中小企業の情報セキュリティ対策チェックリスト｜IPAの6か条とホームページ・スマホを10分で確認

不正アクセスや情報漏えいのニュースを見て、「うちの会社は大丈夫だろうか」と不安になった方へ。

この記事では、公的機関のIPA（情報処理推進機構）が中小企業向けに示している基本の対策をもとに、自社で確かめられるチェックリストを用意しました。

表で「できていない」に当てはまったところは、各セクションで詳しく解説しているので、ぜひ参考にしてください。

関連：不正アクセス・情報漏えいがあった企業一覧【2026年最新】

1. まずはチェックリスト（約10分）

※6〜10・12はIPAの「情報セキュリティ6か条」、1・2・11はIPAの「5分でできる！情報セキュリティ自社診断」をもとにしています。

3〜5はスマホ・BYOD・不審サイト対策の観点から本記事で追加した確認項目です。

出典：IPA「中小企業の情報セキュリティ対策ガイドライン」

2. ホームページは「作ったまま」になっていませんか

2026年3月、IPAは中小企業向けガイドラインを改訂し、自社診断に「ウェブサイトを安全に運用する」という項目を追加しました。

ウェブサイトのシステムやプラグインに脆弱性が残っていると、攻撃に悪用されるおそれがあります。

ホームページを作ったあと、更新や保守が止まっているケースもあります。

システムやプラグインが古いままだと、そこにある弱点を突かれて、改ざんされたり、問い合わせフォームの情報を抜かれたりするおそれがあります。

中小企業の経営者・WEB・ホームページの担当者がまず確かめること

• ホームページのシステムやプラグインは、いつ最後に更新したか
• 制作会社との保守の契約は、今も続いているか
• 社内で「ホームページの担当」と言える人がいるか

ホームページが古くて直しきれない場合は、作り直したほうが早いこともあります。

関連：PHPに重大な脆弱性が判明｜自社サイトは大丈夫？企業が今確認すべきこと

関連：ホームページを古いまま放置するリスクとは？

関連：ホームページ保守とは？必要な理由・費用相場・内容をわかりやすく解説

関連：ホームページ管理の完全ガイド

関連：ホームページリニューアル完全ガイド

3. 社用スマホ・私物スマホ

スマホは持ち運ぶ機会が多いため、紛失や私物端末の業務利用を含めた管理ルールが重要です。

会社のメールや顧客の連絡先が入ったスマホを紛失すると、情報漏えいにつながるおそれがあります。

まず確かめること

• 社員が私物のスマホで会社のメールやチャットを見る場合、利用範囲やルールを決めているか
• 社用スマホをなくしたとき、遠隔でロック・消去できるか
• 退職した人のスマホに、会社のデータが残っていないか

私物のスマホを仕事に使う（BYOD）なら、どこまで認めるかのルールが先に要ります。

関連：BYODとは？概要・メリットとデメリット・導入ポイントをわかりやすく整理

4. 会社の端末で不審なサイトを閲覧していませんか

会社のパソコンや社用スマホから、不審なサイトや信頼性を確認できないサイトへアクセスすると、マルウェア感染やフィッシングなどのリスクにつながる場合があります。

悪意あるサイトや改ざんされたサイトでは、ブラウザやOSの脆弱性を悪用され、閲覧をきっかけにマルウェアへ感染する場合があります。

また、不審なファイルを開くことで感染するケースもあります。

本人に悪気はなくても、会社の情報が外に出る入り口になるおそれがあります。

防ぎ方

• ルール： 会社の機器で見てよいサイトの範囲を決め、入社時に伝える
• 仕組み： 危ないサイトを開けないようにする（UTMなどのネットワークの機器、スマホの管理の仕組み）
• 備え： ウイルス対策ソフトを入れ、最新の状態にしておく（5章）

まずは、会社の端末で閲覧してよいサイトのルールを決め、従業員へ周知しましょう。

そのうえで、ルールだけに頼らず、Webフィルタリングや端末管理、UTMなど、アクセスを制御する仕組みを組み合わせることが重要です。

自社にどのような仕組みが必要か分からない場合は、現在のネットワーク環境や利用端末を整理したうえで、UTMなどの対策を比較してみてください。

関連：クラウド型・オンプレ型どっちが正解？おすすめUTMを用途別に比較紹介

5. パソコン・ソフト：最新の状態／ウイルス対策／バックアップ

IPAの「情報セキュリティ6か条」のうち、まず押さえたい3つです。

• OSやソフトウェアは常に最新の状態にしよう： 古いままだと、弱点を突いたウイルスに感染しやすくなります。サポートが終わったOSや機器は使わないようにします
• ウイルス対策ソフトを導入しよう： 定義ファイルが自動で更新される設定にします
• バックアップを取ろう： 2026年の改訂で新しく加わった項目です。データを消されたり暗号化されたりしたときに、元に戻せるようにしておきます

OSやソフト、ウイルス対策、バックアップは、一度設定すれば終わりではありません。

更新が止まっていないか、バックアップが実際に取れているかを定期的に確認しましょう。

特に担当者が決まっていない場合は、「誰が・いつ確認するか」まで社内で決めておくと、更新漏れを防ぎやすくなります。

6. パスワードと共有設定

パスワードに関しては以下の見直しが必要です。

• パスワードを強化しよう： 推測されにくいものにし、使い回さない
• 共有設定を見直そう： ファイルやネットワーク機器の共有を、必要な人だけに絞る。初期設定のまま使わない

パスワードや共有設定は、社員の入退社や担当変更によって、不要な権限が残ることがあります。

パスワードの使い回しがないかだけでなく、共有フォルダや機器に「今もアクセスする必要がある人だけ」が設定されているか、定期的に見直しましょう。

7. 会社のネットワークの入口

IPAの自社診断には、2026年の改訂で「外部から内部ネットワークへの不要な通信を遮断する」という項目も加わりました。

会社のネットワークの入口で、不要な通信を止めておくことです。

UTMなどの機器は、ファイアウォールやWebフィルタリングなどを組み合わせ、ネットワークの入口で不要・不審な通信を制御する手段の一つです。

ネットワーク対策では、UTMなどの機器を導入しているかだけでなく、現在の環境に合った設定になっているかを確認することも重要です。

自社でどのような対策が必要か分からない場合は、拠点数や利用している機器、外部との接続方法を整理したうえで、必要な機能を比較しましょう。

関連：クラウド型・オンプレ型どっちが正解？おすすめUTMを用途別に比較紹介

8. 手口を知る

6か条の最後は「脅威や攻撃の手口を知ろう」です。

ほかの会社でどのような攻撃や被害が公表されているかを知ると、自社で確認すべき点を考える手がかりになります。

他社の被害事例を見る目的は、不安になることではありません。「自社にも同じような弱点がないか」を確認するために活用します。

被害の原因や影響範囲、企業が公表した対応などを確認し、自社のチェック項目や社内ルールの見直しにつなげましょう。

関連：不正アクセス・情報漏えいがあった企業一覧【2026年最新】

9. 全部はできないとき：先にやる順番

一度にすべて対応するのが難しい場合は、自社の状況に応じて優先順位を決めます。

本記事では、例えば次の順序で確認する方法を紹介します。

1. ホームページ：外部公開されているため、システムや更新状況を確認する（2章）
2. スマホ：持ち運ぶ機会が多いため、紛失やBYODの管理状況を確認する（3章）
3. 社員のサイトの見方のルール（4章）
4. パソコンの更新・ウイルス対策・バックアップ（5章）
5. パスワード・共有設定・ネットワークの入口（6・7章）

すべてを一度に直そうとする必要はありません。

チェックリストで「できていない」が付いた項目を確認し、自社への影響や対応のしやすさを踏まえて、着手する順番を決めましょう。

まずは現在の管理状況を把握し、「誰が対応するか」「いつまでに確認するか」まで決めると、対策を進めやすくなります。

まとめ

チェックリストで「できていない」がついたところから、優先順位をつけて1つずつ対策を進めましょう。

大切なのは、すべての対策を一度に行うことではなく、まず自社のどこに管理上の課題があるのかを把握することです。

特にホームページや社用スマホは、現在の管理状況や必要な対策を自社だけで判断しにくい場合があります。

ホームページの作り直しや、私物スマホから社用スマホへの切り替えを検討している場合は、まずシミュレーターで費用の目安を確認してみてください。