業務効率化は、多くの会社にとって重要なテーマです。 手作業を減らす。 入力を自動化する。 紙の書類をデジタル化する。 同じ作業を短い時間で終えられるようにする。 こうした取り組み自体は、とても大切です。 人手不足が続く中で、限られた人数で業務を回していくためにも、ITツールやAI、自動化の活用は避けて通れません。 しかし、業務効率化には見落とされがちな落とし穴があります。 それは、効率化で空いた時間を、すべて別の仕事で埋めてしまうことです。 「この作業が30分短縮できた」 「では、その分で別の業務もお願いしよう」 「ツールを入れたのだから、もっと多くの件数を処理できるはず」 このように考えることは、経営者や管理者の立場では自然かもしれません。 ただ、その結果として、社員一人あたりの作業量や担当範囲が増えすぎていないでしょうか。 業務効率化したはずなのに、現場が前より疲れている。 便利なツールを入れたはずなのに、社員の表情が硬くなっている。 作業時間は短くなったのに、職場全体に余裕がない。 そのような状態になっているなら、効率化の目的を一度見直す必

夏休みやお盆休みなどの長期休暇は、普段よりも業務が止まりやすい時期です。 社員が休みに入る。 システム管理者が不在になる。 取引先の担当者とも連絡が取りづらくなる。 休暇明けには、大量のメールや通知を一気に確認する。 このように、長期休暇の前後は、いつもとは違う状態になりやすくなります。 そのため、セキュリティ面でも注意が必要です。 IPA（情報処理推進機構）も、長期休暇中はシステム管理者が長期間不在になるなど、通常と異なる状況になりやすく、インシデントが発生した場合に対応が遅れたり、休暇後の業務継続に影響が及ぶ可能性があると注意喚起しています。 中小企業では、専任のIT担当者がいない場合も多く、何か起きたときの対応が特定の人に集中しがちです。 だからこそ、休みに入る前に、最低限の確認をしておくことが大切です。 長期休暇中は、いつもと違うリスクが生まれる 長期休暇中は、会社全体の動きが止まります。 それ自体は当然のことですが、セキュリティの観点では、次のようなリスクが生まれます。 異常に気づく人が少なくなる システム管理者や担当者に連絡がつきにく

「昨日も、ほとんど寝ていない」 「深夜まで仕事をしていた」 「忙しくて睡眠時間が取れない」 こうした言葉を聞くと、つい「大変ですね」「頑張っていますね」と受け止めてしまいます。 もちろん、繁忙期や緊急対応で、一時的に業務時間が長くなることはあります。 しかし、睡眠不足の状態で働き続けることが常態化しているなら、それは個人の頑張りではなく、会社として見直すべきサインです。 特に中小企業では、限られた人数で業務を回しているため、経営者、管理職、経理担当者、IT担当者、顧客対応担当者など、一部の人に負荷が集中しやすくなります。 その結果、長時間労働や睡眠不足が当たり前になってしまうことがあります。 しかし、睡眠不足は業務効率を下げるだけではありません。 判断力や注意力が落ちることで、メールの確認ミス、誤送信、不審なURLのクリック、パスワード入力ミスなど、セキュリティ上のリスクも高めます。 会社を守るためには、ウイルス対策ソフトや多要素認証だけでなく、従業員が十分に休める働き方も必要です。 睡眠不足は「頑張り」ではなく、判断力を下げる要因...

フィッシングメールへの注意喚起は、多くの会社で行われるようになってきました。 「怪しいメールを開かない」 「メール内のリンクからログインしない」 「不審な通知は公式サイトや公式アプリから確認する」 こうした対策は、もちろん大切です。 しかし、フィッシング対策を社員の注意力だけに頼るのは限界があります。 最近のフィッシングは、文面や見た目が巧妙なだけでなく、正規サービスのドメインやクラウドサービス、短縮URLなどを悪用し、メールフィルターをすり抜けようとする手口も見られます。 中小企業が考えるべきなのは、社員に「気をつけて」と言うだけではなく、会社のメール環境とアカウント管理を基本から見直すことです。 フィッシング報告件数は減少。でも安心とは言えない フィッシング対策協議会の月次報告によると、2026年6月に寄せられたフィッシング報告件数は72,370件で、前月より大きく減少しました。 この数字だけを見ると、「フィッシングが減ってきた」と感じるかもしれません。 しかし、同じ報告では、フィッシングサイトのURL件数は42,241件で、前月より増加して

会社のセキュリティ対策というと、ウイルス対策ソフト、パスワード管理、多要素認証、バックアップなどを思い浮かべる方が多いと思います。 もちろん、これらの対策は重要です。 しかし、実際のセキュリティ事故では、技術的な対策だけでは防ぎきれない問題があります。それが、「社員がすぐに報告できない」ことです。 たとえば、次のような場面です。 不審なメールのリンクを開いてしまった 偽サイトかもしれない画面にIDやパスワードを入力してしまった 会社のパソコンやスマートフォンを一時的に紛失した 見覚えのないファイルをダウンロードしてしまった 取引先を装ったメールに違和感を覚えた こうしたとき、すぐに報告があれば、被害を小さく抑えられる可能性があります。 一方で、報告が遅れると、ウイルス感染の拡大、不正アクセスの継続、情報漏えい、取引先への被害波及などにつながるおそれがあります。 中小企業にとって重要なのは、単に「ミスをなくす」ことではありません。 ミスや違和感があったときに、すぐ言える職場にしておくことです。 セキュリティ事故は「報告の遅れ」で大きくなる...

2026年6月10日（水）、オープンイノベーションフィールド多摩 八王子館にて開催される中小企業向けセミナーに、ITワークラボとして登壇します。 テーマは「2026年度末制度スタート！大企業の信頼を勝ち取るSCS評価入門」です。 近年、サプライチェーン全体でのサイバーセキュリティ対策が重視されるようになり、中小企業においても「取引先に説明できるセキュリティ対策」が求められつつあります。 本セミナーでは、SCS評価制度の基本と、中小企業が今から取り組める最初の一歩について、わかりやすく解説します。 会場参加・オンライン参加のどちらも可能です。 ご関心のある方は、ぜひお申し込みください。 申込ページ： https://oif-tama.jp/hachioji/event/entry-34126.html 📖 あわせて読みたい 関連ページ IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。 実際のご相談事例は、「導入事例」でもご紹介しています。 ITワークラボの考え方は、「ITワークラボについて」をご覧ください。

攻撃者が狙う意外な入口 「サイバー攻撃」と聞くと、何か特別な技術でシステムをこじ開けられるような場面を想像するかもしれません。 ですが、実際にはもっと地味で、もっと身近な入口が使われています。 それが、 正規のIDとパスワードで“普通にログインされる”攻撃 です。 CrowdStrikeは、日本で2022年に観測した侵入のうち 60%が有効なアカウントの悪用を含んでいた と報告しています。 つまり、攻撃者は必ずしも「壁を壊して入る」とは限りません。 合鍵を手に入れて、正面から入ってくる。 今の攻撃は、そう考えた方が実態に近い場面が増えています。 IPA（独立行政法人 情報処理推進機構）も、流出したID・パスワードや推測されたパスワードが悪用され、不正ログイン被害が増えていると注意喚起しています。 「侵入」ではなく「ログイン」とはどういうことか 昔ながらのサイバー攻撃のイメージは、外からシステムの弱点を突いて無理やり入り込むものです。もちろん今でも、脆弱性を突く攻撃はあります。 ただ最近はそれに加えて、 盗まれたIDとパスワードを使って、本人になり

フィッシングメールが届いたとき、「開いただけでも危ないのでは？」と不安になる方は少なくありません。 特に、会社のメールや個人のスマートフォンで怪しいメールを見つけると、慌ててしまいやすいものです。ですが、まず落ち着いて確認したいのは、 どこまで操作したか です。 IPA（独立行政法人 情報処理推進機構）では、フィッシングのメールやSMSは 開いただけでは被害は発生しない と案内しています。また、本文のURLを開いてしまった場合でも、その先で 情報を入力したり、アプリをインストールしたりしていなければ、基本的に被害は発生しない とされています。 つまり、怖いのは「受け取ったこと」そのものではなく、 その後の操作 です。 この記事では、 フィッシングメールとは何か 開いただけで何が起きるのか 本当に危ないのはどこからか 操作別にどう対処すればよいか を、中小企業の経営者やIT担当者が社内で案内しやすいように、できるだけ分かりやすく整理します。 フィッシングメールとは何か フィッシングとは、実在する企業やサービスを装って、利用者を偽サイトへ誘導し、ID

2025年の調査によると、 日本の消費者の71% が何らかの形でパスワードを再利用しており、世界平均の 68%を上回っている そうです。 「パスワードの使い回しは危ない」と聞くと、すべてのサービスで同じパスワードを使っている状態を思い浮かべるかもしれません。でも実際には、もっと身近な形の使い回しが多いようです。 今回の調査では、日本では「すべての個人アカウントで同じパスワードを使っている」人は13%でした。一方で、 少数のパスワードを複数のサービスで使い回している人が58% を占め、世界平均の51%より高くなっていました。 つまり、多くの人は「 全部同じではないから大丈夫 」と思いながら、実際には いくつかのパスワードを使いまわす危ない運用 をしている可能性があります。一見すると安全そうに感じるかもしれませんが、セキュリティの観点では、これも十分に危険です。 そしてこの問題は、個人の話だけで終わりません。社員の日常的なパスワードの習慣が、会社のメール、クラウドサービス、業務アカウントのリスクにつながることがあります。 この記事では、なぜパスワード

IPA情報セキュリティ安心相談窓口によると、2025年7月に寄せられた 不正ログインに関する相談は144件 で、これまでで最も多くなりました。 内容としては、InstagramやFacebookなどのサービスに不正ログインされ、 自分ではログインできなくなった という相談が多く寄せられています。 ここで大事なのは、これは「相談件数」だということです。つまり、実際に表面化して相談までつながったケースだけでも、かなり多いという見方ができます。 不正ログインは、大企業や有名人だけの話ではありません。 SNS、ショッピングサイト、ネットバンキング、クラウドサービスなど、日常的に使うサービスで起こりえます。 しかも厄介なのは、気づいたときにはすでに パスワードを変更されていた 登録メールアドレスや電話番号を変えられていた 多要素認証まで設定されていた という状態になっていることがある点です。 この記事では、IPAの注意喚起をもとに、 不正ログインはどんな手口で起きるのか 不正ログインの証拠とは何か 被害にあったとき、まず何をすべきか 日頃からどんな対策をし

——業種・規模に関係なく、「隙がある会社」が狙われる時代 「サイバー 攻撃 って、大企業の話でしょ？」 そう思っていた経営者の方に、ぜひ見てほしいデータがあります。 2025年1年間で、国内のセキュリティインシデントの公表件数は559件。 1日あたり約1.5件 のペースで、どこかの会社がサイバー攻撃の被害を発表し続けていた計算になります。 そして攻撃者の狙い方は変わってきました。 かつては「大企業を狙う」という傾向がありましたが、今は違います。 「侵入できる隙があれば、どこでも狙う」 ——業種も規模も関係ない時代に入っています。 1日1.5件——数字が示す「日常化」したリスク トレンドマイクロが公表した2025年の国内インシデント集計によると、年間559件のセキュリティインシデントが公表されました。これは2024年（622件）からわずかに減少しているものの、依然として高水準が続いています。 2025年1月〜12月の国内セキュリティインシデント 公表件数：559件（1日あたり約1.5件） 攻撃カテゴリ1位：不正アクセス　2位：ランサムウェア 出典：

取引先から 「 セキュリティ対策の状況を確認したい 」 と言われたとき、 何を整理すればよいのか どこまで準備すればよいのか 誰が対応すればよいのか で迷う中小企業は多いと思います。 そこで今回、 SCS評価制度（セキュリティ対策評価制度）への対応を求められたときに、 中小企業が最初にやる10項目 を、実務目線で整理したnote有料記事を公開しました。 この記事では、制度の難しい解説だけではなく、 使っている機器やクラウドの整理 管理者アカウントや権限の確認 外部委託先の整理 バックアップや更新確認 取引先に説明できる状態の整え方 など、 実際に手を動かすためのポイント をまとめています。 また、購入者向けの付録として、次の4点も用意しました。 初動チェックリスト 情報資産管理台帳（Excel） セキュリティ対応の役割分担 参考シート 取引先説明前の整理シート 「制度の話は気になるけれど、まず何から始めればいいか分からない」 という方の、最初の整理に使っていただける内容です。 現在、公開記念として 4月中は980円 で公開しています。 5月以

——ただし、「無料版をそのまま使う」のは危ない。 「ChatGPTって、うちの社員も使っているのかな」 そう思っている経営者の方へ、少し気になるデータをお伝えします。 MITがScience誌に発表した研究によると、ChatGPTを使った専門職は同じ 業務にかかる時間が約40%短縮 され、1日に 約59%多くの成果物を生み出せる という結果が出ています。 つまり、AIを使う社員と使わない社員の間に、じわじわと「生産性の差」が生まれ始めているのです。中小企業にとっても、もはや他人事ではありません。 ChatGPTで生産性が「約6割」上がるという現実 2023年、MITの研究チームは453名の専門職を対象に、ChatGPTの有無が業務生産性に与える影響を実験しました。結果は明確でした。 ChatGPTを使ったグループは、文書作成にかかる時間が平均27分から17分に短縮（約37%削減）。さらに、1日に作成できる成果物の量は約59%増加した。加えて、専門家が評価した成果物の「質」も平均約18%高かった。 出典：MIT（マサチューセッツ工科大学）「Expe

IPAから、「中小企業の情報セキュリティ対策ガイドライン 第4.0版」が公開されました。 今回の改訂は、単なる更新ではありません。ランサムウェア被害の深刻化、サプライチェーン全体での対策の必要性、人材不足といった現実を踏まえて、中小企業が取り組みやすい形へ見直されています。改訂版では、情報セキュリティ6か条、自社診断、SCS評価制度を踏まえた整理、人材確保・育成に関する付録などが盛り込まれています。 つまり今回の第4.0版は、難しい仕組みを増やしたというより、 今の中小企業に必要な対策を、より実務に近い形で整理したもの と考えると分かりやすいです。 この記事では、ガイドライン全体を細かく追うのではなく、 中小企業がまず見直したい3つのポイント に絞って整理します。 1. まず見直したいのは「バックアップ」 “取っている”ではなく、“戻せる”まで確認する 第4.0版で特に目立つ変化のひとつが、従来の「5か条」が「6か条」になったことです。 追加されたのは、 「バックアップを取ろう！」 です。本文でも、情報セキュリティ6か条の中にバックアップが

「IT担当者がいないから、困っている」 この悩みを抱えている経営者は、実は非常に多いです。 トラブルが起きても誰に聞けばいいかわからない。 新しいツールを導入したくても判断できない。 セキュリティが心配だけど、何をすればいいかわからない——。 そこで「IT担当者を採用しよう」と考える経営者の方も多いのですが、実際に求人を出そうとして驚く現実があります。 採用にかかる費用が、100万円以上になるのです。 ITエンジニアの採用、実際いくらかかるのか マイナビの「中途採用状況調査2024年版」によると、IT・通信・インターネット業界の平均採用コストは年間574万円以上にのぼります。採用手法別に1人あたりの費用を見ると、次のようになります。 採用手法 1人あたりの費用相場 人材紹介エージェント 約 454 万円 求人広告（転職サイト） 約 274 万円 ダイレクトリクルーティング 約 253 万円 合同企業説明会 約 166 万円 出典：マイナビ「中途採用状況調査2024年版」 これはあくまで「採用できたとき」の費用です。 採用できなかった場合でも、求人

「ITツールを入れたのに、なぜか業務が楽にならない」 そんな声を、経営者の方からよく耳にします。 クラウドサービスを導入した、勤怠管理システムを入れた、チャットツールを使い始めた。 でも、現場は相変わらずExcelと紙が中心——。 これは、決して珍しいことではありません。 ITツールの導入プロジェクトのうち、 約70%が期待した成果を得られていない といわれています。「導入した＝成功」ではないのです。 では、成功した会社と失敗した会社の間には、いったい何の違いがあるのでしょうか。 失敗する会社に共通する「3つのパターン」 多くの失敗事例を分析すると、IT導入がうまくいかない会社には明確な共通点があります。 パターン① 「とりあえずDX」で目的が曖昧なまま導入する 失敗の原因として最も多いのが「明確な目標設定の欠如」で、全体の約32%を占めています。「国が補助金を出しているから」「周りの会社が導入しているから」という理由で、何のために入れるのかが曖昧なまま進んでしまうケースです。 具体的なKPIを設定していない企業のIT導入成功率はわずか23%（帝

「うちは中小企業だから、サイバー攻撃なんて関係ない」 そう思っている経営者の方こそ、今回の記事を読んでほしいと思います。 ランサムウェアとは、パソコンやサーバー内のデータを暗号化し、「元に戻してほしければ身代金を払え」と要求するサイバー攻撃です。近年、その被害は急増しており、IPAが発表した「情報セキュリティ10大脅威 2025」では、組織部門で5年連続の第1位に選ばれています。 しかも、その被害は大企業だけの話ではありません。 最新データによると、被害を受けた組織のうち中小企業が半数以上を占めています。 そして感染してしまった場合、復旧にかかる費用は想像をはるかに超えます。 復旧費用1,000万円以上が、約半数という現実 警察庁の調査によると、ランサムウェアの被害を受けた企業・団体のうち、調査や復旧にかかった費用が1,000万円以上に上ったケースは全体の約半数を占めています。 「それって大企業の話でしょ？」と感じる方もいるかもしれません。 ところが、中小企業の1社あたりの平均年間売上高（約2.1億円）に対して、1,000万円の復旧費用は年間売上

〜報道されない現場の「静かな悲鳴」〜 また大手で情報漏えいか。 まぁ、うちは狙われるほど有名じゃないから ニュースを眺めながら、そんなふうに思っていませんか？ 確かに、大企業の事故は派手に報じられます。 数十万件のデータ流出、工場の完全停止、数億円の賠償。 それらは世間を騒がせる「大事件」です。 しかし、私が日々向き合っているのは、そんな華々しい（と言っては語弊がありますが）ニュースの裏側。 決して報道はされないけれど、確実に一社の経営を揺るがしている「現場の真実」です。 「誰も知らない」だけで、事故は隣で起きている 中小企業の事故がニュースにならない理由はシンプルです。 上場していないから、公表義務が曖昧だから、そして何より「取引先にバレたくない」という切実な事情があるからです。 ですが、現場で起きている現実は過酷そのものです。 朝一番、パソコンのファイルがすべて「暗号化」されて開かなくなっている。 取引先から「お宅の担当者の名前で、怪しいメールが届いたぞ」と怒りの電話が入る。 普段使っているクラウドのアカウントが乗っ取られ、勝手に操作されてい

「パソコンが動かないんだけど…」 「メールが送れないんだけど…」 社内でITトラブルが起きたとき、 決まって同じ人に聞いていませんか？ 中小企業ではよくある光景です。 IT担当がいない会社ほど、「詳しそうな人」「昔設定した人」「若いから分かりそうな人」に自然と質問が集中していきます。 しかしこの状態、実は 会社にとってかなり危険 です。 なぜ、同じ人にITトラブルが集中するのか？ 理由はとてもシンプルです。 正式なIT担当が決まっていない マニュアルやルールがない 「とりあえず分かる人に聞けばいい」文化になっている その結果、 本来の業務を中断して対応している 対応内容がその人の頭の中にしか残らない その人が休むと誰も対応できない という状態が生まれます。 最初は善意で対応していたはずが、いつの間にか その人だけが抱え込む構造 になってしまいます。 「詳しい人がいるから大丈夫」は危険な勘違い 経営者の方から、よくこんな言葉を聞きます。 「うちは詳しい人が一人いるから、何とかなっている」 短期的には、その通りかもしれません。 しかし、長期的に見ると

「IT担当がいない…何から手をつければいいの？」 そんな不安を抱えながら、日々の業務を何とか回している中小企業は少なくありません。 実際、八王子・多摩地域でも「ITの相談をできる人が社内にいない」 「担当者が退職してしまった」「そもそもITの管理方法が分からない」 といった声をよく耳にします。 ですが安心してください。 IT担当がいなくても、最初にやるべきことはシンプルな3つだけ。 今日からすぐに取り組めて、会社のITリスクを確実に下げる方法です。 ① アカウントの確認──“誰が何を使っているか”を見える化する 最初のステップはとても基本的ですが、ほとんどの企業で整理されていないポイントです。 社員は何のアカウントを使っている？ メール・クラウド・勤怠・会計など、サービスの一覧はある？ 退職者のアカウントは残っていない？ アカウントが整理されていないと、 退職者が今もログインできる状況 や 誰が何にアクセスできるのか不明な状態 が放置され、重大な事故につながりやすくなります。 まずは紙でもExcelでも大丈夫。 「会社で使っているサービス」と「