セキュリティのニュースを見て不安になったら、最初に確認する5つのこと

「不正アクセスで個人情報が漏えい」「ランサムウェアで業務が停止」。こうしたニュースが続くと、「うちは大丈夫なのか」と気になります。ただ、何を確認すればよいかが分からず、結局そのままになってしまうことも多いのではないでしょうか。

結論から言うと、最初にやることは製品を選ぶことではありません。自社の環境が「外からどう見えているか」「更新されているか」「誰が入れるか」「戻せるか」「気づけるか」の5点を確認することです。この5点は、2026年10月にJPCERT/CCが公表した注意喚起で求められている対策に、ランサムウェアへの備えを加えて整理したものです。

この記事では、専門の担当者がいない会社でも確認できる範囲に絞って、5つのポイントと確認の仕方を整理します。

なぜ「製品を買う前に5つの確認」なのか

最近の注意喚起では、既知の脆弱性への対処、不要な公開の停止、アクセス制御、検知と初動の見直しが求められています。公表されている被害事例でも、原因が明らかにされているものは、既知の脆弱性の放置、認証情報の悪用、設定やアクセス制御の不備といった基本的な項目が中心です。

つまり、まず確認すべきは「新しい製品が必要か」ではなく「今あるものが正しい状態か」です。確認してみると、追加の投資なしで直せる項目が意外に多くあります。

確認1：インターネットから見えている「入口」を把握しているか

攻撃の多くは、インターネットから直接アクセスできる機器やシステムから始まります。代表的なのは、拠点間やテレワーク用のVPN装置、リモートデスクトップ（RDP）、自社のWebサイトやWebシステムとその管理画面、クラウドサービスの公開設定です。

確認のポイントは「一覧があるか」です。契約しているサービス、設置している機器、公開しているURLを書き出し、「誰が管理しているか」「なぜ公開しているか」を一つずつ埋めてみてください。担当者が替わって誰も把握していない機器や、テスト用に作ってそのままになっている環境が、最も危険な入口になります。

外部から自社がどう見えているかを継続的に確認する考え方は、ASM（攻撃対象領域管理）と呼ばれます。詳しくは「ASMとは？ 攻撃者視点で「見えない入口」を管理する」をご覧ください。

確認2：公開している機器とシステムは更新されているか

入口の一覧ができたら、それぞれが「既知の脆弱性に対処済みか」を確認します。対象は、VPN装置やUTM・ファイアウォールのファームウェア、WebサーバーやCMS（WordPressなど）とそのプラグイン、公開しているサーバーのOSです。

目安は三つです。利用中のバージョン系列で、メーカーが修正済みと案内するバージョンになっているか。更新を「誰が・いつ」行うかの決まりがあるか。メーカーのサポート終了日と、保守契約の有効期限をそれぞれ把握しているか。サポートが終了した製品はセキュリティ修正を受けられないため更改を検討し、保守契約が切れている場合は更新ファイルの入手条件や対応範囲を確認してください。

VPN装置については、脆弱性が公表されたときに最初に確認すべき点を「VPN装置の脆弱性対応 パッチの前にまず確認すべきこと」にまとめています。更新を一度きりで終わらせず継続的に回す考え方は「脆弱性管理とは？」をご覧ください。

確認3：アカウントと認証は守られているか

入口が最新の状態でも、パスワードが推測できれば意味がありません。まず確認するのは、VPN、クラウドサービス（Microsoft 365やGoogle Workspaceなど）、機器の管理画面に使う管理者アカウントです。加えて、社員や委託先がVPN、メール、クラウドサービスへ接続する一般のアカウントも対象になります。

• 初期パスワードのままや、他のサービスと同じパスワードを使っていないか
• 外部から利用できるアカウントに、多要素認証（MFA）が適用されているか
• 退職者や、利用が不要になった外部委託先のアカウントが残っていないか
• 複数人で共有しているアカウントがないか

特にVPNとクラウドサービスは、管理者だけでなく全アカウントの多要素認証が最優先です。他社から漏えいしたIDとパスワードの組み合わせを使い回す攻撃は日常的に行われており、パスワードだけでは防ぎきれません。

自社でWebシステムやスマートフォンアプリを公開している場合は、保守・開発会社に、APIの認証やアクセス権限の点検状況も確認してください。今回の注意喚起では、API経由の不正操作やAPIキーの悪用も報告されています。更新や多要素認証に加え、APIごとのアクセス制御、権限・トークンの管理など、アプリケーション側の点検も必要です。

確認4：バックアップは「戻せる」状態か

ランサムウェア被害からの復旧を左右するのは、バックアップの有無ではなく「戻せるか」です。

確認するのは三つです。重要なデータとシステムのバックアップが実際に取れているか（設定しただけでなく、成功しているか）。復元テストを定期的に行い、戻せるデータの時点と復旧に必要な時間を確認しているか。本番環境から書き換えや削除ができない保管先があるか。

三つ目が見落とされがちです。本番環境から書き換えや削除ができるバックアップは、侵害された端末や認証情報を通じて、本番とともに被害を受けるおそれがあります。オフライン保管や、変更・削除を制限した保管先（イミュータブル設定など）を利用し、バックアップの管理権限も本番とは分離しておくことが重要です。別のクラウドに置く場合も、管理権限や削除保護の設計が必要です。

確認5：異常に気づき、動ける体制があるか

被害事例の多くで、侵入から発覚までに時間がかかっています。完璧な検知は難しくても、「気づける材料」と「気づいたときに誰が動くか」を決めておくだけで、被害の範囲は変わります。

• 直近1か月程度のログに、ログイン失敗やエラーの急増、見慣れない接続元からの管理画面へのアクセスなど、すでに侵入を受けた兆候がないか
• 機器やサービスの通知（ログイン失敗、海外からのアクセス、管理者の設定変更）を、継続して誰かが見ているか
• 異常に気づいたとき、社内の誰に連絡し、どの保守会社・専門家に相談するかが決まっているか
• 最低限の初動（ネットワークから切り離す、電源は切らない、ログを消さない）を担当者が知っているか

連絡先と初動を1枚にまとめて共有しておくだけでも、実際の場面での対応は大きく変わります。不審な兆候が見つかった場合は、ほかの確認を待たずに連絡してください。

5つの確認のチェックリスト

確認項目	確認する問い	最初の一歩
1. 外から見える入口	公開している機器・サービスの一覧があり、管理者が決まっているか	契約書・請求書・管理画面を手がかりに一覧を作る
2. 更新の状況	公開機器・OS・CMSが修正済みのバージョンか。サポート終了日と保守契約の期限を把握しているか	一覧の各項目にバージョンとサポート終了日を書き足す
3. アカウントと認証	外部から使えるアカウントに多要素認証があり、退職者・共有アカウントがないか	VPNとクラウドの多要素認証の適用状況を確認する
4. 戻せるバックアップ	定期的に復元テストをしており、本番から書き換えられない保管先があるか	最新のバックアップから復元を一度試す
5. 気づける体制	侵入の兆候を確認し、通知を見る人・連絡先・初動が決まっているか	直近のログを確認し、連絡先と初動を1枚にまとめる

自社で確認しきれないときは

5つをすべて確認できていなくても構いません。次のような段階から、PATへご相談いただけます。

• 何を確認すればよいか分からない、公開している機器の一覧が作れない
• 管理者や契約先が分からない機器・サービスがある
• サポートが終了した機器や、更新できないシステムがインターネットに公開されている
• 確認はできたが、何から直すべきか優先順位がつけられない

初回は30分〜1時間の無料ヒアリングで、オンラインにも対応しています。現在の環境と運用を伺い、確認すべき範囲と対策の優先順位を一緒に整理します。ヒアリングのみで終わっても問題ありません。詳しくは「情報セキュリティに関するご相談を受け付けています」をご覧ください。

具体的な点検が必要な場合は、お使いのルーター・UTM・VPN機器の設定を1〜2日でレビューする「簡易セキュリティ診断」や、外部から見える公開資産の発見・監視を含めて継続的に脆弱性を管理する「継続的な脆弱性管理とASM」をご用意しています。

よくある質問

ウイルス対策ソフトを入れていれば大丈夫ですか？

ウイルス対策ソフトは端末を守るために重要ですが、それだけでVPN装置やWebシステムへの不正アクセスをすべて防げるわけではありません。今回の5点は、端末の外側にある入口や仕組みを確認するものです。

5つ全部を一度にやる必要がありますか？

まず5項目を「確認できた・未対応・分からない」で整理してください。対策の順番は、公開状況や脆弱性の緊急度、業務への影響によって変わります。不審な兆候がある場合は、一覧の完成を待たずに担当者や専門家へ連絡してください。

社内にIT担当者がいません。どこまで自分たちでできますか？

一覧の作成、アカウントの棚卸し、バックアップの有無の確認は、契約書類と管理画面があれば専門家でなくても可能です。外部からの見え方の確認と機器の更新作業は、保守会社や専門家に依頼する範囲と考えてください。

まとめ

• ニュースを見て不安になったとき、最初にやるのは製品選びではなく、今の環境の確認
• 5つの確認は、外から見える入口・更新の状況・アカウントと認証・戻せるバックアップ・気づける体制
• 注意喚起で求められている対策の多くは、追加投資なしで確認・改善できる項目から始められる
• 一覧が作れない、サポート終了の機器が公開されている、確認の進め方が分からない場合は、早めに専門家へ相談する

参考資料

• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日）
• 株式会社マクニカ セキュリティ研究センター「相次ぐWEBシステムからの情報漏洩事案について」
• IPA「中小企業の情報セキュリティ対策ガイドライン」