中小企業はセキュリティ対策に何から予算を使うべきか

限られた予算で、守るべきところから整える

セキュリティ対策を検討すると、さまざまな製品やサービスが候補に挙がります。

ウイルス対策ソフト、UTM、バックアップ、クラウドサービス、多要素認証、従業員研修。

どれも必要に見えるため、何から手を付ければよいか分からなくなる企業も少なくありません。

予算に余裕があれば、すべてを一度に整える方法もあります。しかし、多くの中小企業では現実的ではありません。

大切なのは、高価な製品から購入することではなく、事故が起きた場合に最も困る場所から対策することです。

最初に、守るものを決める

対策を選ぶ前に、次の点を確認します。

• 業務が止まると困るパソコンはどれか
• 失ったら戻せないデータは何か
• 顧客情報や個人情報をどこに保存しているか
• メールやクラウドの管理者は誰か
• 退職者のアカウントが残っていないか
• 問題が起きたときの相談先が決まっているか

自社の状況を確認せずに製品を購入すると、重要な部分が守られないまま、使われない機能へ費用を払うことがあります。

セキュリティ予算は、製品一覧ではなく、業務への影響から考えるべきです。

優先順位1　パソコンとスマートフォンを整える

最初に確認したいのは、日常業務で使用する端末です。

OSやアプリケーションが古いままでは、既に修正されている脆弱性を悪用される可能性があります。

最低限、次の対策を行います。

• OSとアプリケーションを更新する
• セキュリティソフトを有効にする
• 不要なソフトを削除する
• 画面ロックを設定する
• 一般利用者へ管理者権限を与えすぎない
• サポートが終了した端末を更改する

高価なセキュリティ機器を導入しても、日常的に使用するパソコンが管理されていなければ、十分な効果は得られません。

優先順位2　重要なアカウントへ多要素認証を設定する

メールやクラウドサービスでは、IDとパスワードが盗まれると、社外からでもログインされる可能性があります。

特に優先したいのは、次のアカウントです。

• メール
• クラウドストレージ
• 会計サービス
• Webサイトやサーバー
• ドメイン管理
• 遠隔操作サービス
• 管理者アカウント

パスワードだけに頼らず、多要素認証やパスキーを利用します。

多要素認証は、比較的少ない費用で始められる対策です。ただし、設定しただけで終わらせず、機種変更時の引き継ぎや復旧方法も決めておく必要があります。

優先順位3　バックアップを用意する

セキュリティ対策では、侵入を防ぐことに目が向きがちです。

しかし、誤削除、機器故障、ランサムウェア、火災などによってデータを失う可能性もあります。

バックアップでは、次の点を確認します。

• 重要なデータが対象になっているか
• 元データとは別の場所に保存されているか
• 過去の状態へ戻せるか
• バックアップも同時に暗号化されないか
• 実際に復元できるか

バックアップがあることと、業務を再開できることは別です。

一度も復元したことがない場合は、必要なファイルを取り戻せるか確認できていません。

優先順位4　ネットワークの入口を整える

端末、認証、バックアップを整えた後は、社内ネットワークを確認します。

• 家庭用ルーターを長期間使っていないか
• ファームウェアが更新されているか
• 管理者パスワードが初期状態ではないか
• 社員用と来客用のWi-Fiが分かれているか
• 不要な外部通信が許可されていないか
• UTMやセキュリティ機能付きアクセスポイントが必要か

企業規模や扱う情報によっては、企業向けルーター、UTM、セキュリティ機能付きアクセスポイントを組み合わせます。

ただし、機器を購入するだけでは不十分です。

正しく設定し、警告やログを確認し、更新を続ける人が必要です。

優先順位5　従業員が迷わないルールを作る

サイバー攻撃の入口は、システムの弱点だけではありません。

不審なメール、偽の請求書、SMS、QRコード、電話など、人の判断を狙う手口もあります。

そのため、次のルールを共有します。

• 不審な添付ファイルを開かない
• パスワードや認証コードを他人へ伝えない
• 警告画面に表示された電話番号へ連絡しない
• 判断に迷ったら操作を止めて相談する
• 私物のUSBメモリーやクラウドを無断で使わない
• 事故を隠さず、早い段階で報告する

長い規程を一度配布するだけでは定着しません。

実際に届いた不審メールや、社内で起きた小さな失敗を題材に、短い注意喚起を繰り返す方が現実的です。

最後に必要なのは、保守を続ける人

セキュリティ対策で見落とされやすいのが、導入後の管理です。

機器やサービスは、導入した日から少しずつ現在の業務とずれていきます。

社員は入退社し、端末は増え、パスワードは変更され、ソフトウェアには更新が配信されます。

そのため、次の作業を続ける必要があります。

• 端末とアカウントの確認
• 退職者の権限解除
• ソフトウェア更新
• バックアップ結果の確認
• セキュリティ機器の通知確認
• トラブル発生時の初動
• 設定や構成の記録

対策へ予算を使う際は、製品費用だけでなく、誰が管理を続けるのかまで含めて考える必要があります。

IT担当者を雇うか、外部へ依頼するか

社内に専任のIT担当者を置けば、日々の状況を把握しやすく、現場ですぐに対応できる利点があります。

一方、採用すると給与だけでなく、社会保険、採用、教育、設備などの固定費が継続して発生します。

IT業務が毎日大量にある企業であれば、社内担当者を置く方が適しています。

しかし、月に数回の相談や、入退社時の設定、定期的な点検が中心であれば、外部へ委託することで固定費を抑えられる場合があります。

外注には次の利点があります。

• 必要な範囲から依頼できる
• 採用や教育に時間をかけずに専門知識を利用できる
• 端末、ネットワーク、クラウドなどを横断して相談できる
• 問題がない月の人件費を抑えやすい
• 社内の詳しい社員へ負担が集中しにくい

ただし、外部へ委託しても、会社側の責任がなくなるわけではありません。

予算や利用方針を決める社内責任者を置き、外部担当者と役割を分ける必要があります。

TrusKiteが支援できること

TrusKiteでは、高価な製品を一律に提案するのではなく、現在の環境と予算を確認したうえで、優先順位を整理します。

主な支援内容は次のとおりです。

• パソコンやアカウントの状況確認
• セキュリティ対策の優先順位作成
• 多要素認証の導入
• バックアップ方法の見直し
• ルーター、UTM、無線LANの設計
• TeamViewerによる遠隔サポート
• 入退社時の設定と権限整理
• 従業員向けの注意喚起
• 導入後の保守と相談窓口
• メーカーや通信事業者との調整

最初からすべてを変更する必要はありません。

まずは、失うと困るデータと、止まると困る業務を確認します。

そのうえで、費用をかけずに改善できる部分、早急に予算を付ける部分、将来更新する部分に分けて進めます。

予算が少ないから、何もしないではなく

中小企業にとって、セキュリティへ使える予算には限りがあります。

だからこそ、順番が重要です。

高価な機器を一台購入して安心するのではなく、端末、認証、バックアップ、ネットワーク、教育、保守を少しずつ整えていく。

完璧な状態を一度に目指すより、今より危険を一つ減らすことから始める方が現実的です。

セキュリティ対策は、会社を大きく見せるための費用ではありません。

事故が起きた後も、仕事を続けるための費用です。

TrusKiteでは、企業規模と予算に合わせ、無理なく継続できる対策をご提案します。

※必要なセキュリティ対策は、事業内容、保有する情報、端末数、ネットワーク構成、取引先からの要求などによって異なります。

※外部委託が常勤担当者の採用より必ず安価になるものではありません。対応頻度、常駐の必要性、管理範囲などを比較して判断する必要があります。

※セキュリティ製品や外部支援を導入しても、すべてのサイバー攻撃、情報漏えい、機器故障、データ消失を防止できるものではありません。