AI時代の情報セキュリティ──中小企業はどのように向き合うべき？
中小企業の経営者さまに「情報セキュリティ、どうされていますか?」とお聞きすると、返ってくる答えはさまざまです。しっかり考えて、すでに手を打っておられる会社さまも、もちろんあります。
ですが、こうしたお答えも、まだまだ少なくありません。
「セキュリティ? 正直、あまり考えていないですね。というか、何をどうすればいいのか、よく分かっていません」
これを責める気は、まったくありません。多くの中小企業にとって、自然な姿だと思います。
ですが、その「よく分かっていない」状態は、このAI時代において、以前とは比べものにならないほど危うくなっています。
攻撃する側も、当然のようにAIを使う時代になりました。かつては文面の不自然さで見抜けた詐欺メールが、今では取引先そっくりの日本語で届きます。攻撃の対象を探す作業も自動化され、「うちみたいな小さい会社は狙われない」という前提は、すでに通用しません。むしろ、守りの薄い中小企業は、効率よく狙える相手として選ばれています。
とりわけ深刻なのが、社内のデータをすべて暗号化して人質に取り、金銭を要求してくる身代金ウイルス（ランサムウェア）です。感染すれば、見積書も顧客名簿も生産計画も、一瞬で開けなくなります。業務が完全に止まり、それが何週間も続く。中小企業にとっては、事業の存続そのものに関わる事態です。
これは、感覚的な話ではありません。警察庁の統計では、令和7年上半期にランサムウェア被害を報告した組織のうち、66.4％が中小企業でした。令和6年の一年間でも、被害報告222件のうち中小企業が140件、大企業は61件。被害の中心は、すでに大企業ではなく中小企業です。
侵入経路にも、はっきりした傾向があります。同じ調査で、VPN機器を経由した侵入が62.2％と突出していました。社外から社内につなぐための機器が、更新されないまま放置され、そこから入られている。「高度な技術で破られた」というより、開けっ放しの裏口から入られているのが実態です。
※出典
警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」
警察庁「令和7年版警察白書」
そして、こうした攻撃を代わりに防いでくれる人は、どこにもいません。自分の会社は、自分で守るしかない――その必要性が、年々確実に高まっています。
※出典：警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」、警察庁「令和7年警察白書」
本記事では、IT実務歴15年以上、現場で数十社を見てきた立場から、中小企業が本当にやるべきセキュリティの勘所を、「お金をかける」のではなく「当たり前にする」という視点でお伝えします。派手なAI活用の話が飛び交う時代だからこそ、地に足のついた守りの話をさせてください。
「正直、よく分かっていない」という会社は、まだまだ多い
近年は、セキュリティに真剣に取り組む中小企業も着実に増えてきました。取引先から対策状況の確認を求められる機会が増えたことも、後押しになっているのでしょう。
その一方で、情報セキュリティが優先順位のリストに載っていない会社さまも、まだまだ数多くあります。見て見ぬふりをしているというより、そもそも検討の俎上に上がったことがない、という状態です。
それは、怠慢ではなく「忙しさ」の結果
ただ、こうした状態は、経営者さまの怠慢ではありません。
中小企業の経営者さまは、とにかく、めちゃくちゃ忙しいのです。営業も、資金繰りも、採用も、人間関係のトラブルも、現場のクレームも、すべてが最終的にご自身に降りかかってきます。目の前の売上と、今月の支払いと、辞めそうな社員のことで、頭はすでにいっぱいです。
その中で、「まだ何も起きていない情報セキュリティ」にまで気を回せる方は、むしろ稀です。まだ痛くない歯の治療に行く時間が取れないのと、同じ話でしょう。恥じることではありません。
ですが、時代のほうが変わってしまいました
問題は、経営者さまの姿勢ではなく、環境が急速に変わってしまったことにあります。
ひと昔前なら、「うちみたいな小さな会社を狙う物好きはいない」という感覚も、ある程度は当たっていました。攻撃する側にも手間がかかるため、割に合う相手が選ばれていたからです。
ですが、その前提はAIによって崩れました。攻撃側がAIを使うことで、攻撃のコストが劇的に下がったのです。狙う先を探すのも、それらしい日本語の文面を作るのも、自動化できてしまう。手間がかからないなら、小さな会社も片っ端から対象になります。「狙われるほどの会社じゃない」ではなく、「守りが薄いから、真っ先に狙われる」のが今の構図です。被害組織の3分の2が中小企業という先ほどの数字は、この変化をそのまま表しています。
いざ感染すれば、業務データは丸ごと人質に取られます。バックアップがなければ、支払うか、諦めるかの二択です。取引先への納品も、社内の給与計算も止まる。それが数週間続いたとき、体力のある大企業と違って、中小企業に持ちこたえる余力はありません。
「分かっていなかった」は、言い訳になりません
そして厳しいことを言えば、「忙しくて、そこまで気が回らなかった」は、事故が起きた瞬間に、何の言い訳にもなりません。
情報漏洩は、こちらの都合を待ってくれません。取引先の担当者から「御社からのメールで、うちのパソコンがウイルスに感染したのですが」と電話がかかってきた日、あるいは顧客名簿が外部に流出したと発覚した日、「忙しかったので」という説明は誰にも通用しません。被害者であると同時に、加害者にもなってしまうのが、この問題の厄介なところです。そして、一度失った信頼は、売上のように来月取り戻せるものでもありません。
国も、取引先も、ITベンダーも、最後まで面倒を見てはくれません。自社は自社で守る――AI時代の経営には、この覚悟が求められるようになりました。
とはいえ、身構える必要はありません。中小企業には、中小企業サイズの現実解があります。大がかりな投資も、専門知識も要りません。忙しい中でも実践できて、しかも効果の大きい要点が、ちゃんとあります。
「金をかけてセキュリティを固める」は、中小企業には非現実的
その現実解に入る前に、外しておきたい思い込みがあります。世の中で語られるセキュリティ対策の多くが、「大企業モデル」を前提にしている、という点です。
専任のセキュリティ担当部署を置き、高額な監視システムを導入し、外部の専門機関に24時間監視を委託する――こうした対策は確かに強固ですが、数名から数十名規模の中小企業がそのまま真似できるものではありません。人も、お金も、そこまで割けないのが実情です。
ですが、「大企業のやり方が真似できないこと」を、後ろめたく思う必要はありません。これは会社の規模の問題であって、経営者さまの怠慢ではないからです。
問題は、「大企業みたいにはできない」→「だからうちは何もできない」と、話が飛躍してしまうことです。この飛躍こそが、中小企業が最も陥りやすい落とし穴です。
中小企業には、中小企業に合った「勘所」があります。それは、お金ではなく、「最初の選び方」と「日々の当たり前」で大半が決まります。
中小企業のセキュリティは「入口の選定」で大半が決まる
高額な監視システムを後から追加するより、はるかに費用対効果が高く、そして本質的なのが「そもそも、どんなITツールを会社に迎え入れるか」という入口の選定です。
ここを外すと、後からどれだけお金をかけても穴は塞がりません。逆に、ここさえ押さえておけば、中小企業の守りは驚くほど固まります。ポイントは3つです。
① 最初から「きちんとしたITツール」を導入する
現場でよく見かけるのが、「安く済ませたい」「とりあえず動けばいい」という理由で、素性のよく分からない安価なツールや、我流で組み上げた仕組みを使っているケースです。
気持ちは分かります。ですが、こうした「安物買い」や「間に合わせの構築」は、そのままセキュリティの穴になります。アップデートが提供されない、提供元のサポート体制が分からない、暗号化などの基本的な守りが甘い――そんなツールを主要業務に使い続けるのは、鍵のかからない扉で店を営業しているようなものです。
「きちんとしたITツール」とは、提供元が明確で、継続的にアップデートされ、多くの企業に使われて実績のあるものです。「kintone」や「Google Workspace」といった定番が広く選ばれ続けているのは、機能だけの理由ではありません。提供元がセキュリティに投資し続けているという安心感が、利用料に含まれているからです。最初にここへお金を払っておくことが、結果的に一番安上がりな投資になります。
② 「ニッチすぎるITツール」には気をつける
①と関連しますが、こちらは見落とされがちです。
「この業種専用」「この作業に特化」といった、ニッチすぎるツールには注意が必要です。特定業務に特化していること自体が悪いわけではありません。問題は、ユーザー数が極端に少なく、提供元の体力が乏しいツールです。
ある日突然サポートが終了する、脆弱性が見つかっても修正が何ヶ月も放置される、そもそも提供元が事業を畳んでしまう――こうしたリスクを構造的に抱えているからです。利用者が少なければ、「問題を見つけて指摘する目」も少ない。穴が放置されやすくなります。
「便利そうだから」「うちの業務にぴったりだから」で飛びつく前に、「このツールは、5年後も安全にアップデートされ続けているか」と一度考えてみてください。
③ AIで自作する場合は「穴だらけ」と自覚して向き合う
近年急速に身近になったのが、「生成AIに業務システムを作らせる」という選択肢です。非エンジニアの方でも、指示を出せばそれらしいツールが短時間で出来上がる時代になりました。
この流れ自体を、私は否定しません。試作品づくりや個人の業務補助、あるいは他とつながっていない独立した業務のAIシステム化などであれば、AIは本当に頼りになります。ですが、セキュリティの観点では、「AI製のシステムは、セキュリティホールだらけである」という前提を、絶対に忘れてはいけません。
生成AIが出力するコードには、既知の脆弱性パターンや、学習データに紛れ込んでいた良くない書き方が、そのまま出てくることがあります。厄介なのは、「知らないもの」は検出できないという点です。AIが書いたコードをAIにチェックさせて「問題なし」と出ても、それは「AIが把握している範囲では問題なし」というだけ。本当に危険な穴が水面下に残っている可能性は、常にあります。
だからこそ、線引きが必要です。会社の基幹業務やメイン業務を、AI製システムに任せてはいけません。顧客情報や売上データといった、漏れたら取り返しのつかない情報を扱う仕組みを、中身を誰も把握していないブラックボックスに委ねるのは、あまりにも危険です。
AIで自作するなら、「漏れても致命傷にならない範囲」に留める。この自覚を持って向き合うことが、AI時代のセキュリティリテラシーです。
※この論点は、別記事「AI時代に逆行？ 『AI製システム』を基盤にしてはいけない大事な理由」でも詳しく解説しています。
それでも残る「最大の穴」は、ツールではなく”人”
ここまで、ツールの選び方をお伝えしてきました。ですが、どれだけ良いツールを選んでも、それだけでは守りは完成しません。
「セキュリティは、良いツールを買えば解決する」――そう思っている経営者さまは、本当に多いです。ですが、これが最大の誤解です。
セキュリティにおける最大の穴は、いつだって”人”だからです。
現場では、こんな場面を数え切れないほど見てきました。
- 取引先を装った不審なメールの添付ファイルを、うっかり開いてしまう
- 覚えるのが面倒だからと、あらゆるサービスで同じパスワードを使い回す
- 顧客リストを、個人のUSBメモリに入れて自宅に持ち帰る
- 「共有だから」と、機密ファイルを誰でも見られる場所に置きっぱなしにする
どんなに高機能なツールを導入しても、社員の一人がこうした行動を取れば、そこから情報は漏れていきます。鍵を何重にかけても、住人が扉を開けっ放しにしていては意味がありません。
つまり、中小企業の情報セキュリティは、「ツールの問題」ではなく「人と組織の問題」です。当事業所が一貫してお伝えしてきた視座そのものでもあります。そして人と組織の問題である以上、解決の主役はツールではなく「経営者ご自身」になります。
だから、経営者が「少しうざいくらい」教育する──金融機関に学ぶ
では、「人の穴」をどう塞ぐのか。答えは拍子抜けするほど単純です。経営者が、繰り返し、しつこく、セキュリティ行動を求め続けること。これに尽きます。
参考になるのが、金融機関のやり方です。
銀行や信用金庫といった金融機関では、情報セキュリティの教育を、それこそ「少しうざいくらい」徹底して行っています。朝礼で繰り返し注意喚起し、定期的に研修を行い、不審メールの訓練を抜き打ちで実施する。社員が「もう分かったよ、うるさいな」と思うくらい、何度も何度も同じことを言い続けるのです。
非効率に見えるかもしれません。ですが、ここに本質があります。
セキュリティ行動は、「知識」ではなく「習慣」だからです。「不審なメールは開かない」と一度研修で聞いただけでは、人は忘れます。忙しい日々の中で、つい油断します。だからこそ、体に染み付いていて、考えなくても正しく動けるという状態まで、繰り返し刷り込む必要があります。
「うざい」と思われるくらい言い続けて、ようやくセキュリティ行動が”当たり前”になります。裏を返せば、「うざくない程度」の教育では、まったく足りません。ちょうどいい塩梅を狙うと、たいてい届かないのです。中小企業の経営者さまにも、ぜひこの「少しうざいくらい」を意識してやっていただきたいと思います。
これは、当事業所がフォルダ整理支援でお伝えしている考え方とも通じます。フォルダ整理も、単なる作業ではなく「各社員の素地を耕し、組織の文化を作る営み」です。セキュリティも同じで、一人ひとりの中に「当たり前」を育てていく、地道な文化づくりにほかなりません。
AI時代にこそ、「地味で当たり前」の徹底が効く
AIが話題の中心となる今、セキュリティの世界でも「AIを使った高度な防御ツール」といった華やかな話題が飛び交っています。
ですが、中小企業がまず向き合うべきは、そこではありません。攻撃する側がAIで手口を自動化し、小さな会社まで効率よく狙ってくる時代です。だからこそ、守る側の土台は、地に足のついた「当たり前」で固めておく必要があります。派手な防御ツールを一つ買うより、そのほうがはるかに効きます。
中小企業のセキュリティの現実解を、改めて整理します。
- 全部をお金で解決しようとしない――こだわればとにかくお金はかかるし、仮に大金を投じても、それでも解決できないことがたくさんある（中で働く人間の問題）
- 入口の選定にこだわる――きちんとしたツールを最初から選び、ニッチすぎるものやAI製システムのリスクを自覚する
- 最大の穴である”人”を、経営者が「少しうざいくらい」教育し続ける――セキュリティ行動を”当たり前”にする
どれも派手さはありません。ですが、この地味な徹底こそが、限られた予算の中小企業にとって、最も費用対効果が高く、最も本質的な守りになります。
そして、こうした土台づくりは、「盤石でスマートなIT環境の構築」と根っこでつながっています。どんなツールを選び、情報をどう整理し、社員にどう定着させるか。これらを一貫して設計することが、結果として最も強い守りを生みます。「セキュリティだけ」を切り離すのではなく、IT環境全体の設計の中で自然と守りが固まっている――それが理想です。
まとめ
セキュリティは、「金をかける」ものではなく、「当たり前にする」もの。
中小企業の情報セキュリティは、大企業のように予算で解決するものではありません。最初にきちんとしたツールを選び、その上で、最大の穴である”人”に「当たり前」を根付かせる。この二つを地道にやり切ることが、中小企業にとっての最適解です。
特に「人への教育」は、経営者さまが「少しうざいくらい」に踏み込んで、初めてちょうどよくなります。金融機関が実践しているこの姿勢を、ぜひ自社にも取り入れてみてください。
「何をどうすればいいのか、よく分かっていない」というお声は、いまも数多く聞こえてきます。ですが、やるべきことは大がかりではありません。まともなツールを選ぶこと。そして、当たり前をしつこく根付かせること。この2つなら、忙しい日々の中でも今日から動き出せます。
当事業所では、こうした「地味だが本質的なIT環境づくり」を、事業者さまと一緒に進めています。セキュリティを含めたIT環境全体を、シンプルで、分かりやすく、守りの固い形に整えたい。そうお考えの方は、ぜひ一度ご相談ください。
プロへ相談してみたい方へ
セキュリティを含めた「盤石でスマートなIT環境」を、腰を据えて構築したいとお考えの方は、こちらをご確認ください。
土台から整えたい方へ
情報を守る第一歩は、「どこに何があるか」を整えることです。実際にフォルダ整理をやってみたいなら、当事業所による「フォルダ整理コンサルティングサービス」をご確認ください。
さらに深く知りたい方へ
セキュリティを含めた「盤石でスマートなIT環境」を、腰を据えて構築したいとお考えの方は、こちらをご確認ください。