経営者・情シスが今週確認する10項目｜国内の事案で実際に入口になったところ
仕様確認・更新日: · 編集: 株式会社ウェステリア
セキュリティのチェックリストは数多くありますが、項目が多すぎて手が止まることがあります。この記事の10項目は、2024年から2026年10月6日までに公表された国内の事案で、実際に入口になった、または被害を広げた点だけから作りました。どれも製品を買う前にできる確認です。経営者と情シスの担当者が一緒に、1項目ずつ「はい・いいえ・分からない」で答えてみてください。2026年10月9日のIPAの注意喚起の点検項目と、10月16日に公開されたIPAの相談窓口は、2026-10-21に追記しました。
結論から
- 10項目は「入口」「アカウント」「委託先・SaaS」「止まったとき」「データと連絡」の5つに分かれます。国内の事案で入口として多いVPN機器などの入口と、多要素認証の例外から確かめてください
- 「分からない」は「いいえ」と同じ扱いにします。一覧がない、担当が決まっていない状態そのものが、多くの事案で被害を広げています
- 確認は一度で終わりにせず、担当と期限を決めて定期的に見直します。被害が疑われる場合は確認を止めて、専門の会社や、IPAの「不正アクセス特別相談窓口(事業者向け)」に相談してください
10項目の一覧
事案の詳しい経緯は、それぞれの事案のページで出典つきで確認できます。
| # | 確認すること | 入口・原因になった事案の例 |
|---|---|---|
| 1 | 社外から社内やクラウドに入れる入口(VPN機器、リモートデスクトップ、管理画面)の一覧があるか | デジタル庁GSS、両毛システムズ、トンボ飲料 |
| 2 | その機器の脆弱性の修正が当たっているか。当てる担当と期限が決まっているか | 岡山県精神科医療センター、イセトー、関通 |
| 3 | 多要素認証が、管理者・委託先を含めて例外なくかかっているか | アスクル |
| 4 | 退職者・契約が終わった委託先・使っていない共有アカウントが残っていないか | PR TIMES |
| 5 | どの委託先・SaaSに、どの顧客データを渡しているかを言えるか | 東海大学、イセトー、Eストアー、KDDI |
| 6 | バックアップが社内ネットワークと切り離されているか。戻す訓練をしたのはいつか | 関通、アスクル |
| 7 | システムが止まったとき、受注・出荷・決済を何日まで手作業で回せるか | アサヒグループ、ニチレイ、京王グループ |
| 8 | 退会者や古い取引の個人データを、決まった期間で消しているか | タイムズカー |
| 9 | 不審なアクセスに、夜間や連休中でも誰が気づき、誰が判断するかが決まっているか | さくらインターネット、Eストアー |
| 10 | 漏えいが起きたときの連絡先(個人情報保護委員会、警察、取引先、顧客)と公表文の担当が決まっているか | —(全事案に共通) |
出典: 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月) / ITmedia NEWS「アスクルが調査報告書を公表」(2025-12-12) / アサヒグループホールディングス「調査結果」(2025-11-27) / @IT「タイムズカーへの不正アクセス」(2026-09-30)
入口(1・2): 外から入れる機器の一覧と、修正の担当
警察庁の2026年上半期のアンケートでは、ランサムウェアの感染経路の約5割がVPN機器でした。まず、社外から入れる機器と画面を全部書き出します。VPN機器、リモートデスクトップ、リモート操作ソフト、クラウドや業務システムの管理画面です。
次に、それぞれの機器の修正が当たっているかを確かめます。岡山県精神科医療センターの調査報告書は、保守用VPN装置の脆弱性が2018年の設置以来残っていたと指摘しています。イセトーについて個人情報保護委員会は、VPN機器を約3年更新していなかったと指摘しました。
修正を「誰が」「いつまでに」当てるかが決まっていない機器は、2の答えを「いいえ」にします。保守会社に任せている機器も、契約に修正の対応が入っているかを確認します。
出典: 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月) / ScanNetSecurity「岡山県精神科医療センターの調査報告書」(2025-02-27) / Web担当者Forum「個人情報保護委員会がイセトーに行政指導」(2025-03-25) / @IT「デジタル庁GSSへの不正アクセス」(2026-09-14) / 日経クロステック「関通 VPN装置の脆弱性」
アカウント(3・4): 多要素認証の例外と、残っているアカウント
アスクルの調査報告書によると、入口は、例外的に多要素認証を適用していなかった委託先向けの管理者アカウントでした。全体に導入していても、例外の一覧がなければ3は「分からない」です。
PR TIMESでは、追加の経緯が分からない許可IPアドレスから、普段使っていない共有アカウントで認証が通りました。退職者、契約が終わった委託先、テスト用、共有のアカウントを洗い出し、使っていないものを止めます。
私物端末から業務用のクラウドに入れる設定になっていないかも確かめてください。日本経済新聞社では、社員の私物PCの感染からSlackの認証情報が流出しました。
出典: ITmedia NEWS「アスクルが調査報告書を公表」(2025-12-12) / ITmedia NEWS「PR TIMESに不正アクセス」(2025-05-07) / @IT「日本経済新聞社のSlackへの不正ログイン」(2025-11-10)
委託先・SaaS(5): どこに、何を渡しているか
委託先やSaaSの被害は、自社の顧客の情報漏えいになります。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの2位は「サプライチェーンや委託先を狙った攻撃」でした。
委託先・SaaSごとに「渡しているデータ」「件数の目安」「相手の連絡窓口」を一覧にします。東海大学の事案では、学内で作業する決まりのデータを委託先が持ち帰っていました。ルールを契約に書くだけでなく、守られているかを確かめる手順も決めておきます。
使っているSaaSが侵害されたと発表されたときに、自社で何を止め、誰に連絡するかも、この一覧に書いておきます。
出典: IPA「情報セキュリティ10大脅威 2026」 / ScanNetSecurity「東海大学 委託先経由の漏えいのおそれ」(2026-03-06) / @IT「Eストアー『ショップサーブ』の情報流出」(2026-08-05)
止まったとき(6・7): 戻せるバックアップと、手作業の手順
警察庁の2026年上半期のアンケートでは、バックアップから復元できなかった組織が40件中29件でした。関通ではバックアップまで暗号化されました。アスクルの報告書も、バックアップがランサムウェアを想定した構成になっていなかったとしています。
6は、社内ネットワークから切り離した場所や、書き換えできない形のバックアップがあるかを確かめます。最後に実際に戻してみた日も答えてください。
7は業務側の確認です。アサヒグループは受注・出荷システムが止まり、手作業で段階的に出荷を再開しました。ニチレイでは冷凍食品の出荷が止まりました。受注・出荷・決済を、紙や表計算で何日回せるかを部門ごとに決めておきます。
出典: 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月) / 日経クロステック「関通 VPN装置の脆弱性」 / INTERNET Watch「アスクルの報告書の詳細」(2025-12) / アサヒグループホールディングス「調査結果」(2025-11-27) / @IT「ニチレイのシステム障害」(2026-07-15)
データと連絡(8・9・10): 減らす、気づく、知らせる
8: タイムズカーでは退会者や手続きが完了しなかった申込者の情報も対象になりました。東京メトロのポイントサービスはメールアドレスしか保存していなかったため、漏えいの可能性はメールアドレスにとどまりました。保存期間を決め、過ぎたデータを消します。
9: さくらインターネットでは、販売管理システムへの不正アクセスが約3年続いていました。ログを集めるだけでなく、通知を誰が受け、夜間・連休中に誰が判断するかを決めます。
10: 個人情報保護委員会への速報は、事態を知ってから概ね3〜5日以内が目安です。連絡先と公表文の担当を事前に決めておかないと、この期限に間に合いません。
出典: @IT「タイムズカーへの不正アクセス」(2026-09-30) / 東京メトロ「メトロポイントクラブへの不正アクセスについて」(2026-09-27) / @IT「さくらインターネットへの不正アクセス 続報」(2026-08-20) / 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」3-5 漏えい等の報告等
2026年10月のIPAの注意喚起とあわせて確認すること
IPA(情報処理推進機構)は2026年10月9日、相次ぐ不正アクセスを踏まえて、速やかに行うべき点検を3つ挙げました。10項目のうち1・2・4・5・8・9と重なります。
- 外部に公開しているアプリケーションの精査: 自社で作って運用している公開アプリやサービスを確かめ、それぞれの直近のログに異常がないか、未適用の修正がないかを見る(10項目の1・2・9)
- 利用している外部サービスの洗い出し: 使っている外部サービスをすべて書き出し、サービスごとのログとアカウントに異常がないかを見る(4・5)
- 保有データの再点検: 持っている情報資産を正確に把握し、必要最小限にする(8)
点検の途中で異常が見つかったら、IPAの「不正アクセス特別相談窓口(事業者向け)」に相談できます。被害を受けている、またはその可能性がある企業・組織が対象です。初動対応の相談に応じ、インシデント対応を行う専門業者の一覧も紹介するとしています。
電話は03-6759-5760(平日9時30分〜17時30分。12時〜13時を除く)、メールはincident-support@ipa.go.jpです(2026-10-21時点)。
出典: IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」(2026-10-09) / IPA「不正アクセス特別相談窓口(事業者向け)」(2026-10-16公開)
「いいえ」「分からない」が出たら
全部を一度に直す必要はありません。1(入口の一覧)と3(多要素認証の例外)は、国内の事案で入口として多い場所です。ここから担当と期限を決めてください。
一覧づくりは、情シスだけでなく、現場の部門や経理(SaaSの請求書)にも聞くと漏れが減ります。委託先には、5の一覧をもとに質問票を送る方法もあります。
確認の途中で、見覚えのないアカウントや不審なログが見つかったら、確認を止めて「起きたときの初動」に移ってください。被害の調査は、フォレンジックの専門会社に依頼します。どこに頼めばよいか分からないときは、IPAの特別相談窓口が専門業者の一覧を紹介しています。
出典: 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月) / 個人情報保護委員会「令和7年度 年次報告の概要」(2026年7月) / IPA「不正アクセス特別相談窓口(事業者向け)」(2026-10-16公開)
よくあるご質問
- 中小企業でもこの10項目は必要ですか
- 必要です。警察庁によると、2026年上半期のランサムウェア被害123件のうち79件が中小企業でした。10項目はどれも製品の導入を前提にしない確認なので、規模に関係なく使えます。
- どのくらいの頻度で確認すればよいですか
- 決まった基準はありません。目安として、入口とアカウントの一覧(1〜4)は人の異動や契約の変更に合わせて、委託先の一覧(5)は契約の更新時と年1回、バックアップの復元(6)は年1回以上の確認が考えられます。
- VPNをやめればよいのですか
- VPNそのものが問題なのではなく、修正されていない機器や、例外のある認証が問題になっています。VPNを使わない接続方式への置き換えも選択肢の1つですが、まずは今ある入口の一覧と修正の担当を決めることが先です。
- このチェックリストで安全と言えますか
- 言えません。10項目は国内の事案で入口になった点の確認で、網羅的な診断ではありません。専門的な診断や、被害が疑われるときの調査は、セキュリティの専門会社に依頼してください。