「うちは大企業ほど狙われないだろう」
「セキュリティは担当者に任せているから大丈夫」
そう思っていても、業務アカウントや共有フォルダ、Webサイトの設定をきっかけに情報が外部へ出てしまうことがあります。
もちろん、すべての会社がすぐに大きな被害に遭うわけではありません。ただ、最近はフィッシングメールやシステムの脆弱性を狙った攻撃も増えており、基本的な設定を見直しておく大切さは以前より高まっています。
IPAの「情報セキュリティ10大脅威 2026」でも、AIの利用をめぐるサイバーリスクや、システムの脆弱性を悪用した攻撃が組織向けの脅威として挙げられています。IPA「情報セキュリティ10大脅威 2026」 (https://www.ipa.go.jp/security/10threats/10threats2026.html)
ここでは、特に見落としやすい3つのポイントを紹介します。
1. 業務アカウントの乗っ取り
Google WorkspaceやMicrosoft 365、クラウドストレージ、チャットツールには、社内外の大切な情報が集まっています。
こうしたアカウントが乗っ取られると、メールだけでなく、共有ファイルや顧客情報まで見られてしまうおそれがあります。
きっかけの一つが、フィッシングメールです。取引先やサービス運営会社を装い、偽のログイン画面へ誘導してIDやパスワードを入力させる手口です。
確認しておきたいこと
- 業務アカウントで多要素認証を設定しているか
- 同じパスワードを複数のサービスで使っていないか
- 退職者や異動者のアカウントをそのままにしていないか
- 管理者アカウントを複数人で共有していないか
- 怪しいメールを受け取ったときの相談先が決まっているか
多要素認証を設定しておけば、万が一パスワードが漏れても、不正ログインのリスクを下げられます。
2. 更新されていないシステムやアプリ
Webサイト、CMS、VPN、業務アプリ、ネットワーク機器などには、ときどき「脆弱性」と呼ばれる弱点が見つかります。
修正プログラムが公開されていても、更新されないまま使われていると、そこを狙われる可能性があります。
難しい対策に見えますが、まずは「何を使っているか」「誰が更新を確認するか」を整理するだけでも変わります。
確認しておきたいこと
- 自社で使っているシステムやツールを一覧にしているか
- 更新担当者と確認する頻度が決まっているか
- CMSやプラグインを放置していないか
- 使っていないアカウントや公開ページが残っていないか
- バックアップを取り、復元できるかも確認しているか
IPAも、利用中のソフトウェアに脆弱性が見つかっていないか確認し、必要に応じて対応するよう案内しています。IPAの重要なセキュリティ情報 (https://www.ipa.go.jp/security/security-alert/2026/index.html)
3. 公開設定・権限設定の見落とし
情報漏洩は、外部からの攻撃だけで起こるわけではありません。
たとえば、共有フォルダを「リンクを知っている人は誰でも閲覧可能」にしていたり、退職した社員の権限が残ったままだったりするケースです。
普段の業務では問題がなくても、共有リンクが外部に渡ったり、アカウントが乗っ取られたりしたときに影響が広がることがあります。
確認しておきたいこと
- 外部に公開されている共有フォルダやファイルはないか
- 管理者権限を持つ人を把握できているか
- 退職・異動時に権限を見直す流れがあるか
- 必要以上の権限を付与していないか
- クラウドサービスの公開設定を定期的に確認しているか
権限は、必要な人に必要な範囲だけ付与する運用が基本です。
AIが広がる今だからこそ、基本を確認する
AIは仕事を便利にしてくれる一方で、偽メールの文章作成や情報収集などに悪用される可能性もあります。
だからといって、必要以上に怖がる必要はありません。まずは次の3つを確認するだけでも、対策の第一歩になります。
- 業務アカウントで多要素認証を設定する
- システムやアプリを定期的に更新する
- 共有設定とアカウント権限を見直す
まずは30分だけ、確認してみてください
次の3つに自信を持って答えられるか、社内で確認してみてください。
- 全社員の業務アカウントで多要素認証を設定しているか
- 自社サイトや主要ツールの更新状況を把握しているか
- 不要になったアカウントや権限を定期的に整理しているか
一度に完璧にする必要はありません。分からないところを一つずつ確認していくことが、情報を守るための現実的な対策になります。