「セキュリティ対策は必要だと思うけれど、何から始めればいいのかわからない」
専任のIT担当者がいない会社では、日々の仕事を優先するうちに、パソコンの更新やアカウントの整理が後回しになりがちです。
まずは、新しい製品を買う前に、今使っている機器やサービスの状態を確認してみましょう。この記事では、小さな会社で最初に見直したい対策を5つに絞って紹介します。
この5つですべての対策が完了するわけではありませんが、自社の状況を知り、改善を始めるきっかけになります。
1．パソコンやスマートフォンの更新を止めていませんか？
仕事中に更新の通知が出て、「あとで」と閉じたままになっていないでしょうか。
更新には、機能の追加だけでなく、セキュリティ上の問題を修正する役割もあります。パソコン本体の基本ソフトだけでなく、ブラウザや業務で使うアプリも確認しましょう。
まず確認したいこと
- パソコンやスマートフォンの自動更新が有効になっているか
- 更新後の再起動を、長い間先延ばしにしていないか
- ブラウザや業務用アプリに、未適用の更新がないか
- メーカーのサポートが終了した機器やソフトを使っていないか
確認するときは、普段使っている機器の設定画面を開き、更新が残っていないかを見てみてください。
業務用ソフトとの相性が心配な場合は、更新を止めたままにするのではなく、販売元や保守業者へ確認しましょう。「誰が確認するか」「いつ更新するか」を決めておくと、放置を防ぎやすくなります。
2．同じパスワードを、いくつものサービスで使っていませんか？
メール、ネットショップ、会計ソフト、会社のSNSなどで、同じパスワードを使っていないでしょうか。
パスワードを使い回していると、ひとつのサービスから漏れた情報が、別のサービスへの不正ログインに使われるおそれがあります。長いパスワードでも、使い回していればこのリスクは残ります。
まず確認したいこと
- 仕事用と私用で、同じパスワードを使っていないか
- 複数の業務サービスで、同じパスワードを使っていないか
- 会社名や誕生日など、推測されやすいものになっていないか
確認のために、社員のパスワードを集める必要はありません。「使い回しがないか」を、それぞれに確認してもらいましょう。
使い回しが見つかった場合は、サービスごとに異なる、十分に長いパスワードへ変更します。特に、業務メールや管理者用アカウントから優先して見直すことをおすすめします。
POINT
パスワードを全部覚えようとしない
サービスごとに異なるパスワードを管理するには、パスワード管理ツールの活用も選択肢です。会社で使う場合は、保存先や共有できる相手、担当者が退職したときの引き継ぎ方法まで決めておきましょう。
3．多要素認証やパスキーを使える状態になっていますか？
パスワードを見直したら、次に確認したいのがログイン時の本人確認です。
パスワードだけに頼らず、多要素認証やパスキーを利用することで、不正ログインのリスクを下げられます。対応しているサービスでは、積極的な利用が推奨されています。
まず確認したいこと
- 業務メールや重要なサービスで、多要素認証が有効になっているか
- 管理者用アカウントにも設定されているか
- パスキーに対応しているサービスがあるか
- 認証に使うスマートフォンを紛失・交換した場合の復旧方法がわかるか
設定項目の名前はサービスによって異なります。「セキュリティ」「ログイン方法」「多要素認証」「2段階認証」「パスキー」などを手がかりに確認してみましょう。
用語
多要素認証・パスキーとは？
多要素認証は、パスワードと、手元のスマートフォンによる確認など、異なる種類の本人確認を組み合わせる方法です。パスキーは、パスワードを入力する代わりに、指紋・顔認証や端末の暗証番号などを使ってログインする仕組みです。どちらもアカウントを守るための方法ですが、利用できる方式はサービスによって異なります。
なお、認証を設定していても、届いた確認コードを他人に教えたり、自分が操作していないログイン通知を承認したりしないことが大切です。
4．大切なデータを、実際に戻せますか？
「バックアップは取っているはず」と思っていても、保存先や最後に成功した日がわからない状態では、いざというときに困ってしまいます。
確認したいのは、コピーがあるかどうかだけではありません。必要なデータが保存されていて、実際に戻せることが重要です。
まず確認したいこと
- 顧客情報、見積書、請求書など、失うと困るデータが対象になっているか
- バックアップの保存先と、最後に成功した日がわかるか
- 元のパソコンが故障しても、バックアップを取り出せるか
- 誤って消したファイルを戻す方法がわかるか
まずは、業務に影響しないファイルをひとつ選び、元のファイルを上書きしない別の場所へ復元してみましょう。保存できていても、開けなかったり、必要な内容が入っていなかったりする場合があります。
また、外付けの保存機器を常につないだままにしていると、攻撃を受けた際にバックアップまで被害を受けるおそれがあります。バックアップ後に切り離す方法や、過去の状態を複数残せる仕組みも検討しましょう。
クラウドに保存している場合も、「削除したファイルをいつまで戻せるか」「過去の状態に戻せるか」を確認してください。保存場所がクラウドというだけで安心せず、復元できる範囲を把握しておくことが大切です。
5．退職した人や、使っていないアカウントが残っていませんか？
パソコンを返却してもらっても、メールやクラウドサービスのアカウントが使えるままでは、退職後も会社の情報にアクセスできる可能性があります。
退職者だけでなく、契約が終わった外部の担当者や、試しに作って使わなくなったアカウントも確認対象です。
まず確認したいこと
- 退職者が、会社のメールやファイル共有にログインできる状態になっていないか
- 契約が終わった外部の担当者に、アクセス権が残っていないか
- 誰が使っているかわからないアカウントがないか
- 使わなくなったサービスに、会社の情報が残っていないか
まずは、利用中のサービスと利用者を一覧にしてみましょう。メールだけでなく、会計、勤怠、ファイル共有、Webサイト、SNSなども対象にすると、見落としを減らせます。
POINT
不要に見えても、いきなり削除しない
アカウントを削除すると、必要なメールやファイルまで失われる場合があります。退職時はまず本人のアクセスを止め、必要なデータや管理権限の引き継ぎを確認してから、サービスの仕様に沿って削除・整理しましょう。ログイン中の端末からのアクセスを止める操作が、別に必要な場合もあります。
今後の対応漏れを防ぐために、「退職時に誰が、どのサービスを確認するか」も決めておくと安心です。
まずは「わからない項目」を見つけるところから
今回の5項目を確認して、すぐに答えられないものがあっても、慌てて設定を変える必要はありません。
まずは、各項目を「確認できた」「対応が必要」「わからない」に分けてみてください。「わからない」が見つかるだけでも、次に確認すべきことがはっきりします。
確認日と担当者を簡単に残しておけば、次の見直しにも役立ちます。
Love-ITでは、専任のIT担当者がいない小さな会社の、パソコンやアカウント管理、セキュリティに関するご相談を承っています。
「今の設定で大丈夫かわからない」「どこから手をつければいいか整理したい」という場合も、お気軽にご相談ください。
参考資料
- 独立行政法人 情報処理推進機構（IPA）：中小企業の情報セキュリティ対策ガイドライン
- 警視庁：安全なバックアップの取得方法と注意点