情報漏えい対策は、守る対象の業務を1件決めてから広げる

情報セキュリティとは、仕事で使う情報を、漏れたり壊れたり使えなくなったりしない状態に保つ取り組みです。守る相手は端末から共有フォルダ、クラウドまで広がります。だからこそ、対象の業務を1件に絞ると、見る場所も聞く相手も決まります。

IPA（独立行政法人情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は、現行が第4.0版です。公開日は2026年3月27日で、ページの最終更新は2026年9月30日です（2026年10月16日確認）。基本対策として示されているのは、バックアップを加えた情報セキュリティ6か条になります。検索すると以前の5か条の解説も出てきますが、現行として扱うのは6か条のほうです。

経営者が意思決定して対策を主導することは、同じガイドラインの第4.0版の本編にあります（2026年10月16日確認）。責任者と担当者を定めること、委託先や関係者も含めて対策と連絡を考えることも挙げられています。点検は一人で完結する作業ではありません。誰に確かめ、誰へ渡すかまでが含まれます。

この記事で用意するのは、次の2つです。

• 対象業務1件の点検メモ：確かめた結果と、次に動く人が分かるようにします。
• 異常時の連絡先メモ：最初に連絡する先と、伝える内容を短く書いておきます。

どちらにも、パスワードや実際の請求データは書きません。メモそのものが持ち出されたときに困るものを、置かないためです。すでに台帳や連絡網があるなら、新しく作らず、足りない項目をそこへ補う形でも構いません。書く欄の形はこの記事で示す一例で、決まった様式があるわけではありません。

日常の守りは、6つのまとまりで何を満たすかを先に知る

守り方は、まとまりごとに満たしたい状態が違います。IPAの「情報セキュリティ6か条 解説編」は、基本対策を6つに分けています（2026年9月版）。並びは、脆弱性対策、ウイルス対策、パスワード管理、機器の設定、バックアップ、情報収集です（2026年10月16日確認）。満たしたい状態が違えば、確かめる場所も変わります。

6つのうち先頭にある脆弱性とは、ソフトや機器に残っていて、悪用されるおそれのある弱点のことです。同じ資料から、まとまりごとに満たしたい状態を日常の言葉で短くまとめます。右の2列、確かめられる場所と見えないときの相談先は、読者の業務へ当てはめるためにこちらで足した欄です。

情報収集については、分類の名前だけを解説編から取っています。受け取ったあとに誰が何をするかという部分は、業務へ当てはめるためにこちらで補った内容です。

気をつけたいのは、確かめた日付だけでは満たした証拠にならない点です。解説編の脆弱性対策では、修正プログラムの適用か最新版の利用までが挙げられています。更新の画面を開いた日を書いても、更新が当たっていなければ対応済にはできません。サポートの続く機器とソフトを使えているかどうかも、同じ行で見る対象になります。

パスワード管理も、追加の本人確認を入れることだけが答えではありません。長くて複雑で使い回さないパスワードにすること、同じIDを複数人で共有しないことが先にあります。そのうえで、使える認証強化の機能があれば有効にします。製品ごとの画面の名前や使える方法はここでは断定できないため、クラウドの管理者に確かめてください。

クラウドのサービスを使っている場合は、IPAの「付録7 中小企業のためのクラウドサービス安全利用の手引き」が、選ぶときと運用するときの見方を示しています（2026年10月16日確認）。挙げられているのは、扱う情報と、サービスが止まったときの影響の確認です。安全なパスワードの使い方とIDの共有を避けること、認証の強化、過去の状態へ戻せるバックアップの検討も示されています。

点検メモには、見た証拠と次に動く人を残す

点検メモに残すのは、判断のもとになった中身と、次の行動だけです。上段に対象業務のことを一度書き、その下に6つのまとまりを並べると、見比べやすくなります。文章の箇条書きでも表でも構いません。

上段には、次の内容を書きます。

• 業務：対象にする作業の名前。始まりと終わりが分かる単位にします。
• 情報：その作業で扱う情報の中身。漏れたら困るものを挙げます。
• 保存先：その情報が置かれている場所。社内の端末か、クラウドのサービスかまで分けます。
• 社内の利用者：社内で見られる人。許可した範囲と、今そうなっている範囲を分けて書きます。
• 社外の共有先：取引先など社外で見られる相手。ここも、許可した範囲と今の範囲を分けます。

社内と社外を分ける理由は、見落としやすい場所が違うからです。社内は異動や退職のあとの消し忘れ、社外はリンクの公開範囲が広いまま渡されている状態が残りやすいところです。許可した範囲を先に書いてから今の範囲を書くと、2つのずれがそのまま未対応の中身になります。

まとまりごとに残すのは、見た証拠、状態、担当、次の期限です。見た証拠に入れるのは、何を見てそう判断したのかという中身です。担当と次の期限は、少なくとも未対応と不明になった行には必ず入れます。状態に入るのは、次の3つだけです。

• 対応済：証拠を見て、守りたい状態を満たしていると確かめられた行。
• 未対応：証拠を見て、足りないところや直すところが分かった行。
• 不明：証拠そのものを見られず、満たしているかを判断できない行。

決まりは1つしかありません。確かめていないものを、対応済にしません。あとで証拠を見られたときは、見た日と見たものを証拠の欄へ書き添えて、状態を書き換えます。

確かめる順番は、次のとおりです。

1. 対象の業務を1件選びます。毎日または毎週触る作業にすると、確かめる相手も思い出しやすくなります。
2. 6つのまとまりそれぞれで、何を見れば判断できるかを先に決めます。あとから基準を変えると、同じ行を二度見ることになりがちです。
3. 自分で見える証拠はその場で確認し、見えない証拠は相談先へ照会します。管理の権限がない設定を、自分で変更しません。

照会するときは、見たいものの名前を伝えると早く済みます。設定を直してほしいという依頼ではなく、今どうなっているかを見せてほしいという依頼です。直す依頼を出すのは、状態が未対応と決まってからになります。

ただし、退職した人の権限が残っている、知らない相手が開ける形になっている、といった行は別扱いです。次の期限まで待つ理由がないため、見つけた時点で管理者と責任者へ連絡し、止めるかどうかを決めてもらいます。点検メモには、連絡した日時と相手を書き残します。

請求書の共有で確かめた記入例

ここからは架空の例で、点検メモの書き方をたどります。実在の会社や事故ではなく、以下の業務、人の範囲、状態、期限はすべて説明のために置いた値です。守るべき基準として読まないでください。

上段は、次のとおりです。

• 業務：請求書のPDFをクラウドの共有フォルダに置き、取引先の担当者へリンクで渡す作業。
• 情報：取引先名、請求金額、振込先を含む請求書のPDF。
• 保存先：クラウドストレージの共有フォルダ1つ。
• 社内の利用者：許可した範囲は経理の担当と代表。今の利用者一覧には、退職した人が1件残っています。
• 社外の共有先：許可した範囲は請求書を受け取る取引先の担当者だけ。今のリンクは、場所を知っていれば誰でも開ける設定になっています。

この上段だけで、機器の設定の行が未対応になることは決まります。6つのまとまりのうち、書き分けの違う4行を抜き出します。

抜き出さなかったのは、ウイルス対策と情報収集の2つです。書き方は上の4行と同じで、状態の書き分けも3つのラベルで足りるため、ここでは省いています。実際の点検では、6つとも確かめる対象です。対応済の行の次の期限は、この例では「－」と書き、期限が要らない行であることを示しています。

機器の設定の行は、期限を書く前に連絡する行です。退職した人の権限が残っていると分かった時点で管理者と責任者へ連絡し、止めるかどうかを決めてもらいます。リンクの公開範囲を許可した相手だけに絞る依頼も、同じ連絡でまとめて出します。

その連絡を受けて、管理者が退職した人の権限を削除し、削除した日、対象、実施者を記録したとします。リンクの公開範囲も、同じ連絡で許可した担当者だけに絞られた前提です。その後、利用者一覧とリンクの設定をもう一度見ます。残りが許可した範囲だけになっていれば、機器の設定の行を対応済へ書き換えます。証拠の欄には、見直した日と見たものを書き添える形です。

パスワード管理の行は、設定画面を見られていないため不明のまま残ります。回答が来て中身を確かめられたときに、見た日と一緒に状態を書き換える形です。

未対応や異常を見つけたときの戻し方

点検していると、状態を書けない行や、すぐに直せない行が出てきます。場面ごとの戻し方を、先に決めておきます。

• 設定が見えない、権限がない：相談先へ確認を依頼し、回答が来るまで不明のまま残します。管理の権限がない設定を、自分で変更しません。
• 更新できない：更新できない理由、代わりにできる守り方、次の期限を書いて担当者へ渡します。古いまま使い続けるかどうかの判断は、責任者に決めてもらいます。
• 今すぐ止めたほうがよいものが見つかった：退職した人の権限の残りや、知らない相手が開ける設定は、期限に回しません。その場で管理者と責任者へ連絡し、止めるかどうかを決めてもらったうえで、連絡した日時と相手を書き残します。
• バックアップが開けない、試しても必要なデータが戻らない：今あるバックアップを、消したり上書きしたりしません。そのまま残したうえで、開けない原因と、戻せる世代がどれかの確認を管理者へ依頼します。対応済にしていた行は、未対応へ戻します。
• 担当も次の期限も決められない：行をそのまま責任者へ上げます。誰が決めるのかをメモの中で止めず、決められる人まで運びます。

バックアップを取り直す順番には、注意が必要です。開けない原因が分からないまま新しく取ると、戻せる世代を上書きしたり、壊れたデータを取り込んだりすることになりかねません。取り直すかどうかは、原因とデータの健全性を管理者が確かめたあとの判断です。復元を試す場所も、元のデータが入っている端末や共有フォルダとは切り離した場所にします。

取り方や置き場所そのものを見直す段階になったら、最低限のバックアップ設計も参考になります。ただし、今あるものを消さずに残す順番は、この節で書いたとおりに進めてください。

感染が疑われるときの動きは、点検メモとは別です。IPAの「付録8 中小企業のためのセキュリティインシデント対応の手引き」は、インシデント（事故やその疑いのある出来事）への対応の基本の進め方を示しています（2026年10月16日確認）。そこで挙げられているのは、発覚した日時、状況、経過、担当者の整理です。

感染した機器は、利用を止めてネットワークから切り離します。電源を落とすような不用意な操作で記録を消さないことも示されています。責任者へ連絡し、自社で対応が難しい場合は外部の専門組織へ支援を求める流れです。

連絡先を探す時間をなくすために、異常時の連絡先メモは点検メモと一緒に作ります。書くのは、次の4つの連絡先です。

1. 最初に連絡する責任者：役割名と、連絡手段を2つ書きます。
2. 責任者につながらないときの代替連絡先：ここも役割名と連絡手段の両方が必要です。
3. 端末やクラウドの管理を頼んでいる先：委託している場合の窓口も入れます。
4. 外部の専門組織へ支援を求めるかどうかを決める人：役割名だけで足ります。

連絡するときに伝える内容は、発覚した日時、状況、経過、担当者の4つです。メモの端に、この4つを並べて書いておきます。思い出しながら話すより、見ながら伝えるほうが早く済みます。

法律にもとづく届け出が必要かどうか、いつまでに出すのかは、ここでは扱いません。扱う情報や相手によって変わるため、責任者と、必要なら専門家へ確かめてください。

点検が終わったと判断する条件

点検が終わったかどうかは、確かめた内容と、次に動く人が分かる状態になっているかで判断します。この記事で示した欄の形でなくても、すでにある台帳や連絡網で同じ内容をたどれるなら、作り直す必要はありません。全部が対応済になることは、条件に入れません。

1. 対象業務について、扱う情報と保存先が分かります。社内で見られる人と社外の共有先は、許可した範囲と今の範囲の両方が書けています。自分では判断できないところは、空白のままにせず不明として残し、照会する相手と期限を添えた状態です。
2. 6つのまとまりそれぞれについて、何を見て判断したのかと、対応済・未対応・不明のどれなのかが分かります。見られなかったものは不明のままで、対応済へ寄せていません。
3. バックアップは、取得の記録だけで判断しません。元のデータと切り離した場所で復元を試し、必要なデータが開けて使えたという結果まで確かめています。試していないもの、結果が分からないもの、戻らなかったものは、未対応のままにして、原因の確認を管理者へ回します。
4. 未対応と不明には、引き取る担当と、次にいつ見るかが決まっている状態です。
5. 今すぐ止めたほうがよいものについては、次の期限の代わりに、連絡した日時と相手が残っています。
6. 異常のときに連絡する4つの先と、伝える内容が分かります。すでにある連絡網で足りるなら、新しく書き写す必要はありません。

ここまでで終わるのは、点検という作業です。確かめ終わったことと、情報が漏れない状態になったことは別です。未対応と不明が残っている間は、次に見る日を決めて予定へ入れてください。

まとめ：今日は対象を1件選んで、確かめた日を書き込む

情報漏えいへの備えは、全社の仕組みより先に、守る対象の業務を1件決めるところから動き出します。6つのまとまりを、同じ並びで順に確かめる形です。業務、情報、保存先は、その場で書き出せる範囲から始められます。許可した範囲や今の設定が自分では分からないところは、空白のままにせず不明として残し、確かめる相手と期限を添えてください。

そのうえで、まとまりごとに何を見れば判断できるかを決め、見た証拠と状態を書きます。自分で見える行はその日のうちに確認し、見えない行は相談先へ照会する順です。退職した人の権限の残りのように今すぐ止めたほうがよいものは、期限を待たず、その場で管理者と責任者へ連絡します。

未対応と不明が残っていても、引き取る担当と次に見る日が決まっていれば構いません。異常のときの連絡手段まで分かれば、点検としては終わりです。そろっているかを見るのは、「点検が終わったと判断する条件」の節で挙げた6つです。終わっているのは点検という作業で、情報が漏れない状態になったという意味ではありません。次に見る日の予定さえ入っていれば、次の1件へ進められます。