中小企業が狙われる理由と深刻な現実【警告】
まず、中小企業がサイバー攻撃の主要ターゲットとなっている現実を直視しましょう。「知らなかった」では済まされない深刻な状況です。
統計データで見る中小企業の被害実態
2025年の調査データから、中小企業を取り巻くサイバーセキュリティの現状が見えてきます。
| 項目 | 中小企業 | 大企業 | 差異 |
|---|---|---|---|
| セキュリティ投資（売上比） | 0.5%未満 | 約5% | 10倍少ない |
| IT専任担当者の有無 | なし（73%） | あり（95%以上） | - |
| 被害後の廃業率 | 30% | 3% | 10倍高い |
| 攻撃成功率 | 高い | 低い | 約5倍 |
| 平均被害額（絶対額） | 850万円 | 5,000万円 | - |
| 平均被害額（売上比） | 8.5% | 0.5% | 17倍深刻 |
特に注目すべきは「被害後の廃業率30%」という数字です。大企業なら吸収できる850万円の被害でも、中小企業にとっては致命傷になりかねません。
中小企業が狙われる5つの理由
なぜ攻撃者は中小企業を狙うのでしょうか。
- 理由1：防御の脆弱性
- セキュリティソフトの未導入、古いOSの使用、アップデートの放置など、技術的な防御が不十分な企業が多いです。攻撃者にとっては「開いている窓から入る」ようなもので、最小限の労力で侵入できます。
- 理由2：人材不足
- IT専任担当者がいない企業が73%を占めます。総務や経理担当が「兼任」でIT業務を担当していても、セキュリティの専門知識を持っていないケースがほとんどです。
- 理由3：「狙われない」という思い込み
- 「ウチには盗まれるような情報がない」「小さい会社を狙っても意味がない」という正常性バイアスが働いています。しかし、取引先情報、顧客リスト、銀行口座情報など、中小企業にも価値ある情報は多数存在します。
- 理由4：サプライチェーン攻撃の入口
- 大企業を直接攻撃するのは困難でも、その取引先である中小企業を経由すれば侵入できます。[サプライチェーン攻撃](/security/cloud-supply/supply-chain/)では、中小企業が「踏み台」として利用されるケースが増えています。
- 理由5：身代金支払いの可能性
- [ランサムウェア](/security/devices/ransomware/)攻撃において、中小企業は交渉力が弱く、業務停止の影響が大きいため、身代金を支払う可能性が高いと見られています。保険未加入率も高く、自力での復旧が困難です。
実例：製造業A社の被害（従業員30名）
ある製造業A社（従業員30名、年商3億円）で発生した被害事例を紹介します。
発端：経理担当者が受信した「請求書確認依頼」メール。取引先を装った巧妙なフィッシングメールでした。
経過：
- メール内のリンクをクリック、偽サイトで業務システムのID・パスワードを入力
- 攻撃者が認証情報を窃取、社内ネットワークに侵入
- 翌日、全PCがランサムウェアに感染
- 3日間の業務完全停止
被害総額：
- 身代金：200万円（支払いを選択）
- システム復旧費用：300万円
- 機会損失（受注キャンセル等）：400万円
- 合計：900万円
その後：資金繰りが悪化し、従業員5名を削減。取引先からの信用も低下し、新規受注が減少しました。
この事例は特別なケースではありません。フィッシング詐欺を入口とした被害は、毎日のように発生しています。
月額1万円以下でできる対策パッケージ【必須・即実施】
「セキュリティ対策には大きな投資が必要」というイメージがありますが、中小企業でも月額1万円以下で基本的な防御体制を構築できます。
月額9,800円の基本防御パッケージ（10名想定）
従業員10名規模の企業を想定した、現実的なパッケージ構成です。
- Microsoft Defender for Business（月額300円/人×10人＝3,000円）
- Windows標準のセキュリティ機能を大幅に強化したビジネス版。ウイルス対策、ランサムウェア防御、クラウド管理コンソールを提供。設定所要時間は約2時間で、専門知識がなくても導入可能です。
- Google Workspace Business Starter（月額680円/人×10人＝6,800円）
- Gmail、Googleドライブ、カレンダーなどの業務ツールに加え、二要素認証が標準装備。フィッシングメールの自動検知機能も含まれており、メール経由の攻撃を大幅に削減できます。設定所要時間は約1日。
- Cloudflare Free（無料）
- 自社Webサイトがある場合の基本防御。DDoS攻撃防御、SSL証明書（HTTPS化）を無料で提供。設定所要時間は約30分。
- Bitwarden Teams（月額500円程度、または無料版）
- パスワード管理ツール。強力なパスワードの自動生成、安全な保管、社内共有機能を提供。パスワードの使い回しを防止できます。設定所要時間は約1時間。
- Windows標準バックアップ＋Googleドライブ（無料）
- ランサムウェア対策の最後の砦。重要ファイルを自動的にクラウドにバックアップします。設定所要時間は約30分。
合計費用：月額約9,800円＋初期設定5時間（担当者作業）
さらにコストを下げる選択肢
予算がさらに限られている場合の代替プランです。
| プラン | 月額費用 | 防御率目安 | 向いている企業 |
|---|---|---|---|
| 有料パッケージ | 9,800円 | 85-90% | 10名以上、顧客情報を扱う |
| 最小コストプラン | 3,000円 | 75-80% | 5-10名、限定的な顧客情報 |
| 完全無料プラン | 0円 | 65-70% | 5名以下、個人事業に近い |
完全無料プラン（月額0円）の構成：
- Windows Defender（無料・標準搭載）
- Gmail無料版＋二要素認証設定
- Googleドライブ15GB（無料）
- Bitwarden Free（無料）
- Cloudflare Free（無料）
無料プランでも基本的な防御は可能ですが、監視機能や管理機能が限定的です。「まず始める」ための選択肢として活用し、状況に応じて有料版への移行を検討してください。
フィッシング対策ツール徹底比較2025も参照してください。
IT担当者不在でも実施できる10の対策【実践編・優先度順】
IT専任担当者がいなくても、総務や経理担当者が実施できる対策を優先度順に紹介します。各対策には「実施難易度」「所要時間」「効果」を明記しています。
対策1：全員に強いパスワードを設定させる
- 実施難易度
- ★☆☆☆☆（初級）
- 所要時間
- 30分（通知作成＋確認）
- 必要な知識
- なし
- 効果
- 被害削減率40%
実施手順：
- パスワードルールを決定（12文字以上、英大文字・小文字・数字・記号を含む）
- 全従業員に社内通知（メールまたは朝礼）
- 1週間以内の変更を指示
- 変更完了報告を義務化（報告用Excelシートを配布）
- パスワード管理ツール（Bitwarden）の利用を案内
社内通知文サンプル：
件名：【重要】パスワード変更のお願い（○月○日まで）
各位
最近、フィッシング詐欺による被害が急増しています。当社のセキュリティ強化のため、以下のルールでパスワードを変更してください。
■ 対象：業務で使用する全てのアカウント
■ 期限：○月○日（○）まで
■ 新パスワードの条件：
・12文字以上
・英大文字、小文字、数字、記号を含む
・過去に使用したパスワードは不可
・他のサービスと同じパスワードは不可変更完了後、添付の報告シートに記入して返信してください。
ご不明点は総務○○までお問い合わせください。
□ 実施完了チェック
対策2：二要素認証を有効化する
- 実施難易度
- ★★☆☆☆（初級〜中級）
- 所要時間
- 1人あたり15分×人数
- 必要な知識
- スマートフォンの基本操作
- 効果
- 被害削減率70%
実施手順：
- Google Authenticatorアプリを全員のスマートフォンにインストール
- Gmail、Microsoft 365など主要サービスで二要素認証を有効化
- バックアップコードを印刷して安全な場所に保管
- 設定完了の確認テストを実施
主要サービスの設定手順はフィッシング詐欺に強い認証方式を参照してください。
□ 実施完了チェック
対策3：メール設定でフィッシング検知を強化
- 実施難易度
- ★★☆☆☆（初級〜中級）
- 所要時間
- 1時間
- 必要な知識
- メール設定の基本
- 効果
- 被害削減率60%
Gmail（Google Workspace）の場合：
- 管理コンソールにログイン
- 「アプリ」→「Google Workspace」→「Gmail」→「安全性」
- 「フィッシングからの保護」を有効化
- 「なりすまし対策」を有効化
- 「添付ファイルの保護」を有効化
Outlook（Microsoft 365）の場合：
- Microsoft 365管理センターにログイン
- 「Exchange」→「保護」→「フィッシング対策」
- 「既定のポリシー」を編集
- 「偽装設定」を有効化
- 「スプーフィングインテリジェンス」を有効化
□ 実施完了チェック
対策4：定期バックアップの自動化
- 実施難易度
- ★★☆☆☆（中級）
- 所要時間
- 2時間（初回のみ）
- 必要な知識
- ファイル操作の基本
- 効果
- ランサムウェア被害からの回復率90%
バックアップ対象チェックリスト：
- □ 請求書・見積書フォルダ
- □ 顧客情報データベース
- □ 経理データ（会計ソフトデータ）
- □ 契約書類
- □ 従業員情報
- □ 製品・サービス関連資料
実施手順：
- 上記チェックリストで対象ファイルを特定
- Googleドライブまたは OneDriveの自動同期を設定
- 週1回、外付けHDDへの手動バックアップを実施
- 月1回、バックアップからの復元テストを実施
重要：バックアップ先はネットワークから分離してください。ランサムウェアは接続されたドライブも暗号化します。
□ 実施完了チェック
対策5：Windows Updateの自動化
- 実施難易度
- ★☆☆☆☆（初級）
- 所要時間
- 15分
- 必要な知識
- なし
- 効果
- 脆弱性悪用防御率70%
実施手順：
- 「設定」→「Windows Update」を開く
- 「詳細オプション」をクリック
- 「更新プログラムをダウンロードしてインストールする」を有効化
- 「アクティブ時間」を業務時間外に設定（例：23:00-6:00）
- 「更新プログラムの確認」をクリックして即時適用
全PCで同じ設定を行ってください。
□ 実施完了チェック
対策6：ファイアウォール・セキュリティソフトの確認
- 実施難易度
- ★☆☆☆☆（初級）
- 所要時間
- 30分
- 必要な知識
- パソコン基本操作
- 効果
- マルウェア感染防御率80%
確認項目チェックリスト：
- □ Windows Defenderが有効になっている
- □ ファイアウォールが有効になっている
- □ リアルタイム保護が有効になっている
- □ 定義ファイルが最新（24時間以内に更新）
- □ 他のセキュリティソフトと競合していない
確認手順：
- 「設定」→「プライバシーとセキュリティ」→「Windowsセキュリティ」
- 「ウイルスと脅威の防止」で保護状態を確認
- 「ファイアウォールとネットワーク保護」で有効を確認
- 「保護の更新」で定義ファイルの更新日を確認
□ 実施完了チェック
対策7：アクセス権限の整理
- 実施難易度
- ★★★☆☆（中級）
- 所要時間
- 2時間
- 必要な知識
- Excelでのリスト管理
- 効果
- 内部不正・誤操作防止率50%
実施手順：
- 全従業員と使用システムの一覧表を作成
- 各システムへのアクセス権限を「必要最小限」の原則で見直し
- 退職者・異動者のアカウントを即時削除
- 共有アカウントを廃止し、個人アカウントに移行
- 管理者権限を持つ従業員を最小限に制限
権限管理表テンプレート：
| 従業員名 | 部署 | メール | 会計ソフト | 顧客DB | 管理者権限 |
|---|---|---|---|---|---|
| 山田太郎 | 経理 | ○ | ○ | △（閲覧のみ） | × |
| 佐藤花子 | 営業 | ○ | × | ○ | × |
| 鈴木一郎 | 代表 | ○ | ○ | ○ | ○ |
□ 実施完了チェック
対策8：緊急連絡網の作成
- 実施難易度
- ★☆☆☆☆（初級）
- 所要時間
- 30分
- 必要な知識
- なし
- 効果
- 初動対応速度300%向上
緊急連絡先リスト（印刷して掲示推奨）：
| 連絡先 | 電話番号 | 備考 |
|---|---|---|
| 経営者携帯 | （記入） | 24時間対応 |
| IT担当/外部委託先 | （記入） | 営業時間内 |
| 総務責任者 | （記入） | - |
| 警察サイバー犯罪相談 | #9110 | 24時間対応 |
| IPA（情報処理推進機構） | 03-5978-7509 | 平日10:00-12:00、13:30-17:00 |
| 取引銀行セキュリティ窓口 | （記入） | 営業時間内 |
| サイバー保険会社 | （記入） | 加入している場合 |
□ 実施完了チェック
対策9：従業員への月次教育（15分朝礼）
- 実施難易度
- ★★☆☆☆（中級）
- 所要時間
- 準備30分＋実施15分/月
- 必要な知識
- なし（資料を読み上げるだけ）
- 効果
- 人的リスク削減率60%
年間教育テーマ（月次）：
| 月 | テーマ | 内容 |
|---|---|---|
| 1月 | フィッシングメールの見分け方 | 実例を見せながら解説 |
| 2月 | パスワード管理の重要性 | 使い回しの危険性 |
| 3月 | USBメモリのリスク | 外部機器の取り扱い |
| 4月 | 新入社員向け基礎教育 | セキュリティルール全体 |
| 5月 | SNSでの情報漏洩 | 私用SNSのリスク |
| 6月 | ビジネスメール詐欺 | 振込先変更詐欺の手口 |
| 7月 | 夏季休暇前の注意 | 長期休暇中のリスク |
| 8月 | 在宅勤務のセキュリティ | 自宅ネットワークの注意点 |
| 9月 | ランサムウェア対策 | バックアップの重要性 |
| 10月 | 内部不正防止 | アクセス権限の考え方 |
| 11月 | 年末に向けた注意喚起 | 詐欺の増加時期 |
| 12月 | 年間振り返り | インシデント総括 |
詳細はフィッシング詐欺対策の従業員教育を参照してください。
□ 実施完了チェック
対策10：取引先確認ルールの策定
- 実施難易度
- ★★☆☆☆（中級）
- 所要時間
- 1時間
- 必要な知識
- なし
- 効果
- ビジネスメール詐欺防止率80%
確認ルールの例：
- 振込先変更の依頼があった場合、必ず電話で確認（メール返信ではなく、既知の電話番号に発信）
- 新規取引先との初回取引前に、会社情報の確認を実施
- 100万円以上の取引は複数人での承認制を導入
- 請求書のPDFは、送信元メールアドレスを必ず確認
社内ルール文書サンプル：
振込先変更時の確認ルール
取引先から振込先口座の変更依頼があった場合、以下の手順で確認を行うこと。
- メールでの変更依頼は「仮受付」とし、即時対応しない
- 取引先の代表電話（名刺や契約書記載の番号）に電話
- 担当者本人に変更の事実を確認
- 確認完了後、経理責任者の承認を得て処理
この手順を省略した場合の損害は、担当者の責任となる場合があります。
□ 実施完了チェック
優先順位の付け方と3ヶ月実装ロードマップ【重要】
10の対策を一度に実施するのは現実的ではありません。優先順位を付け、3ヶ月かけて段階的に導入しましょう。
リスク評価マトリックス
自社の状況に応じて、どの対策を優先すべきか判断します。
| 発生可能性＼影響度 | 小 | 中 | 大 | 特大 |
|---|---|---|---|---|
| 高 | 🟡中優先 | 🟠高優先 | 🔴最優先 | 🔴最優先 |
| 中 | 🟢低優先 | 🟡中優先 | 🟠高優先 | 🔴最優先 |
| 低 | 🟢低優先 | 🟢低優先 | 🟡中優先 | 🟠高優先 |
- 🔴 最優先（今週中に実施）
- パスワード強化、二要素認証、バックアップ設定
- 🟠 高優先（今月中に実施）
- メール設定強化、Windows Update、セキュリティソフト確認
- 🟡 中優先（3ヶ月以内に実施）
- アクセス権限整理、従業員教育、取引先確認ルール
- 🟢 低優先（余裕があれば実施）
- サイバー保険加入検討
3ヶ月実装計画テンプレート
第1ヶ月：基礎固め（ゼロ円でできる対策）
| 週 | 実施内容 | 担当 | 完了 |
|---|---|---|---|
| 1週目 | パスワード変更通知、二要素認証設定 | 全員 | □ |
| 2週目 | Windows Update確認、ファイアウォール確認 | IT担当 | □ |
| 3週目 | バックアップ設定、緊急連絡網作成 | 総務 | □ |
| 4週目 | 従業員への初回教育、基本ルール策定 | 経営者 | □ |
第2ヶ月：ツール導入（月額1万円投資開始）
| 週 | 実施内容 | 担当 | 完了 |
|---|---|---|---|
| 1週目 | Google Workspace導入検討・契約 | 経営者 | □ |
| 2週目 | パスワード管理ツール（Bitwarden）導入 | IT担当 | □ |
| 3週目 | メールセキュリティ設定強化 | IT担当 | □ |
| 4週目 | 効果測定と改善点の洗い出し | 全員 | □ |
第3ヶ月：定着と監査（PDCAサイクル開始）
| 週 | 実施内容 | 担当 | 完了 |
|---|---|---|---|
| 1週目 | アクセス権限の整理 | 総務 | □ |
| 2週目 | 取引先確認フロー実施 | 経理 | □ |
| 3週目 | サイバー保険見積取得・検討 | 経営者 | □ |
| 4週目 | 3ヶ月の振り返りと次期計画策定 | 全員 | □ |
売上規模別の投資基準
| 年商 | 推奨月額投資 | 初期投資 | ROI期待値 |
|---|---|---|---|
| 5,000万円 | 1万円 | 10万円 | 500% |
| 1億円 | 3万円 | 30万円 | 400% |
| 3億円 | 5万円 | 50万円 | 350% |
| 5億円以上 | 10万円 | 100万円 | 300% |
フィッシング対策の費用対効果も参照してください。
外部サービスの活用【月額5,000円〜の選択肢】
自社だけでの対応に限界を感じたら、外部サービスの活用を検討しましょう。
マネージドセキュリティサービス（MSS）の比較
「完全に任せたい」という企業向けの選択肢です。
| サービス種別 | 月額費用目安 | 内容 | 向いている企業 |
|---|---|---|---|
| 基本監視型 | 5,000円〜（10名） | 24時間監視、月次レポート | IT知識ゼロ、完全委託希望 |
| リアルタイム対応型 | 8,000円〜（10名） | 即時検知、緊急対応込み | 重要情報が多い、高セキュリティ |
| バックアップ特化型 | 3,000円〜（100GB） | 自動バックアップ、暗号化保存 | ランサムウェア対策重視 |
ITコンサルタントの活用
スポットで専門家の力を借りる選択肢です。
- 初回セキュリティ診断
- 費用：5〜10万円。現状の脆弱性を洗い出し、優先対策を提案。まず現状把握したい企業向け。
- 導入支援（ツール設定代行）
- 費用：10〜30万円。Google WorkspaceやMicrosoft 365の設定、セキュリティポリシー策定を代行。自力設定が不安な企業向け。
- 年間サポート契約
- 費用：月額3〜5万円。月次チェック、インシデント対応、教育支援を継続提供。継続的なサポートが必要な企業向け。
外部サービス選定チェックリスト
□ 自社の従業員数に対応しているか
□ 自社の業界（製造業、小売業等）での経験があるか
□ 初期費用が予算内か
□ 解約条件は柔軟か（最低契約期間等）
□ サポート対応時間は業務時間をカバーしているか
□ 実績・評判は良好か（口コミ、事例）
□ 担当者との相性は良いか
企業のフィッシング詐欺対策体制も参照してください。
従業員10名以下の超小規模企業向けプラン【最小構成】
従業員10名以下、または家族経営に近い超小規模企業向けの最小構成プランです。
完全無料プラン（月額0円）の構成
- Windows Defender（無料・標準搭載）
- Windows 10/11に標準搭載。追加インストール不要で、基本的なウイルス対策を提供。
- Gmail無料版＋二要素認証
- 個人向けGmailでも二要素認証は設定可能。ビジネス機能は限定的ですが、基本的なフィッシング検知は動作します。
- Googleドライブ15GB（無料）
- 重要ファイルのバックアップ先として活用。15GBで足りない場合は、月額250円で100GBに拡張可能。
- Bitwarden Free（無料）
- 個人利用は完全無料。パスワード管理の基本機能を提供。チーム共有機能は有料版のみ。
- Cloudflare Free（無料）
- 自社Webサイトがある場合の基本防御。
合計：0円/月
防御率の目安：約65〜70%（有料版は85〜90%）
家族経営・個人事業主の特別対策
- 個人口座と事業口座の完全分離
- フィッシング被害で口座情報が漏洩した場合、被害を限定するために口座を分離してください。事業用口座のみを業務PCで使用します。
- 私用スマホと業務スマホの分離
- 理想は2台持ちですが、難しい場合は「業務用プロファイル」を作成して分離。Android の「仕事用プロファイル」、iPhoneの「集中モード」を活用します。
- クラウドサービスの積極活用
- 自社サーバーの運用は避け、Google WorkspaceやMicrosoft 365などのクラウドサービスを利用。セキュリティ更新はサービス側が実施してくれます。
フィッシング詐欺対策の基本5原則、個人のフィッシング詐欺対策完全ガイドも参照してください。
助成金・補助金の活用【最大450万円の支援】
セキュリティ対策には、国や自治体の支援制度を活用できます。
IT導入補助金2025
- 補助額
- 最大450万円（補助率1/2〜2/3）
- 対象経費
- ソフトウェア、クラウドサービス、サイバーセキュリティ対策費用
- 申請期間
- 2025年4月〜11月（複数回の公募）
- 採択率
- 約60%
申請の流れ：
- IT導入支援事業者の選定（必須）
- gBizIDの取得（事前準備、2週間程度）
- 交付申請（オンライン）
- 審査（約1ヶ月）
- 採択・交付決定
- ITツール導入・支払い
- 実績報告
- 補助金受領
採択率を上げる3つのコツ：
- 事業計画書に具体的な数値目標を明記（例：「インシデント対応時間を50%削減」）
- セキュリティ強化の必要性を明確に記載（過去の被害事例、業界のリスク等）
- 導入後の効果測定方法を提示（KPI設定）
サイバーセキュリティ対策促進助成金（東京都等）
- 対象
- 東京都内の中小企業
- 補助額
- 最大300万円（補助率2/3）
- 対象経費
- セキュリティツール導入、従業員教育、セキュリティ診断費用
各都道府県で類似の制度があります。地域の商工会議所や中小企業支援センターに問い合わせてください。
その他の支援制度
| 制度名 | 最大補助額 | 補助率 | セキュリティ対策への適用 |
|---|---|---|---|
| 事業再構築補助金 | 1億円 | 1/2〜2/3 | デジタル化の一部として |
| ものづくり補助金 | 1,250万円 | 1/2〜2/3 | 生産性向上策の一部として |
| 小規模事業者持続化補助金 | 200万円 | 2/3 | 販路開拓に付随するセキュリティ強化 |
同規模企業の成功事例【3社の実例】
実際に対策を導入した中小企業の事例を紹介します。
事例1：製造業A社（従業員30名、年商3億円）
導入前の課題：
- IT専任者不在（総務担当が兼務）
- 10年前のWindowsサーバー、セキュリティソフト未導入
- パスワード管理が個人任せ（同じパスワードを全員が使用）
- 過去に取引先なりすましメールで50万円の被害経験
実施した対策と投資額：
| 項目 | 内容 | 費用 |
|---|---|---|
| Google Workspace導入 | 全従業員30名分 | 月額2万円 |
| Microsoft Defender for Business | 全PC導入 | 月額1万円 |
| 従業員教育 | 外部講師による年1回研修 | 年5万円 |
| 初期設定（外部委託） | コンサルタントによる設定代行 | 30万円 |
| 合計 | 年間約66万円 |
導入プロセス（6ヶ月）：
- 1ヶ月目：現状把握、リスク評価（外部コンサルタント協力）
- 2ヶ月目：ツール選定、見積取得、経営会議での承認
- 3ヶ月目：Google Workspace導入、メール移行
- 4ヶ月目：セキュリティ設定、全従業員向け教育実施
- 5ヶ月目：運用ルール策定、マニュアル作成
- 6ヶ月目：効果測定、改善点の洗い出し
導入後の効果（12ヶ月後）：
- フィッシングメール検知率：95%
- パスワード関連インシデント：ゼロ
- 従業員のセキュリティ意識向上：満足度85%
- 業務効率化（メール検索、ファイル共有）：月20時間削減
- ROI：250%（投資回収期間14ヶ月）
担当者コメント：
「最初は不安でしたが、外部コンサルタントの力を借りて段階的に進めることで、無理なく導入できました。IT導入補助金も活用し、実質負担は初期費用の30万円程度。今では安心して仕事ができています」
事例2：小売業B社（従業員15名、年商1.5億円）
導入前の課題：
- ECサイトを運営しており、顧客情報を保有
- セキュリティ対策は「何もしていない」状態
- 予算は月額1万円以下が限界
実施した対策と投資額：
| 項目 | 内容 | 費用 |
|---|---|---|
| Microsoft 365 Business Basic | 全従業員15名分 | 月額9,000円 |
| Cloudflare Pro | ECサイト保護 | 月額2,500円 |
| 初期設定 | 自社対応（本記事参考） | 0円 |
| 合計 | 月額約11,500円 |
導入後の効果：
- 顧客情報漏洩リスク：大幅低減
- ECサイトのセキュリティ評価：向上（取引先からの信頼獲得）
- 従業員の安心感：向上
事例3：サービス業C社（従業員8名、年商8,000万円）
導入前の課題：
- 家族経営に近い超小規模企業
- IT予算はほぼゼロ
- 経営者がすべてを兼任
実施した対策と投資額：
| 項目 | 内容 | 費用 |
|---|---|---|
| 完全無料プラン | Windows Defender、Gmail無料版、Bitwarden Free | 0円 |
| 経営者の学習時間 | 本記事と関連資料の学習（10時間） | 0円 |
| 合計 | 月額0円 |
導入後の効果：
- 基本的なセキュリティ体制を構築
- 経営者のセキュリティ意識が向上
- 従業員への教育を定期実施
経営者コメント：
「お金をかけなくても、やれることはたくさんあると分かりました。まずは無料でできることから始めて、売上が伸びたら有料ツールに投資する予定です」
緊急時の対応体制とBCP簡易版【備えあれば憂いなし】
対策を講じていても、被害がゼロになるわけではありません。万が一の際の対応体制を整えておきましょう。
インシデント対応フローチャート
0〜5分（即時対応）：
- □ 該当PCのネットワークケーブルを抜く（Wi-Fiをオフにする）
- □ 経営者へ電話で報告
- □ 被害の可能性があるサービスのパスワード変更を開始
5〜30分（初動対応）：
- □ 被害範囲の特定（どのPCが影響を受けたか）
- □ 取引先への連絡（情報漏洩の可能性がある場合）
- □ 警察サイバー犯罪相談（#9110）への連絡
30分〜24時間（詳細対応）：
- □ 詳細調査（外部専門家への依頼検討）
- □ 復旧計画の策定
- □ ステークホルダー（取引先、顧客）への説明準備
24時間〜1週間（復旧・再発防止）：
- □ システム復旧作業
- □ 再発防止策の実施
- □ 報告書作成（社内記録、保険請求用）
詳細はフィッシング被害直後30分の緊急対応を参照してください。
BCP簡易版テンプレート
- 重要業務の優先順位
- 1位：請求・入金処理、2位：顧客対応、3位：受発注処理、4位：その他事務
- 復旧目標時間（RTO）
- 請求・入金：4時間以内、顧客対応：8時間以内、受発注：24時間以内
- データ復旧ポイント（RPO）
- 許容できるデータ損失：最大24時間分（毎日バックアップの場合）
- 代替手段
- 紙ベースでの業務継続手順、個人スマートフォンでの緊急連絡
事業継続計画（BCP）／災害復旧（DR）も参照してください。
よくある質問（FAQ）
- Q: 月額1万円で本当に十分なセキュリティが確保できますか？
- A: 基本的な防御としては十分です。月額1万円のパッケージで、フィッシングメールの95%以上を検知でき、マルウェア攻撃の80%を防げます。ただし、100%の防御は不可能です。重要なのは、万が一の被害時に素早く復旧できる体制（バックアップ等）を整えることです。売上規模や業種によっては、段階的に投資を増やすことを推奨します。
- Q: IT知識がゼロでも本当に設定できますか？
- A: 基本的な設定は可能です。本記事で紹介している10の対策のうち、7つは「パソコンの基本操作」レベルで実施できます。ただし、不安な場合は初回のみ外部ITサポート（5〜10万円）を利用することをお勧めします。一度設定すれば、その後の維持管理は月30分程度で済みます。
- Q: 従業員が「面倒だ」と反発した場合、どう説得すれば良いですか？
- A: まず経営層が本気度を示すことが重要です。実際の被害事例を共有し（金額・影響を具体的に）、会社の存続に関わる問題であることを説明してください。従業員自身の個人情報も守られることを強調し、段階的導入で負担を軽減します。協力的な従業員を評価する仕組み作りも効果的です。最初の1〜2ヶ月が最も大変ですが、習慣化すれば負担は大幅に減ります。
- Q: すでに被害に遭ってしまいました。今から対策しても遅いですか？
- A: 今からでも遅くありません。むしろ被害直後は対策導入の最適なタイミングです。まず[緊急対応](/security/scams/phishing/column/incident-response/emergency-30min/)を実施し、被害の徹底的な原因分析を行ってください。その後、再発防止策を即時導入し、助成金を活用した本格対策へ進めます。同じ攻撃者に2回目を狙われる可能性が高いため、スピードが重要です。
- Q: 外部委託と内製、どちらが良いですか？
- A: 従業員数と予算により異なります。10名以下は内製（月額1万円）、10〜30名はハイブリッド（基本は内製、月1回外部チェック）、30名以上は外部委託検討（月額5〜10万円）が目安です。ただし、完全外部委託でも社内での基本的な理解は必須です。「丸投げ」は最もリスクが高い状態です。
- Q: 助成金の申請は難しいですか？採択されなかったらどうなりますか？
- A: IT導入補助金の採択率は約60%です。不採択でも再申請可能で、事業計画書を改善すれば次回採択の可能性が高まります。また、採択されなくても月額1万円プランは自己資金で実施可能です。助成金はあくまで「追加投資」の原資と考え、基本対策は助成金に関係なく進めることを推奨します。
- Q: 「ウチの会社は小さいから狙われない」は本当ですか？
- A: 完全な誤解です。むしろ中小企業の方が狙われやすいです。理由は、防御が脆弱、人材不足、意識が低い、サプライチェーン攻撃の入口になるためです。2025年のデータでは、フィッシング被害企業の68%が従業員50名以下です。「小さいから安全」ではなく「小さいから危険」が現実です。
- Q: 対策したのに被害に遭った場合、誰の責任になりますか？
- A: 適切な対策を講じていた場合、経営者の法的責任は限定的です。ただし、顧客情報漏洩等の場合は損害賠償責任が発生する可能性があります。そのため[サイバー保険](/security/scams/phishing/column/defense/insurance/)加入を強く推奨します（年間10〜30万円）。また、「適切な対策」の証明として、対策実施の記録（ログ、教育実施記録等）を必ず残してください。
まとめ：今日からできることを始めよう
中小企業のフィッシング対策は、完璧を目指す必要はありません。70点の防御を、できることから始めることが重要です。
今日すぐできること（所要時間30分）：
- 自分のパスワードを12文字以上に変更
- Gmailまたは Microsoft 365で二要素認証を有効化
- 緊急連絡先リストを作成して印刷
今週中にできること（所要時間3時間）：
- 全従業員へのパスワード変更指示
- Windows Updateの自動化設定
- バックアップの自動設定
今月中にできること（所要時間10時間）：
- Google WorkspaceまたはMicrosoft 365の導入検討
- 従業員向け初回教育の実施
- 助成金の情報収集
月額1万円以下の投資で、フィッシング被害のリスクを大幅に削減できます。「明日やろう」ではなく、今日から始めてください。
フィッシング詐欺とは？、フィッシング詐欺対策の完全ガイドも併せて参照し、包括的な対策を講じてください。
【重要なお知らせ】
- 本記事は一般的な情報提供を目的としており、個別の状況に対する助言ではありません
- 実際に被害に遭われた場合は、警察（#9110）や消費生活センター（188）などの公的機関にご相談ください
- 法的な対応が必要な場合は、弁護士などの専門家にご相談ください
- 記載内容は作成時点（2025年11月）の情報であり、サービス内容や価格は変更される可能性があります
- 助成金・補助金の情報は2025年11月時点のものであり、最新情報は各制度の公式サイトでご確認ください
📍 ナビゲーション
🏠 フィッシング詐欺完全ガイドTOP
現在地: TOP > 対策・防御方法
📂 主要カテゴリー
📄 対策・防御方法の詳細ページ
基本対策
対象別対策
高度な対策
💡 まず始めるなら： 基本5原則から始めることをおすすめします
更新履歴
- 初稿公開