会社のノートパソコンを持ち歩く機会は、以前より増えています。 在宅勤務、外出先での作業、出張、取引先訪問、カフェでの資料確認など、社用PCを社外で使う場面は珍しくありません。 その一方で、どうしても避けられないリスクがあります。 それが、社用PCの紛失・盗難です。 電車に置き忘れた。 カフェに置いたまま席を離れてしまった。 車上荒らしでカバンごと盗まれた。 自宅に持ち帰ったはずなのに見当たらない。 こうした事態が起きたとき、重要なのは「誰が悪いか」を先に考えることではありません。 まず必要なのは、被害を広げないための初動対応です。 特に中小企業では、紛失時の連絡先や対応手順が決まっておらず、担当者や社員がその場で判断せざるを得ないことがあります。 しかし、対応が遅れるほど、情報漏えい、不正アクセス、取引先への影響、業務停止などのリスクは高まります。 今回は、社用PCを紛失したときに中小企業がまず取るべき対応と、事前に決めておきたいルールを整理します。 社用PCの紛失は「物をなくした」だけでは済まない 社用PCを紛失したと聞くと、まず思い浮かぶのは

会社のノートパソコンを自宅に持ち帰って仕事をする。 今では、それほど珍しいことではありません。 在宅勤務、出張前後の作業、急ぎの資料修正、休日明けの準備など、業務上どうしても必要になる場面もあります。 一方で、社用PCの持ち帰りには、情報漏えい、紛失、盗難、不正アクセス、私物機器との混同など、さまざまなリスクがあります。 特に中小企業では、 「なんとなく持ち帰っている」 「上司が許可しているから大丈夫」 「特にルールはないが、各自で気をつけている」 という状態になっていることも少なくありません。 しかし、社員の注意力だけに任せる運用には限界があります。 大切なのは、社用PCの持ち帰りを一律に禁止することではなく、会社として最低限のルールを決めておくことです。 今回は、中小企業が社用PCの持ち帰りについて最低限決めておきたい7つの項目を整理します。 1. 誰が、どのような場合に持ち帰ってよいのか 最初に決めるべきなのは、社用PCを持ち帰ってよい条件です。 よくないのは、「必要なら各自の判断で持ち帰ってよい」という曖昧な状態です。...

会社から貸与されたパソコンは、単なる作業道具ではありません。 顧客情報、見積書、請求書、社内資料、取引先とのメール、クラウドサービスへのログイン情報など、会社の大切な情報につながる入口です。 しかし、日常業務の中では、 「少しだけなら大丈夫」 「いつもやっているから問題ない」 「急ぎだから仕方ない」 という判断で、思わぬ情報漏えいやトラブルにつながることがあります。 特に中小企業では、専任のIT担当者がいなかったり、社用PCの使い方に関するルールが明文化されていなかったりすることも少なくありません。 今回は、会社のパソコンでやってはいけないことを7つに整理します。 1. 私用サイトや私的なサービスに使う 会社のパソコンで、業務に関係のないサイトを見たり、個人用のサービスにログインしたりするのは避けるべきです。 たとえば、私用のネットショッピング、個人のSNS、動画サイト、個人メール、オンラインゲーム、私的なクラウドサービスなどです。 問題は「サボっているように見える」という話だけではありません。 不審な広告をクリックしてしまう、個人アカウントと業

「うちはどのくらい危ない状態なんだろう？」 中小企業のセキュリティ相談を受けていると、こうした質問をいただくことがあります。 ただ実際には、 何が危険なのか分からない どこまで対策すればいいのか分からない 他社と比べて自社が危険なのか判断できない という会社も少なくありません。 そんな中、IPA（情報処理推進機構）の調査では、セキュリティ対策状況の自己評価が低い企業ほど、被害額が大きくなる傾向が示されています。 特に注目されているのが、 自己評価70点未満の企業では、被害額が最大5,000万円に達した事例がある という点です。 一方で、自己評価70点以上の企業では、最大被害額が100万円という結果でした。 もちろん、点数だけですべてが決まるわけではありません。 ただ、「対策状況を把握している会社」と「何となく運用している会社」では、事故が起きたときの差が大きくなる現実が見えてきます。 被害を大きくするのは、攻撃より準備不足 サイバー攻撃というと、高度なハッキングを想像されることがあります。 でも実際には、 バックアップが取れていない 誰が管理して

「うちは今まで一度も被害に遭っていないから大丈夫」 中小企業の現場では、こうした声を聞くことがあります。 確かに、毎日の業務が普通に回っていると、セキュリティ対策は“後回し”になりがちです。 実際に、IPA（情報処理推進機構）の調査で、中小企業の約半数がセキュリティ対策に投資していないという結果が出ています。 そして、問題なのは「投資額の大小」よりも、 “何も起きていないから必要ない”という空気 の方かもしれません。 「問題が起きていない」は、本当に安全？ セキュリティ対策は、売上のように成果が見えやすいものではありません。 そのため、 今まで被害がない 社員が困っていない 業務が止まっていない という状態だと、「まだ大丈夫」と感じやすくなります。 でも、実際のサイバー攻撃は、 ある日突然メールが送れなくなる クラウドにログインできなくなる 共有フォルダが暗号化される 取引先に不審メールが送られる など、何も起きていなかった会社に突然発生します。 事故が起きてから、 「もっと早く見直しておけばよかった」 となるケースは少なくありません。 セキュリ

「うちはまだ大丈夫だと思う」 中小企業のセキュリティ相談を受けていると、本当によく聞く言葉です。 実際、多くの会社では、ウイルス対策ソフトを入れたり、怪しいメールに気をつけたり、できる範囲で対策をしています。 ただ、その一方で、こんな状態になっている会社も少なくありません。 パソコン管理はなんとなく詳しい社員任せ 退職者アカウントが残ったまま Wi-Fiの設定を誰も把握していない NASやルーターの更新時期が不明 「困ったら業者に聞く」以外の運用がない ここでいう“社員任せ”とは、各社員が悪いという意味ではありません。 会社として担当者やルールが決まっておらず、詳しい人・気づいた人・各社員の判断に頼っている状態のことです。 中小企業の約7割は、セキュリティを組織で管理できていない IPA（情報処理推進機構）の調査では、情報セキュリティ対策を組織的には行っていない中小企業が69.7%という結果が出ています。 つまり、約7割の中小企業では、セキュリティ対策が会社全体の仕組みとして管理されておらず、現場任せ・詳しい人任せになっている状態です。...

「SECURITY ACTION」という言葉を聞いたことはあるけれど、 何をすればよいのか分からない―― そんな中小企業の方も多いのではないでしょうか。 SECURITY ACTIONは、IPA（情報処理推進機構）が提供している 中小企業向けの情報セキュリティ対策の自己宣言制度です。 そして、その最初の段階である「一つ星」は、 特別なツールや高度な技術がなくても、すぐに始められる内容になっています。 今回は、SECURITY ACTION一つ星で求められる 「情報セキュリティ5か条」を、実務の視点で解説します。 SECURITY ACTION一つ星の条件は 「情報セキュリティ5か条」 SECURITY ACTION一つ星は、 次の5つの基本対策に取り組むことを宣言することで取得できます。 一つずつ見ていきましょう。 ① OSやソフトウェアを最新の状態にする これは最も重要な対策です。 古いOSやソフトウェアは、 すでに知られている「弱点（脆弱性）」をそのまま放置している状態です。 実際の現場では、次のようなケースをよく見かけます。 Windows

経産省の「セキュリティ対策評価制度」という言葉を聞いて、 多くの中小企業の経営者や担当者は、こんな印象を持つのではないでしょうか。 何だか難しそう 高度なセキュリティ対策が必要そう 専門のIT担当がいないと無理そう ですが、最初にお伝えしておきたいことがあります。 この制度は、セキュリティを“強化させる”ための制度ではありません。 この制度が見ているのは「技術」ではない 誤解されがちですが、セキュリティ対策評価制度で主に見られているのは、 最新のセキュリティ製品を使っているか 高度な防御ができているか ではありません。 評価されるのは、もっと基本的な部分です。 誰が判断するのか決まっているか 何を守るべきか整理されているか 事故が起きたとき、最低限どう動くか考えられているか つまり、 「ITやセキュリティを、経営として扱えているか」 が問われています。 なぜ「評価制度」という形を取っているのか この制度の背景には、はっきりした目的があります。 それは、 中小企業に“高度な対策”を求めることではなく、 取引先が安心して仕事を任せられる最低ラインを示

日々の業務の中で、「パソコンの動きがいつもと違う」「ウイルス感染かも？」といった不安に直面することはあります。 そんな時、思わず とりあえず再起動 ウイルススキャンをすぐに実行 故障だと思って初期化 といった対応をしてしまいがちです。 しかし、こうした行動が その後の調査や対応を難しくすること があるのをご存じでしょうか？ 証拠保全って何？ 証拠保全とは、 後から「何が起きたのか」を確認できるように、 パソコンやログの状態をできるだけ変えずに残すこと 不正アクセスや被害の調査では、 いつ／どこから／どのアカウントで／何が行われたか という情報が、 ログやシステムの状態として残っています 。 再起動や初期化は、これらの“手がかり”を消してしまう可能性があります。 フォレンジック調査って何？ ここで出てくる専門用語に 「 フォレンジック調査」 という言葉があります。 「何のこと？」と思われる経営者の方もいるでしょう。 フォレンジック調査とは、 専門家が“デジタルの証拠”をもとに 何が起きたのかを客観的に調べる調査のことです。 イメージとしては、IT

セキュリティ対策というと、 「まずはツールを導入する」 「全従業員に研修を実施する」 といった対策を思い浮かべる方が多いかもしれません。 実際、ITワークラボにご相談いただく中小企業の多くでも、 最初のご要望は 「何か良いセキュリティ製品はありませんか？」 「全員研修をやった方がいいですよね？」 という形で出てきます。 もちろん、ツール導入や研修は重要な対策です。 ただし、ここで一度立ち止まって考えていただきたいことがあります。 全員研修が抱えやすい“現実的な課題” 全従業員を対象にしたセキュリティ研修は、分かりやすい反面、次のような課題を抱えがちです。 研修費用が高くなりやすい 業務時間をまとめて確保する必要がある すでに知識のある人にとっては内容が重複しやすい その結果、 「コストをかけた割に、どれだけリスクが下がったのか分からない」 という状態になってしまうことも少なくありません。 これは研修そのものが悪いのではなく、 「誰に、どの程度の対策が必要なのか」が見えないまま実施している ことが原因です。 標的型メール訓練が“起点”になる理由..

「IT担当がいない…何から手をつければいいの？」 そんな不安を抱えながら、日々の業務を何とか回している中小企業は少なくありません。 実際、八王子・多摩地域でも「ITの相談をできる人が社内にいない」 「担当者が退職してしまった」「そもそもITの管理方法が分からない」 といった声をよく耳にします。 ですが安心してください。 IT担当がいなくても、最初にやるべきことはシンプルな3つだけ。 今日からすぐに取り組めて、会社のITリスクを確実に下げる方法です。 ① アカウントの確認──“誰が何を使っているか”を見える化する 最初のステップはとても基本的ですが、ほとんどの企業で整理されていないポイントです。 社員は何のアカウントを使っている？ メール・クラウド・勤怠・会計など、サービスの一覧はある？ 退職者のアカウントは残っていない？ アカウントが整理されていないと、 退職者が今もログインできる状況 や 誰が何にアクセスできるのか不明な状態 が放置され、重大な事故につながりやすくなります。 まずは紙でもExcelでも大丈夫。 「会社で使っているサービス」と「