企業の情報漏洩対策15選【2026年最新】｜優先度順に徹底解説

情報漏洩対策の必要性は理解していても、「何から始めればよいのか分からない」「ウイルス対策ソフトを入れているが、十分なのか判断できない」という企業は少なくありません。

特に中小企業では、情報システム担当者が総務や経理、人事などを兼任していることも多く、限られた予算と時間の中で対策の優先順位を決める必要があります。すべてのセキュリティ製品を一度に導入するのは現実的ではありません。

重要なのは、高額な製品を購入することではなく、自社が保有する情報とシステムを把握し、事故につながりやすい部分から順番に対策することです。アカウントの整理や多要素認証の設定など、追加費用をかけずに始められる取り組みもあります。

本記事では、CyberCrewのホワイトハッカーが、企業が取り組むべき情報漏洩対策を優先度順に15項目へ整理しました。各対策について、「誰が」「何をすべきか」が分かるよう、具体的な実施方法まで解説します。

万が一、情報漏洩が起きた場合の対応手順、個人情報保護委員会への報告期限、ChatGPTやCopilotなどの生成AIを業務で利用する際の注意点も紹介します。

なお、情報漏洩に対しては事前の対策が重要となっており、脆弱性診断やペネトレーションテストが有効です。CyberCrewでは、複数名のホワイトハッカーが在籍し、攻撃者が実際に狙うポイントから現場感のあるテストでリスクを評価します。まずは無料でご相談ください。

情報漏洩の主な原因

情報漏洩の原因は、大きく次の3つに分けられます。

• 外部攻撃： ランサムウェア、不正アクセス、標的型攻撃、Webサイトの改ざんなど
• 人的ミス： メールの誤送信、端末の紛失、書類の誤廃棄、クラウドの公開設定ミスなど
• 内部不正： 従業員や退職者による持ち出し、権限の悪用、情報の不正提供など

東京商工リサーチが2026年1月30日に公表した調査では、2025年に上場企業とその子会社が公表した情報漏洩・紛失事故180件のうち、「ウイルス感染・不正アクセス」が116件、64.4％を占めました。誤表示・誤送信は20.5％、紛失・誤廃棄は10.0％、不正持ち出し・盗難は3.8％です。

ただし、実際の事故では、原因を一つに切り分けられないことがあります。例えば、不正アクセスが直接の原因であっても、多要素認証の未設定、更新されていないVPN機器、過剰なアクセス権限などが重なることで被害が拡大します。

外部攻撃、人的ミス、内部不正は複合的に起こるため、単一の対策だけで情報漏洩を防ぐことはできません。

企業が取り組むべき情報漏洩対策15選

以下の15項目は、CyberCrewが考える実務上の優先度順に並べています。

なかでも上位7項目は、企業規模を問わず優先して確認したい基本対策です。多くは、既存のOSやクラウドサービスの機能を使って始められます。予算が限られている場合も、上から順番に実施状況を確認してください。

優先度	情報漏洩対策	主な担当者	費用の目安
1	パスワードの管理ルールを決める	情シス・全社員	無料〜低
2	OSとソフトを最新の状態に保つ	情シス・機器管理者	無料〜低
3	権限を必要最小限に絞る	情シス・各部門長	無料
4	退職者のアカウントを即日止める	人事・情シス	無料
5	ログイン認証を強化する	情シス	無料〜中
6	社員教育と標的型メール訓練を行う	情シス・人事	低〜中
7	PC・スマホの防御を強化する	情シス	低〜中
8	操作ログを記録して監視する	情シス・SOC	無料〜中
9	メールの誤送信を仕組みで止める	情シス・総務	無料〜中
10	クラウドの共有範囲を定期的に見直す	情シス・各部門	無料
11	生成AIの利用ルールを整備する	情シス・法務・DX	無料〜中
12	情報の持ち出しルールを決める	情シス・総務	無料〜中
13	PC・書類を放置せず廃棄まで管理する	総務・情シス	低〜中
14	委託先・取引先の対策状況を確認する	購買・法務・情シス	無料〜中
15	外部の診断で自社の弱点を洗い出す	情シス・経営層	中〜高

※費用目安は、既存機能の設定変更や社内運用の見直しを「無料」、小規模なライセンス追加や教育サービスを「低」、専門製品や外部支援が必要なものを「中」、診断範囲やシステム規模により個別見積もりとなるものを「高」とした相対的な目安です。

※上位7項目は法令上の一律の基準ではありません。多くの企業が優先して確認すべき基本対策として、CyberCrewが実務上の観点から整理したものです。

【必須】パスワードの管理ルールを決める

パスワードの使い回しや、推測しやすい単純な文字列は、不正アクセスの代表的な原因です。

攻撃者は、他社サービスから流出したメールアドレスとパスワードの組み合わせを使い、別のサービスへのログインを自動的に試します。このリスト型攻撃では、自社からパスワードが漏れていなくても、従業員が同じパスワードを使い回していれば侵入される可能性があります。

付箋へパスワードを書いてパソコンに貼る、共有ファイルへ平文で保存する、部署全員で一つのアカウントを使うといった運用も避けなければなりません。

社内ルールでは、次の基準を定めます。

• ほかのサービスと同じパスワードを使わない
• 氏名、会社名、誕生日、電話番号など、推測されやすい情報を使用しない
• パスワードだけで認証する場合は、15文字以上を一つの目安とする
• 単語を複数組み合わせた長いパスフレーズを使用できるようにする
• 漏洩が確認されたパスワードや、一般的に使われる文字列を拒否する
• 共有アカウントを原則として使用しない
• 初期パスワードは利用開始時に変更する
• パスワードの漏洩が疑われる場合は直ちに変更する
• 多要素認証をあわせて有効にする

NISTのデジタルアイデンティティガイドラインでは、パスワードだけを認証要素として使用する場合、最低15文字とする考え方が示されています。また、大文字、小文字、数字、記号を必ず含めるといった複雑性ルールよりも、長さ、使い回しの防止、漏洩済みパスワードの拒否を重視しています。

サービスごとに異なる長いパスワードを人が記憶するのは困難です。会社が承認したパスワード管理ツールを導入し、従業員が長く固有の文字列を生成・保存できるようにしてください。

パスワード管理ツール自体には強固なマスターパスワードを設定し、多要素認証も有効にします。

【必須】OSとソフトを最新の状態に保つ

OSやソフトウェアの脆弱性を放置すると、攻撃者にとって侵入しやすい入口になります。

脆弱性の修正プログラムが公開されると、攻撃者もその内容を確認できます。その後、インターネット上にある未更新の製品を自動的に探索し、攻撃を仕掛ける場合があります。

従業員が使用するWindows、macOS、iPhone、Androidだけでなく、次の機器も更新対象です。

• VPN機器
• ファイアウォール
• Wi-Fiルーター
• NAS
• 複合機
• 監視カメラ
• Webサーバー
• ECサイトのCMSやプラグイン
• リモートアクセス製品
• バックアップ装置

パソコンやスマートフォンでは、自動更新を有効にします。WindowsではWindows Update、macOSでは「ソフトウェアアップデート」、スマートフォンではOSとアプリの自動更新設定を確認してください。

一方、VPN機器、複合機、NASなどは、自動更新されないことがあります。購入・設置した業者任せにせず、機器ごとに次の情報を台帳へ記録します。

• 製品名と型番
• ファームウェアのバージョン
• 管理画面のURL
• 管理担当者
• 保守契約先
• サポート終了日
• 最終更新日

月1回など確認日を決め、メーカーのセキュリティ情報と照合します。すでにサポートが終了している製品は、更新ではなく入れ替えが必要です。

【必須】権限を必要最小限に絞る

「業務で使うかもしれないから、とりあえず全員に権限を付ける」という運用は、情報漏洩時の被害範囲を広げます。

ある従業員のアカウントが乗っ取られた場合、そのアカウントが閲覧できる情報は攻撃者にも閲覧される可能性があります。全社員が顧客名簿や経理資料へアクセスできる状態では、一つのアカウント侵害が全社的な情報漏洩につながります。

権限は、担当業務に必要な範囲だけを与える「最小権限の原則」で管理してください。

具体的には、次のように整理します。

• 一般業務用と管理作業用のアカウントを分ける
• 管理者権限を必要な担当者だけに付与する
• 部署ごとに閲覧できる共有フォルダーを分ける
• 外部委託先には対象システムだけを許可する
• 一時的な作業権限には有効期限を設定する
• 特権アカウントを複数人で共有しない

異動時の見直しも欠かせません。

例えば、営業部から人事部へ異動した従業員に、営業部の顧客情報へのアクセス権が残り続けることがあります。人事異動の申請書へ「システム権限の変更」を組み込み、異動日までに旧権限を削除し、新しい業務に必要な権限だけを付与する流れを作ってください。

四半期または半年ごとに権限一覧を各部門長へ送り、不要な権限がないか確認する運用も有効です。

【必須】退職者のアカウントを即日止める

退職者による情報の持ち出しは、内部不正の代表的な事例です。

退職日を過ぎてもアカウントが有効なままだと、本人が引き続きログインできるだけでなく、その認証情報を取得した第三者にも悪用される可能性があります。

停止漏れが起きやすいのは、メールや社内サーバーだけではありません。部署が独自に契約したクラウドサービス、チャット、ファイル共有、生成AI、経費精算、CRMなどのSaaSアカウントが残ることがあります。

退職手続きを次のようにチェックリスト化してください。

• メールアカウントの停止
• VPNアカウントの停止
• Microsoft 365やGoogle Workspaceの停止
• 業務システムのアカウント停止
• チャット・オンライン会議サービスの停止
• クラウドストレージの共有解除
• 生成AIサービスのアカウント停止
• APIキーとアクセストークンの無効化
• パソコン、スマートフォン、USBメモリーの返却
• 入館証、鍵、社員証の回収
• 共有パスワードの変更
• メール・ファイルの業務引き継ぎ

退職者本人へ停止作業を任せてはいけません。人事部門が退職日を確定し、情報システム部門へ連絡し、実施結果を双方で確認します。

原則として、最終出勤日または退職日の業務終了時に停止してください。懲戒解雇など情報持ち出しのリスクが高い場合は、本人への通知より前に権限を停止する対応も検討します。

【必須】ログイン認証を強化する

多要素認証（MFA）は、IDとパスワードだけに依存しないログイン方法です。

パスワードがフィッシングや他社サービスからの漏洩によって盗まれても、認証アプリ、セキュリティキー、生体認証などの追加要素がなければログインできない状態にします。

まず、次のサービスから多要素認証を有効にしてください。

1. メール
2. VPN・リモートアクセス
3. Microsoft 365・Google Workspace
4. クラウド管理画面
5. 会計・給与・顧客管理システム
6. 管理者アカウント
7. パスワード管理ツール

既存の契約で多要素認証を利用できる場合も多いため、追加費用が必要だと決めつけず、管理画面を確認してください。

導入時は、最初に情報システム部門と管理者アカウントで試し、次に機密情報を扱う部署、最後に全社員へ展開すると進めやすくなります。

SMSによる認証でも、パスワードだけより安全性は高まります。ただし、可能であれば認証アプリ、パスキー、FIDO2対応セキュリティキーなど、フィッシング耐性の高い方式を優先してください。

従業員には、身に覚えのない認証通知を承認しないよう教育します。攻撃者がログインを繰り返し、利用者が根負けして承認する「MFA疲労攻撃」もあるためです。

【必須】社員教育と標的型メール訓練を行う

メールの誤送信、端末の紛失、フィッシングサイトへの認証情報入力など、人的な操作が関係する事故は依然として多く発生しています。

ただし、年1回の長時間研修を受けさせるだけでは、日々の行動は変わりにくいものです。研修直後は覚えていても、数か月後には内容を忘れてしまいます。また、実際の攻撃メールは年々自然になっており、「日本語が不自然なら詐欺」という見分け方は通用しません。

教育は、次のように複数回へ分けます。

• 入社時：社内ルールと報告方法
• 毎月または四半期：5〜10分程度の短い教材
• 半年ごと：標的型メール訓練
• 年1回：全体研修と理解度テスト
• 事故発生後：事例を踏まえた臨時教育

標的型メール訓練では、実際の業務で届きそうな訓練メールを送信します。例えば、宅配通知、請求書、パスワード期限、オンライン会議の招待、人事からの連絡などです。

目的は、リンクを開いた社員を責めることではありません。開封率、入力率、報告率を把握し、どの部署や手口に追加教育が必要か判断することです。

「怪しいメールを見つけたら誰へ、どの方法で報告するか」を簡単にし、報告した社員を評価する文化を作ることも欠かせません。

【必須】PC・スマホの防御を強化する

EDRやエンドポイントセキュリティは、従業員が利用するパソコンやスマートフォン上の不審な動作を検知し、調査や隔離を支援する仕組みです。

従来型のウイルス対策ソフトは、既知のマルウェアや不正ファイルの検知を得意とします。一方、攻撃者が正規の管理ツールやPowerShellを悪用する攻撃、ファイルを保存せずに動作する攻撃、盗んだ認証情報を使う攻撃などは、単純なファイル検査だけでは見つけにくい場合があります。

EDRでは、端末上の次のような行動を記録・分析します。

• 不審なプロセスの起動
• 大量のファイル変更
• 管理者権限の取得
• セキュリティ機能の停止
• 未知の外部サーバーとの通信
• 認証情報へのアクセス
• 不審なスクリプトの実行

製品を導入するだけでなく、アラートを誰が確認するかを決める必要があります。担当者がいない場合は、監視・調査を外部へ委託するMDRも選択肢です。

スマートフォンには、画面ロック、端末暗号化、OS更新、紛失時の遠隔ロックを設定します。会社支給端末はMDMで一元管理し、業務アプリの配布、設定、データ削除を行えるようにします。

EDRは、パッチ適用や多要素認証の代わりにはなりません。侵入防止、検知、対応を組み合わせる必要があります。

操作ログを記録して監視する

操作ログは、不正行為の抑止と、情報漏洩が起きた場合の原因究明の両方に役立ちます。

ログが残っていなければ、誰が、いつ、どの情報へアクセスし、何を持ち出したのかを確認できません。その結果、漏洩件数や対象者を特定できず、報告や本人通知が遅れる可能性があります。

最低限、次のログを記録してください。

• ログイン成功・失敗
• 管理者による操作
• アカウント作成・削除
• 権限の変更
• ファイルの閲覧・ダウンロード
• クラウドの外部共有
• メールの送信
• USBメモリーの接続
• セキュリティ製品の検知
• VPNやリモートアクセスの接続

ログは、保存するだけでは十分ではありません。異常なログイン、大量ダウンロード、深夜の管理者操作など、確認すべき条件を決めます。

小規模企業では、毎日すべてを見るのは現実的ではありません。週1回の確認、重要アラートのメール通知、月次レポートなど、継続できる頻度から始めてください。

ログの保存期間も定めます。事故が数か月後に発覚することを考慮し、重要システムでは少なくとも数か月から1年程度の保存を検討します。必要期間は、法令、契約、システムの重要度によって判断してください。

メールの誤送信を仕組みで止める

メールの誤送信は、「送信前に注意する」という呼びかけだけでは防ぎきれません。

宛先候補の自動表示、似た会社名、複数の添付ファイル、繁忙期の焦りなど、人が間違えやすい条件は日常業務の中に存在します。

次の機能を組み合わせてください。

• 送信後、数分間は実際に配送しない送信保留
• 社外宛てメールの警告表示
• 複数の社外宛先を自動的に検知
• TO・CCへ多数のアドレスを入れた場合の警告
• 添付ファイルがある場合の再確認
• 本文中の企業名と送信先ドメインの確認
• 機密情報を検知するDLP
• 大量送信時の上長承認
• メール配信システムの利用

添付ファイルを保護する必要がある場合は、アクセス権と有効期限を設定できるクラウド共有やファイル転送サービスを優先します。

パスワード付きZIPファイルを送り、同じメール経路でパスワードを別送する方法は、十分な安全対策とはいえません。セキュリティ製品による添付ファイル検査を妨げることもあります。

業務上、添付ファイルの暗号化が必要な場合は、暗号化方式を定め、復号情報を電話や別システムなど異なる経路で伝えてください。

クラウドの共有範囲を定期的に見直す

クラウドストレージでは、「リンクを知っている全員」が閲覧できる共有設定に注意してください。

この設定では、URLが転送・転載されると、当初想定していなかった相手もファイルへアクセスできる場合があります。検索エンジンに表示されていなくても、安全とは限りません。

Microsoft 365では、SharePoint管理センターから組織全体およびサイトごとの外部共有設定を確認できます。具体的な操作は、MicrosoftのSharePoint外部共有設定に関する公式手順で確認できます。

Google Workspaceでは、管理コンソールからGoogleドライブの共有設定を確認し、外部共有を許可する組織部門やドメインを制限できます。詳しい設定方法は、Google Workspace管理者ヘルプを参照してください。

少なくとも四半期ごとに、次の項目を棚卸しします。

• 匿名でアクセスできるリンク
• 外部ユーザーへ共有されているファイル
• 退職者が所有するファイル
• 有効期限のない共有リンク
• 外部ユーザーが参加している共有ドライブ
• 一般公開されているサイト
• 個人所有のクラウドへ移された業務データ

外部共有を全面禁止すると、従業員が個人用サービスへ移行する可能性があります。承認済みの共有方法を用意し、必要な相手へ安全に共有できる運用を整えてください。

※管理画面の名称や操作手順は、サービスの更新により変更される場合があります。

生成AIの利用ルールを整備する

ChatGPTやCopilotを業務で利用する場合は、入力できる情報、使用するアカウント、利用可能な機能を会社として定める必要があります。

生成AIへ入力した文章やアップロードしたファイルは、自社の管理外にあるサービスへ送信されます。入力データがモデルの学習に使われるか、どの程度保存されるか、管理者が利用状況を確認できるかは、サービスと契約プランによって異なります。

そのため、「生成AIへ入力した情報は必ず学習される」「法人プランなら何を入力しても安全」という、どちらの説明も正確ではありません。

最初に、入力禁止情報を具体的に定義します。

• 顧客の個人情報
• パスワード、APIキー、秘密鍵
• 未公表の決算・事業計画
• 契約書や見積書
• 人事・給与情報
• ソースコード
• システム構成図
• 未修正の脆弱性情報
• 顧客から預かった資料
• 法令や契約で外部提供を禁止されている情報

個人向けChatGPTでは、データコントロールからモデル改善への利用を無効にできます。設定方法は、OpenAIのChatGPTデータコントロールに関する公式案内で確認してください。

ただし、この設定を変更しただけで、企業の機密情報を自由に入力してよいことにはなりません。会話の保存、外部機能との連携、利用アカウントの管理などは別途検討する必要があります。

OpenAIは、ChatGPT BusinessやEnterpriseなどで扱われるビジネスデータについて、デフォルトではモデルの学習へ使用しないと説明しています。詳細は、OpenAIのエンタープライズプライバシーに関する説明を確認してください。

Microsoft 365 CopilotとMicrosoft 365 Copilot Chatについても、Microsoftは、プロンプト、回答、Microsoft Graphから参照したデータを基盤モデルの学習に使用しないと説明しています。詳しくは、Microsoft 365 Copilotのデータ保護に関する公式資料を参照してください。

ただし、次の点は個別に確認が必要です。

• Web検索機能のデータ処理
• 外部エージェントやプラグインの利用規約
• 接続するクラウドストレージ
• 会話や操作履歴の保存期間
• 管理者による監査ログ
• 社外共有されるカスタムAI
• 利用者が個人アカウントへ切り替えられるか
• 退職者アカウントの停止方法

企業利用では、個人アカウントの利用を避け、会社が契約・管理する法人向け環境へ統一する方法が基本です。

全面禁止だけでは、従業員が無断で個人アカウントを使う「シャドーAI」を招くおそれがあります。承認サービス、禁止情報、利用目的、確認責任者をガイドラインにまとめ、安全に利用できる選択肢を用意してください。

IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に初めて選出されています。なお、この順位は事故件数の多さではなく、専門家による審議と投票をもとに選定されたものです。

情報の持ち出しルールを決める

情報の持ち出し経路は、USBメモリーだけではありません。

次の行為も、社外への持ち出しに該当します。

• 私物パソコンへの保存
• 個人スマートフォンでの撮影
• 個人メールへの転送
• 個人用クラウドへのアップロード
• チャットアプリへの貼り付け
• 生成AIへの入力
• 紙資料の持ち帰り
• USBメモリーや外付けSSDへのコピー

ルールでは、「持ち出し禁止」と書くだけでなく、例外を含む具体的な手続きを定めます。

例えば、次のように整理します。

• 持ち出せる情報の分類
• 持ち出しを承認できる責任者
• 使用できる端末と媒体
• 暗号化の要否
• 持ち出し期間
• 返却・削除の確認
• 紛失時の報告先
• 外部共有時の記録

すべてを禁止すると、従業員が業務を進めるために抜け道を探す場合があります。会社のUSBメモリーが使えないため個人のクラウドへアップロードする、メール添付が禁止されているため私物のチャットへ送るといった行動です。

禁止するだけでなく、暗号化された会社支給端末、承認済みクラウド、セキュアなファイル共有など、安全に業務を行える方法を用意してください。

持ち出した情報は、業務終了後に削除・返却されたことまで確認します。

PC・書類を放置せず廃棄まで管理する

情報を保護する責任は、利用中だけでなく、返却・売却・廃棄が完了するまで続きます。

日常業務では、離席時にパソコンをロックし、機密書類を机上へ放置しないクリーンデスクを徹底してください。会議室のホワイトボード、複合機の出力トレイ、共有スペースへ置いた資料も確認します。

廃棄時は、パソコンやスマートフォンを「初期化」するだけで十分とは限りません。

記憶媒体や初期化方法によっては、専用の復元ツールでデータの一部を読み取られる可能性があります。IPAの情報機器を廃棄・譲渡する際の案内でも、データを復元できない状態にしてから廃棄・譲渡する必要性が説明されています。

媒体に応じて、次の方法を使い分けます。

• メーカーが提供するセキュアイレース
• 専用ソフトによる上書き消去
• 暗号化した媒体の暗号鍵を破棄する暗号学的消去
• HDDやSSDの物理破壊
• 信頼できる廃棄業者への委託
• 紙資料の裁断・溶解

SSDは内部構造上、単純な上書きではすべての領域を消去できないことがあります。メーカーのセキュアイレース機能や暗号学的消去を使用し、再利用しない場合は物理破壊を検討してください。

廃棄を外部委託する場合は、機器の型番、シリアル番号、消去方法、実施日を記載した証明書を受領します。

委託先・取引先の対策状況を確認する

自社のセキュリティ対策が十分でも、委託先を経由して情報が漏洩する場合があります。

IPAの「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位に選出されています。

委託先管理は、大企業だけの問題ではありません。中小企業でも、次のような相手へ情報を預けています。

• 税理士・社会保険労務士
• 給与計算会社
• Web制作会社
• システム保守会社
• 印刷・発送会社
• 倉庫・廃棄業者
• コールセンター
• クラウドサービス事業者
• 業務委託者・フリーランス

契約前にチェックシートを使い、次の項目を確認します。

• 多要素認証の有無
• アクセス権限の管理
• 従業員教育
• ログの取得期間
• 脆弱性・パッチ管理
• バックアップ
• 再委託先の管理
• インシデント発生時の連絡体制
• データの保管国・保管場所
• 契約終了時の削除方法

契約書には、事故が起きた場合の連絡期限、調査への協力、ログの保全、再委託の条件、損害への対応などを定めます。

チェックシートを回収して終わりではありません。契約更新時や年1回を目安に、運用状況が変わっていないか確認してください。

外部の診断で自社の弱点を洗い出す

15項目の対策を実施しても、自社だけで抜け漏れをすべて把握するのは困難です。

システムを設計・設定した担当者が確認すると、構築時の思い込みや前提まで引き継いでしまうためです。また、一つひとつは軽微に見える不備でも、攻撃者が組み合わせると重要情報へ到達できる場合があります。

外部評価の代表的な方法には、脆弱性診断とペネトレーションテストがあります。

項目	脆弱性診断	ペネトレーションテスト
主な目的	弱点を広く洗い出す	実際に攻撃が成立するか確認する
確認範囲	既知の脆弱性、設定不備、認証・認可など	侵入、権限昇格、横展開、重要情報への到達
特徴	網羅性を重視	現実的な攻撃シナリオを重視
向いている場面	初回診断、定期点検、リリース前	重要システム、経営リスクの検証、事故想定

脆弱性診断は、システム全体の弱点を広く確認し、修正の優先順位を整理する方法です。

ペネトレーションテストは、攻撃者の視点で侵入シナリオを組み立て、実際に侵入できるか、どこまで影響が広がるかを検証します。

外部診断を依頼するときは、価格だけでなく、手動検証の範囲、報告書の内容、誤検知の確認、再テスト、業務影響への配慮を確認してください。

情報漏洩対策ができているか確認するならCyberCrew

社内で設定やルールを見直しても、「攻撃者が実際に侵入できる状態なのか」「複数の不備を組み合わせると何が起きるのか」までは判断しにくいものです。

CyberCrewでは、ホワイトハッカーが攻撃者の視点で侵入経路と影響範囲を検証するペネトレーションテストを提供しています。脆弱性を列挙するだけでなく、認証の突破、権限昇格、ほかのシステムへの移動、重要情報への到達可能性を確認します。

ダークウェブモニタリングでは、社外のサービスから漏洩し、ダークウェブ上で売買・公開されている認証情報や企業情報を調査します。ファイアウォールやEDRでは直接確認できない、自社の管理範囲外にあるリスクを把握するための対策です。

また、CyberCrewでは、検出された脆弱性の危険度に応じて費用が決まる成果報酬型の脆弱性診断を提供しています。固定費だけでなく、実際に確認されたリスクに応じて費用が決まるため、診断費用の妥当性を社内で説明しやすい仕組みです。

CyberCrewのエンジニアを含むチームには、CTF国際大会で世界1位となった実績があり、OSCP、CEH Master、CRTSなどの国際資格保持者が在籍しています。

CyberCrewのペネトレーションテストサービスと脆弱性診断サービスは、経済産業省が定める「情報セキュリティサービス基準」に基づく審査を経て、日本セキュリティ監査協会が運営する情報セキュリティサービス台帳へ登録されています。

自社の対策状況や必要な診断範囲が分からない場合は、CyberCrewの公式サイトからご相談ください。現在のシステム構成と保有情報を整理したうえで、優先して確認すべき範囲をご提案します。

情報漏洩が起きたときの対応

情報漏洩が起きた場合は、対応の順序が重要です。

初動を誤ると、攻撃者の活動が続いたり、原因究明に必要なログや証拠が失われたりする可能性があります。

基本的な対応は、次の6ステップです。

1. 侵害が疑われる機器やアカウントを隔離する
2. 何がどこまで漏れたか確認する
3. 社内の責任者へ報告する
4. 個人情報保護委員会への報告要否を判断する
5. 影響を受ける本人・取引先へ連絡する
6. 原因を特定して再発防止策を実施する

侵害が疑われる機器を隔離し、被害拡大を防ぐ

不正アクセスやマルウェア感染が疑われる端末は、社内ネットワークから切り離します。

有線接続であればLANケーブルを抜き、無線接続であればWi-Fiを無効にします。VPN接続中の場合は切断し、侵害が疑われるアカウントを一時停止してください。

ただし、原則として自己判断で電源を落としたり、再起動したりしないでください。

電源を切ると、メモリー上にしか残っていない通信先、実行中のプログラム、暗号鍵、攻撃者の接続情報などが失われる可能性があります。初期化、ファイル削除、ウイルス対策ソフトによる一括駆除も、調査前には避けるべきです。

一方、暗号化やデータ破壊が現在進行しているなど、電源を維持することで被害が拡大する場合は、停止が必要になることもあります。適切な判断は状況によって異なるため、社内のインシデント対応責任者やフォレンジック専門家の指示を受けてください。

なお、メール誤送信やクラウドアカウントの不正利用では、端末のネットワーク遮断が最初の対応にならない場合があります。原因に応じて、共有設定の停止、アカウントの無効化、パスワード変更などを行います。

隔離後は、端末の時刻、画面表示、接続状況を記録し、操作した内容もメモに残してください。

何がどこまで漏れたかを確認する

次に、漏洩した可能性がある情報の種類、件数、対象者、期間を確認します。

調査する項目は、次のとおりです。

• 最初に異常を確認した日時
• 影響を受けた端末・サーバー
• 使用されたアカウント
• 攻撃者がアクセスした情報
• 外部へ送信されたデータ
• 漏洩した可能性がある人数
• 個人情報や認証情報の有無
• 委託先・取引先への影響
• 現在も攻撃が継続しているか

メールログ、認証ログ、VPNログ、クラウド監査ログ、EDRの記録、ファイルアクセス履歴などを保全します。

この確認結果は、個人情報保護委員会への報告、本人通知、取引先への説明、公表内容を左右します。

調査が完了していない段階で「漏洩はない」と断定すると、後から対象が拡大した際に説明が二転三転します。「現時点で確認できている範囲」と「引き続き調査中の範囲」を分けて整理してください。

社内の責任者に報告する

事故を現場担当者だけで抱え込むと、報告の遅れや証拠の消失につながります。

情報漏洩の疑いを確認した時点で、情報システム責任者、経営層、法務、個人情報保護管理者など、社内規程で定めた責任者へ報告してください。

第一報では、すべてを確定させる必要はありません。次の情報を簡潔に伝えます。

• 何が起きているか
• いつ発覚したか
• 影響を受けているシステム
• 現時点での被害
• 実施済みの初動対応
• 追加調査が必要な事項
• 外部支援の必要性

平時から、連絡先と代替連絡手段を決めておくことが大切です。夜間や休日に事故が起きた際、社内メールやチャットが使えない可能性もあります。

電話番号、個人情報保護委員会への報告担当、顧客対応責任者、外部の調査会社、保険会社などを一覧化し、オフラインでも確認できるようにしてください。

個人情報保護委員会へ報告する

個人情報保護法では、個人の権利利益を害するおそれが大きい一定の漏洩等について、個人情報保護委員会への報告が義務付けられています。

主な報告対象は、次の事態です。

• 要配慮個人情報を含む
• 財産的被害が生じるおそれがある
• 不正な目的で行われたおそれがある
• 対象となる本人が1,000人を超える

報告対象に該当する場合、速報は事態を知った時点から概ね3〜5日以内に行います。調査が完了していなくても、その時点で判明している内容を報告します。

確報は、事態を知った日から原則30日以内です。不正アクセスや内部不正など、不正な目的で行われたおそれがある場合は60日以内となります。土日・祝日も期間に含まれます。

報告期限は、事故が発生した日ではなく、組織が報告対象となる事態を知った日を基準にします。

業種によっては、個人情報保護委員会ではなく、権限を委任された省庁や監督当局が報告先になる場合があります。要件と報告先は、個人情報保護委員会の漏えい等報告に関する案内で確認してください。

影響を受ける相手に連絡する

報告対象事態に該当する場合は、原則として本人への通知も必要です。

通知では、次の内容を分かりやすく説明します。

• 発生した事態の概要
• 漏洩した可能性がある情報
• 発生原因
• 二次被害のおそれ
• 本人に行ってほしい対応
• 問い合わせ窓口

パスワードが含まれる場合は変更を依頼し、カード情報が含まれる場合はカード会社との連携や利用明細の確認方法を案内します。

委託先として預かった情報が漏洩した場合は、委託元へ速やかに連絡します。契約に連絡期限が定められている場合は、それに従ってください。

事故を公表するかどうかは、対象人数、情報の機微性、二次被害のおそれ、社会的影響、問い合わせ対応の必要性などを踏まえて判断します。

公表内容は、調査中の事実と確定した事実を分けます。被害を小さく見せることより、対象者が必要な対策を取れる情報を提供することが優先されます。

原因を特定して再発を防ぐ

復旧しただけでは、インシデント対応は完了しません。

攻撃者がどこから侵入し、なぜ防げず、なぜ発見が遅れたのかを確認します。

例えば、VPN機器の脆弱性が侵入口だった場合、パッチを適用するだけでなく、次の点も調査します。

• ほかの同型機器に脆弱性が残っていないか
• 攻撃者が管理者アカウントを追加していないか
• バックドアや不正ファイルが残っていないか
• 認証情報が窃取されていないか
• ほかのサーバーへ移動していないか
• ログ不足で検知が遅れなかったか

原因に応じて、本記事の対策へ戻ります。

• 認証情報の窃取：多要素認証とパスワード管理
• 未更新機器：OS・ソフトウェアの更新
• 過剰権限：最小権限
• 退職者：アカウント停止
• 誤送信：メール送信制御
• クラウド公開：共有設定の棚卸し
• 内部不正：ログ監視と持ち出し管理
• 委託先事故：契約・監査の見直し

再発防止策には責任者と期限を設定し、実施後に再診断や監査で有効性を確認してください。

情報漏洩対策で押さえておきたいポイント

15の対策を実施する際は、個別の製品やルールだけでなく、全体の考え方をそろえることが重要です。

ここでは、情報漏洩対策の実効性を高めるために押さえておきたい考え方を、複数対策の組み合わせ、業務効率、ルールの定着、継続的な見直しという4つの観点から解説します。

複数の対策を組み合わせる

一つのセキュリティ対策だけで、すべての攻撃やミスを防ぐことはできません。

例えば、強いパスワードを設定していても、フィッシングサイトへ入力すれば盗まれます。多要素認証があっても、利用者が不正な認証要求を承認すれば突破される可能性があります。

そこで、複数の防御を重ねる多層防御が必要になります。

メールを例にすると、次のような対策を組み合わせます。

• 迷惑メールフィルターで受信を減らす
• 社員教育で不審なメールへ気づく
• 多要素認証でパスワード盗難後の侵入を防ぐ
• EDRで端末上の不審な動きを検知する
• ログ監視で異常なログインを発見する
• 最小権限で侵入後の被害範囲を抑える

一つの対策が突破されても、次の対策で止められる設計にしてください。

業務効率とのバランスを取る

セキュリティ制限を強くすればするほど、安全になるとは限りません。

正規の業務まで進めにくくなると、従業員が抜け道を探し始めるためです。

例えば、社外とのファイル共有を全面禁止した結果、従業員が個人用クラウドを使用することがあります。USBメモリーを禁止した結果、スマートフォンで画面を撮影する場合もあります。

生成AIを全面禁止しても、個人のスマートフォンやアカウントから利用されれば、会社は入力内容を把握できません。

ルールを作る際は、現場が何のためにその操作を必要としているかを確認します。禁止する場合は、安全な代替手段を用意してください。

• メール添付を制限するなら、承認済みファイル共有を用意する
• 私物端末を禁止するなら、持ち出し可能な会社端末を用意する
• 個人用生成AIを禁止するなら、法人向け環境を提供する
• USBを禁止するなら、安全なクラウド転送を提供する

現場が守れるルールにすることが、結果として情報漏洩リスクを下げます。

ルールを全社員に周知する

情報セキュリティルールは、文書を作成しただけでは機能しません。

従業員がルールの存在を知らない、内容を理解できない、どこに保存されているか分からない状態では、事故を防げません。

周知する際は、次の方法を組み合わせます。

• 入社時研修
• 全社説明会
• 社内ポータルへの掲載
• 短い動画や漫画
• 定期的なメール配信
• 部署別の説明
• 理解度テスト
• 具体的な事故事例の共有

ルールは、専門用語を並べるのではなく、行動レベルで書いてください。

例えば、「機密情報を適切に取り扱う」ではなく、「顧客名簿を個人メールへ送信しない」「ChatGPTへ顧客情報を入力しない」と記載します。

違反時の罰則だけを強調すると、従業員がミスを隠すようになる可能性があります。誤送信や紛失に気づいた場合は、すぐに報告することが被害軽減につながると伝えてください。

定期的に見直してPDCAを回す

情報漏洩対策は、一度実施して終わりではありません。

新しいクラウドサービスの導入、組織変更、テレワーク、生成AIの利用などにより、自社の環境は変化します。攻撃手法や脆弱性も変わり続けます。

少なくとも年1回、次の項目を見直してください。

• 保有している情報
• 利用中のシステム・SaaS
• 外部公開しているサーバー
• アカウントと権限
• 退職者・休眠アカウント
• 委託先
• インシデント対応手順
• バックアップ
• 社員教育の内容
• 生成AIの利用状況
• 法令・契約上の要件

年1回だけでなく、次のタイミングでも見直します。

• 新システムの導入時
• 大規模な人事異動
• 会社の合併・買収
• 委託先の変更
• 情報漏洩やヒヤリハット発生後
• 重大な脆弱性の公表後

計画、実施、確認、改善のPDCAを回し、対策を現在の環境へ合わせ続けることが重要です。

情報漏洩対策のよくある質問

情報漏洩対策について、企業の情報システム担当者、経営者、個人の利用者から寄せられることが多い質問をまとめました。無料で始められる対策、中小企業が優先すべき範囲、情報セキュリティ対策の分類など、実務で迷いやすい点を結論から簡潔に解説します。自社の状況に近い質問から確認してください。

Q. 個人でできる情報漏洩対策は？

個人で最優先すべき対策は、パスワードの使い回しをやめ、多要素認証と端末の自動更新を有効にすることです。

具体的には、次の対策を行います。

• サービスごとに異なる長いパスワードを使う
• パスワード管理ツールを利用する
• 多要素認証を有効にする
• OSとアプリを自動更新する
• 不審なメールやSMSのリンクを開かない
• 公式アプリやブックマークからログインする
• スマートフォンとパソコンに画面ロックを設定する
• 公共Wi-Fiで重要な操作を避ける
• 重要データをバックアップする
• SNSへ個人情報を投稿しすぎない

個人用クラウドや生成AIへ、勤務先の顧客情報や社外秘資料を保存・入力してはいけません。企業のデータは、会社が承認した環境だけで扱ってください。

Q. 情報漏洩の三大要因は？

情報漏洩の三大要因は、外部攻撃、人的ミス、内部不正です。

外部攻撃には、不正アクセス、ランサムウェア、標的型攻撃などがあります。人的ミスには、誤送信、端末紛失、設定ミス、誤廃棄が含まれます。内部不正は、従業員や退職者による情報の持ち出しや権限悪用です。

ただし、実際の事故は複数の要因が重なって発生します。例えば、攻撃者による不正アクセスと、多要素認証の未設定、過剰な権限が同時に存在するケースです。

Q. 情報セキュリティ対策の4つの対策とは？

情報セキュリティ対策は、組織的、人的、物理的、技術的の4つに分類できます。

分類	対策例
組織的対策	規程、責任者、報告体制、委託先管理、監査
人的対策	社員教育、誓約書、標的型メール訓練、退職時手続き
物理的対策	入退室管理、施錠、端末の保管、書類・媒体の廃棄
技術的対策	多要素認証、暗号化、EDR、アクセス制御、ログ監視

技術的対策だけを導入しても、管理者や報告ルートが決まっていなければ、事故発生時に対応できません。

反対に、規程や教育だけでも、攻撃や誤操作を技術的に止めることはできません。4分類を組み合わせて実施してください。

Q. 中小企業はどこまで情報漏洩対策をすればいい？

本記事では、上位7項目を中小企業が最初に整備すべき基本対策として推奨します。

具体的には、次の7つです。

1. パスワード管理
2. OS・ソフトウェア更新
3. 最小権限
4. 退職者アカウント停止
5. 多要素認証
6. 社員教育
7. PC・スマートフォンの防御

ただし、これは法令上の一律の合格基準ではありません。保有する情報、取引先の要件、システム構成により、必要な対策は異なります。

相談先が分からない場合は、IPAの企業・組織向けサイバーセキュリティ相談窓口を確認できます。

よろず支援拠点は、全国47都道府県に設置されている中小企業・小規模事業者向けの無料経営相談所です。地域や相談内容によっては、ITやDXを含む経営課題について専門家へ相談できます。

なお、IPAの「サイバーセキュリティお助け隊サービス」は、相談窓口、監視、初動対応、簡易保険などを組み合わせた中小企業向けの民間サービス制度です。無料相談制度ではないため、契約内容と料金を確認したうえで利用してください。

Q. 無料でできる情報漏洩対策はある？

アカウントの棚卸し、多要素認証、権限見直し、自動更新、共有設定の確認は、追加費用なしで始められる場合があります。

特に、次の対策は既存環境の設定変更や運用改善で着手できます。

• パスワードの管理ルール
• OSとソフトの自動更新
• 権限の見直し
• 退職者アカウントの停止
• 多要素認証
• クラウド共有の棚卸し
• 生成AIの利用ルール
• 情報持ち出しルール

無料でできる対策から始めても、すべてのリスクを解消できるわけではありません。しかし、「予算がないから何もしない」状態から抜け出すには十分な第一歩です。

実施済みの対策と未対応の対策を一覧化し、次年度の予算が必要な項目を経営層へ提示してください。

まとめ｜自社の情報漏洩対策を今日から見直そう

情報漏洩対策は、すべてを一度に実施する必要はありません。

まず、追加費用をかけずに着手しやすい基本7項目から進めてください。

1. パスワードの管理ルールを決める
2. OSとソフトウェアを最新にする
3. 権限を必要最小限に絞る
4. 退職者のアカウントを即日停止する
5. 多要素認証を有効にする
6. 社員教育と標的型メール訓練を行う
7. PC・スマートフォンの防御を強化する

明日から行うことを3つに絞るなら、次の順番がおすすめです。

• 管理者、メール、VPNの多要素認証を確認する
• 退職者・休眠アカウントを一覧化して停止する
• VPN機器を含むOS・ソフトウェアの更新状況を確認する

その後、操作ログ、誤送信対策、クラウド共有、生成AI、情報持ち出し、委託先管理へ範囲を広げます。

ただし、対策を実施したつもりでも、設定漏れや想定外の侵入経路を自社だけで発見するのは困難です。第三者による脆弱性診断やペネトレーションテストを活用し、攻撃者の視点から実際の弱点と影響範囲を確認することが重要です。

自社の情報漏洩対策が十分か判断できない場合は、CyberCrewへご相談ください。システム構成と保有情報を整理し、限られた予算の中で優先すべき対策と診断範囲をご提案します。

投稿者プロフィール

CyberCrew（サイバークルー）

CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）

最新の投稿

• サイバーセキュリティ2026.08.18企業の情報漏洩対策15選【2026年最新】｜優先度順に徹底解説
• サイバーセキュリティ2026.08.17情報漏洩の原因ランキングTOP4｜割合と対策を最新データで解説
• サイバーセキュリティ2026.08.07ソーシャルエンジニアリングとは？手口一覧や被害事例・効果的な対策をわかりやすく解説
• サイバーセキュリティ2026.08.06フィッシング詐欺とは？手口・見分け方から企業がとるべき対策・被害時の対応まで解説