企業のサイバーセキュリティ対策は、高価なソフトウェアの導入から始まるわけではありません。会社を守る土台となるのは、多要素認証、復旧確認済みのバックアップ、定期的なアップデート、そして緊急時の明確な手順です。攻撃者が侵入するのに必要なのは、多くの場合、盗まれたメールのパスワードや放置されたシステムの脆弱性、機能していないバックアップといったわずかな隙にすぎません。

この記事では、低コストで効果の高い10の対策、攻撃発生から最初の60分間の初動手順、そして欧州のNIS2指令を国内法化したチェコの新サイバーセキュリティ法（法律第264/2025 Sb.号）の概要をまとめました。直接の規制対象ではない小規模企業にもどのような影響が及ぶのかを解説します。なお、本記事は個別事案に対する法的助言に代わるものではありません。

中小企業を狙うサイバー攻撃の実態

攻撃者は特定の企業を狙い撃ちにするのではなく、最も侵入しやすい相手を探しています。中小企業には専任のセキュリティ部門がありませんが、請求書の支払いを行い、顧客データを保有しています。Verizonの2025年版中小企業向け調査レポートもその実態を裏付けており、従業員1,000人以下の企業ではデータ漏洩の88%にランサムウェアが関与し（大企業では39%）、33%は盗まれたログイン情報が原因でした。中小企業は使えるバックアップを持っていないケースが多いため、攻撃者は身代金を支払うだろうと見込んでいます。

典型的な手口は次の3つです。

• ランサムウェア（身代金要求型ウイルス）：プログラムがデータを暗号化またはコピーし、攻撃者が復元や公開停止と引き換えに身代金を要求します。支払われた身代金の中央値は11万5,000米ドルに下がり、64%の組織は支払いに応じませんでした。
• メールの乗っ取り：攻撃者が偽のログイン画面などを通じてパスワードを盗み出し、数週間にわたってメールを盗み見ます。誰が誰にいつ請求書を送っているかや、社内の文面の癖まで把握します。
• 偽の請求書詐欺：乗っ取られたアドレスやよく似たアドレスから、取引先の振込先口座変更を知らせるもっともらしいメールが届きます。作り話で相手を騙すこの手口（プリテキスティング）は、大企業よりも中小企業で多く発生しています。

4つ目の脅威はサプライヤー（委託先・取引先）であり、情報漏洩に占める割合は15%から30%へと倍増しました。会計事務所、IT管理者、ECサイト、あるいは自社データにアクセスできる外部ツールを経由して攻撃が及ぶことがあります。

低コストで実践できる企業のサイバーセキュリティ対策10選

リスクの大半は、費用を抑えた10の対策でカバーできます。それぞれの項目に、完了を判断する基準を記載しました。

盗まれたパスワードに対する最も安価な防御策は、多要素認証（MFA）です。Microsoftが2023年5月に発表したAzure Active Directory環境での調査によると、多要素認証によってアカウント乗っ取りのリスクが99.22%低下し、すでにパスワードが流出していたケースでも98.56%低下しました。なお、SMSコードよりもスマートフォンの認証アプリの方が高い安全性を確保できます。

パスワードマネージャーは金庫のような役割を果たします。ユーザーはマスターパスワードを1つ覚えるだけでよく、他のサービス向けにはアプリが強力で固有のパスワードを自動生成して保存します。万が一1つのサービスから漏洩しても、他のサービスへの不正ログインを防げます。

SPF、DKIM、DMARCレコードは、公印と署名のように機能します。SPFは自社ドメイン名義でメールを送信できるサーバーを指定し、DKIMは電子署名を付与し、DMARCは署名のないメールの扱いを受信側サーバーに指示します。これらは管理者がドメインのDNSに設定します。社内で誰が管理しているか分からない場合は、ドメインとホスティングの仕組みを解説した記事をご参照ください。

見落とされがちなリスクが従業員の退職です。元社員の放置されたアカウントは、社内へ通じる開けっ放しの窓と同じです。利用中の全サービスをリスト化し、退職時に項目を1つずつ確認しながらアクセス権を削除すると漏れを防げます。

いざという時に本当に役立つバックアップ

バックアップが会社を救うのは、攻撃者に暗号化されず、かつ実際にデータを復元できる場合だけです。攻撃を受けた後になって初めて、同じネットワーク上のドライブに保存していたことや、数か月前からバックアップが失敗していたこと、あるいは復旧に1週間かかることに気づく企業が少なくありません。

バックアップの「3-2-1ルール」を守りましょう。

• 3つのデータコピー：元データと2つのバックアップを保有します。
• 2種類の保存媒体：社内ネットワークドライブとクラウドなど、異なる媒体を使い分けます。
• 1つのネットワーク外コピー：取り外したオフラインドライブ、または一定期間は上書きも削除もできないクラウドバックアップを用意します。

米国サイバーセキュリティ・社会基盤安全保障庁（CISA）はランサムウェア対策ガイドの中で、暗号化したオフラインバックアップを保持し、定期的に復旧のリハーサルを行うよう推奨しています。一度も復元を試していないバックアップは、単なる希望的観測にすぎません。

共有ドライブだけでなく、会計ソフト、ECサイトのデータベース、メール、主要システムの設定情報もバックアップの対象に含めてください。クラウドサービスについては、提供事業者が何をバックアップし、自社で何を保護すべきかを確認しましょう。事業者が保証するのは通常サービスの稼働率であり、ユーザー自身が誤って削除したデータや攻撃者に暗号化されたデータではありません。

社内の意識づけと発生後60分間の初動対応

Verizonのレポートによると、データ漏洩の約60%には人的要因が関わっています。業界の事例を取り上げた短い研修や標的型メール訓練（模擬の詐欺メール）を実施すると、不審な連絡をためらわずに報告する習慣が身につきます。

偽の請求書詐欺の大半は、たった1つのルールで防げます。振込先口座の変更や経営陣からの急な送金指示があった場合は、メールに記載された連絡先ではなく、以前から把握している電話番号に電話をかけて確認してください。

インシデント発生時は最初の60分間が勝負です。次の手順を文書化しておきましょう。

1. 端末をネットワークから遮断する。LANケーブルを抜き、Wi-Fiをオフにします。電源を切ると証拠が消えるおそれがあるため、CISAはネットワークから切り離せない場合にのみ電源を切るよう推奨しています。
2. 指定の担当者に報告する。誰にすぐ電話すべきかを全員が把握している状態にします。
3. 何も消去せず、身代金も支払わない。OSの再インストールは避け、専門家の助言なしに攻撃者と連絡を取らないでください。
4. 専門家を呼ぶ。被害範囲の特定、証拠の保全、バックアップからの復旧支援を依頼します。
5. 感染していない安全な端末からパスワードを変更する。被害を受けたアカウントでは、ログイン中の全セッションを強制ログアウトさせます。
6. 時系列の記録をつける。記録は保険会社、警察、監督機関への報告に役立ちます。

攻撃によって個人データに影響が出た場合、GDPR（EU一般データ保護規則）に基づき、個人の権利に対するリスクが生じる可能性が低い場合を除き、遅滞なく、可能であれば覚知から72時間以内にチェコ個人情報保護庁（Úřad pro ochranu osobních údajů）へ報告する必要があります。さらに、新サイバーセキュリティ法の規制対象企業は、覚知から24時間以内にインシデントを報告します。犯罪の疑いがある場合は、チェコ警察（Policie ČR）に被害届を出すことも可能です。

新サイバーセキュリティ法（NIS2）の対象企業とは

チェコの新サイバーセキュリティ法（法律第264/2025 Sb.号、2025年11月1日施行）は、欧州のNIS2指令（指令 (EU) 2022/2555）を国内法化したものです。直接の対象となるのは主に規制対象業種の中規模・大規模企業であり、小規模企業や零細企業が直接該当するのは例外的なケースに限られます。

規制対象サービスは施行令第408/2025 Sb.号で定められています（エネルギー、運輸、医療、デジタルインフラ、特定の製造業、食品産業、郵便・宅配便など）。欧州委員会勧告2003/361/ESの基準では、従業員50人以上、または年間売上高および貸借対照表総資産額が1,000万ユーロを超える企業は小規模企業とはみなされません。技術資産が完全に分離されていない限り、関連企業やパートナー企業の数値も合算されるため（同法第7条）、大手グループ傘下の小さな子会社が対象に含まれることもあります。

この法律は自己判定を原則としています。企業自身が規制対象サービスを提供しているかどうかを判断し、条件を満たしてから60日以内にチェコの国家サイバーセキュリティ当局であるNÚKIB（チェコ国家サイバー・情報セキュリティ庁）へ届け出ます（同法第6条）。大半の企業については、2025年12月31日に届出期限を迎えました。届出はNÚKIBポータルから行い、同サイトでは新サイバーセキュリティ法のガイドや義務区分の判定ツールも公開されています。NÚKIBがサービスを登録し、2つの義務区分のいずれかを指定します。

登録通知の受領から1年以内に、セキュリティ対策の導入とインシデント報告体制の整備を完了させる必要があります（第13条および第15条）。インシデントは覚知から24時間以内に初報を出し、72時間以内に詳細を報告します（第16条）。法律第264/2025 Sb.号の全文は一般公開されていますが、概要を掴むにはNÚKIBのガイドで十分です。

2026年2月11日付のNÚKIBのプレスリリースによると、対象と推計される約6,000組織のうち、2026年2月8日時点で合計4,825組織が届出を済ませました。対象とみられる企業には当局側から直接連絡も行っており、法曹メディアČeská justiceによれば2026年10月までに4,400社以上に通知を送付しています。制裁金は最大2億5,000万チェココルナまたは全世界年間売上高の2%に達しますが、NÚKIBは処罰ではなく要件達成の支援を重視すると強調しています。

規制対象外のサプライヤーへの影響

新サイバーセキュリティ法は、規制対象外の企業にも間接的な影響を及ぼします。同法第13条第5項により、規制対象企業はサプライヤーに対してもセキュリティ対策を求め、契約内容に反映させることが義務付けられているためです。

下位義務区分については、施行令第410/2025 Sb.号（附属書第2）が監査、再委託先、インシデント対応、事業継続、ソフトウェア開発など14の契約領域を定めています。上位義務区分については、2026年5月のSedlakova Legal法律事務所による解説によると、施行令第409/2025 Sb.号で18領域が定められており、契約締結前の段階で重要サプライヤーの評価を行うことが求められます。

規制対象企業に対してIT、会計、物流、あるいは先方のシステムやデータと連携するサービスを提供している場合は、次の対応を求められる見込みです。

• セキュリティ質問票への回答（多要素認証、バックアップ、社内教育、暗号化、再委託先の管理状況など）
• 新たな契約条項の追加（監査権、インシデント報告義務、秘密保持、契約終了時のデータ返却・引き継ぎ）
• 短いインシデント報告期限（Sedlakova Legalによると12時間以内とされるケースが多い）

実施中の対策、責任者、バックアップ体制、アクセス管理、緊急連絡先をまとめた1枚のセキュリティ概要書を事前に用意しておきましょう。そうすれば、無理な約束をせずに質問票へ回答できます。質問項目の大半は、前述した10の対策でカバー可能です。

自社システム・委託先の管理と30日間プラン

中小企業において最も脆い箇所になりやすいのが、Webサイト、ECサイト、社内アプリケーションです。セキュリティ管理の担当者が曖昧なまま放置され、ソフトウェアが古くなっていくケースが目立ちます。Verizonのレポートでも、脆弱性の悪用による情報漏洩はすでに全体の20%を占めており、その割合は増加傾向にあります。

利用しているすべてのシステムについて、次の3点を明確にしてください。

• 誰がアップデートするのか：OS、プラグイン、サーバーの更新担当者と、重大な脆弱性を修正するまでの期限を契約で定めます。
• 誰がアクセス権を持つのか：管理者や外部業者には個別のアカウントを発行し、契約終了時には削除します。ECサイトと会計・在庫システムの連携などで使うAPIキーは安全に保管し、業者の交代時には再発行してください。
• 誰が脆弱性とログを監視するのか：ソフトウェアの既知の不具合やログイン履歴を定期的に確認する担当者を決めます。

人工知能を導入する場合も同様です。社内ドキュメントを参照するAIアシスタントは、質問したユーザー本人に閲覧権限がある情報しか表示してはなりません。企業のサイバーセキュリティ対策は、あらゆる業務のデジタル化において最初から組み込むべき要素です。

最初の30日間で進める実行プランは次の通りです。

私たちはWebアプリケーションや業務システムを開発する際、初期設計の段階から企業のセキュリティを組み込んでいます。WebサイトやECサイト、社内システムを実務家の視点で見直したい方は、ぜひご相談ください。

よくある質問