MENU
DX推進、IoT、AI、リスキリングで御社人材のキャリアアップを実現
  1. ホーム
  2. 11.セキュリティ・倫理
  3. セキュリティに強い会社も狙われる。AI時代に全社員で守る5つの基本

セキュリティに強い会社も狙われる。AI時代に全社員で守る5つの基本

11.セキュリティ・倫理
セキュリティに強い会社も狙われる。AI時代に全社員で守る5つの基本
CONCEPT
セキュリティに強い会社も狙われる。AI時代に全社員で守る5つの基本
専門部署任せにせず、更新、添付ファイル、復元確認、認証、偽ソフト対策を組織の習慣にする。五つの基本と30日の改善、休日の初動から、被害を広げず戻せる体制を考えます。
5つ
全社員の基本
更新・添付・復元・認証・確認
30日
改善の進め方
入口把握から初動訓練
24時間
攻撃への備え
休日の連絡と判断も設計
原文公開：2026年10月13日 ／ 転載・編集：2026年10月19日
note原文を読む
この記事でわかること
  • 専門知識がある企業も攻撃対象になる理由
  • 全社員が続ける五つの基本対策
  • 休日の初動と30日の改善サイクル
目次

〖記事概要〗

「うちはIT企業だから大丈夫」「セキュリティは専門部署に任せている」。
「うちはIT企業だから大丈夫」「セキュリティは専門部署に任せている」。そう言い切れる時代ではなくなりました。専門知識を持つ企業や上場企業であっても、不正アクセスや情報漏洩の被害に遭います。生成AIと計算資源の進化は、防御する側だけでなく攻撃する側の速度も上げています。しかも入口になるのは、特別なサーバーだけではありません。共有メールに届いた添付ファイル、使い回したパスワード、更新を後回しにした一台の端末かもしれません。本稿では、企業規模や職種を問わず、全社員が今日から実行したい5つの基本と、被害を前提に事業を守る仕組みを整理します。セキュリティを「詳しい人の仕事」から「組織全体の習慣」へ変えるための実践ガイドです。

〖本文〗

IT企業、上場企業、セキュリティを事業にしている企業であれば、攻撃を防げるはずだ。

セキュリティに強い企業も、被害者になる

IT企業、上場企業、セキュリティを事業にしている企業であれば、攻撃を防げるはずだ。
IT企業、上場企業、セキュリティを事業にしている企業であれば、攻撃を防げるはずだ。私たちは、どこかでそう思っています。ところが現実には、専門人材や高性能な設備を持つ企業も被害に遭います。守る側の能力が低いから、という単純な話ではありません。
企業のシステムは、一枚の強固な壁ではありません。社員の端末、クラウド、メール、Webサイト、委託先、顧客向けサービス、古い業務システムなど、多数の入口がつながっています。どれか一つに弱点があれば、そこから影響が広がる可能性があります。
報道では、GMOリサーチ＆AIが運営するアンケートサイトに関する不正アクセスと、会員情報やポイントへの被害が取り上げられました。個別事案の詳細は公式発表で確認する必要がありますが、ここで注目すべきなのは、デジタルに詳しい企業であっても攻撃対象から外れないという事実です。

情報漏洩と事業停止は、別々ではなく連続して起きる

サイバー攻撃の被害は、大きく二つの方向へ広がります。
サイバー攻撃の被害は、大きく二つの方向へ広がります。一つは、個人情報、認証情報、営業秘密などが持ち出され、公開や売買、別の詐欺に利用されることです。もう一つは、システムやデータが暗号化・破壊され、事業そのものが止まることです。
実際には、この二つは分離できません。顧客情報を奪われた上で、復旧と引き換えに金銭を要求される場合もあります。顧客向けサイトが停止し、売上や問い合わせの機会を失うだけでなく、説明、調査、通知、再発防止にも多くの人と時間が必要になります。
被害額をサーバーの修理費だけで考えると、本質を見落とします。顧客が利用できなかった時間、社員が本来業務を止めた時間、取引先からの信用、採用への影響まで含めると、事業への損失は長く残ります。セキュリティは技術コストではなく、企業が約束した価値を届け続けるための経営基盤です。

AIの進化は、防御側と攻撃側の両方を加速する

生成AIは、文章作成、翻訳、プログラミング、調査を大きく効率化しました。
生成AIは、文章作成、翻訳、プログラミング、調査を大きく効率化しました。私たちの仕事を助ける一方で、攻撃者も同じ技術を使えます。もっともらしい日本語のメールを大量に作る。相手企業に合わせて文面を変える。プログラムの試作や修正を速める。これまで専門性や時間が必要だった作業の一部が自動化されます。
主要な生成AIサービスには安全対策があり、危険な依頼を拒否する仕組みがあります。しかし、公開されたモデルを自分の環境で動かし、制限を外そうとする人もいます。高性能なGPUや計算環境が身近になるほど、攻撃の試行回数は増えます。
ただし、「AIが攻撃している」とだけ捉えるのは正確ではありません。悪意を持って目的を決め、技術を利用するのは人間です。AIとハードウェアは、その人の速度と規模を拡張します。だから防御側も、AIを怖がるだけでなく、監視、検知、教育、初動の改善へ活用する必要があります。

不自然な日本語を見抜けばよい時代は終わった

以前の迷惑メールには、言い回しや文字の使い方に違和感がありました。
以前の迷惑メールには、言い回しや文字の使い方に違和感がありました。「日本語がおかしいから怪しい」と判断できることも多かったのです。今は翻訳と文章生成の品質が上がり、自然な敬語、実在する部署名、業界用語を使ったメールを短時間で作れます。
見た目や文章だけで安全性を判断するのは難しくなりました。送信者名が知っている人でも、表示名が偽装されている可能性があります。過去のメールが漏れていれば、実際のやり取りをまねた返信形式で届くこともあります。
これからは「文章が変だから疑う」ではなく、「重要な操作は別経路で確認する」という仕組みが必要です。振込先の変更、パスワードの再設定、添付ファイルの開封、管理者権限の付与は、電話、社内チャット、登録済みの公式画面など、メールとは別の経路で確かめます。

標的型攻撃は、実質的に無差別化している

標的型攻撃というと、大企業や政府機関だけを狙う特別な攻撃を想像します。
標的型攻撃というと、大企業や政府機関だけを狙う特別な攻撃を想像します。しかし自動化が進むと、多数の企業を同時に調べ、弱い入口へ繰り返しアクセスできます。攻撃者から見れば、一社ずつ手作業で狙う必要がありません。
中小企業だから価値のある情報を持っていない、という考えも危険です。取引先の連絡先、請求情報、社員アカウント、顧客名簿、Webサイトの管理権限は、次の攻撃への足場になります。大企業の取引先であること自体が、攻撃者にとっての価値になる場合もあります。
規模ではなく、侵入しやすさと利用価値で選ばれる時代です。「狙われるほど有名ではない」という安心は通用しません。すべての組織が標的候補であり、すべての社員が入口にも防波堤にもなります。

全社員で守るための五つの基本

更新には、新機能だけでなく、発見された弱点をふさぐ修正が含まれます。

第一に、OSとソフトウェアを最新に保つ

更新には、新機能だけでなく、発見された弱点をふさぐ修正が含まれます。
更新には、新機能だけでなく、発見された弱点をふさぐ修正が含まれます。更新を先延ばしにすると、攻撃者に知られた弱点を開けたままにすることになります。OS、ブラウザ、メール、セキュリティソフト、業務アプリ、ルーターなど、対象を一覧化して管理します。
社員任せにすると、「忙しいから後で」「再起動したくない」という判断が積み重なります。業務への影響を確認した上で、自動更新、期限、例外申請、未適用端末の把握を仕組みにします。最新製品を買うことより、既存環境を更新し続ける運用が重要です。

第二に、心当たりのない添付ファイルを開かない

個人宛てのメールなら、自分に関係があるか判断しやすいでしょう。
個人宛てのメールなら、自分に関係があるか判断しやすいでしょう。難しいのは、問い合わせ窓口や営業部門などの共有メールです。担当者は、顧客から届く未知のファイルを開くこと自体が仕事になっています。「知らない人から来たから開かない」だけでは業務が成立しません。
そこで、添付ファイルを安全に確認する環境、受け付ける形式、クラウドストレージでの受領、送信者への確認手順を決めます。マクロ付き文書や実行ファイルを遮断し、担当者が一人で判断しない仕組みを作ります。教育と技術対策を組み合わせることが大切です。

第三に、バックアップを取り、復元まで試す

バックアップは「取っているつもり」になりやすい対策です。
バックアップは「取っているつもり」になりやすい対策です。保存先が本番環境と同じ認証で操作できれば、攻撃者にまとめて暗号化・削除される可能性があります。端末、クラウド、Webサイト、顧客データなど、重要度に応じて保管先と頻度を決めます。
最も重要なのは復元テストです。ファイルが存在していても、壊れている、権限がない、手順を知る担当者が不在では使えません。定期的に一部を戻し、必要時間と手順を記録します。バックアップの目的は保存ではなく、事業を戻すことです。

第四に、パスワードを使い回さずMFAを使う

一つのサービスから認証情報が漏れたとき、同じ組み合わせを別のサービスでも使っていると、被害が連鎖します。
一つのサービスから認証情報が漏れたとき、同じ組み合わせを別のサービスでも使っていると、被害が連鎖します。人間が多数の複雑なパスワードを覚えるのは現実的ではありません。組織で承認したパスワード管理ツールを使い、サービスごとに異なる情報を設定します。
MFA、多要素認証も有効です。パスワードに加え、認証アプリ、セキュリティキー、生体情報など別の要素を求めます。SMSやメール認証を含め方式ごとに強さは異なりますが、パスワードだけより防御力は上がります。特に管理者、メール、クラウド、金融関連のアカウントから優先します。

第五に、「対策ソフトを無料配布」という誘いを疑う

不安が高まる時期ほど、「新しいウイルスに対応する無料ツール」「緊急のセキュリティ更新」といった誘いが届きます。
不安が高まる時期ほど、「新しいウイルスに対応する無料ツール」「緊急のセキュリティ更新」といった誘いが届きます。守るためのファイルだと思って開いたものが、実際にはマルウェアということがあります。
ソフトウェアは公式サイト、OSの標準機能、社内で決めた配布経路から取得します。検索広告やメールのリンクをそのまま使わず、登録済みのURLや管理部門の案内から確認します。「無料」「今すぐ」「期限切れ」という言葉で急がせるものほど、一度止まる習慣が必要です。

五つの基本を、個人の注意力だけに任せない

「社員が気をつければよい」という説明は簡単ですが、人は必ず間違えます。
「社員が気をつければよい」という説明は簡単ですが、人は必ず間違えます。忙しい、急いでいる、上司からの依頼に見える、顧客を待たせている。そうした状況で、一度も誤操作をしないことを求めるのは無理があります。
経営と情報システム部門の仕事は、間違えても被害が広がりにくい環境を作ることです。権限を必要最小限にする。端末を分離する。異常を検知する。添付ファイルを隔離する。管理者操作を記録する。入口を減らし、侵入後の移動を止めます。
社員教育では、禁止事項を並べるだけでなく、実際に迷う場面を扱います。共有メールに見積書が届いた。休日に社長名で振込依頼が来た。取引先からパスワード付きファイルが届いた。こうした具体的なシナリオで、誰へ確認し、どこへ報告するかを練習します。

休日こそ、攻撃者との時間差が生まれる

企業には営業時間と休日があります。
企業には営業時間と休日があります。しかし、自動化された攻撃は365日24時間動きます。連休中に侵入され、監視や判断が遅れ、休み明けに大きな被害として見つかる可能性があります。
すべての社員が常時対応する必要はありません。重要なのは、監視する対象、緊急連絡先、一次判断の担当、システムを止める権限を決めておくことです。外部の監視サービスを利用する場合も、通知を受けた後に誰が何をするかがなければ、アラートは届くだけで終わります。
連休前には、更新状況、バックアップ、管理者アカウント、公開中のサービス、連絡網を確認します。大げさな訓練でなくても、年末年始や大型連休の前にチェックリストを回すだけで、見落としを減らせます。

被害が起きたとき、担当者探しから始めない

インシデント発生後に必要なのは、完璧な原因究明より先に、被害の拡大を止めることです。
インシデント発生後に必要なのは、完璧な原因究明より先に、被害の拡大を止めることです。ネットワークから切り離す、認証情報を止める、ログを保全する、専門家へ連絡する、顧客への第一報を準備する。初動の順序を事前に決めます。
誰の端末が入口だったかを調べるフォレンジックも重要ですが、犯人探しと混同してはいけません。報告した社員を責める文化では、次の人が異常を隠します。「開いてしまった」と早く言える方が、組織の損失は小さくなります。
報告窓口は一つにし、何を伝えればよいかを簡単にします。送信者、件名、操作した内容、気づいた時刻が分かれば初動に役立ちます。専門用語を知らなくても報告できる設計が必要です。

人材育成部門がセキュリティ文化を変える

セキュリティは情報システム部門だけの課題に見えますが、習慣を変えるのは人材育成の仕事でもあります。
セキュリティは情報システム部門だけの課題に見えますが、習慣を変えるのは人材育成の仕事でもあります。年一回の動画視聴と確認テストだけでは、現場の判断は変わりません。職種ごとのリスクと業務に合わせた学習が必要です。
営業なら、顧客ファイルと外部サービス。人事なら、応募者情報と面接資料。経理なら、請求書と振込先変更。開発なら、ソースコード、秘密情報、外部ライブラリ。それぞれの仕事で起きる場面を教材にします。
評価すべきなのは、脅威の名称を暗記したかではありません。不審な状況で止まり、確認し、報告できたかです。訓練後は、報告までの時間、MFA利用率、未更新端末、復元テストの成功率など、行動と仕組みの指標を追います。

セキュリティはマインド・トランスフォーメーションである

技術は進化します。
技術は進化します。攻撃者の道具も、防御側の道具も強くなります。しかし、人間が「自分には関係ない」「詳しい人が守ってくれる」と考えたままなら、同じ事故が繰り返されます。
必要なのは、怖がることではなく、自分の仕事とつなげて考えることです。自分が開く一通のメール、自分が管理する一つのアカウント、自分が後回しにした更新が、会社全体へ影響する可能性があります。同時に、自分が一度止まって確認することで、被害を防げる可能性もあります。
この意識の更新は、マインド・トランスフォーメーションそのものです。人や組織の変化で詰まったときの参考図書として、私の著書『マインド・トランスフォーメーション　AI時代の思考革命: AI時代に必要な人間OSのアップデート』も、必要に応じて手に取っていただければと思います。

30日で始める全社員セキュリティ改善

メール、クラウド、Webサイト、管理者アカウント、外部委託先を一覧化します。

1週目：重要な入口を把握する

メール、クラウド、Webサイト、管理者アカウント、外部委託先を一覧化します。
メール、クラウド、Webサイト、管理者アカウント、外部委託先を一覧化します。誰が管理し、異常時に誰へ連絡するかを確認します。

2週目：更新・認証・バックアップを点検する

未更新端末、パスワード使い回し、MFA未設定、復元未確認のバックアップを洗い出します。
未更新端末、パスワード使い回し、MFA未設定、復元未確認のバックアップを洗い出します。影響の大きいものから改善します。

3週目：職種別の疑似訓練を行う

営業、人事、経理、開発など、実際の業務に近い不審メールや依頼を使って、確認と報告を練習します。
営業、人事、経理、開発など、実際の業務に近い不審メールや依頼を使って、確認と報告を練習します。失敗は責めず、仕組みの改善材料にします。

4週目：休日を想定した初動を試す

責任者が不在、主要システムが停止、顧客から問い合わせが来るという条件で机上訓練をします。
責任者が不在、主要システムが停止、顧客から問い合わせが来るという条件で机上訓練をします。連絡先と権限が機能するか確認します。
30日ですべての攻撃を防げるわけではありません。しかし、入口と責任者が分かり、基本対策が動き、報告できる組織へ一歩進めます。

守るべきものを言葉にして、今日一つ行動する

セキュリティに強い会社であっても、被害を完全には避けられません。
セキュリティに強い会社であっても、被害を完全には避けられません。大切なのは、事故が起きないという幻想ではなく、起きにくくし、早く気づき、広げず、戻せる状態を作ることです。
OSとソフトウェアを更新する。添付ファイルを慎重に扱う。バックアップを復元する。パスワードを分けMFAを使う。偽の対策ソフトを疑う。この五つは基本ですが、基本を全員が継続する組織は強くなります。
まず今日、自分が使う重要なアカウントを一つ選び、MFAが有効か確認してください。そして組織では、異常を見つけたときの報告先を一つ確認してください。小さな確認が、次の大きな被害を止める入口になります。

〖重要なキーワード解説〗

情報の窃取、破壊、暗号化、不正操作などを目的とする悪意あるソフトウェアの総称です。

マルウェア

情報の窃取、破壊、暗号化、不正操作などを目的とする悪意あるソフトウェアの総称です。
情報の窃取、破壊、暗号化、不正操作などを目的とする悪意あるソフトウェアの総称です。添付ファイル、Webサイト、脆弱性などから侵入します。

標的型攻撃

特定の組織や業務を調べ、関係者を装ったメールなどで侵入を狙う攻撃です。
特定の組織や業務を調べ、関係者を装ったメールなどで侵入を狙う攻撃です。自動化により、多数の組織が同時に標的になりやすくなっています。

MFA（多要素認証）

パスワードだけでなく、所持する端末、生体情報、セキュリティキーなど異なる要素を組み合わせて本人確認する方法です。
パスワードだけでなく、所持する端末、生体情報、セキュリティキーなど異なる要素を組み合わせて本人確認する方法です。

フォレンジック

端末やログなどの証拠を保全・分析し、侵入経路、操作、影響範囲を調べる手法です。
端末やログなどの証拠を保全・分析し、侵入経路、操作、影響範囲を調べる手法です。原因究明と再発防止に使われます。

セキュリティ文化

ルールを知っているだけでなく、社員が異常に気づき、止まり、確認し、早く報告する行動が日常に定着している状態です。
ルールを知っているだけでなく、社員が異常に気づき、止まり、確認し、早く報告する行動が日常に定着している状態です。

〖著者紹介〗

■株式会社サートプロ 代表取締役CEO。
近森満
IT・DX・IoT・AI分野の人材育成、資格・検定制度の企画、現場実装支援に取り組んでいます。
■所属・役職

〖音声配信〗

日々の気づきやDX・AX・MX、AI時代の人材育成、仕事と経営の変化について音声でお届けしています。
日々の気づきやDX・AX・MX、AI時代の人材育成、仕事と経営の変化について音声でお届けしています。

よくあるご質問

基本対策を注意喚起だけで終わらせず、組織の習慣にする方法を確認します。
セキュリティに詳しい会社なら、安心できますか？
専門人材や設備を持つ企業でも被害に遭うため、詳しい部署へ任せれば十分とはいえません。端末、クラウド、メール、委託先、古いシステムなど、多数の入口がつながっています。本文は、企業規模や知名度より、侵入しやすさや攻撃の足場としての利用価値にも目を向けています。社員一人ひとりの基本行動に加え、権限を絞り、異常を検知し、早く報告できる仕組みを組み合わせることが重要です。
全社員で守る五つの基本とは何ですか？
本文が挙げるのは、OSとソフトウェアを更新すること、心当たりのない添付ファイルを開かないこと、バックアップを取り復元まで試すこと、パスワードを使い回さずMFAを使うこと、偽の対策ソフトの誘いを疑うことです。単に注意事項を伝えるだけでなく、更新期限や承認済みの配布経路、添付ファイルの確認手順などを決めます。社員の忙しさや迷いを前提に、教育と技術対策の両方で継続を支えます。
共有メールの添付ファイルは、どう扱うべきですか？
問い合わせ窓口では、未知の相手からのファイルを扱う必要があるため、知らない相手だから一律に開かないという説明だけでは業務が成立しません。本文では、安全に確認する環境、受け付ける形式、クラウドでの受領、送信者への確認手順を決める考え方を示しています。マクロ付き文書や実行ファイルへの対策も含め、担当者が一人で判断しない仕組みを整えます。自然な文章や知っている表示名だけで安全を判断しないことも大切です。
休日にも全社員が常時対応する必要がありますか？
全社員が常時対応する必要はありません。自動化された攻撃が休日も動くことを前提に、監視対象、緊急連絡先、一次判断の担当、システム停止の権限を決めておきます。外部の監視サービスを利用する場合も、通知を受けた後に誰が何をするかを明確にします。連休前には更新、バックアップ、管理者アカウント、公開サービス、連絡網を確認し、責任者が不在でも判断と報告がつながるように準備します。
30日の改善では、何を確認しますか？
1週目にメール、クラウド、サイト、管理者アカウント、委託先などの入口と責任者を把握します。2週目に更新、認証、バックアップを点検し、影響が大きいものから改善します。3週目は職種別の疑似訓練で確認と報告を練習し、4週目は休日の初動を机上訓練で試します。30日で全攻撃を防ぐという約束ではなく、入口と責任者が分かり、基本対策と早期報告が動く組織へ進むための取り組みです。
セキュリティ対策を現場の習慣にする

自社の課題や育成の進め方について、サートプロへご相談ください。

お問い合わせ
11.セキュリティ・倫理
生成AI
気に入ったらシェアしてください！
  • URLをコピーしました！

関連記事