IPAの注意喚起を小さな会社の言葉に直すと｜今週できる点検5つ

2026年10月9日、IPA（情報処理推進機構）が「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」という注意喚起を出しました。金融機関や通信会社など、大きな会社からの情報漏えいの公表が続いていることを受けたものです。

読んでみると、書かれているのは大きな組織向けの言葉です。「外部公開アプリケーション」「API連携」「保持期間」。小さな会社の方が読むと、自分には関係のない話に見えるかもしれません。

でも、漏えいの入口になっていると見られているのは「外に出しているもの」と「アカウント」です。ホームページ、お問い合わせフォーム、Googleのアカウント、サーバーの管理画面。小さな会社にも同じ入口があります。この記事では、注意喚起の中身を小さな会社の言葉に直し、今週できる点検を5つにまとめました。

注意喚起に書かれていること

要点は3つです。

• 漏えいの起点は、外に公開しているアプリやサービスへの侵入と、アカウントの乗っ取りと見られている
• 盗んだ情報をもとにした脅しや、情報の売り買いといった二次被害も広がっている
• だから「外に公開しているもの」「使っている外部サービス」「持っているデータ」の3つを、すぐに点検してほしい

原文はIPAの注意喚起のページで読めます。

小さな会社の言葉に直すと

自社でシステムを作っていなくても、借りている道具の数だけ入口があります。しかも小さな会社では、ひとつのアカウントでメールも書類も予約の通知もまとめていることが多く、ひとつ破られると被害が広がりやすいのが特徴です。

今週できる点検5つ

1. 大事なアカウントに2段階認証が入っているか

GoogleやMicrosoftのアカウント、サーバーとドメインの管理画面、WordPressの管理者、SNS。パスワードのほかに、スマホのアプリなどでもう一段確かめる設定（2段階認証・多要素認証）が入っているかを見ます。IPAの「5分でできる！情報セキュリティ自社診断」の解説編でも、パスワードは「長く」「複雑に」「使い回さない」に加えて、できる場合は多要素認証やパスキーで強くすることがすすめられています。

見るのは自分のアカウントだけではありません。従業員や外注先に渡しているアカウントも同じです。

2. 使っているサービスとアカウントを1枚に書き出す

使っているサービスを書き出し、それぞれ「誰のアカウントがあるか」「誰が管理者か」を並べます。辞めた人のアカウントや、昔の外注先に渡したままのアカウントが残っていないかを確かめるためです。注意喚起でいう「アカウントへの権限付与の見直し」「アカウント棚卸の運用見直し」は、小さな会社ではこの1枚のことです。

3. WordPressの管理者と更新の状態を見る

管理画面の「ユーザー」を開き、心当たりのない管理者がいないか、「admin」やサイト名のままのユーザー名がないかを見ます。あわせて、本体・プラグイン・テーマの更新が長く止まっていないか、使っていないプラグインが入ったままになっていないかも確かめます。古いままの部品は、外から狙われる入口の代表です。

4. お問い合わせフォームの個人情報がどこにたまっているか

フォームに入力された名前や連絡先は、通知メール、フォームのプラグインの保存機能、表計算のシートなど、思った以上にいろいろな場所に残ります。どこに残るのかを一度たどってみてください。そのうえで、聞かなくてよい項目を減らすと、もしもの時に漏れるものが減ります。

5. 持たなくていいデータを持っていないか

注意喚起は、不要な情報は持たないことを基本にしています。古い顧客名簿、何年も前のバックアップ、メールに残ったままのログイン情報。使っていないのに残っているデータは、守る手間だけがかかります。消す前に本当に要らないかを決め、残すものは置き場所を1か所にまとめます。

続けて取り組むこと

点検のあとに取り組むこととして、注意喚起は「外部公開範囲の見直し」「アカウントへの権限付与の見直し」「ログ取得内容、保持期間の見直し」「データの暗号化」などを挙げています。小さな会社なら、次のように置き換えると進めやすくなります。

• 公開範囲：管理画面に誰でもたどり着ける状態になっていないか
• 権限：全員が管理者になっていないか（ふだんの作業は管理者でないアカウントで）
• 記録：ログインの履歴を後から見られるか（Google Workspaceなら管理コンソールで確認できます）
• 渡し方と置き場：名簿などは、誰でも開けるリンクではなく、相手を指定した共有で渡しているか

無料で使えるIPAの道具

• 5分でできる！情報セキュリティ自社診断：25の質問に答えると、100点満点で自社の状態が分かります。2026年9月30日には、1問ずつ理由と対策を説明した「解説編」も公開されました
• SECURITY ACTION：セキュリティ対策に取り組むことを自分で宣言する制度です。一つ星は「情報セキュリティ6か条」に取り組む宣言、二つ星は自社診断で状況をつかんだうえで基本方針を定めて公開する宣言です
• 困ったときは、IPAの「サイバーセキュリティ相談窓口（企業組織向け）」に相談できます

当社でもやったこと

当社は、お客様のホームページの管理画面に入る立場です。この注意喚起を受けて、10月16日に自社のアカウントを点検しました。使っているサービスで2段階認証が入っているかを1つずつ確かめ（入っていなかったものは登録を進めています）、使わなくなったアカウントを止め、サーバー会社の「いつもと違う環境からのログインを知らせる設定」をすべてのアカウントでオンにしました。お客様のWordPressの管理者アカウントの棚卸しも、定期の保守のたびに1サイトずつ進めています。

やってみて分かったのは、時間がかかるのは設定そのものより「どこに何のアカウントがあるか」を思い出す作業だということです。点検2の1枚があると、次からは数分で済みます。

当社の考え：道具を足す前に、入口を数える

セキュリティの話になると、新しいソフトやサービスを入れる話になりがちです。でも小さな会社でまず効くのは、入口を数えて、使っていない入口を閉じることです。2段階認証、アカウントの棚卸し、要らないデータを持たないこと。どれも費用はほとんどかかりません。

今回の注意喚起は大きな会社の事案をきっかけに出たものですが、狙われる入口の形は会社の大きさで変わりません。今週の30分を、点検5つに使ってみてください。

ホームページの安全面を、今の制作会社とは別の目で確かめたい方は、HPセカンドオピニオン（33,000円・税込）をご利用ください。公開後の更新や見守りまで任せたい方は、ホームページ運営サポートをご覧ください。当社の取り組みは情報セキュリティ基本方針にまとめています。

関連記事

• 京都府の商工会が押さえるべきWordPressセキュリティ強化術｜地域性と運営実務に即した実践ガイド
• 古いWordPressが引き起こす危険信号！放置してはいけないセキュリティリスクと運用トラブルを徹底解説
• Workspace Intelligenceとは？小さな会社で何が変わるか