セキュリティ担当がいない会社は、何から始める？

全部を一度に変えず、使っているものと困ることを書き出す。

最初は、会社の大事な仕事を一つ選ぶ

セキュリティに専任者がいない会社では、すべての設定を一度に変える前に、止まる、失う、漏れると困る仕事を明確にします。IPAの中小企業向けガイドラインを入口として、自社の状況と担当を整理できます。以下はSONAEが提案する最初の進め方です。架空の会社なら、受発注の情報と、それを使う担当、サービス、端末から始めます。項目を埋めたことや相談をしたことだけで、安全を証明したとは判断しません。

仕事と、情報・サービス・端末を結び付ける

会社のメール、共有、主要な業務アプリ、外部の支援先などを、選んだ仕事に沿って挙げます。すべての詳細がすぐに分からなくても、何が不明で誰へ聞くかを残します。契約の一覧だけでは、個別に使い始めたAIや外部アプリを見落とす場合があります。現場の担当へ用途を聞き、管理者の記録と照合できるようにします。個人情報や秘密の値を調査表へ大量に複製せず、所在と管理する役割を対応させることが目的です。

入口・更新・共有・復旧から状態を見る

重要なアカウントの認証、端末やソフトの更新、情報の共有先、戻すための備えなどを確認します。必要な範囲は業務と利用製品に合わせ、公式資料と管理者の判断を使います。機能が有効という回答だけで、対象全体へ反映していると扱いません。確認した資料、対象、時点、担当を残します。実際の接続や操作を伴う確認には、対象と影響、許可が必要です。最初の相談で無断のスキャンや設定変更を行う前提にはしません。

良好・要改善・未確認を分ける

確認した範囲で条件を満たす、改善が必要、情報が足りず判断できない、といった状態を区別します。未確認を問題なしへ変えて、達成率を良く見せないようにします。重要な業務に関係する未確認は、次に何を調べるかを決める材料です。点数だけで優先を決めず、公開する範囲、扱う情報、停止の影響、既にある代替策を見ます。一般的な深刻度と会社が急ぐ理由が異なる場合は、責任者と技術担当の説明をそろえましょう。

一つの改善に、実施と確認の担当を付ける

対象、変えたい状態、実施する人、承認する責任者、期限、完了を確かめる方法を決めます。兼任IT担当だけで判断できない予算や停止の調整は、経営や業務の担当へ上げます。既存の保守会社がある場合も、実施、承認、結果の確認の分担を合意します。作業を依頼したことと、実際に改善を確かめたことは別に記録します。すぐに直せない場合は、理由、暫定の対策、見直す日を残し、無期限に放置しないようにします。

最初の一件から、次に使える管理へ育てる

完了の目安は、重要な仕事の入口と担当が分かり、未確認と改善の次の行動を説明できることです。最初の表を作った後は、新しいサービス、入退社、契約変更などの変化に合わせて更新します。緊急の問題は定期会議まで待たず、正規の事故対応の経路を使います。一般的なチェックリストだけで、法令適合やすべての攻撃への備えを保証するものではありません。会社の判断と専門の支援をつなぎ、続けられる範囲で確認と改善を回しましょう。

相談前の確認表

• 止まると困る業務を挙げた
• サービス・端末・担当を整理した
• 未確認の項目を見えるようにした
• 最初の改善の担当・期限を決めた

参考資料（確認日：2026年10月23日）：IPA：中小企業の情報セキュリティ対策ガイドライン ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。