中小企業の情報セキュリティ6か条とは？2026年版の始め方

「セキュリティ対策が必要なのは分かるが、何から着手すればよいか分からない」という中小企業は、まずIPA（独立行政法人情報処理推進機構）の情報セキュリティ6か条を確認すると、対策の土台を整理できます。

IPAは2026年3月、「中小企業の情報セキュリティ対策ガイドライン」を第4.0版へ改訂しました。従来の5か条に「バックアップを取ろう！」が加わり、6か条になったことが大きな変更点です。

この記事では、6か条の意味だけでなく、専任IT担当者がいない会社でも確認できる実務手順まで解説します。

情報は2026年8月13日時点です。制度やガイドラインは更新される可能性があるため、公開前にIPAの最新版も確認してください。

この記事の結論

情報セキュリティ6か条は、次の6項目です。

1. OSやソフトウェアを最新にする
2. ウイルス対策ソフトを導入する
3. パスワードを強化する
4. 共有設定を見直す
5. バックアップを取る
6. 脅威や攻撃の手口を知る

大切なのは、製品を導入して終わりにしないことです。各項目について対象、責任者、実施頻度、確認方法を決めると、対策が継続しやすくなります。

情報セキュリティ6か条とは

情報セキュリティ6か条は、IPAが中小企業向けにまとめた、規模や業種を問わず実行すべき基本対策です。

2026年3月公開の第4.0版では、ランサムウェア被害や事業継続の観点を踏まえ、バックアップが独立した項目として加わりました。IPAは同時に、外部から社内ネットワークへの不要な通信の遮断や、Webサイトの安全な運用なども自社診断の項目へ追加しています。

出典：IPA「中小企業の情報セキュリティ対策ガイドライン」

6か条を中小企業の実務に置き換える

1. OSやソフトウェアを常に最新にする

WindowsやmacOSだけでなく、Office、ブラウザ、PDF閲覧ソフト、会計ソフト、ルーターなども対象です。サポートが終了した製品は更新プログラムが提供されないことがあるため、利用継続の可否を確認します。

実務では、まず端末とソフトウェアの一覧を作ります。

「更新は各自に任せる」だけでは、長期間未更新の端末が残りやすくなります。月1回など確認日を決め、更新エラーも記録しましょう。

2. ウイルス対策ソフトを導入する

ウイルス対策では、導入の有無だけでなく、次の状態を確認します。

• リアルタイム保護が有効か
• 定義ファイルやエンジンが更新されているか
• 検知時の通知先が決まっているか
• 利用期限が切れていないか
• 端末一覧と管理画面の台数が一致しているか

OS標準の保護機能を使う場合も、無効化されていないか、警告を誰が確認するかを決める必要があります。複数のウイルス対策ソフトを同時に入れると競合する場合があるため、製品の公式要件に従ってください。

3. パスワードを強化する

長く複雑なパスワードを設定し、サービス間で使い回さないことが基本です。ただし、利用者の注意だけに依存すると運用が崩れます。

優先順位は次のとおりです。

1. メール、クラウドストレージ、会計、管理者アカウントで多要素認証を有効にする
2. 退職者や不要アカウントを停止する
3. 共有アカウントを減らし、利用者を識別できるようにする
4. パスワード管理ツールの利用ルールを決める
5. 緊急時に管理者権限を復旧できる手順を保管する

多要素認証とは、パスワードに加え、認証アプリなど別の要素でも本人を確認する方法です。導入時は、機種変更や端末紛失時の復旧方法も決めておきます。

4. 共有設定を見直す

クラウドストレージ、共有フォルダ、複合機、NAS、Web会議の録画データは、設定ミスにより意図しない相手へ公開されることがあります。

少なくとも四半期に1回、次を確認します。

• 「リンクを知っている全員」など広い共有が残っていないか
• 退職者や取引終了先の権限が残っていないか
• 管理者権限を持つ人が多すぎないか
• 社外共有に有効期限を設定できるか
• 複合機やNASの初期パスワードが残っていないか
• 個人所有のストレージへ業務データを保存していないか

共有を禁止するだけでは現場が別の手段を使う可能性があります。社外共有が必要な業務を洗い出し、安全な標準手順を用意することが重要です。

5. バックアップを取る

第4.0版で独立項目になったのがバックアップです。故障、誤操作、ランサムウェアによる暗号化などに備え、データを戻せる状態にします。

バックアップでは、次の4点を決めます。

バックアップ処理が「成功」と表示されていても、必要なファイルを復元できるとは限りません。半年に1回など、実際に復元するテストを行い、日時と結果を記録してください。

6. 脅威や攻撃の手口を知る

不審メールへの注意喚起を年1回配るだけでは不十分です。取引先を装うメール、偽のログイン画面、サポート詐欺など、自社で起こり得る場面を短く共有します。

従業員には、次の報告ルールを先に伝えておきます。

• 不審なリンクを開いたときの連絡先
• パスワードを入力したときに行うこと
• PCをネットワークから切り離す条件
• 自分で履歴やメールを消さず、状況を伝えること
• 夜間や休日の連絡方法

「開いた人を責める」運用にすると報告が遅れます。早期報告を評価する方針を明確にすることが、被害拡大の防止につながります。

30日で進める実施手順

1週目：現状を一覧にする

PC、サーバー、NAS、クラウドサービス、主要ソフトウェア、管理者を一覧にします。IPAは第4.0版の付録として資産管理台帳のサンプルも公開しています。

2週目：止めるべきリスクを先に処理する

サポート切れOS、無効なウイルス対策、退職者アカウント、外部公開された共有リンク、バックアップ未取得など、影響の大きい項目から対応します。

3週目：担当者と頻度を決める

「総務が見る」ではなく、「毎月第1営業日にAさんが管理画面を確認し、結果を台帳へ記録する」という粒度にします。担当者不在時の代替担当も決めます。

4週目：復旧と連絡を試す

バックアップからファイルを1件復元し、不審メールを開いた想定で連絡手順を確認します。問題が見つかったら、手順書と連絡先を修正します。

そのまま使える確認チェックリスト

• OSと主要ソフトの一覧がある
• 自動更新の状態と最終確認日を記録している
• ウイルス対策の警告を確認する担当者がいる
• メールと重要サービスで多要素認証を使っている
• 退職者・不要アカウントを停止している
• 外部共有リンクと管理者権限を定期確認している
• 重要データのバックアップ対象と頻度を決めている
• バックアップから復元テストを行っている
• 不審な操作をしたときの連絡先を周知している
• 対策の責任者、実施日、証跡が残っている

よくある失敗

セキュリティ製品を入れただけで安心する

製品は運用されて初めて効果を発揮します。期限切れ、設定不備、通知の見落としがないかを確認してください。

バックアップを同じ機器だけに置く

本体の故障や攻撃時に、バックアップも同時に使えなくなる可能性があります。保管先や権限を分け、復旧テストまで行います。

一人だけが管理者情報を知っている

担当者の休職・退職時に設定変更できなくなります。緊急時の復旧情報は、アクセス制限したうえで組織として保管します。

まとめ

2026年版の情報セキュリティ6か条は、中小企業が最初に整えるべき基本対策です。特に、今回独立項目になったバックアップは、取得だけでなく保管、世代管理、復旧テストまで含めて考えましょう。

まずはIPAの自社診断と資産管理台帳を使い、できていない項目を可視化してください。自社だけで対応する場合も、責任者・頻度・確認証跡を決めることで、継続可能な運用に変えられます。

主要参考情報

• IPA「中小企業の情報セキュリティ対策ガイドライン」
• IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」PDF
• 株式会社マリート「IT顧問サービス」