AIは新たなコロナウイルスか？企業の情報漏洩・サイバー攻撃・PHP脆弱性への対応、ウィルス感染・パンデミック・緊急事態宣言・ロックダウン・ソーシャルディスタンス・クラスター（集団感染）

😲新型コロナ時代に社会が経験した「感染症への対応」は、AI時代の「情報感染・サイバー攻撃・システム障害」への対応を考えるうえで、非常に示唆的です。

共通するのは、目に見えない脅威が社会の隅々まで広がり、個人の注意だけでは防ぎきれず、企業や行政の仕組みそのものが問われることです。

ただし、ウイルス感染とサイバー攻撃は発生メカニズムが異なります。以下は、両者の構造的な共通点を比較したものです。

1. コロナ用語をAI・サイバーセキュリティに置き換えると？

• パンデミック：サイバー攻撃の世界的拡大。被害が国境を越えて広がる。

• クラスター：情報漏えい・侵害の集中発生。特定の企業やサービスに被害が集中する。

• オーバーシュート：攻撃件数・被害の急増。対応能力を超えて被害が拡大する。

• ロックダウン：システムの緊急停止・ネットワーク遮断。被害拡大を防ぐために利用を制限する。

• ソーシャル・ディスタンス：ネットワーク分離・アクセス制限。危険な接点を減らす。

• 3密対策：多層防御・権限分離。危険が集中する条件を減らす。

• 濃厚接触者：侵害されたアカウント・端末の関連調査。被害が及んだ範囲を特定する。

• PCR検査：脆弱性診断・侵害調査。セキュリティ上の問題の有無を検証する。

• クラスター対策：ログ分析・侵入経路の追跡。被害の発生源と拡散経路を調べる。

• ワクチン接種：セキュリティ更新・多要素認証。被害を受ける確率や影響を下げる。

• 医療崩壊：システム障害・復旧能力の限界。社会を支える基盤の処理能力が限界を迎える。

• ニューノーマル：AI前提のセキュリティ運用。新たな脅威を前提に業務を設計する。

• 5類移行：脅威の平常業務への組み込み。特別対応から継続的な管理へ移行する。

※あくまで概念上の対応関係です。ワクチンとセキュリティ更新などは同一の仕組みではありません。

2. 特に重要な共通点は9つ

① 最初は「自分には関係ない」と思われる

• コロナ：海外の感染症だから、日本では大丈夫。

• サイバー攻撃：大企業が狙われるので、小さなEC事業者は大丈夫。

• AI：便利なツールだから、入力しても問題ない。

共通する罠：被害が目に見えるまで、危険を過小評価する。

② 一つの穴から被害が広がる

• コロナ：感染者との接触などを通じて感染が拡大する。

• サイバー攻撃：PHPの脆弱性、盗まれた認証情報、設定不備などから侵害が広がる。

• AI：機密情報の入力、過剰な権限付与、外部サービスとの連携などから情報流出につながる。

感染症では人の接触、サイバー攻撃では技術的な経路や人間の行動が、拡大の接点になります。

③ 被害が発覚したときには、すでに手遅れの部分がある

• 感染症：症状が出る前から感染が広がる場合がある。

• 情報漏えい：発覚前にデータが持ち出されている可能性がある。

• 不正アクセス：侵入後、長期間気づかれないことがある。

発覚した日時と、被害が始まった日時は一致しない。

これは危機管理における重要な共通点です。

④ 一人の油断が、組織全体の問題になる

• 感染症：一人の感染が職場や家庭に広がることがある。

• 情報セキュリティ：一人のパスワード管理ミスが、社内システム全体の侵害につながることがある。

• 生成AI：一人の従業員が顧客情報を入力することで、組織の情報管理上の問題になる場合がある。

個人の注意だけに依存せず、ミスをしても被害が拡大しにくい仕組みを作る必要があります。

⑤ サービス停止は、被害拡大を防ぐための苦渋の判断になる

PHPの脆弱性が発見された場合、緊急パッチの適用、機能制限、ネットワーク遮断などが必要になることがあります。

しかし、ECサイトを停止すれば売上が止まり、顧客対応や出荷にも影響します。

• 稼働を続ける：攻撃や情報漏えいのリスクが残る。

• 停止する：売上や顧客の利便性が損なわれる。

• 対策して再開する：復旧費用や検証時間が必要になる。

これは感染症対策での営業制限と構造的に似ています。

ただし、脆弱性が見つかっただけで必ずサービス停止が必要になるわけではありません。 深刻度、悪用状況、影響範囲、代替策によって判断します。

⑥ 専門用語が増え、一般の人が判断できなくなる

コロナ時代には、PCR、Ct値、エアロゾル、実効再生産数などの用語が広まりました。

AI・セキュリティ時代には、次のような言葉が飛び交います。

• ゼロデイ脆弱性

• CVE・CVSS

• SQLインジェクション

• クロスサイトスクリプティング（XSS）

• ランサムウェア

• 多要素認証（MFA）

• プロンプトインジェクション

• AIエージェント

• データガバナンス

専門用語を知ること自体が目的ではありません。重要なのは、何が危険で、誰が、いつまでに、何をすべきかを理解することです。

⑦ 対策を怠ると、被害が別の場所へ転嫁される

• コロナ：感染対策の不備が、医療機関や家族などの負担につながる。

• セキュリティ：企業の対策不足が、顧客、取引先、委託先に被害を及ぼす。

• AI：入力データの管理不備が、顧客情報や取引先の機密情報の流出につながる可能性がある。

企業にとっては、自社が被害を受けるかどうかだけでなく、自社が他者への被害の入口にならないかという視点が必要です。

⑧ 危機が去ったと思った瞬間に、対策が弱くなる

コロナでは、行動制限が緩和されると感染対策への意識も変わりました。

サイバーセキュリティでも、サイトを復旧すると安心し、更新管理や監視が後回しになる危険があります。

• 脆弱性を修正しただけで終わる。

• 漏えいの有無を確認しない。

• 同じ認証情報を使い続ける。

• バックアップから復元できるか検証しない。

• AI利用のルールを作っただけで運用状況を確認しない。

復旧はゴールではなく、再発防止のスタートです。

⑨ 最終的には「社会の仕組み」が変わる

コロナによって、テレワーク、オンライン診療、非接触型サービスなどが普及しました。

AI・サイバー脅威の拡大によっても、企業の仕事の進め方が変わります。

• AI利用を前提とした情報管理

• システム更新の定期化

• 多要素認証の導入

• 権限の最小化

• バックアップと復旧訓練

• 委託先・クラウド事業者の管理

• インシデント対応手順の標準化

つまり、脅威への対応が一時的な対策から、日常業務の標準へ変わっていきます。

3. ただし、コロナとの決定的な違いもある

コロナとの決定的な違い

- 脅威の主体

• 感染症：病原体。

• サイバー攻撃・AIリスク：攻撃者、脆弱性、設定不備、AI利用上の問題など。

- 拡大の仕組み

• 感染症：感染経路や人との接触など。

• サイバー攻撃・AIリスク：ソフトウェア、認証情報、ネットワーク、人間の操作など。

- 意図性

• 感染症：病原体に攻撃の意図はない。

• サイバー攻撃・AIリスク：攻撃者が意図的に侵害する場合がある。

- 対策

• 感染症：公衆衛生、医療、感染予防など。

• サイバー攻撃・AIリスク：技術対策、権限管理、監視、従業員教育、法務対応など。

- 被害の証拠

• 感染症：検査、診断、疫学調査など。

• サイバー攻撃・AIリスク：システムログ、通信記録、デジタル・フォレンジック調査など。

- 収束の条件

• 感染症：感染状況、免疫、医療体制など。

• サイバー攻撃・AIリスク：脆弱性の修正、侵入経路の遮断、認証情報の変更、監視、システム復旧など。

- 攻撃者の存在

• 感染症：病原体が防御側の対策を意図的に分析して攻撃するわけではない。

• サイバー攻撃：攻撃者が防御策を分析し、対策を回避する手法に変更する場合がある。

- 被害の再発

• 感染症：感染状況や免疫などによって流行が再拡大することがある。

• サイバー攻撃：脆弱性の放置、認証情報の使い回し、設定不備などにより、同じ組織が繰り返し被害を受けることがある。

- 責任の所在

• 感染症：感染者個人だけに責任を求めるのではなく、公衆衛生や医療体制なども含めて考える必要がある。

• サイバー攻撃：攻撃者の責任に加え、企業の管理体制、システム提供者の対応、委託先管理なども検証対象になり得る。

最重要ポイント： 感染症対策は主に病原体の拡大を抑える取り組みですが、サイバーセキュリティでは、対策を見破り、意図的に突破しようとする攻撃者が存在します。したがって、単に防御するだけでなく、侵入されることも想定した監視・封じ込め・復旧体制まで整える必要があります。

特に重要なのは、サイバー攻撃には攻撃者が防御側の対策を見ながら、手法を変えてくるという点です。感染症対策の比喩だけでは、意図的な攻撃への対応を十分に説明できません。

4. 地方の中小零細EC企業が学ぶべきこと

コロナ時代の経験を、EC事業者のセキュリティ対策に置き換えるなら、次の順番が実践的です。

1. 感染状況の把握 → 資産の把握 ECサイト、PHP、CMS、プラグイン、サーバー、メール、API、顧客データを洗い出す。

2. 検査 → 脆弱性の確認 PHPやCMSのバージョン、既知の脆弱性、サポート終了状況を確認する。

3. 感染拡大の防止 → 被害の封じ込め 不要なアカウントや権限を整理し、侵害時にシステムを切り離せるようにする。

4. ワクチン・予防 → 多層防御 セキュリティ更新、多要素認証、アクセス制限、監視を組み合わせる。

5. 医療体制の確保 → 復旧体制の確保 バックアップを取得し、復元手順と連絡先を整え、実際に復旧できるか検証する。

6. 保健所への報告・調査 → インシデント対応 情報漏えいの疑いが生じたら、証拠を保全し、被害範囲を調べ、必要な報告や顧客対応を進める。

7. 平時の感染対策 → 継続的な管理 一度の対策で安心せず、定期的に更新、点検、訓練を行う。

結論：「コロナ禍の教訓」はAI時代にも生きる

最も大きな共通点は、脅威そのものよりも、脅威が見えない段階で社会がどう行動するかです。

危機の初期には過小評価し、被害が拡大すると過剰反応し、収束すると忘れてしまう。この繰り返しは、感染症対策でも情報セキュリティでも起こり得ます。

そしてAI時代には、もう一つの問題が加わります。

AIは業務を効率化する一方、攻撃者の調査、文章作成、標的型攻撃などを支援する可能性もあります。防御側もAIを活用できますが、導入するだけで安全になるわけではありません。

コロナ時代の教訓を一言で表すなら、「危機が起きてから社会を止めるのではなく、危機が起きても社会を止めずに済む仕組みを平時から作ること」です。

AI・情報漏えい・不正アクセス・PHP脆弱性の時代に求められるのも、まさにその発想です。

『キーボードを叩く手をとめて』

15年前、私がまだ小さな町工場のIT化を手伝っていた頃の苦い記憶がある。

「うちは怪しいサイトなんて見ないから大丈夫だよ」。そう言って笑っていた頑固な社長の顔を、今でも忘れることができない。ある月曜日の朝、会社中のパソコンが一斉に黒い画面に変わり、10年間積み上げた設計図データがすべて人質に取られた。画面の前で膝を折り、頭を抱えて震えていたあの社長の背中が、私の原点だ。

あの時、私たちは「敵がどこから入ってきたか」ばかりを追いかけていた。だが本当の失敗は、侵入されたことそのものではなく、「まさか自分が」という無根拠な安心感に甘んじ、日常のバックアップもログの取り方も知らなかったことにある。

今回の「新型コロナ型リスク対策」という言葉に出会ったとき、胸の奥が熱くなった。ウイルスを地球上からゼロにできないように、サイバー攻撃もまた、この便利な世界で生きる限り完全に消し去ることはできない。

手洗いをする。熱を測る。体調が悪ければ休む。 私たちが幼い頃から教わってきたその当たり前の「手当て」を、キーボードの向こう側にあるデジタル世界でも同じように行う。それだけのことなのだ。

画面の向こうにいるのは、冷徹なAIでも高度なプログラムでもない。汗を流して働く人間と、その営みだ。システムを守るということは、コードを守ることではない。そこで働く人々の暮らしと笑顔を守ることに他ならない。今夜、パソコンの電源を切る前に、もう一度だけ、あなたの「手洗い」ができているか確かめてみてほしい。

Q&A

Q1. 生成AIを社員が業務で使う際、最も手軽で効果的な情報漏洩対策は何ですか？ A1. 「AIに入力して良い情報・悪い情報の明確な線引き」を一覧表にして周知することです。特に「顧客の個人情報」「パスワード・APIキー」「未発表の財務・技術データ」の3つを入力禁止と定め、無料版ではなく「データがAIの学習に利用されない法人契約（Enterprise/Businessプラン）」を利用させることが基本かつ最も有効な対策となります。

Q2. PHPの脆弱性対策として「修正プログラム（パッチ）」を適用すれば、それだけで安心ですか？ A2. いいえ、不十分です。パッチを適用する前に「すでに攻撃者によって侵入されていないか」を確認するログ調査が必須です。脆弱性が放置されていた期間にバックドア（裏口）を設置されていた場合、パッチを当てても攻撃者は自由に再侵入できてしまいます。「修正」と「侵入履歴の確認」は必ずセットで行ってください。

Q3. 予算やIT担当者がいない中小企業は、何から手を付けるべきですか？ A3. 1円もかけずに今すぐできる「重要アカウント（メール、クラウド、VPN）の多要素認証（MFA）設定」と「定期的なバックアップ（オフライン保管）」の2点から始めてください。高額なセキュリティソフトを導入するよりも、この2点を徹底するだけで重大な被害の8割近くを未然・早期に防ぎやすくなります。

昭和・平成・令和の世代論解説

• 昭和（鍵と金庫の時代）：物理的な「社外持ち出し禁止」がセキュリティのすべてでした。書類を鍵付き金庫にしまい、泥棒が入らないようにドアに鍵をかけることで守れていた時代です。

• 平成（壁と境界線の時代）：パソコンとインターネットの普及により「ファイアウォール（防火壁）」を設置。「会社のネットワークの内側は安全、外側は危険」という境界線を引いて、ウイルス対策ソフトで防ぎ止める時代でした。

• 令和（ゼロトラスト・感染症対策の時代）：クラウドとAI、テレワークにより「境界線」が消滅しました。「誰も信用しない（ゼロトラスト）」を前提に、ウイルス対策と同じく「誰もが感染（侵入）し得る」と考え、多要素認証・監視・早期隔離・BCP（事業継続）で被害を局限化する時代です。

AI時代の「新型コロナ型リスク」対策――企業の情報漏洩・サイバー攻撃・PHP脆弱性への実践マニュアル

まず結論：AIを使う企業は、感染症対策に似たリスク管理を導入すべき

AIの普及、情報漏洩、不正アクセス、ランサムウェア、フィッシング、PHPの脆弱性。これらは別々の問題に見えますが、企業のリスク管理という観点では、共通の構造があります。

脅威が発生する前に備え、侵入を防ぎ、異常を早期発見し、被害を封じ込め、事業を復旧し、再発を防ぐ。

新型コロナウイルスの経験にたとえるなら、サイバーセキュリティにも「手洗いに相当する日常対策」「検査に相当する監視」「隔離に相当するアクセス遮断」「医療体制に相当する復旧計画」が必要です。

ただし、重要な違いがあります。感染症は人から人へ生物学的に広がりますが、サイバー攻撃は脆弱性、盗まれた認証情報、ネットワーク、ソフトウェア、取引先との接続などを通じて拡大します。比喩はリスク管理の考え方に使い、具体策はサイバーセキュリティの原則に基づいて設計することが大切です。

1. 何が脅威なのか――全体像をつかむ

- AIのリスク

• 社内情報や顧客データを生成AIに入力してしまう。

• AIが誤った情報を生成し、判断や業務に悪影響を及ぼす。

• AIエージェントに強すぎる権限を与え、意図しない操作や情報へのアクセスを許してしまう。

• 攻撃者がAIを利用して、詐欺メール作成、偵察、攻撃の自動化などを効率化する可能性がある。

- 情報漏洩のリスク

• 顧客情報、従業員情報、取引情報、認証情報などが外部に流出する。

• クラウドサービスや委託先で起きた事故が、自社の情報にも波及する。

• 漏洩したデータが詐欺、なりすまし、追加攻撃などに悪用される。

- 不正アクセス・ランサムウェアのリスク

• 盗まれたパスワードや認証トークンで正規利用者になりすまされる。

• システムが暗号化され、業務を継続できなくなる。

• データを盗まれたうえで、公開すると脅迫される。

• 復旧のために時間、費用、人的資源を失う。

- PHPなどのソフトウェア脆弱性のリスク

• 古いPHPやライブラリ、CMS、プラグインなどに弱点が残る。

• 弱点を悪用されると、不正な処理、情報窃取、サーバー侵害などにつながる可能性がある。

• 修正プログラムを適用しても、既に侵害されていないか別途確認する必要がある。

- 経営上のリスク

• ECサイトの停止、受注・出荷の遅延、顧客対応の混乱。

• 信用の低下、取引先への説明、法令上の対応、損害賠償など。

• 経営者や特定の担当者しか復旧方法を知らず、対応が止まる。

これらは相互につながっています。例えば、PHPの脆弱性が侵入の入口となり、顧客データを窃取され、ランサムウェアによる脅迫に発展する可能性があります。ただし、個々の事件で実際にどの経路が使われたかは、調査によって確認しなければなりません。

2. 新型コロナ対策との対応表――企業は何をすればよいか

新型コロナ対策との対応表――企業は何をすればよいか

- 感染経路を把握する

• サイバー対策：攻撃経路を把握する

• 実施内容：アカウント、サーバー、クラウド、委託先を一覧化する。

- ワクチン・予防

• サイバー対策：脆弱性を修正する

• 実施内容：OS、PHP、CMS、プラグインを更新する。

- 手洗い・マスク

• サイバー対策：日常の基本対策を徹底する

• 実施内容：多要素認証（MFA）、パスワード管理、不審なメールの確認を徹底する。

- 検温・検査

• サイバー対策：異常を監視する

• 実施内容：アクセスログ、不審なログイン、異常な通信量を確認する。

- 隔離

• サイバー対策：被害を封じ込める

• 実施内容：侵害された端末、アカウント、サーバーを状況に応じて隔離する。

- 接触者調査

• サイバー対策：影響範囲を調査する

• 実施内容：関連アカウント、漏洩した可能性のあるデータ、取引先への影響を確認する。

- 医療体制

• サイバー対策：インシデント対応体制を整備する

• 実施内容：誰が判断し、誰が調査・封じ込め・復旧を担当するかを事前に決める。

- 医療崩壊を防ぐ

• サイバー対策：事業継続計画（BCP）を整備する

• 実施内容：バックアップ、代替業務の手段、復旧手順を準備する。

- 再感染防止

• サイバー対策：再発を防止する

• 実施内容：侵入原因の除去、権限の見直し、従業員訓練、継続的な監査を実施する。

本質：感染症対策と同じく、サイバーセキュリティも「予防・早期発見・隔離・復旧・再発防止」を一体で運用することが重要です。

この比喩で最も重要なのは、「感染してから対策を考える」のではなく、感染する前から対応手順を用意しておくことです。

IPAも2026年10月、相次ぐ情報漏洩を踏まえ、外部公開アプリケーション、認証、権限、ログ、外部サービスの管理などを見直すよう注意喚起しています。

3. 初心者向け・企業が取り組むべき手順

まずは高度なセキュリティ製品を導入するより、次の順番で進めてください。

STEP 1　最初の1〜3日：会社の「守るもの」を洗い出す

最初に必要なのは、何を使っていて、何を守るべきなのかを把握することです。

• 社内のパソコン、サーバー、スマートフォンを一覧にする。

• 会社が契約しているクラウドサービスを一覧にする。

• ECサイト、受注システム、顧客管理、会計、メールなどの重要システムを列挙する。

• 管理者アカウントと、誰が使っているかを確認する。

• 顧客情報、従業員情報、取引情報、認証情報の保存場所を確認する。

• 外部のシステム会社、物流会社、保守会社など、システムにアクセスできる委託先を確認する。

• システム停止時に、どの業務が止まるかを整理する。

成果物：IT資産・アカウント一覧表

最初から完璧な一覧を作る必要はありません。まず「何が存在するか分からない」という状態をなくします。

STEP 2　最初の1週間：すぐに実施できる基本対策

• 管理者、メール、クラウド、VPNなどの重要アカウントで多要素認証（MFA）を有効にする。

• パスワードの使い回しをやめ、パスワード管理ツールを利用する。

• 退職者・異動者・不要なアカウントを確認し、不要な権限を削除する。

• 管理者権限を必要最小限にする。

• OS、ブラウザ、セキュリティソフトを更新する。

• 重要なデータをバックアップする。

• バックアップが実際に復元できるかテストする。

• 不審なログインや、普段と異なる操作を確認できるログを有効にする。

• 従業員に「不審なメールを開いた、情報を入力した、ファイルを実行した場合は、すぐ報告する」と周知する。

ここで注意したいのは、バックアップを取っただけでは、対策が完了したことにならない点です。バックアップまで攻撃者に削除・暗号化される場合があるため、通常のシステムから簡単に変更できない保管方法も検討します。

IPAの中小企業向けガイドライン第4.0版でも、バックアップを含む基本対策、ウェブサイトの安全な運用、外部から内部への不要な通信の遮断などが取り上げられています。

STEP 3　2週間以内：PHP・ウェブサイト・ソフトウェアの脆弱性を調べる

PHPの問題は、特にウェブシステムを運用している企業にとって重要です。

• 自社のウェブサイトや業務システムでPHPを使っているか確認する。

• PHPのバージョンを確認する。

• 利用中のCMS、プラグイン、ライブラリ、フレームワークを一覧化する。

• サポートが終了したバージョンを使っていないか確認する。

• メーカーや開発元の公式情報から、該当する脆弱性と修正プログラムを確認する。

• 修正プログラムを適用する前に、バックアップとテスト環境を準備する。

• 影響を確認したうえで、優先順位を付けて更新する。

• 更新後にサイトの表示、ログイン、受注、決済、データ連携などをテストする。

• 不審なアクセス、未知のファイル、異常な通信、身に覚えのないアカウントなどを確認する。

• 侵害の疑いがあれば、単なる更新で終わらせず、専門家に調査を依頼する。

重要なのは、脆弱性を修正することと、既に攻撃を受けていないか調べることは別の作業だという点です。IPAもPHPの脆弱性に関して、修正プログラムの適用に加え、適用済みの場合でも通信ログなどから被害の有無を確認するよう呼びかけています。

PHPを利用していない会社も安心はできません。OS、VPN機器、ルーター、CMS、ブラウザ、業務ソフト、各種プラグインなど、インターネットにつながるシステム全体を確認する必要があります。

STEP 4　2〜4週間以内：生成AIの利用ルールを整備する

AIは業務効率化の道具ですが、利用ルールがなければ新たな情報漏洩経路にもなります。

• 会社で利用を認めるAIサービスを決める。

• 顧客情報、個人情報、パスワード、秘密鍵、取引先の機密情報を入力してよいか明確にする。

• 機密情報を入力してはいけないサービスや用途を定める。

• AIが作成したプログラムや設定ファイルを、本番環境へ直接適用しないルールを作る。

• AIの回答を、人間が確認してから業務判断に使う。

• AIエージェントに与える権限を必要最小限にする。

• メール送信、ファイル削除、顧客データの変更、注文処理など、重大な操作には承認を求める。

• AIの利用状況、権限、接続先、操作履歴を確認する。

• 社内規程だけでなく、従業員向けの具体例を用意する。

例えば、次のようにルールを具体化します。

• 基本ルール：原則利用可

- 顧客の氏名・住所・電話番号を含むデータ

• 基本ルール：承認された環境と手順に限定

- パスワード、APIキー、秘密鍵

• 基本ルール：入力禁止

- AIが生成したプログラム

• 基本ルール：レビューとテストを経てから利用

- AIによる顧客への自動送信

• 基本ルール：送信範囲と承認条件を設定

- AIによる本番データの変更・削除

• 基本ルール：権限を制限し、必要な場合は人間が承認

AIの利用を一律に禁止する必要はありません。何を入力できるか、何を実行できるか、誰が責任を持つかを決めることが目的です。

STEP 5　1か月以内：事故発生時の対応マニュアルを作る

サイバー攻撃を完全に防ぐことはできません。事故が起きたときに、判断の遅れで被害を拡大させないことが重要です。

最低限、次の担当者を決めます。

• 責任者： 経営判断、事業停止、社外公表などを決める。

• 技術担当： 調査、アカウント停止、システム隔離、復旧を担当する。

• 連絡担当： 社内、顧客、取引先、関係機関への連絡を管理する。

• 記録担当： 発生時刻、確認した事実、実施した措置、判断内容を記録する。

• 外部支援先： システム会社、セキュリティ専門家、弁護士などの連絡先を確保する。

小規模企業なら、複数の役割を同じ人が担当しても構いません。ただし、担当者が不在のときの代行者を決めてください。

4. 事故が起きたらどう動くか――緊急対応の手順

ここは平時の対策とは別に、紙1枚でもよいので手順を作っておきます。

発覚直後

1. 報告する。 不審なメール、ログイン、ファイル、システム停止などを確認した人は、指定された担当者へ直ちに報告する。

2. 被害拡大を防ぐ。 侵害が疑われる端末やアカウントを、状況に応じてネットワークから隔離したり、認証情報を無効化したりする。

3. 証拠を残す。 ログ、アラート、メール、発生時刻などを保存する。安易な初期化やログ削除を行わない。

4. 専門家へ連絡する。 自社だけで侵害範囲を特定できない場合は、外部の専門家やシステム運用会社に支援を求める。

調査・封じ込め

1. 侵入経路、侵害されたアカウント、対象システム、漏洩した可能性のあるデータを調べる。

2. 関連するアカウントやシステムへの横展開がないか確認する。

3. 追加の認証情報窃取や不正アクセスを防ぐため、必要な認証情報の変更・失効、脆弱性の修正、権限の見直しを行う。

4. 個人情報保護委員会への報告、本人への通知、警察や関係機関への相談など、必要な対応を確認する。

復旧・再発防止

1. 原因が除去され、システムが安全であることを確認してから復旧する。

2. バックアップから復元する場合は、侵害されたデータやプログラムまで戻さないよう確認する。

3. 顧客・取引先への影響と、事業再開の状況を説明する。

4. 原因と対応を記録し、同じ攻撃を受けにくくするための改善策を実施する。

注意： ランサムウェアや不正アクセスが疑われる場合、担当者の判断だけでサーバーを初期化したり、ログを消したりしないでください。証拠を失い、原因究明や復旧が難しくなる可能性があります。

IPAのインシデント対応資料でも、検知、報告、封じ込め、復旧を組織的に進める体制と、事前の対応手順・演習が重要とされています。

5. 企業が管理すべきタスク一覧

企業の情報セキュリティ対策：実務チェックリスト

- 最優先：重要アカウントのMFA設定

• 担当：IT担当

• 期限：1週間以内

- 最優先：バックアップと復元テスト

• 担当：IT担当・システム会社

• 期限：1週間以内

- 最優先：管理者アカウントと不要権限の棚卸し

• 担当：IT担当

• 期限：1週間以内

- 最優先：PHP・OS・CMS等のバージョン確認

• 担当：システム担当

• 期限：2週間以内

- 最優先：不審なアクセスを確認するログの確保

• 担当：IT担当・委託先

• 期限：1週間以内

- 高：顧客情報などの保存場所の確認

• 担当：IT・業務責任者

• 期限：2週間以内

- 高：AI利用規程と入力禁止情報の策定

• 担当：経営・IT・各部門

• 期限：1か月以内

- 高：インシデント対応担当者・連絡網の整備

• 担当：経営者

• 期限：1か月以内

- 高：外部委託先・クラウドの権限確認

• 担当：IT・調達担当

• 期限：1か月以内

- 高：システム停止時の代替業務手順

• 担当：業務責任者

• 期限：1か月以内

- 中：事故を想定した対応訓練

• 担当：経営・IT・各部門

• 期限：3か月以内

- 中：権限・ログ・バックアップの定期点検

• 担当：IT担当

• 期限：毎月

- 中：脆弱性情報と更新状況の確認

• 担当：IT担当・委託先

• 期限：毎週〜毎月

- 中：対策の有効性と未対応項目の経営報告

• 担当：経営・IT

• 期限：毎月

運用上の注意： 期限は平時の整備目安です。侵害の疑いがある場合や、悪用が確認された重大な脆弱性がある場合は、期限を待たずに緊急対応してください。

期限は一般的な導入目安です。既に侵害の疑いがある場合や、悪用が確認された重大な脆弱性がある場合は、このスケジュールを待たずに緊急対応が必要です。

6. 経営者が毎月確認すべき指標

専門家でなくても、次の数字を見れば対策の進捗を把握できます。

• 資産把握率： 管理対象のシステムを何％把握できているか。

• MFA適用率： 重要アカウントのうち何％に多要素認証を設定したか。

• 脆弱性対応率： 対応期限を迎えた重要な脆弱性のうち、何％を修正したか。

• バックアップ復元成功率： テストしたシステムのうち、何％を復元できたか。

• 不要アカウント数： 使われていないアカウントや過剰な権限が残っていないか。

• 対応訓練の実施状況： 事故発生時に、担当者が決められた手順を実行できるか。

• 未対応リスク数： 重大なリスクが何件残り、誰がいつまでに解消するのか。

単に「対策済み」と報告させるのではなく、実際にログインを検知できるか、バックアップから復旧できるか、担当者が動けるかを確かめることが重要です。

7. 最初に読むべき公的資料

初心者がゼロから体系的に学ぶなら、次の資料を順に読むのが効率的です。

1. IPA の 中小企業の情報セキュリティ対策ガイドライン 企業が何を守り、どのように対策を進めるかの基本資料です。第4.0版は2026年3月に公開され、同年9月にも関連資料が更新されています。

2. IPAの 情報セキュリティ対策のしおり・インシデント対応手引き 情報漏洩が起きたときの対応を学べます。

3. IPA：2026年10月の不正アクセス・情報漏洩に関する注意喚起 外部公開システム、認証、権限、ログ、外部サービスの見直しを確認できます。

4. IPA：PHPの脆弱性に関する注意喚起 PHPの脆弱性に対する修正と、攻撃を受けた形跡の確認について学べます。実際に利用中のPHPのバージョンに該当するかは、別途最新の公式情報で確認してください。

最後に――企業が目指すべき状態

新型コロナ型のリスク管理から学ぶべきことは、危険をゼロにするという非現実的な目標ではありません。

• 何を守るか分かっている。

• 危険な状態を早く発見できる。

• 事故が起きたら、誰が何をするか決まっている。

• 被害を限定し、事業を復旧できる。

• 原因を調べ、対策を更新できる。

この5つができていれば、未知の攻撃に遭遇しても、被害を抑えられる可能性が高まります。

私の結論は、AIを禁止することでも、最新のセキュリティ製品を買うことでもなく、「予防・検知・封じ込め・復旧・改善」を会社の日常業務に組み込むことです。

攻撃者がAIで攻撃を効率化する時代には、防御する企業も、AIを含む新しい技術を適切に使いながら、権限管理、更新、バックアップ、監視、訓練を継続する必要があります。セキュリティは一度導入して終わる設備ではなく、企業が営業を続けるための継続的な経営管理です。