前回までの3回は、いま起きていることの話でした。今回から、対策の話に入ります。とはいえ、多くの事業所には専任の担当者も、大きな予算もありません。限られた手間とお金を、どこから使うか。私が考える順番を書いてみます。
先に、要点を三つ
- 最初の一手は、高価な製品より「IDの整理」です。 辞めた人のアカウント、共有のパスワード、業者に渡したままのID。ここを片づけるのに費用はほとんどかかりません。
- クラウドに頼ることは、やめられません。 代わりに、使っているサービスの一覧と、それぞれの管理者を決めておきます。
- 「直す」より「やめる・減らす」が効く場面があります。 使っていない機能や、更新を追い続けられない仕組みです。
費用対効果の高い順に四つ
一つ目はIDです。 10月には、ある企業で、クラウドに入るための認証情報が盗まれ、そこから大量の個人情報が漏れたと公表されました。入口は高度な技術ではなく「鍵」でした。ログインにはパスワードに加えてスマートフォンの確認などを組み合わせる(多要素認証)、退職の日にアカウントを止める、一つのパスワードを何人もで使わない。まずは、いま在籍している人の名簿と、各サービスのID一覧を見比べるところからです。退職の手続きに「アカウントを止める」を一行足すだけでも、労務の手続きがそのまま守りになります。
二つ目は更新です。 パソコンや機器の自動更新を止めない、提供元の保守が終わったものを使い続けない。長く使っている機器ほど「動いているから触らない」になりがちです。地味ですが、前回見たとおり、侵入の多くは修正が出ているのに当てていない欠陥からでした。
三つ目はバックアップです。 ネットから切り離した場所にも保管し、年に一度は実際に戻してみる。中小企業向けの公的なガイドラインも、今年の改訂で守りの心得に「バックアップを取ろう!」を加えています。
四つ目は、外から入れる装置の棚卸しです。 遠隔で接続するための機器や、保守業者が置いた装置を書き出し、使っていないものは閉じます。誰が何のために置いたのか分からない装置は、それだけで入口になり得ます。前回の病院の例も、周辺のシステムの保守用の入口からでした。
クラウドに頼る現実は変えられない
勤怠、給与、採用、年末調整。いまの事業所で、これらをすべて自前で持つのは現実的ではないでしょう。第1回のように、預け先が一晩止まることも、預け先から漏れることもあります。それでも頼るのをやめるより、「どこに何を預けているか」と「誰がその管理者か」を紙一枚にまとめておくほうが、手間に見合う対策ではないでしょうか。管理者が決まっていれば、退職時のアカウント停止も、停止や漏えいの知らせへの対応も、その人から動き出せます。一覧には、解約したサービスも残しておきます。第2回で見たように、契約を終えた先にデータが残っていた例があるためです。
「直す」より「やめる・減らす」
10月、広く使われている部品の欠陥が問題になった際、情報処理推進機構(IPA)は、更新を続ける人員・予算・保守の体制を確保できるかを、経営層も含めて検討するよう呼びかけました。見通しが立たなければ、機能の縮小や公開の終了、廃止まで含めて考えるように、という内容です。
筆者が関わるある事業所でも、ホームページの土台が、更新を追い続けなければならない仕組みの上にありました。直して使い続ける道もありましたが、この先も更新を追い続けられるかを考え、部品を動かさない形のサイトに作り替えました。見た目やアドレスは変わっていません。守るものを減らすのも、手間の限られた事業所には有力な選択肢だと考えられます。
まとめ
- ID: 退職の手続きにアカウント停止を入れ、共有のパスワードをやめる
- 一覧と管理者: 預けているサービスと、その担当者を書き出す
- 減らす: 使っていない機能や装置、保守できない仕組みを一つずつ閉じる
次回は、労務データそのものの扱い方です。第1回はこちら、採用の入口の話(第2回)はこちら、ランサムウェアの数字(第3回)はこちらです。
ご相談は、当事務所の無料相談をご利用ください。
参考(一次情報)
- 情報処理推進機構(IPA)「中小企業の情報セキュリティ対策ガイドライン」(第4.0版・2026年3月27日公開): https://www.ipa.go.jp/security/guide/sme/about.html
- 情報処理推進機構(IPA)「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619:PHP2shell)」2026年10月22日: https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
※本記事は一般的な情報提供であり、個別の法的助言やセキュリティ診断ではありません。記載した事実は2026年10月30日時点の公表内容で、今後の調査により変わることがあります。