ひとり事務所・小さな会社のセキュリティ、最低限これだけ｜半日で始める5つの設定とチェックリスト

はじめに

「セキュリティ対策が大事なのは分かっているが、何をどこまでやればいいのか分からない」——ひとりで事業をしている方や、専任のIT担当がいない小さな会社から、よく伺う悩みです。

私は社労士であると同時に、情報処理安全確保支援士試験（情報セキュリティの国家試験）に合格したITエンジニアです。その立場から先にお伝えしたいのは、小さな事業者のセキュリティは、高価な製品を買う話ではないということです。効果の大きい対策の多くは、いま使っているPCとスマホの標準機能を正しく設定することが中心で、費用はほとんどかからず、多くは半日程度で着手できます（環境によっては、バックアップ媒体などの費用や追加の時間が必要になる場合もあります）。

本記事では、その「最低限これだけ」の5つを、優先順位つきで解説します。

この記事でわかること

• 小さな事業者が狙われる理由と、現実に多い事故のパターン
• 半日で始める5つの設定（暗号化・パスワード管理・二要素認証・バックアップ・紛失への備え）
• 5つの設定に加えて押さえる「土台の2つ」
• 設定チェックリスト15項目

「うちみたいな小さいところは狙われない」が誤解である理由

セキュリティ事故と聞くと、大企業を狙った高度なサイバー攻撃を想像しがちです。しかし小さな事業者で現実に起きる事故は、もっと地味です。

• 電車やカフェでのPC・スマホの置き忘れ
• 使い回していたパスワードが、どこかのサービスの漏えい事故経由で流用される乗っ取り
• メールの誤送信
• 故障・誤削除・ランサムウェアによるデータ消失

いずれも「狙われる」というより「事故に遭う」に近く、事業の規模と関係なく発生します。そして小さな事業者ほど、事故が起きたときに代わりに対応してくれる情シス部門がありません。対策の目的は攻撃者に勝つことではなく、ありふれた事故を「致命傷にしない」ことです。この視点で見ると、やるべきことは絞れます。

設定1: PC・スマホの暗号化 — 紛失を「漏えい」に直結させない

置き忘れは防ぎきれません。しかしディスクが暗号化されていれば、電源が切れた状態や適切にロックされた状態の端末から、データを直接読み出されるリスクを大きく下げられます（ログインしたまま・ロックしないままの端末や、パスワードも一緒に知られた場合までは守れません）。紛失がそのまま情報漏えいに直結する事態を避けるのが暗号化の役割です。

多くのPCには標準機能があります（Windowsは「BitLocker」または「デバイスの暗号化」で、エディションや端末により利用できる機能が異なります。Macは「FileVault」）。設定画面で機能名を検索して有効化してください。このとき発行される回復キーは、端末の中ではなく紙や別の安全な場所に保管します。スマホは近年の機種なら画面ロックを設定すれば自動的に暗号化されるのが一般的なので、6桁以上のパスコードと生体認証、数分での自動ロックを設定します。

操作手順はOSのバージョンで変わるため、「BitLocker 有効化」「FileVault 設定」等で最新の公式ヘルプを確認してください。

設定2: パスワードマネージャ — 「覚えられるパスワード」をやめる

乗っ取り被害の多くは、高度なハッキングではなく「どこかで漏れたパスワードの流用」です。つまり対策の本丸は使い回しをやめることですが、人間は数十個の強いパスワードを覚えられません。

そこでパスワードマネージャ（例: 1Password、Bitwarden、ブラウザ付属の管理機能）を1つ決めて、すべてのパスワードを覚えさせます。自分が覚えるのは、マネージャを開くマスターパスワード1つだけ。マスターパスワードは、自分と関係のない単語をランダムに3〜4個以上つないだ、十分に長い文にすると、強いのに覚えられます。家族の名前や誕生日など連想できる語や、他のサービスで使ったことのある文字列は避けてください。これは紙に書いて物理的に安全な場所に保管してください。また、パスワードマネージャ自体にも、次の設定3で扱う二要素認証を設定しておきます。

導入後は「新しいサービスの登録時は必ず自動生成」を習慣にし、既存のサービスはメール→クラウドストレージ→会計・銀行の順に強いものへ変えていきます。

設定3: 二要素認証 — パスワードが漏れたときの追加の守り

パスワードは、自分がどれだけ気をつけてもサービス側の事故で漏れることがあります。二要素認証（2段階認証）を設定しておくと、パスワードだけで乗っ取られるリスクを大きく下げられます（フィッシングなどすべての手口を防げるわけではありませんが、費用ゼロでできる対策としては効果が大きいものです）。方式を選べる場合は、SMSよりも認証アプリを優先すると、より安全です。パスキーに対応しているサービスでは、端末のロックで保護されたパスキーを使うのも有力な選択肢です（サービスによっては、パスワードに追加する方式ではなく、パスワード自体を置き換える認証になります）。

全部のサービスに一度に設定する必要はありません。最優先はメールです。メールはあらゆるサービスの「パスワード再設定」の届け先なので、ここを取られると芋づる式に全部取られます。次にクラウドストレージ、会計・銀行、SNSの順。設定時に発行される回復コードは印刷して、暗号化の回復キーと同じ場所に保管してください。

設定4: バックアップ — 取り忘れない「自動」の仕組みにする

データ消失対策の基本は「3-2-1ルール」（原本1部＋バックアップ2部の合計3部を持つ・2種類の媒体に分ける・1部は別の場所に置く）です。小さな事業者なら、たとえば次のような、独立した3部を持つ構成でこの考え方を満たせます。

• 原本: 普段作業しているデータ（PC上）
• 2部目: 履歴・復元機能のあるクラウドストレージ上のコピー。ここで注意したいのは、同期型のクラウドストレージは、それだけではバックアップにならないことです。誤削除やランサムウェアによる暗号化もそのまま同期されるためで、バージョン履歴・ごみ箱の有無と保持期間を必ず確認してください
• 3部目: 外付けディスク等へのバックアップ。つなぎっぱなしだと誤削除やランサムウェアの巻き添えになるため、「週1回つないだら自動でバックアップが走り、終わったら取り外す」のように、接続時に自動実行される設定と組み合わせて運用します（世代管理＝過去の状態を複数残せるバックアップソフトを使うのも有効です）。外付け媒体自体も暗号化し（WindowsならBitLocker To Go等）、回復情報は媒体とは別の場所に保管してください

重要なのは2点です。1つ、手動バックアップは忘れやすいので、自動で回る（またはつなぐだけで走る）設定にすること。2つ、復元テストをやること。「取っていたつもりが戻せなかった」は、バックアップの代表的な失敗です。適当なファイルを1つ実際に復元するテストを、導入時に1回、その後も設定変更のときや数か月に1回など定期的に行ってください。小さなファイルなら短時間で確認できます。

設定5: 紛失・盗難への備え — 当日は「読むだけ」にしておく

事故の当日は動転していて、正しい判断はできません。だから備えは「当日考えること」を無くす方向で行います。

• PC・スマホの「探す」機能を有効にし、管理画面にログインして自分の端末が表示されることを確認しておく。遠隔での位置確認・ロック・データ消去のどこまでができるかは、OSや管理方式によって異なるので、あわせて確認しておきます。なお遠隔ロック・消去は、端末が通信できない状態では実行されない場合があります
• 紛失時にやることを紙に書いて印刷しておく: ①遠隔ロック・消去の指示 ②携帯回線の停止（①が届かなくなる場合があるため原則この順で。状況に応じて並行して）③主要サービスのパスワード変更（メールから）④警察への届出 ⑤影響する取引先への連絡

なお、事業で個人データを扱っている場合、漏えい等に気づいたときは、まず被害の拡大防止と、事実関係の確認・記録（何がいつ、どの範囲で起きたか）を行います。そのうえで、漏えいの内容によっては、個人情報保護委員会への報告や本人への通知が法律上義務になるケースがあります（義務になるのは一定の事態に限られます）。「うちはどんな場合に該当するのか」を平時に一度確認しておくと、当日の迷いが減ります。

あわせて: 土台の2つ

上の5つに加えて、費用も手間もほぼゼロなのに効果が大きいものが2つあります。チェックリストにも入れてあります。

1つ目は、OS・ブラウザ・アプリの自動更新を有効にすること。 修正プログラムがすでに出ている既知の弱点を突く攻撃は珍しくありません。自動更新は「更新を忘れない仕組み」であり、この種の攻撃に遭うリスクをまとめて下げる設定です（フィッシングやパスワードの流用は防げないので、設定2・3とセットで考えてください）。

2つ目は、仕事用アカウントを私用と分けること。 私用のアカウントで仕事のファイルを扱っていると、家族との共有端末・私用アプリの連携・退会時の巻き添えなど、意図しない経路でデータが動きます。メールとクラウドストレージだけでも分けておくと、後から整理する手間が段違いに小さくなります。

設定チェックリスト15項目

端末

• 1. PCのディスク暗号化が「有効」になっている
• 2. 回復キーを端末以外の場所に保管した
• 3. スマホに6桁以上のパスコード＋生体認証＋自動ロックを設定した
• 4. OS・ブラウザの自動更新が有効になっている
• 5. 仕事用アカウントを私用と分けた

パスワードと認証

• 6. パスワードマネージャを導入した
• 7. マスターパスワードを紙で別保管した
• 8. 主要サービスのパスワードを「使い回しゼロ」にした
• 9. メールに二要素認証を設定した（最優先）
• 10. ストレージ・会計・銀行にも二要素認証を設定した
• 11. 回復コードを印刷してオフラインで保管した

バックアップと備え

• 12. 原本のほかに独立した2部（履歴のあるクラウド上のコピー＋暗号化した外付け媒体など）を、自動または「つなぐだけで走る」形で確保できている
• 13. ファイルを1つ復元するテストをした（導入時＋定期的に）
• 14. 「探す」機能を有効にし、管理画面から自分の端末が見えることを確認した
• 15. 紛失時の手順を印刷して備え置いた

まとめ

ここまでの5つ（＋土台の2つ）は、業種を問わないセキュリティの土台です。多くは半日程度で着手でき、費用は、選ぶサービスや容量に応じて月数百円程度の月額やバックアップ媒体代がかかる場合があります。「何から手をつければいいか分からない」の答えとして、まずこの15項目を埋めてみてください。

なお、顧客の個人情報を預かる業種（士業・医療・人事関連など）には、この土台の上にもう一段——文書の保管・共有権限・廃棄の設計や、守秘義務とAI利用の線引きといった、業種固有の設計が必要です。この部分は汎用記事では書ききれないため、別の記事で扱っていきます。

（この記事は、開業IT環境の整備シリーズの第2回です。）

---

士業として開業する方へ

ここまでは、業種を問わない土台です。顧客の個人情報を預かる士業（社労士・行政書士など）には、この上にもう一段——守秘義務を前提とした文書の保管・共有・廃棄の設計、事故が起きた当日に読むだけで動ける初動の手順、そして生成AIに何を渡してよいかの線引き——が必要になります。

そこを、自分の開業でつまずいた記録ごとまとめた教材を公開しています。

📘 士業開業ITスターターキット【社労士版】 — 有料note（3,980円）・約3.4万字／テンプレート実ファイル10点付き

認証局への電子証明書の利用申込書に認印を押して差し戻され、数週間を失った話まで、詰まった箇所と判断をそのまま書いています。無料部分だけでも、開業ITの全体像と、私のケースで実際にかかった費用の実額が分かる構成にしています。

関連記事

• 開業・独立したら最初にやる「独自ドメインとメール」の始め方 — 開業IT環境の整備シリーズ 第1回
• 開業時のホームページは「最小構成」でいい — 開業IT環境の整備シリーズ 第3回