対策をしていますか?」。個人情報保護委員会は「診療情報を含む個人データを記録したUSBメモリーを紛失した場合」を報告義務の例に挙げています。

出典:IPA 10大脅威 2026 解説書(組織編)、個人情報保護委員会 漏えい等の対応

14. 委託先・外部サービスの一覧を作り、契約を確認する

やること:個人情報を預けている委託先、APIでつないでいる外部サービス、ECやPOSのプラットフォームを一覧にする。契約にセキュリティ要件・事故時の報告義務・監査の条項があるかを見る。

根拠:10大脅威の2位「サプライチェーンや委託先を狙った攻撃」の対策欄に「信頼できる委託先、取引先、サービスの選定」「契約内容の確認(責任範囲の明確化)」「委託先組織の定期的な管理」。自社診断の項目22「取引先との契約書には、秘密保持条項を規定していますか?」、項目23「利用する外部サービスは、安全・信頼性を把握して選定していますか?」。個人情報保護委員会は「委託先管理に関する着眼点」を公開しています。

関係する事件:福岡大学(委託先のネットワークへの侵入)、スマレジ(外部連携アプリ→「外部ベンダー審査基準の強化」「定期的なセキュリティ監査」)、イーストア(ECプラットフォームから約885万件)。

出典:IPA 10大脅威 2026 解説書(組織編)、スマレジ 最終報告(2026年3月9日)、福岡大学 お知らせ(2026年7月9日)

14個をどの順番でやるか

全部を一度にやる必要はありません。事件の入口の統計から逆算すると、順番は次の通りです。

• 今週:1(多要素認証)、5(VPN機器のパッチとサポート確認)、8(共有設定の検索)。警察庁統計で侵入経路の6割以上がVPN機器、IPAの6か条で「共有設定」が独立した項目になっている通り、この3つが入口の大半を塞ぎます。
• 今月:2・3(パスワードとアカウント棚卸し)、4・6(更新とウイルス対策)、9(オフラインバックアップ)
• 今期:7・10・11・12・13(端末・データ・人のルール)、14(委託先一覧と契約)。

IPAの「SECURITY ACTION」は、この6か条に取り組むことを宣言するだけの一つ星、自社診断25項目と基本方針の公開で二つ星が取れる制度で、2025年4月時点で宣言数は40万件を超えています。取り組んだ証拠として使えます。

出典:IPA SECURITY ACTION 一つ星、二つ星

まとめ:14個のうち、自社のWebシステムだけは外から見てもらう

ここまでの14個は、担当者が社内で始められるものです。ただし、前回の記事で見た通り、タイムズカー、イエローハット、イーストア、佐嘉平川屋の入口は「会員サイト・予約・EC」という公開Webシステムでした。これは自社診断の項目18「不正アクセス対策機能を設定していますか?」に当たりますが、Webアプリケーションの脆弱性、決済ページの改ざん、本人確認書類の保管設計は、社内のチェックリストでは見つけにくい領域です。

セルバは、会員サイト・予約システム・ECサイトなど公開Webシステムの開発会社として、既存システムのセキュリティ点検(脆弱性診断、認証・権限設計の見直し、決済まわりの改ざん対策、機微データの保管設計)と、安全な設計を前提にした改修・再構築をお手伝いしています。上の15個のうち社内で済むものと、外部の目が必要なものを一緒に切り分ける無料相談から始められますので、「自社の会員サイトはどこまで大丈夫か」を確かめたい方は、お気軽にお問い合わせください。

セルバでは、AIを利用することにより脆弱性診断（OWASP Top 10準拠）を5万円〜でご提供しています。
AIの診断結果をそのままお渡しするのではなく、エンジニアが内容を確認・精査したうえで、
危険度と改修の概算費用を明記したレポートにまとめてご提出します。

AI脆弱性診断・OWASP診断ならセルバ 5万円から｜改修依頼で診断費実質0円AIとOWASP Top 10を活用したWebサイト・Webシステムの脆弱性診断。診断・レポート・改修見積・システム改修まwww.selva-i.co.jp

セルバでは、安全なWebシステムを一緒に作るエンジニアを募集しています

この記事の14個は、ユーザー企業の担当者が社内でできる対策です。一方で、会員サイト・予約・ECの「入口」そのものを安全に作るのは、開発側の仕事です。セルバは、認証・権限設計、決済まわりの改ざん対策、機微データの保管設計、脆弱性診断を前提にしたWebシステム開発に力を入れています。

そのために、エンジニアを募集しています。 Webアプリケーションの設計・開発経験がある方、認証・認可やAPI設計に関心がある方、入力検証・権限制御・ログ設計といったセキュリティを意識した実装を身につけたい方、そして「自分が作ったシステムから情報が漏れない」ことに責任を持ちたい方。現時点でのセキュリティの専門知識は問いません。この記事で挙げたような公的ガイドラインと実際の事件から学び、案件の中で技術を積み上げていける方を歓迎します。

採用のご応募・ご質問も、お気軽にお問い合わせください。