「利用しているサービスから、情報漏えいの可能性を知らせるメールが届いた」 「今も普通に使えているけれど、どのくらい深刻なのだろう」 「サービス提供会社が対応しているなら、こちらは待っていればよいのでは？」 クラウドやレンタルサーバーを使う会社で、こうした通知に戸惑うことがあります。 専任のIT担当者がいなければ、何をどこまで確認するべきか、判断しにくいでしょう。 まず大切なのは、自社のどの契約・情報が対象で、どの対応を求められているかを確認することです。提供会社の調査・復旧と並行して、利用企業にも確認できることがあります。 この記事では、IT担当者がいない中小企業の経営者・兼務IT担当者に向けて、通知を受け取った後の確認を8項目に整理します。 ※事例に関する情報は2026年9月30日時点で確認した公式情報に基づきます。最新の案内と、自社宛ての個別通知を併せて確認してください。 「漏えいの可能性」は、何を意味する？ 「漏えいの可能性」という表現だけでは、被害の大きさは判断できません。 通知を読むときは、次の3点を分けて確認しましょう。...

「カスタマーハラスメント対策が義務化されると聞いたものの、何から始めればよいか分からない」 「相談窓口は作ったが、現場から本当に連絡が来るのだろうか」 「電話を録音すれば十分なのか、そのデータを誰が管理するのか決まっていない」 このような状態の会社、多いのではないでしょうか。 2026年10月1日から、すべての事業主にカスタマーハラスメント対策が義務付けられます。 会社には、方針の明確化や相談体制の整備だけでなく、事実関係の確認、被害を受けた従業員への配慮、再発防止、相談者のプライバシー保護などが求められます。 ただし、規程や窓口を用意しただけでは、現場で迷わず動ける仕組みにはなりません。 相談先が分からない、記録方法が人によって違う、証拠が個人のスマートフォンやパソコンに残る、といった状態では、必要な情報を責任者へ速やかにつなげることが難しくなります。 そこで役立つのがITです。 この記事では、カスハラかどうかを機械に判定させるのではなく、従業員を一人で抱え込ませず、事実を残し、責任者へ早くつなぐためにITをどう使うかを、中小企業向けに整理しま

「古いパソコンは、Windowsを初期化してから処分すれば大丈夫」 そう考えている会社は少なくないでしょう。 確かに、Windowsにはファイルやアプリを削除してパソコンを初期状態に戻す機能があります。しかし、会社のパソコンには顧客名簿、見積書、メール、ブラウザーの保存情報などが残っている可能性があります。 パソコンを社外へ出す場合は、単に画面上からファイルが見えなくなっただけでなく、保存されていた情報を復元しにくい状態にすることが重要です。 ただし、Windowsの初期化がまったく無意味というわけでも、すべてのパソコンを物理的に壊す必要があるわけでもありません。 この記事では、専任のIT担当者がいない中小企業向けに、PCの売却・リース返却・廃棄前に確認したいデータ消去の考え方を解説します。 「ファイルの削除」と「データの消去」は違う パソコン上でファイルを削除し、ごみ箱を空にしても、データそのものが直ちに完全消去されるとは限りません。 多くの場合は、パソコンが「この場所を新しいデータに使ってよい」と判断できる状態になるだけです。新しいデータで上

「あなたの会社のWebサイトに重大な脆弱性があります」 「至急、以下のリンクから修正してください」 「対応しなければ情報漏えいにつながるおそれがあります」 このようなメールが届いたら、心配になってすぐにリンクを開きたくなるかもしれません。 本当に問題があるなら、放置するわけにはいきません。 一方で、警告に見せかけて偽サイトへ誘導し、IDやパスワードを盗もうとするメールの可能性もあります。 大切なのは、「すぐにクリックする」か「怪しいので無視する」かの二択にしないことです。メールに書かれたリンクや連絡先を使わなくても、警告の内容が本物かどうかは確認できます。 この記事では、IT担当者がいない中小企業でも実践できる、安全な確認手順を紹介します。 「脆弱性」とは、システムにあるセキュリティ上の弱点 脆弱性とは、ソフトウェアやWebサイトなどに存在する、セキュリティ上の弱点や不具合のことです。 たとえば、Webサイトの更新に使っているシステムや追加機能に脆弱性があると、悪意のある第三者に不正操作されたり、情報を盗まれたりする可能性があります。そのため、脆

Microsoft 365やGoogle Workspaceの設定は、導入した業者に任せている 管理画面を見ても、何が正しい設定なのか分からない 自分で触って業務に影響が出るのが怖い サービス提供会社がセキュリティも管理してくれていると思う クラウドサービスを利用している中小企業では、このような状態も珍しくありません。 詳しい担当者や委託先へ設定作業を任せること自体は、決して問題ではありません。 むしろ、自社に専門知識を持つ人がいなければ、無理に設定を触るよりも専門家へ依頼する方が安全な場合もあります。 ただし、設定作業を任せることと、管理まで完全に手放すことは同じではありません。 クラウドの設定は、導入したときのまま固定されるものではないからです。 社員の入退社、組織変更、外部とのデータ共有、アプリの追加などによって少しずつ変わります。 重要なのは、自分で設定できるようになることではありません。 誰が、何を、なぜ変更したのかを確認できる状態にしておくことです。 クラウド事業者がすべて管理してくれるわけではない Microsoft 365やGoo

社内のパソコンに突然、身代金を要求する画面が表示された 共有フォルダが開けず、複数の社員が仕事を続けられない 取引先から「御社から不審なメールが届いた」と連絡が入った システム会社へ電話したが、担当者につながらない このような事態が起きたとき、あなたの会社では誰が何を判断するでしょうか。 「感染したパソコンをネットワークから切り離す」 「保守会社へ連絡する」 といった対処を知っていても、実際の事故では技術的な対応だけでなく、さまざまな判断が必要になります。 業務をどこまで止めるのか 社員には何を伝えるのか 顧客や取引先へ連絡するのか 誰が対応方針を決めるのか 復旧まで仕事をどう続けるのか こうした判断を、事故が起きてから初めて考えるのは危険です。 そこで役立つのが、ランサムウェアの発生を想定した「机上演習」です。 セキュリティ訓練は、専門家だけのものではない セキュリティ訓練と聞くと、次のような専門的なものを想像するかもしれません。 社員へ模擬的な標的型メールを送る 実際のシステムを止めて復旧させる セキュリティ製品を操作する 専門業者が攻撃を再

夏休みやお盆休みなどの長期休暇は、普段よりも業務が止まりやすい時期です。 社員が休みに入る。 システム管理者が不在になる。 取引先の担当者とも連絡が取りづらくなる。 休暇明けには、大量のメールや通知を一気に確認する。 このように、長期休暇の前後は、いつもとは違う状態になりやすくなります。 そのため、セキュリティ面でも注意が必要です。 IPA（情報処理推進機構）も、長期休暇中はシステム管理者が長期間不在になるなど、通常と異なる状況になりやすく、インシデントが発生した場合に対応が遅れたり、休暇後の業務継続に影響が及ぶ可能性があると注意喚起しています。 中小企業では、専任のIT担当者がいない場合も多く、何か起きたときの対応が特定の人に集中しがちです。 だからこそ、休みに入る前に、最低限の確認をしておくことが大切です。 長期休暇中は、いつもと違うリスクが生まれる 長期休暇中は、会社全体の動きが止まります。 それ自体は当然のことですが、セキュリティの観点では、次のようなリスクが生まれます。 異常に気づく人が少なくなる システム管理者や担当者に連絡がつきにく

フィッシングメールへの注意喚起は、多くの会社で行われるようになってきました。 「怪しいメールを開かない」 「メール内のリンクからログインしない」 「不審な通知は公式サイトや公式アプリから確認する」 こうした対策は、もちろん大切です。 しかし、フィッシング対策を社員の注意力だけに頼るのは限界があります。 最近のフィッシングは、文面や見た目が巧妙なだけでなく、正規サービスのドメインやクラウドサービス、短縮URLなどを悪用し、メールフィルターをすり抜けようとする手口も見られます。 中小企業が考えるべきなのは、社員に「気をつけて」と言うだけではなく、会社のメール環境とアカウント管理を基本から見直すことです。 フィッシング報告件数は減少。でも安心とは言えない フィッシング対策協議会の月次報告によると、2026年6月に寄せられたフィッシング報告件数は72,370件で、前月より大きく減少しました。 この数字だけを見ると、「フィッシングが減ってきた」と感じるかもしれません。 しかし、同じ報告では、フィッシングサイトのURL件数は42,241件で、前月より増加して

「このメール、いつも届く通知に見える」 「セキュリティ設定の確認なら、対応した方がよさそう」 「契約更新のお知らせだから、早めに確認しておこう」 こうした“見慣れたメール”に見えるフィッシングが増えています。 以前のフィッシングメールは、日本語が不自然だったり、見た目が明らかに怪しかったりするものも多くありました。 しかし最近は違います。 本物の通知メールや注意喚起メールの文面をまねて、そこに偽サイトへのリンクを紛れ込ませる手口が出ています。 フィッシング対策協議会の2026年2月の月次報告でも、本物のセキュリティ設定通知依頼や注意喚起メール文面を模倣し、フィッシングサイトへのリンクを追加したメールは違和感に気付きにくいと指摘されています。 つまり、これからのフィッシング対策では、 「怪しいメールを見抜く」だけでは不十分 になってきています。 フィッシング報告件数は12万件超 フィッシング対策協議会によると、 2026年3月に寄せられたフィッシング報告件数は122,381件、 フィッシングサイトURL件数も69,936件、 悪用されたブランド件数

会社のセキュリティ対策というと、ウイルス対策ソフト、パスワード管理、多要素認証、バックアップなどを思い浮かべる方が多いと思います。 もちろん、これらの対策は重要です。 しかし、実際のセキュリティ事故では、技術的な対策だけでは防ぎきれない問題があります。それが、「社員がすぐに報告できない」ことです。 たとえば、次のような場面です。 不審なメールのリンクを開いてしまった 偽サイトかもしれない画面にIDやパスワードを入力してしまった 会社のパソコンやスマートフォンを一時的に紛失した 見覚えのないファイルをダウンロードしてしまった 取引先を装ったメールに違和感を覚えた こうしたとき、すぐに報告があれば、被害を小さく抑えられる可能性があります。 一方で、報告が遅れると、ウイルス感染の拡大、不正アクセスの継続、情報漏えい、取引先への被害波及などにつながるおそれがあります。 中小企業にとって重要なのは、単に「ミスをなくす」ことではありません。 ミスや違和感があったときに、すぐ言える職場にしておくことです。 セキュリティ事故は「報告の遅れ」で大きくなる...

先日、オープンイノベーションフィールド多摩 八王子館にて登壇した中小企業向けセキュリティセミナーについて、同館のイベント通信に掲載いただきました。 今回のセミナーでは、2026年度末頃に開始予定の「SCS評価制度」をテーマに、中小企業が今から整理しておきたいセキュリティ対策についてお話ししました。 SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で確認しやすくするための制度です。 難しい制度対応だけを目的にするのではなく、まずは自社のIT環境やセキュリティ対策を整理し、取引先に「何を、どこまで、どう管理しているか」を説明できる状態を作ることが大切です。 セミナーでは、特に以下のような基本対策を中心に解説しました。 ・利用しているITサービスやアカウントの整理 ・パスワード管理と多要素認証 ・重要データのバックアップ ・パソコンやスマートフォンなどの端末管理 ・退職者アカウントの削除 ・社内ルールと責任者の明確化 セキュリティ対策は、大企業だけの話ではありません。 中小企業にとっても、取引継続や新規取引に関わる「

会社のノートパソコンを持ち歩く機会は、以前より増えています。 在宅勤務、外出先での作業、出張、取引先訪問、カフェでの資料確認など、社用PCを社外で使う場面は珍しくありません。 その一方で、どうしても避けられないリスクがあります。 それが、社用PCの紛失・盗難です。 電車に置き忘れた。 カフェに置いたまま席を離れてしまった。 車上荒らしでカバンごと盗まれた。 自宅に持ち帰ったはずなのに見当たらない。 こうした事態が起きたとき、重要なのは「誰が悪いか」を先に考えることではありません。 まず必要なのは、被害を広げないための初動対応です。 特に中小企業では、紛失時の連絡先や対応手順が決まっておらず、担当者や社員がその場で判断せざるを得ないことがあります。 しかし、対応が遅れるほど、情報漏えい、不正アクセス、取引先への影響、業務停止などのリスクは高まります。 今回は、社用PCを紛失したときに中小企業がまず取るべき対応と、事前に決めておきたいルールを整理します。 社用PCの紛失は「物をなくした」だけでは済まない 社用PCを紛失したと聞くと、まず思い浮かぶのは

「二段階認証を入れているから大丈夫」 「SMSで認証コードが届くから安心」 「パスワードだけより安全なはず」 この考え方は、基本的には正しいです。 実際、Microsoftは、多要素認証、いわゆるMFAがアカウント侵害攻撃の99.2%以上を防げると説明しています。 IDとパスワードだけでログインできる状態と比べれば、MFAは非常に有効な対策です。 ただし、ここで注意したいことがあります。 MFAを入れていれば、どんなフィッシングにも絶対に安全、というわけではありません。 最近のフィッシングでは、ID・パスワードだけでなく、SMSや認証アプリに表示される認証コードそのものを入力させようとする手口があります。 つまり、これから大切なのは、「MFAを入れること」だけでなく、「認証コードをどこに入力しているのか」を確認することです。 MFAは、今でも非常に有効な対策 まず、誤解してはいけないのは、MFAそのものは非常に重要だということです。 MFAとは、ログイン時に複数の要素で本人確認を行う仕組みです。 たとえば、 パスワード SMSで届く認証コード 認

会社のノートパソコンを自宅に持ち帰って仕事をする。 今では、それほど珍しいことではありません。 在宅勤務、出張前後の作業、急ぎの資料修正、休日明けの準備など、業務上どうしても必要になる場面もあります。 一方で、社用PCの持ち帰りには、情報漏えい、紛失、盗難、不正アクセス、私物機器との混同など、さまざまなリスクがあります。 特に中小企業では、 「なんとなく持ち帰っている」 「上司が許可しているから大丈夫」 「特にルールはないが、各自で気をつけている」 という状態になっていることも少なくありません。 しかし、社員の注意力だけに任せる運用には限界があります。 大切なのは、社用PCの持ち帰りを一律に禁止することではなく、会社として最低限のルールを決めておくことです。 今回は、中小企業が社用PCの持ち帰りについて最低限決めておきたい7つの項目を整理します。 1. 誰が、どのような場合に持ち帰ってよいのか 最初に決めるべきなのは、社用PCを持ち帰ってよい条件です。 よくないのは、「必要なら各自の判断で持ち帰ってよい」という曖昧な状態です。...

2026年6月10日（水）オープンイノベーションフィールド多摩 八王子館にて、中小企業向けセキュリティセミナー「大企業の信頼を勝ち取る SCS評価入門」に登壇しました。 今回のセミナーでは、2026年度末頃の開始が予定されているSCS評価制度の概要を中心に、中小企業が今から整理しておきたいセキュリティ対策についてお話ししました。 特に、以下のような内容を、専門用語をできるだけ使わずに解説しました。 ・SCS評価制度とは何か ・中小企業にどのような影響があるのか ・SECURITY ACTIONとの関係 ・取引先に説明できる状態とは何か ・まず整えるべき基本対策 ・アカウント管理、多要素認証、バックアップ、退職者アカウント削除、社内ルールの重要性 セキュリティ対策は、大企業だけの話ではありません。 中小企業も、取引先・委託先・協力会社としてサプライチェーンの一部になっています。 そのため、これからは「セキュリティ対策をしているか」だけでなく、「何を、どこまで、どう管理しているか」を説明できることが重要になります。 ITワークラボでは、IT担当者がい

「怪しいメールは、見れば分かる」 以前は、そう考えていた方も多いかもしれません。 確かに、不自然な日本語、怪しい差出人、明らかにおかしなURLなど、分かりやすいフィッシングメールもあります。 しかし最近は、状況が変わってきています。 フィッシング対策協議会の月次報告によると、2026年3月のフィッシングサイトURL件数は69,936件。前月から52,863件増加し、約309.6%増となりました。フィッシング報告件数も122,381件に達しています。 引用元：https://www.antiphishing.jp/report/monthly/202603.html さらに2026年4月には、フィッシング報告件数が151,112件となり、前月比でさらに約23.5%増加しています。 つまり、フィッシングは「たまに届く怪しいメール」ではなく、日常的に大量発生するリスクになっています。 そして、ここで重要なのは、社員一人ひとりの見分ける力だけに頼るには、すでに限界があるということです。 フィッシングサイトURLが増えると、何が困るのか...

会社から貸与されたパソコンは、単なる作業道具ではありません。 顧客情報、見積書、請求書、社内資料、取引先とのメール、クラウドサービスへのログイン情報など、会社の大切な情報につながる入口です。 しかし、日常業務の中では、 「少しだけなら大丈夫」 「いつもやっているから問題ない」 「急ぎだから仕方ない」 という判断で、思わぬ情報漏えいやトラブルにつながることがあります。 特に中小企業では、専任のIT担当者がいなかったり、社用PCの使い方に関するルールが明文化されていなかったりすることも少なくありません。 今回は、会社のパソコンでやってはいけないことを7つに整理します。 1. 私用サイトや私的なサービスに使う 会社のパソコンで、業務に関係のないサイトを見たり、個人用のサービスにログインしたりするのは避けるべきです。 たとえば、私用のネットショッピング、個人のSNS、動画サイト、個人メール、オンラインゲーム、私的なクラウドサービスなどです。 問題は「サボっているように見える」という話だけではありません。 不審な広告をクリックしてしまう、個人アカウントと業

「差出人が知っている会社名だった」 「メールアドレスもそれっぽく見えた」 「いつも使っているサービスからの通知に見えた」 こうした理由で、メールを信用して開いてしまうことがあります。 しかし最近のフィッシングは、差出人名やメールアドレスが正しそうに見えても、安全とは言い切れません。 フィッシング対策協議会の2026年3月の月次報告では、調査用メールアドレスに届いたフィッシングメールのうち、メール差出人に実在するサービスのメールアドレスやドメイン名を使った「なりすまし」フィッシングメールが約49.7％だったとされています。 引用元：https://www.antiphishing.jp/report/monthly/202603.html つまり、フィッシングメールの約半数は、「差出人が本物っぽく見える」可能性があるということです。 「差出人を確認しましょう」だけでは足りない フィッシング対策として、よく言われるのが「差出人を確認しましょう」という対策です。 もちろん、これは今でも大切です。 ただし、差出人の表示だけで判断するのは危険です。...

「怪しいメールを開いてしまったかもしれない」 そう感じたとき、多くの人がまず心配するのは、「開いただけでウイルスに感染したのではないか」ということです。もちろん、不審なメールには注意が必要です。 ただ、フィッシング詐欺で本当に怖いのは、メールを開いた瞬間よりも、その後に、 偽サイトにアクセスする IDやパスワードを入力する 認証コードを入力する ネットバンキングや決済サービスにログインしてしまう といった操作をしてしまうことです。 そして今、フィッシングは単なる「迷惑メール」では済まなくなっています。 警察庁の資料によると、令和7年のインターネットバンキングに係る不正送金事犯は4,747件、被害総額は約103億9,700万円。その手口の約9割がフィッシングとされています。 引用元：https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/joho/info_security.html つまり、フィッシングはもはや、メールの問題ではなく、会社のお金の問題として考える必要があります。 フィッシングは「

2026年6月10日（水）、オープンイノベーションフィールド多摩 八王子館にて開催される中小企業向けセミナーに、ITワークラボとして登壇します。 テーマは「2026年度末制度スタート！大企業の信頼を勝ち取るSCS評価入門」です。 近年、サプライチェーン全体でのサイバーセキュリティ対策が重視されるようになり、中小企業においても「取引先に説明できるセキュリティ対策」が求められつつあります。 本セミナーでは、SCS評価制度の基本と、中小企業が今から取り組める最初の一歩について、わかりやすく解説します。 会場参加・オンライン参加のどちらも可能です。 ご関心のある方は、ぜひお申し込みください。 申込ページ： https://oif-tama.jp/hachioji/event/entry-34126.html 📖 あわせて読みたい 関連ページ IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。 実際のご相談事例は、「導入事例」でもご紹介しています。 ITワークラボの考え方は、「ITワークラボについて」をご覧ください。