情報漏えいが止まらない今、中小企業は「内製」のほうが堅いと思う理由

endy

2026年10月4日 16:07

僕らの仕事は、開発だけではありません。

ルーターの調子が悪い。ネットワークがつながらない。このメール、開いて大丈夫か。セキュリティはこれで足りているのか。現場で起きるITのことは、ほぼ全部相談に乗っています。心配するのも仕事のうちです。

その立場から、最近の情報漏えいについて、僕なりの考えを書いておきます。

情報漏えいが止まらない

ここのところ、情報漏えいのニュースが本当にすごいペースで続いています。

最近では、カーシェアの「タイムズカー」で約660万件の会員情報が漏れ、運転免許証の画像も約160万件流出しました。集団訴訟の呼びかけには、1日で2000人以上が参加を希望したそうです。

ネットショップの仕組みを貸している、Eストアーの「ショップサーブ」も不正アクセスを受けました。2026年5月から8月までの約2か月半、サーバーの上で不正なプログラムが動き続け、公表された件数は約885万件。氏名や住所、カード番号の一部に加えて、お店側の管理画面やFTPのログイン情報まで含まれていました。ショップサーブを使っていたお店が、次々にお詫びを出しています。

どういう経路で入られたのかは、公表されないことが多いです。公表すれば、別の攻撃者が同じ手を使うからです。

ただ、いろいろ調べると、情報漏えいの多くには「人」が関わっていると言われています。僕も、そうだろうと思います。

破られるのは、壁ではなく人

大きなサービスの会社は、サーバーの守りにものすごくお金をかけています。土台はAWSやAzureといった大手のクラウドで、ここ自体はとても堅い。そこが正面から破られることは、まずありません。

外からの入口をガチガチにしていても、中の人がやられたら終わりです。管理者権限を持っている人が乗っ取られれば、そこから先は何でもできてしまう。

だから狙うとしたら、開発に大勢が関わっている会社の、権限を持っている社員です。権限を持つ人が多いということは、それだけ入口が多いということです。

中小企業は、入口が少ない

僕ら中小企業は、そもそも管理者権限を持っている人が数人です。大きな会社と比べたら、入口の数がまったく違います。

狙う側も、情報をたくさん持っているところを狙います。中小企業が狙われないわけではありません。でも、狙われたとしても、権限を持つ人が少ないので、管理できる。ここは中小企業の有利なところです。

SaaSは、他社の被害に引っ張られる

SaaSを使うのが悪いとは言いません。ただ、怖いのは、自分ではコントロールできないところです。

ショップサーブの件が、まさにそうです。お店は自分では何も間違えていなくても、仕組みを貸している会社が破られれば、自分のお客様の情報が漏れ、お詫びを出すことになる。同じサービスを使っている誰かが狙われれば、自分も巻き込まれます。

どれだけお金をかけて外から守っていても、開発者が何百人もいれば、その中の一人に悪意があっただけで終わりです。それは、使う側からはどうにもできません。

どちらがセキュリティが高いかと言われたら、僕は、関わる人を少なくして、一社だけで使う仕組みのほうだと思います。他に引っ張られない。自分でコントロールできる。

だから、内製がいちばん堅い

今回のような事件を見ても、狙われているのは情報をたくさん持っている大きなサービスです。

中小企業は、自分の会社専用のサーバーに、必要な機能だけを置く。僕は、これがいちばん堅いと確信しました。しかも今はAIがあるので、作るのは速い。内製化の波が来る、というより、内製化がいちばんいいと思っています。

僕なら、こう組む

Webの仕組みなら、僕はこう組みます。

入口はCloudflare。その後ろに、一社専用のサーバーを置く
管理画面は多要素認証(MFA)。さらにCloudflareをもう1枚かませる
管理画面はIPでも制限する。決まった場所からしか開けない
開発者は1〜3人。関わる人を増やさない
プログラムを上げられるのは、その数人だけ。しかも、WireGuardで決まったIPからしか上げられないようにする
改ざんを毎日チェックする。手元のプログラムと、サーバーに上がっているプログラムが同じかどうか。データベースの中のHTMLに、変なものが混ざっていないか。これはAIで簡単に作れます

ここまでやれば、90点はいけると思います。

残りの10点は、人です。ここは気をつけるしかありません。

今起きている情報漏えいを見ていると、中小企業は内製がいちばんいい。そして、構造はこういうのがいちばんいい。僕はそう考えています。

現場からは、以上です。