中小企業のセキュリティ対策を「やりっぱなし」にしないために｜専任担当者がいなくても続く仕組みの作り方

「セキュリティソフトを入れたから大丈夫」

「バックアップの設定は業者にやってもらった」

「一度、社員にも注意するよう伝えた」

ここまで対策できていれば、何もしていない状態からは大きく前進しています。

しかし、情報セキュリティで難しいのは、対策を始めることよりも、続けることです。

例えば、導入したときには正しく設定されていたとしても、その後、

• 新しい社員が入る
• 社員が退職する
• パソコンを買い替える
• 新しいクラウドサービスを使い始める
• 取引先から新しい条件を求められる
• 担当者が変わる

といった変化が起こります。

会社が変われば、セキュリティ対策も変える必要があります。

つまり、情報セキュリティは、

「一度導入すれば終わる設備」ではなく、「定期的に確認する経営管理」

として考える必要があります。

とはいえ、中小企業や個人事業主にとって、セキュリティだけに多くの人と時間を割くことは現実的ではありません。

そこでDay4では、専任の情報システム担当者やセキュリティ担当者がいなくても続けやすいように、

「誰が・何を・いつ確認するのか」

という仕組みに落とし込んで考えていきます。

この記事の要約

• 情報セキュリティは、製品を導入しただけでは維持できません。人、端末、サービス、取引条件が変わるたびに見直しが必要です。
• 中小企業では、大きな専門部署を作るよりも、「責任者」「日常管理」「外部の相談先」の役割を決めることが重要です。
• 毎日すべてを確認する必要はありません。入退社時、サービス導入時、定期確認時、事故発生時など、確認するタイミングを決めます。
• バックアップは「取れている」だけでなく、「実際に戻せるか」を確認して初めて事業継続の対策になります。
• セキュリティ事故への備えでは、「誰に連絡するか」「誰が判断するか」「何を止めるか」を事故前に決めておくことが重要です。
• セキュリティ対策は完璧を目指すのではなく、小さく確認し、問題を直し、必要に応じて追加投資する仕組みにすることが現実的です。

経営者が考えるべき問い

専任のセキュリティ担当者がいない自社でも、対策を形だけで終わらせず、継続して機能させるにはどのような仕組みが必要か？

なぜ「導入したのに危ない」ということが起きるのか

情報セキュリティ対策では、導入時点で正しく設定されていても、それだけで将来も安全とは限りません。

理由は単純です。

会社の環境が変わり続けるからです。

例えば、社員が一人退職したとします。

その社員が使っていた、

• メール
• クラウドストレージ
• 顧客管理サービス
• 会計システム
• 社内システム

などのアカウントが残っていたらどうでしょうか。

本人が悪意を持っているかどうかとは関係なく、使われないアカウントが残っていること自体が管理上の問題になる場合があります。

あるいは、社員が便利だからという理由で、新しいクラウドサービスを使い始めることもあります。

会社側が把握していなければ、そのサービスにどの情報が保存されているのか分かりません。

さらに、バックアップを設定していても、途中からエラーで止まっている可能性もあります。

つまり、

「一度設定した」ことと「今も正しく動いている」ことは別です。

中小企業のセキュリティで大切なのは「担当者」より「役割」

「うちはセキュリティ担当者を置く余裕がない」

そう感じる経営者も多いでしょう。

しかし、最初から専任のセキュリティ担当者を一人採用しなければならないわけではありません。

小さな会社では、まず次の3つの役割を決める方が現実的です。

役割1：経営判断をする人

多くの小規模企業では、経営者が担当することになります。

ここで判断するのは、技術的な細かい設定ではありません。

• 何を最も重要な情報とするか
• どの業務を止めてはいけないか
• どこまで予算を使うか
• 事故が起きたとき事業を止めるか
• 取引先へいつ報告するか
• 追加対策へ投資するか

といった経営判断です。

セキュリティの技術をすべて理解する必要はありませんが、何を守るかは経営側が決める必要があります。

役割2：日常的に確認する人

次に必要なのが、日常的な確認を行う人です。

例えば、総務担当者、経理担当者、ITに比較的詳しい社員などが兼任する場合があります。

担当する内容は、

• 入退社時のアカウント確認
• 新しいパソコンの管理
• バックアップ状況の確認
• 利用サービスの確認
• 問題が発生したときの一次連絡

などです。

高度な分析まで行う必要はありません。

異常や変化に気づいて、必要な人につなぐ役割と考えると分かりやすいでしょう。

役割3：専門的な相談をする相手

社内だけでは対応できない問題のために、外部の相談先を決めておきます。

例えば、

• 普段から付き合いのあるIT事業者
• セキュリティサービス事業者
• システムやクラウドサービスの提供会社
• 必要に応じた専門機関

などです。

ここで重要なのは、

事故が起きてから相談先を探し始めないこと

です。

最低限、「誰が責任者か」だけは決める

小規模企業で特に避けたい状態があります。

それは、

「誰かがやっていると思っていた」

という状態です。

例えば、

社長は総務がバックアップを確認していると思っている。

総務はIT業者が確認していると思っている。

IT業者は契約範囲にバックアップ確認は含まれていない。

このような役割のずれがあると、対策の穴になります。

そのため、会社が小さくても、少なくとも、

• 最終責任者
• 日常確認担当者
• 外部相談先

の3つは明確にしておきましょう。

毎日全部チェックする必要はない

「継続的に確認する」と聞くと、毎日大量のチェックを行わなければならないように感じるかもしれません。

しかし、中小企業で重要なのは、チェック項目を増やすことではありません。

確認すべきタイミングを決めることです。

例えば、次のように考えることができます。

こうしておけば、毎日すべてを調べる必要はありません。

会社に変化があったときに確認する仕組みを作ればよいのです。

最も見落としやすい「入社・退職」

セキュリティ対策というと、サイバー攻撃やウイルスへの対応を想像しがちです。

しかし、小さな会社では、もっと日常的な管理も重要です。

特に確認したいのが、社員の入社と退職です。

入社時に確認すること

• 必要なアカウントだけを作る
• 必要な情報だけにアクセスできるようにする
• 多要素認証を設定する
• 会社の端末利用ルールを説明する
• 不審なメールを受け取ったときの報告先を伝える

退職時に確認すること

• メールアカウントを停止する
• クラウドサービスのアカウントを停止する
• 共有していたパスワードがあれば見直す
• 会社のパソコンやスマートフォンを回収する
• 必要に応じてアクセス権限を変更する

これを退職する社員ごとに思い出しながら行うのではなく、

退職手続きのチェックリストに入れてしまう

ことが重要です。

セキュリティを特別な作業にするのではなく、通常の業務に組み込むのです。

新しいクラウドサービスを勝手に増やさない

現在は、便利なクラウドサービスをすぐに使えるようになっています。

営業、会計、ファイル共有、生成AI、チャット、顧客管理など、多くの業務で利用できます。

しかし、社員がそれぞれの判断でサービスを利用すると、会社として、

• 何のサービスを使っているか
• 誰が利用しているか
• 何の情報を保存しているか
• 退職時にアカウントを止められるか

が分からなくなることがあります。

そこで、難しい申請制度を作る必要はありません。

例えば、

「新しいクラウドサービスを業務で使うときは、担当者へ一言知らせる」

という簡単なルールから始めることもできます。

そして、最低限、

• サービス名
• 利用目的
• 利用者
• 保存する情報
• 管理者アカウント

を一覧にしておきます。

これだけでも、会社が把握していないサービスが増え続ける状態を減らせます。

バックアップは「取れている」だけでは不十分

バックアップは、中小企業でも比較的よく知られている対策です。

しかし、重要なのは、

バックアップが存在することではなく、必要なときにデータを戻せること

です。

例えば、

• バックアップ自体が途中から止まっている
• 必要なフォルダが対象に入っていない
• バックアップも一緒に被害を受ける
• 復元方法を誰も知らない

という状態であれば、事故時に困る可能性があります。

そこで、バックアップについては、少なくとも、

• 何をバックアップしているか
• どこに保存しているか
• 正常に動いているか
• 誰が確認するか
• 実際に復元できるか

を確認してください。

「バックアップしています」から「戻せることを確認しています」へ変えることが重要です。

「事故が起きない会社」を目指すだけでは足りない

どれだけ対策をしても、事故の可能性を完全にゼロにすることは困難です。

そこで重要になるのが、

事故が起きたときに、被害を広げず、できるだけ早く事業を戻すこと

です。

特に中小企業では、発生してから対応を考えると混乱しやすくなります。

例えば、不審な動きが見つかったときに、

「パソコンの電源を切ればいいのか？」

「ネットワークから外した方がいいのか？」

「取引先へ連絡するべきか？」

「誰に相談するのか？」

と、その場で一から判断することになります。

そのため、事故前に最低限の動きを決めておきます。

事故が起きたときの「最初の5つ」を決めておく

難しい事故対応マニュアルを最初から作る必要はありません。

まず、次の5つだけでも決めておくとよいでしょう。

1. 誰に最初に連絡するか

   社長、管理担当者、IT事業者など、最初の連絡先を決めます。

2. 外部の相談先はどこか

   IT事業者や契約しているセキュリティサービスなど、相談できる相手を確認します。

3. 誰が事業への影響を判断するか

   業務を止めるか、顧客対応をどうするかなどは経営判断になります。

4. 取引先への連絡を誰が判断するか

   取引先へ影響する可能性がある場合、連絡の要否を誰が判断するかを決めます。

5. 記録を残す

   いつ何が起き、何を行ったのかを記録します。後の原因確認や再発防止にも役立ちます。

「連絡網」はスマートフォンが使えない場合も考える

事故対応で意外に見落とされるのが、連絡方法です。

例えば、会社で使っているメールやクラウドサービスに問題が起きた場合、普段使っている連絡方法が使えない可能性があります。

そのため、必要に応じて、

• 電話番号
• 外部相談先
• 契約会社の連絡先
• 重要取引先の連絡先

などを、会社のシステムだけに依存しない方法でも確認できるようにしておくことを検討します。

「事故が起きたとき、いつもの仕組みが使えるとは限らない」

という前提で考えることが重要です。

社員教育は「年1回の研修」だけで考えない

情報セキュリティ対策では、社員教育もよく挙げられます。

しかし、小規模企業では、大掛かりな研修を頻繁に行うことは難しいでしょう。

大切なのは、全員をセキュリティの専門家にすることではありません。

「迷ったときに勝手に判断せず、相談できる状態」を作ることです。

例えば、社員へ伝える内容を、

• 怪しい添付ファイルを安易に開かない
• パスワードを使い回さない
• 多要素認証を利用する
• 業務データを勝手なサービスへ保存しない
• 怪しいと感じたらすぐに報告する

といった基本項目に絞る方法があります。

IPAでは、中小企業向けの自社診断や学習教材も公開しています。

こうした既存の教材を活用すれば、すべての教育資料を自社で一から作る必要はありません。

担当者を責めない仕組みもセキュリティ対策

もう一つ、経営者が考えておきたいことがあります。

それは、社員がミスをしたときの対応です。

例えば、社員が怪しいメールを開いてしまったとします。

その社員が、

「怒られるかもしれない」

「黙っていれば分からないかもしれない」

と考えて報告しなければ、対応が遅れる可能性があります。

事故を完全になくすことだけを目指すより、

「間違えたら早く報告する」文化を作ること

も重要です。

経営側は、

「怪しいと思ったらすぐ知らせてほしい」

「早く分かるほど対応しやすい」

と普段から伝えておく必要があります。

定期確認は「月次」「四半期」ありきで決めなくていい

情報セキュリティの運用計画というと、

「毎月確認」

「四半期ごとにレビュー」

といった形にしたくなります。

もちろん、定期確認は有効です。

しかし、すべての企業が同じ頻度で確認する必要はありません。

従業員数、使用しているサービス、取扱情報、取引先要求、IT環境によって適切な頻度は変わります。

そのため、

「何か変わったとき」＋「忘れないための定期確認」

という2つを組み合わせると運用しやすくなります。

例えば、

• 入退社があったとき
• 端末を追加したとき
• サービスを追加したとき
• 取引先から要請があったとき
• 事故・ヒヤリとする出来事があったとき
• あらかじめ決めた定期確認日

に見直します。

定期確認で見る項目を増やしすぎない

最初から50項目、100項目のチェック表を作ると、続かない可能性があります。

小さな会社なら、まず次のような項目から始めてもよいでしょう。

完璧なチェックリストより、実際に続くチェックリストの方が重要です。

「できている・できていない・分からない」で十分

チェック結果を難しい点数にする必要もありません。

最初は、

• できている
• できていない
• 分からない

の3つに分けるだけでも構いません。

特に重要なのが、

「分からない」を放置しないこと

です。

できていないことが分かれば、対策するか、リスクを受け入れるか判断できます。

しかし、分からないままだと、そもそも判断ができません。

そのため、定期確認では、

「危険を探す」だけではなく「分からない状態を減らす」

ことも目標にしてください。

IPAの自社診断を定期確認に使う方法もある

何を確認すればよいか分からない場合は、IPAが公開している「5分でできる！情報セキュリティ自社診断」を活用する方法があります。

この自社診断では、25項目の質問を通じて、自社の情報セキュリティ対策状況を確認できます。

一度だけ実施するのではなく、一定期間後に再度確認すれば、

• 以前できなかった項目が改善したか
• 新たにできていない項目が出ていないか
• 担当者変更後も対策が続いているか

を見るためにも使えます。

診断は点数を取るためではなく、次に改善する項目を見つけるために使うと考えると実務的です。

「ルールを作った」で終わらせない

セキュリティ対策を進めると、社内規程やルールを作る場合があります。

もちろん、ルールを文章にすることは重要です。

しかし、誰も読まない分厚い規程を作っても、それだけでは対策になりません。

例えば、

「不審なメールを受信した場合は情報セキュリティ管理責任者へ報告する」

と書いてあっても、

社員が、

「その責任者は誰？」

と思っている状態では機能しません。

ルールを作るときは、

• 誰が
• 何を
• どのタイミングで
• どこへ

をできるだけ分かりやすくします。

読めば行動できる状態にすることが重要です。

経営者が定期的に確認したい5つの質問

経営者自身が細かな設定をすべて確認する必要はありません。

代わりに、定期的に次の5つを担当者へ聞いてみてください。

1. 今、何が一番心配ですか？
2. 前回から新しく増えた端末やサービスはありますか？
3. バックアップから戻せることを確認していますか？
4. 事故が起きた場合、誰へ連絡しますか？
5. 取引先から新しく求められている対策はありますか？

この5つだけでも、会社のセキュリティ状況を経営課題として確認するきっかけになります。

数字を追うなら「対策した数」より「放置している重要課題」

セキュリティ対策でもKPIを設定したくなる場合があります。

しかし、

「セキュリティ研修を3回実施した」

「製品を5つ導入した」

といった数字だけでは、実際に会社が守られているか分かりません。

小規模企業では、例えば、

• 多要素認証を設定できていない重要アカウント数
• 不要なまま残っているアカウント数
• バックアップ復元を確認できていない重要データ
• 管理者が分からないクラウドサービス
• 対応期限を過ぎている重要課題

など、

「重要な未対応事項がどれだけ残っているか」

を見る方が判断しやすい場合があります。

対策を追加する条件も決めておく

セキュリティ対策は、一度決めた予算のままずっと固定する必要はありません。

会社の状況が変われば、追加投資を考えるタイミングが来ます。

例えば、

• 大企業との取引が始まった
• 顧客の重要情報を新たに預かるようになった
• 社員が増えた
• テレワークが増えた
• 重要な業務をクラウドへ移した
• 取引先から新しい対策を求められた
• 実際にセキュリティ事故やヒヤリとする出来事が起きた

といったケースです。

こうした変化が起きたら、

「今までの対策で十分か」を再評価するDecision Gate

と考えます。

取引先から求められる水準も定期的に確認する

Day1から繰り返しお伝えしているように、情報セキュリティは自社だけの問題ではありません。

今後は、サプライチェーン全体でセキュリティ対策状況を確認する動きにも注意が必要です。

経済産業省と内閣官房国家サイバー統括室では、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めています。

この制度では、委託元企業が委託先企業へ適切な対策段階を示し、実施状況を確認することが想定されています。

2026年9月時点では、★3・★4について2026年度末頃の申請受付開始が目指されています。

ただし、重要な点があります。

SCS評価制度そのものは任意の制度です。

制度として一律に全企業へ取得が義務付けられているものではありません。

実際に何が必要になるかは、取引契約や委託元からの要求などによって異なります。

そのため、

「今すぐ取得しなければ取引できなくなる」

といった説明だけで慌てて契約するのではなく、公式情報や取引先の要求内容を確認することが重要です。

「制度が始まるから商品を買う」は順番が逆

新しい制度やガイドラインが出ると、

「これを導入しないといけません」

「今すぐ対策しないと取引できなくなります」

といった営業を受ける可能性があります。

しかし、制度への対応と製品購入は同じではありません。

まず確認すべきなのは、

• 自社が対象になるのか
• 取引先から何を求められているのか
• 現在の対策でどこまで満たしているのか
• 不足している項目は何か
• 製品購入以外で対応できる方法はないか

です。

制度 → 商品購入

ではなく、

要求確認 → 現状診断 → 差分確認 → 必要な対策 → 投資判断

という順番にします。

続く仕組みを作る5つのPhase

ここまでを、実際の進め方として整理します。

Phase 1：責任と役割を決める

目的：「誰かがやっていると思っていた」をなくす。

主要アクション：

• 経営責任者を決める
• 日常確認担当者を決める
• 外部相談先を確認する
• それぞれの役割を簡単に書いておく

経営者が判断すること：

誰がセキュリティに関する最終判断を行うか。

Decision Gate：

社員が「問題があったとき、まず誰に言えばよいか」を答えられる状態か。

Phase 2：基本ルールを日常業務へ組み込む

目的：セキュリティを特別な仕事にしない。

主要アクション：

• 入社時のアカウント作成
• 退職時のアカウント停止
• 端末追加時の登録
• クラウド導入時の確認
• バックアップ確認

Owner：

総務、管理担当、IT兼任担当など、自社の体制に応じて設定。

Decision Gate：

人やIT環境が変わったとき、自動的にセキュリティ確認が行われる状態になっているか。

Phase 3：事故発生時の動きを決める

目的：事故時の初動の遅れを減らす。

主要アクション：

• 社内連絡先を決める
• 外部相談先を決める
• 経営判断を行う人を決める
• 取引先への連絡判断者を決める
• 最低限の事故記録方法を決める

Decision Gate：

「今、怪しいことが起きた」と仮定したとき、最初の行動を説明できるか。

Phase 4：定期的に現在地を確認する

目的：設定後の劣化や会社の変化を見つける。

主要アクション：

• 端末一覧を確認する
• アカウント一覧を確認する
• 多要素認証を確認する
• バックアップを確認する
• 復元できるか確認する
• 新しいサービスを確認する
• 外部相談先を確認する

KPI例：

• 重要な未対応項目
• 管理者不明のサービス
• 不要アカウント
• 復元未確認の重要バックアップ

Decision Gate：

重要な「できていない」「分からない」が把握され、対応方針が決まっているか。

Phase 5：事業の変化に合わせて投資を見直す

目的：会社の成長や取引条件の変化にセキュリティ対策を合わせる。

見直すきっかけ：

• 重要顧客との取引開始
• 新しい事業開始
• 従業員増加
• 重要データ増加
• システム変更
• 取引先からの新しい要請
• セキュリティ事故

経営者が判断すること：

• 現在の対策で十分か
• 外部支援を追加するか
• 追加投資が必要か

Decision Gate：

事業上のリスクが変化したとき、セキュリティ投資も再評価されているか。

中小企業向け「最低限の運用表」

複雑な管理表を作りたくない場合は、次のような形でも始められます。

やってはいけない5つの運用パターン

1．担当者一人しか分からない

担当者が休んだり退職したりした瞬間に、設定や契約内容が分からなくなる状態です。

最低限、契約先、管理者、重要な手順は共有できる状態にしておきます。

2．導入した製品を誰も確認していない

契約しているだけで、警告や通知を誰も見ていないケースです。

「通知が来たら誰が見るのか」まで決めてください。

3．バックアップを一度も戻したことがない

実際に必要になったときに初めて復元方法を確認するのは危険です。

重要なデータについては、復元できることを確認します。

4．退職者の処理が担当者任せ

忙しいとアカウント停止を忘れる可能性があります。

退職手続きそのものへ組み込みます。

5．事故が起きてから業者を探す

事故時は時間的な余裕がない場合があります。

平常時に相談先を確認しておきます。

「セキュリティ対策を続ける会社」とはどんな会社か

必ずしも、高価なシステムを大量に導入している会社ではありません。

小さな会社でも、

• 何を守るか分かっている
• 誰が担当するか分かっている
• 基本対策を確認している
• バックアップから戻せる
• 異常があればすぐ相談できる
• 事業が変われば対策も見直す

という状態を作ることはできます。

セキュリティの強さは、導入した製品の数だけでは決まりません。

問題に気づき、判断し、直せる仕組みがあるかどうかも重要です。

まとめ

情報セキュリティ対策は、一度やれば終わりではありません。

会社には、

• 人の入れ替わり
• 新しいパソコン
• 新しいクラウドサービス
• 新しい取引
• 新しい顧客情報

といった変化が起こり続けます。

そのため、対策も会社に合わせて見直す必要があります。

しかし、中小企業が大企業と同じ運用体制を作る必要はありません。

まずは、

誰が判断するか。

誰が確認するか。

何か起きたら誰へ相談するか。

この3つを決めることから始められます。

そして、

• 入退社
• 端末追加
• サービス追加
• 定期確認
• 事故発生
• 取引条件変更

というタイミングで確認する仕組みを作ります。

情報セキュリティで重要なのは、

一度完璧な仕組みを作ることではありません。

確認し、問題を見つけ、少しずつ直し続けられる会社にすることです。

その状態ができれば、「うちは大丈夫だと思う」から、

「定期的に確認しているので、現在の状況を説明できる」

へ変わっていきます。

それは、自社を守るだけではありません。

顧客や取引先に対して、安心して仕事を任せてもらうための土台にもなります。

この記事のポイント

• セキュリティ対策は導入よりも継続運用が重要。
• 専任担当者がいなくても、「経営判断」「日常管理」「外部相談先」の役割は決められる。
• 毎日すべてを見るのではなく、入退社・端末追加・サービス追加など、確認するタイミングを決める。
• バックアップは保存されているだけではなく、復元できることを確認する。
• 事故時は、その場で一から考えず、最初の連絡先・判断者・相談先を事前に決める。
• 「できている・できていない・分からない」で定期的に現在地を確認する。
• 事業や取引条件が変わったときは、セキュリティ投資を再評価する。

よくある質問

Q1. セキュリティ対策はどれくらいの頻度で見直せばよいですか？

すべての企業に共通する一律の頻度があるわけではありません。定期確認に加えて、社員の入退社、新しい端末やクラウドサービスの導入、重要取引の開始、事故発生など、会社の環境が変わったタイミングで見直す方法が現実的です。

Q2. セキュリティ担当者を専任で置けない場合はどうすればよいですか？

専任担当者がいなくても、経営判断をする人、日常確認をする人、専門的な相談をする外部の相手を分けて決めることができます。重要なのは、誰が何を担当するのか分からない状態をなくすことです。

Q3. バックアップを毎日取っていれば安心ですか？

バックアップ頻度だけでは判断できません。必要な情報が対象になっているか、バックアップそのものが正常に動いているか、事故時に実際にデータを復元できるかも確認する必要があります。

Q4. 社員教育はどこまでやればよいですか？

全社員をセキュリティの専門家にする必要はありません。まずは、不審なメール、パスワード、多要素認証、業務データの扱い、異常時の報告先など、日常業務に関係する基本事項を理解してもらうところから始めます。

Q5. SCS評価制度に今すぐ対応しなければ取引できなくなりますか？

2026年9月時点で、SCS評価制度は制度としてすべての企業へ取得を義務付けるものではなく、任意の制度として整備されています。実際に求められる水準は取引契約や発注元からの要求によって異なります。「取得しなければ必ず取引できなくなる」といった説明だけで判断せず、取引先の要求と公式情報を確認することが重要です。

次にやること

今日、10分だけ使って、次の項目を書き出してみてください。

空欄があっても問題ありません。

空欄が見つかったこと自体が、今回の診断結果です。

そこから、一つずつ担当を決めていけば構いません。

次回予告

Day5では、これまでの4日間をまとめ、「結局、経営者は情報セキュリティへ投資すべきなのか？」を経営判断として整理します。

Day1では、

「うちは大丈夫」という思い込みではなく、現在地を確認する重要性を見てきました。

Day2では、

セキュリティ投資を「売上を増やす費用」だけではなく、「損失・業務停止・信用・取引を守る投資」として考えました。

Day3では、

自社対応、一部外部委託、監視や事故対応まで含めた外部活用という選択肢を比較しました。

そしてDay4では、

導入した対策を続く仕組みにする方法を整理しました。

最終日のDay5では、これらを一つにつなげて、

• 投資するべき会社
• まず診断から始めるべき会社
• 外部支援を検討するべき会社
• 取引先要求を優先確認するべき会社
• 追加投資を判断する条件

を整理します。

そして最後に、

「自社では、明日から何をすればよいのか」

が分かるDecision Briefとしてまとめます。

参考資料・出典

• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
  個人事業主・小規模事業者を含む中小企業を対象に、経営者が認識・実施すべき指針と、社内で対策を実践するための手順・手法を整理したガイドライン。第4.0版は2026年3月27日に公開され、その後も関連資料の更新が行われています。
• 独立行政法人情報処理推進機構（IPA）「5分でできる！情報セキュリティ自社診断」
  25項目の診断を通じ、自社の情報セキュリティ対策状況や改善すべき点を確認するための中小企業向けツール。
• 独立行政法人情報処理推進機構（IPA）「5分でできる！情報セキュリティポイント学習」
  自社診断25項目に対応した学習教材などが提供されており、中小企業の従業員教育にも活用できます。
• 独立行政法人情報処理推進機構（IPA）「サイバーセキュリティお助け隊サービス」
  人材や予算が限られる中小企業が、監視、相談、緊急時支援などの外部サービスを検討する際の選択肢として案内されています。
• 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
  サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化する制度。2026年9月時点では、★3・★4について2026年度末頃の申請受付開始が目指されています。制度そのものは任意であり、取引上求められる水準は契約関係等によって異なります。