IPA（情報処理推進機構）が2026年10月9日に公開した「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」は、外部に公開しているWebサービスとアカウントの点検を、経営者の責任で至急行うよう求める注意喚起です。あわせて、ランサムウェア被害の教訓集、「情報セキュリティ6か条」と「5分でできる!情報セキュリティ自社診断」の解説編なども相次いで公開されました。この記事では、SECURITY ACTION自己宣言者向けに届いた10月のお知らせを、Web制作会社の目線で「中小企業が実際に何をすればよいか」に整理します。

2026年10月のIPAからのお知らせ一覧

今回のお知らせで、中小企業がすぐに手を動かすべきものは「10月9日の注意喚起」と「6か条・自社診断の解説編」の2つです。そのほかは、期限のあるもの（講座の申込・指標の提出）を把握しておけば十分です。SECURITY ACTIONを宣言している事業者に届いたメールの内容を、締切と対象で一覧にしました。

10月9日の注意喚起「不正アクセスによる漏えい等の事案」とは

この注意喚起の要点は、「特定製品の脆弱性ではなく、外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点になっている」という点です。つまり、特定のソフトを更新すれば終わりという話ではなく、自社がインターネットに出しているもの全体を見直す必要があります。

背景：金融機関や通信事業者などで漏えいの公表が相次いだ

IPAによると、国内の金融機関や通信事業者などから、不正アクセスによる情報漏えいの公表が相次いでいます。特に、大量の個人情報を扱うオンラインサービスが侵害され、データが持ち出されている事案が目立ちます。こうした状況を受けて、大量の情報資産を持つ事業者や機微な情報を扱う事業者に向けて、点検と見直しを至急行うよう呼びかけたものです。

速やかに行うべき3つの点検

注意喚起では、まず次の3点をすぐに確認するよう求めています。

1. 外部公開しているアプリケーションの精査（直近のログに異常がないか、未適用の修正パッチがないか）
2. 利用している外部サービスの洗い出し（クラウドやVPNなどをすべて把握し、サービスごとのログとアカウントの異常を確認）
3. 保有データの再点検（不要な情報を持たない原則に沿って、保有情報を最小限にする）

その後に取り組むべき対策

点検のあとは、仕組みとして再発しにくくする対策に進みます。注意喚起に挙げられている項目を、対象ごとに整理すると次のとおりです。

「大企業向け」でも中小企業に関係がある理由

対象として名指しされているのは大量の個人情報を扱う事業者ですが、中小企業も無関係ではありません。問い合わせフォーム、予約システム、会員ページ、ネットショップなど、中小企業のWebサイトにも個人情報の入口は意外と多くあります。また、取引先を経由して被害が広がるサプライチェーン攻撃では、守りの弱い中小企業が入口として狙われます。「うちは小さいから大丈夫」ではなく、「うちが入口にされないか」という視点で点検するのが現実的です。

中小企業が今週やる点検手順（5ステップ）

注意喚起の内容を、専任の担当者がいない中小企業でも進められるように5つの手順に分けました。1つずつ半日程度で終わる粒度にしているので、今週中にすべて確認することを目標にしてください。

ステップ1｜インターネットに公開しているものを書き出す

最初に、自社がインターネットに出しているものを一覧にします。コーポレートサイト、WordPressの管理画面、問い合わせフォーム、予約システム、ネットショップ、採用サイト、過去のキャンペーンページ、テスト用に作ったサブドメインなどです。制作の現場では、公開を終えたはずの古いキャンペーンページやテスト環境が、何年も更新されないまま残っているケースをよく見かけます。存在を忘れているページは更新もされないため、侵入の入口になりやすい部分です。

ステップ2｜CMS・プラグイン・サーバーのバージョンを確認する

書き出した一覧ごとに、ソフトウェアが最新かどうかを確認します。WordPressであれば本体、プラグイン、テーマ、PHPのバージョンです。管理画面の「ダッシュボード」→「更新」で未適用の更新がわかります。使っていないプラグインは停止だけでなく削除まで行うと、攻撃される面が減ります。WordPressの重大な脆弱性への対応例はWordPressの重大な脆弱性「wp2shell」の記事でも解説しています。

ステップ3｜クラウドサービスのアカウントを棚卸しする

次に、業務で使っているクラウドサービスとアカウントを洗い出します。メール、ファイル共有、会計、勤怠、チャット、レンタルサーバーの管理画面、ドメイン管理などです。確認するのは次の3点です。

• 退職者や外注先のアカウントが残っていないか
• 複数人で使い回している共有IDがないか
• 二段階認証（多要素認証）が有効になっているか

ステップ4｜ログイン履歴とアクセスログを見る

注意喚起では「直近のログの異常確認」が最初に挙げられています。中小企業で確認しやすいのは、Google WorkspaceやMicrosoft 365のログイン履歴（見覚えのない国や時間帯からのログイン）、レンタルサーバーのアクセスログ、WordPressのログイン記録です。WordPressは標準ではログイン履歴を残さないため、ログを残すプラグインやサーバー側のログで確認します。異常の判断が難しい場合は、ログを消さずに保存したうえで、サイトの管理会社やセキュリティ会社に相談してください。

ステップ5｜持っている個人情報を減らす

最後に、保有しているデータの量を減らします。漏えいの被害は、持っているデータの量に比例して大きくなります。見落としやすいのは、問い合わせフォームの送信履歴をWordPress内に保存し続けているケース、サーバー上に置いたままの古いバックアップファイルやCSV、共有フォルダに散らばった顧客リストです。「いつ・何のために使うか」を説明できないデータは、削除するか、アクセスできる人を絞った場所に移します。

ランサムウェア教訓集で経営者が押さえるべきこと

2026年9月8日に公開された「ランサムウェア被害から学ぶ教訓集〜経営者のためのランサムウェア対策ハンドブック〜」は、国内の被害組織へのインタビューから共通の教訓をまとめた資料です。結論として、ランサムウェア対策は技術の問題である前に、経営判断の問題だと示しています。

侵入型ランサムウェアと「二重の脅迫」

現在の主流は、攻撃者が社内ネットワークに侵入してから重要なデータを暗号化する「侵入型ランサムウェア攻撃」です。データを使えなくするだけでなく、事前に持ち出した情報を公開すると脅す「二重の脅迫」が行われます。バックアップから復旧できても、持ち出された情報の問題は残るため、復旧と情報漏えい対応を同時に進める必要があります。

経営・リスク管理編のポイント

経営・リスク管理編では、経営者による迅速な判断と明確な関与、インシデント対応体制の整備、事業継続計画（BCP）への反映、個人情報を含むデータの現状把握、経営者主導での社内の意思統一、窃取されたデータが暴露されることへの備えが挙げられています。被害時は、業務を止めるか、取引先にいつ連絡するかなど、担当者では決められない判断が短時間で続きます。誰が判断するかを事前に決めておくことが、教訓集の中心的なメッセージです。

インシデント対処編のポイント

対処編では、バックアップとログの整合性の確保、基本的な対策の徹底、EDR（端末の不審な動きを検知する仕組み）の導入と定期的なログ監査、セキュリティベンダーとの関係構築が挙げられています。また、「漏えいしていないこと」を証明するのは難しい、という点も教訓として示されています。ログが残っていなければ、漏えいがなかったと説明する根拠がありません。ログの保存期間を決めておくことは、10月9日の注意喚起とも共通する対策です。

情報セキュリティ6か条と自社診断の解説編

中小企業の基本対策は「情報セキュリティ6か条」です。2026年3月27日に公開された「中小企業の情報セキュリティ対策ガイドライン」第4.0版で、従来の5か条に「バックアップを取ろう!」が加わり6か条になりました。9月30日には、6か条（全24ページ）と自社診断（全110ページ）の解説編が公開されています。

6か条の一覧と、追加された「バックアップ」

バックアップが独立した項目になったのは、ランサムウェアでデータを暗号化される被害が続いているためと考えられます。注意したいのは、バックアップは「取っている」だけでは不十分だという点です。同じネットワークにつながったままのバックアップは、本体と一緒に暗号化されることがあります。

自社診断に加わった「Webサイト」と「外部からの通信」

「5分でできる!情報セキュリティ自社診断」は25問の診断で、「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」マイナス1点で採点します。第4.0版では「外部から内部ネットワークへの不要な通信を遮断する」と「ウェブサイトを安全に運用する」が新たに診断項目に加わりました。Webサイトの運用が、セキュリティの基本対策として明確に位置づけられたことになります。

解説編はどう使えばよいか

解説編は、各項目の目的と対策例を図解したものです。おすすめの使い方は、まず自社診断を回答し、「実施していない」「わからない」と答えた項目だけ解説編の該当ページを読むことです。110ページを最初から読む必要はありません。社内勉強会の資料として、該当ページを印刷して配るのも効果的です。

SECURITY ACTIONの一つ星・二つ星と、宣言後にやること

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言するIPAの制度です。宣言は無料で、2026年4月1日からは申込から管理までを行う「SECURITY ACTION管理システム」に切り替わっています。

一つ星と二つ星の違い

補助金の申請要件としてSECURITY ACTIONの宣言が求められることもあります。当社も2026年8月に二つ星を宣言し、情報セキュリティ基本方針を公開しました。ほかの宣言・認定の取り組みは各種宣言・認定の取り組みでまとめています。

宣言した後に見直すタイミング

宣言はゴールではなく、運用の出発点です。見直しのタイミングとしては、今回のような注意喚起が出たとき、社員の入退社やPCの入れ替えがあったとき、新しいクラウドサービスを導入したとき、Webサイトをリニューアルしたときが目安です。最低でも年に1回は自社診断を回答し直し、点数の変化を記録しておくと、取り組みの進み具合を説明しやすくなります。

そのほかのお知らせと無料で使える相談窓口

今回のメールには、学習や相談に使える情報も含まれていました。すぐに対応する必要はありませんが、期限のあるものだけ控えておくと便利です。

情報セキュリティ白書2026

「情報セキュリティ白書2026 サイバー防御新時代：諸刃の進化に備えよ」のPDF版が9月30日に公開され、書籍版は10月19日に刊行予定です。能動的サイバー防御に向けた法整備、AIに関する政府の方針、サプライチェーン全体に影響する脅威とセキュリティ対策状況を可視化する仕組みなどが主なトピックです。

CyberSPEX（責任者向けの企画演習）

組織のセキュリティ戦略の企画立案、予算確保、経営層への説明などを学ぶ4日間のプログラムです。東京開催は前段が2027年1月14日〜15日、後段が1月21日〜22日で、4日間すべての受講が条件です。申込期限は2026年12月11日17時です。

DX推進指標とITパスポートの出題変更

自社のDXの進み具合を35項目で自己診断する「DX推進指標」は、11月30日まで集中実施期間です。9月から提出がWebフォーム形式になり、提出後すぐに全体データと比較したベンチマークレポートを確認できます。また、2027年度からの新試験制度で、ITパスポート試験の出題分野は「ビジネス」「テクノロジ」「セキュリティ・倫理」に再整理される予定です。

無料で相談できる窓口・検索サービス

中小機構の「IT経営サポートセンター」は、IT化やAI活用、情報セキュリティの相談に専門家がオンラインで応じるサービスで、無料・1回60分・何度でも利用できます。日本ネットワークセキュリティ協会（JNSA）の「ソリューションガイド」では、自社診断の項目やIPAの「情報セキュリティ10大脅威 2026」に対応した製品・サービスを検索できます。ソフトウェア協会（SAJ）は11月27日に「AI時代のセキュリティ対策とSCS評価制度」のセミナーを開催します。

Webサイト運用でよくある見落とし

注意喚起の起点が「外部公開しているサービス」である以上、多くの中小企業にとって一番の点検対象はWebサイトです。サイト制作の観点から、点検で見つかりやすい問題を3つ挙げます。

公開後の更新が誰の担当か決まっていない

「制作会社が見てくれていると思っていた」「社内の誰かが更新していると思っていた」というすれ違いで、WordPressやプラグインの更新が何年も止まっているケースがあります。保守契約の有無と範囲を確認し、更新の担当者を決めておくことが第一歩です。

問い合わせデータとメール設定

問い合わせフォームの内容がサイト内に何年分も保存されている、送信元を偽装したメールを防ぐ設定がされていない、といった点も見落とされがちです。メールのなりすまし対策はSPF・DKIM・DMARCの設定記事で手順を解説しています。

バックアップはあるのに戻せない

レンタルサーバーの自動バックアップがあっても、復元の手順を誰も知らない、保存期間が短くて被害前の状態が残っていない、ということがあります。年に1回は、テスト環境に実際に復元してみると安心です。

よくある質問

Q. 10月9日の注意喚起は中小企業も対応が必要ですか？

A. 必要です。名指しされているのは大量の個人情報を扱う事業者ですが、問い合わせフォームや予約システムなど個人情報の入口を持つ中小企業も、同じ手口で狙われます。この記事の5ステップの点検から始めてください。

Q. 情報セキュリティ5か条と6か条の違いは何ですか？

A. 6か条は、従来の5か条に「バックアップを取ろう!」を加えたものです。ガイドライン第4.0版（2026年3月27日公開）で変更されました。SECURITY ACTIONの一つ星も、現在は6か条への取り組みを宣言する形です。

Q. 以前5か条で一つ星を宣言しましたが、宣言し直す必要はありますか？

A. 2026年4月に管理システムが新しくなっており、旧システムでの宣言内容は引き継がれていない場合があります。当社も旧システムの宣言とは別に、新システムで改めて宣言しました。最新の扱いはSECURITY ACTIONの公式ページでご確認ください。

Q. 自社診断は何点以上を目指せばよいですか？

A. 二つ星の要件に点数の基準はなく、診断を行うこと自体が要件です。点数よりも、「わからない」と答えた項目を減らし、前回より点数が上がっているかを見るのが実用的です。

Q. ランサムウェア対策で最初にやるべきことは何ですか？

A. 社内ネットワークから切り離したバックアップを用意し、実際に復元できるか試すことです。あわせて、被害時に誰が判断するかを決めておきます。教訓集でも、経営者の関与とバックアップ・ログの整合性が重視されています。

Q. 社内に詳しい人がいない場合はどこに相談できますか？

A. 中小機構の「IT経営サポートセンター」に無料でオンライン相談できます。Webサイトの更新状況やサーバー設定については、サイトを制作・管理している会社に確認するのが早道です。

まとめ

2026年10月のIPAからのお知らせで、中小企業がすぐに取り組むべきなのは、外部公開しているサービスとアカウントの点検、保有データの削減、そして6か条に加わったバックアップの見直しです。どれも特別なツールがなくても今週から始められます。各資料の最新情報は、IPAの公式サイトでご確認ください。

• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（IPA）
• ランサムウェア被害から学ぶ教訓集（IPA）
• 中小企業の情報セキュリティ対策ガイドライン（IPA）
• SECURITY ACTION（IPA）

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。