Security Step Guide
IPA5か条からISMS認証まで。自社に合ったレベルを判断し、具体的な設定手順を1ページにまとめました。
現在の状況に近いカードを選んでください。該当するステージの手順に移動します。
Stage 1
スタート → 設定 → Windows Update → 詳細オプション
「更新プログラムを自動的にダウンロードしてインストールする」をONにします。「アクティブ時間」も設定しておくと、たとえば8:00〜19:00を業務時間に指定すれば、更新による再起動は業務時間外に走ります。
Word・Excelも忘れがちです。ファイル → アカウント → 更新オプション → 「自動的に更新」をONにします。
よくある落とし穴
「再起動を後でする」を毎回押している。この操作を続けると更新が永遠に適用されません。会計ソフトや顧客管理ソフトなど、Windows以外の業務ソフトのアップデートを見落としているケースも多いです。
タスクバー右下の「^」マーク → Windowsセキュリティ（盾アイコン） → 「ウイルスと脅威の防止」
「リアルタイム保護」がONになっているかを確認します。Windows 10以降なら標準搭載で無料です。リアルタイム保護、ウイルス定義の自動更新、フィッシングサイトのブロック（SmartScreen）、ランサムウェア対策がカバーされます。
複数台のPCを1画面で一元管理したい場合や、メール添付ファイルをサーバーレベルでスキャンしたい場合です。中小企業向けエンドポイント製品は1台あたり年間3,000〜8,000円が目安です。PC数台の規模なら、まずDefenderで始めて問題ありません。
よくある落とし穴
有料ソフトを買ったのにDefenderを無効化して設定が中途半端になっているケース。「無料セキュリティソフト」を謳ったマルウェアをインストールしてしまうケースもあります。ソフトを増やすよりも、今入っているものが確実に動いているかの確認が先です。
「サービスごとに違うパスワード」を頭で覚えるのは無理です。無料で使える選択肢として:
よくある落とし穴
パスワードをExcelファイルにまとめて共有フォルダに置いている。そのファイルが漏れたら全滅です。退職者のアカウント削除を忘れているケースも多く、棚卸しの習慣がないと元社員が社内システムにアクセスできる状態が残ります。
コントロールパネル → ネットワークとインターネット → ネットワークと共有センター → 「共有の詳細設定の変更」
確認するのは2点です。「パブリックネットワークでの共有」がOFF。「パスワード保護共有」がON。
OneDriveなどのファイルを右クリック → 「共有」で、リンクの有効期限やアクセス権を確認できます。「リンクを知っている全員が編集可能」になっているファイルがあれば、棚卸しの対象です。
よくある落とし穴
Windowsの共有フォルダに「Everyone書き込み権限」が残ったまま。クラウドの共有リンクを取引先に送った後、ずっと共有が生きている。共有設定は「作るとき」は意識しても「消すとき」が抜け落ちがちです。半年に1回、棚卸しの日を決めておくだけで防げます。
一番手軽なのはIPAのメルマガに登録することです。週1回、最新の脅威情報が届きます。登録は数分で終わります。
よくある落とし穴
セキュリティベンダーのSNSだけ見て、一次情報（IPAや警察庁）を見ていない。ベンダーの発信は自社製品に絡めた内容が多いので、偏りが出ます。「見た気がする」で終わって、社内で共有も対処もしていないのも典型的です。月に1回、朝礼やチャットで「今月のセキュリティトピック」を共有するだけで変わります。
Stage 2
全ユーザーアカウントをリスト化し、退職者・不要アカウントを無効化・削除します。退職者のアカウントが放置されていると、不正アクセスの入口になります。
CIS Controls コントロール5「アカウント管理」に対応
パスワードを強くしても、パスワード単体では突破されることがあります。管理者権限を持つアカウントが乗っ取られると、社内システム全体が危険にさらされます。
条件付きアクセスポリシー（ユーザーごとにMFAの条件を細かく設定する機能）を使いたい場合。Microsoft Entra ID P1で899円/ユーザー/月が目安です。最新の料金は公式サイトで確認してください。
CIS Controls コントロール6「アクセス制御」に対応
何を守るべきか分からないまま対策を積み上げても、穴は残ります。「自社にある大事な情報は何か」「それはどこに保存されているか」を一覧にする作業です。
IPAの中小企業向けガイドラインにExcelテンプレートが付属しています。
CIS Controls コントロール1・2「資産管理」に対応
バックアップの業界標準（CISAが推奨）です。
月1回、実際にファイルを復元して中身を確認してください。「バックアップが取れている」のと「戻せる」のは別の話です。
「障害が起きたら何時間以内に業務を再開できるか（RTO）」「いつ時点のデータまで失って許容できるか（RPO）」を決めておくと、バックアップの頻度と保存先が自然に決まります。
CIS Controls コントロール11「データリカバリ」に対応
インシデントが起きた後に「いつ、誰が、何をしたか」を追えないと、原因の特定も再発防止もできません。ログは事後に取得できないデータです。
Windows標準のイベントビューアー（eventvwr.msc）で設定します。
| イベントID | 内容 |
|---|---|
| 4624 | ログオン成功 |
| 4625 | ログオン失敗（不正ログイン試行の検知） |
| 4672 | 管理者権限でのログオン |
| 4720 | ユーザーアカウント作成 |
| 4726 | ユーザーアカウント削除 |
| 7045 | 新規サービスインストール（マルウェア検知） |
SIEMがなくても、イベントビューアーの「カスタムビュー」で上記IDを絞り込み設定しておけば、月1回の確認で異常の兆候を拾えます。参考: Microsoft セキュリティ監査の概要
CIS Controls コントロール8「ログ管理」に対応
5つのアクションのうち4つは無料で始められます。コストがかかるのは主にバックアップ関連です。
| 項目 | 費用目安（従業員30名規模） |
|---|---|
| クラウドバックアップ追加 | 月額3,000〜10,000円（年間3.6〜12万円） |
| パスワードマネージャー（チーム版） | 年間約1.5万円 |
| IG1対策の純増コスト合計 | 年間10〜15万円程度 |
デジタル化・AI導入補助金（セキュリティ対策推進枠）を使えば、対象ツールに対して補助が適用される場合があります。年度により制度内容が変わるため、公式サイトで最新情報を確認してください。
Stage 3
ISMSは「情報セキュリティマネジメントシステム」の略です。情報を守る仕組みを作って、それを回し続ける仕組みです。ISO 27001はその国際基準。JAB（日本適合性認定協会）が認定した審査機関に「基準通りに回せています」と確認してもらうのがISMS認証です。
認証を取った企業はJIPDECのデータベースに登録・公開されます。ISO 27001は2022年に改訂されており、これから取る企業は最新の2022年版で始めます。
自動車産業のサプライチェーンでは、Tier1からのセキュリティ要求がTier2以下に波及する動きが出ています。ISMSとは別に、自動車業界向けのTISAXという認証を求められるケースもあります。取引先から何か言われたら、ISMSなのかTISAXなのか、まず「何を」求められているのかを確認してください。
合計で最短9〜12ヶ月程度。中小企業が無理なく進めるなら、1年は見ておくのが現実的です。
目安1〜3ヶ月。ISMS推進の委員会を作り、管理責任者を決めます。全社で取るか、特定の部署だけにするかの範囲もここで決めます。
目安2〜4ヶ月。情報セキュリティの基本方針を策定し、管理策ごとの手順書を作ります。従業員への教育もこの段階で始まります。
目安3〜6ヶ月。作った規程を実際に回します。内部監査を行い、経営層がレビューするところまでが求められます。
目安1〜2ヶ月。審査機関による審査は2段階です。まず文書の確認（第一段階）、次に運用状況の確認（第二段階）。不適合があれば是正対応が必要です。
審査に合格すると認証証明書が発行され、JIPDECのデータベースに登録されます。
審査費用だけで判断すると、後から想定外の出費に気づくことになります。費用は大きく3つに分かれます。
| 費用区分 | 内容 | 目安 |
|---|---|---|
| 審査費用 | 審査機関への支払い | 20名以下: 30〜60万円 20〜50名: 50〜100万円 50〜100名: 80〜150万円 |
| コンサル費用 | 初回取得支援 | 100〜500万円 |
| 社内工数 | 規程作成、運用記録、内部監査、教育 | 200〜400時間（60〜120万円相当） |
認証には3年の有効期限があり、毎年のサーベイランス審査（維持審査）で審査費の50〜70%程度、内部監査や教育の継続で年間100〜200時間程度の工数が発生し続けます。3年間の総コストで判断すると、見積もりがぶれにくくなります。
一番多いのが、規程は立派に揃っているのに現場では誰もその通りに動いていないパターンです。原因の多くは、経営層のコミットメントが薄いことに行き着きます。
この2つだけで形骸化のリスクはかなり下がります。取得前に「認証を取ることで、具体的にどの取引・どの案件が前に進むか」を試算しておくことも重要です。