昨今、企業の情報漏洩やサイバー攻撃による被害のニュースが後を絶ちません。
警察庁の調査※によると、2026年上半期のランサムウェア被害報告は123件と半期として過去最多となり、その約6割（79件）が中小企業で発生しています。
情報漏洩は、大企業だけに起こる問題ではありません。顧客情報や従業員情報、取引先情報、設計資料などを扱う中小企業も、不正アクセスやメール誤送信、退職者アカウントの放置といったさまざまな原因で被害を受ける可能性があります。
特にIT専任者がいない「情シス不在」の企業や、担当者が一人で抱える「ひとり情シス」では、総務担当者や経営者がアカウント管理、端末管理、クラウド設定などを兼務しており、日常業務を優先するなかで対策が後回しになりがちです。本記事では、情報漏洩の主な原因と見落としやすい穴、取引先にも被害が連鎖する「サイバードミノ」のリスク、専任担当者がいなくても進められる対策の優先順位を解説します。
※出典：警察庁ウェブサイト（令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について）
1. 情報漏洩とは？中小企業にも及ぶ発生時のリスク
情報漏洩とは、本来は限られた人だけが利用・閲覧できる情報が、権限のない社内外の第三者に見られたり、持ち出されたり、失われたりすることです。対象は顧客や従業員の個人情報だけではありません。取引先の契約書・見積書、設計資料、ID・パスワードなどの認証情報、紙の書類やUSBメモリ内のデータまで幅広く含まれます。
ひとたび漏洩が起きると、影響は自社だけにとどまりません。
- 顧客・従業員：なりすましやフィッシング詐欺などの二次被害
- 取引先：取引先を装った不審メールや、サプライチェーンを通じた攻撃の足掛かり
- 自社：信用低下、取引停止、原因調査や復旧・顧客対応にかかる費用
また、要配慮個人情報の漏洩や1,000人を超える個人データの漏洩などは、個人情報保護委員会への報告や本人への通知が必要になる場合があります。情報漏洩対策はIT部門だけの課題ではなく、事業継続と取引先との信頼に直結する経営課題です。
2. 取引先まで被害が連鎖する「サイバードミノ」とは
近年は、1社の被害が取引先やその先の企業にまで連鎖する「サイバードミノ」も問題視されています。経済産業省が公表した中小企業の実態調査※1では、過去3年間にサイバー攻撃の被害を受けた中小企業のうち約7割で、取引先にも影響が及んでいたことが明らかになりました。IPAの「情報セキュリティ10大脅威 2026」※2でも、組織向け脅威の2位に「サプライチェーンや委託先を狙った攻撃」が選ばれています。
こうした流れを受け、経済産業省は企業のセキュリティ対策状況を★の段階で可視化する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の運用開始を2026年度末ごろに予定しています。今後は、取引先から一定水準のセキュリティ対策を取引条件として求められる場面が増えていくと考えられます。中小企業にとって情報漏洩対策は、被害を防ぐ「守り」であると同時に、取引を続けるための「信頼の証明」にもなりつつあります。
※1 出典：経済産業省ウェブサイト（中小企業の実態判明 サイバー攻撃の7割は取引先へも影響）
※2 出典：独立行政法人情報処理推進機構（情報セキュリティ10大脅威 2026 | 情報セキュリティ | IPA 独立行政法人情報処理推進機構）
3. 情報漏洩が起きる4つの原因
情報漏洩の原因は、主に以下の4つに分けられます。
原因ごとに対策は異なりますが、共通する出発点は、自社が何の情報を、どこに、誰が、どの端末やサービスで扱っているかを把握することです。
※ シャドーIT：会社が把握・許可していない端末やサービスを業務に使うこと
3-1. 外部からの攻撃｜不正アクセス・マルウェア・ランサムウェア
外部からの攻撃には、パスワードの窃取、脆弱性の悪用、フィッシングメール、マルウェア感染、ランサムウェアなどがあります。ランサムウェアでは、データを暗号化して利用不能にするだけでなく、盗んだ情報の公開を脅迫材料にするケースもあります。
IPAは2026年10月、不正アクセスによる漏洩事案を踏まえ、外部公開しているサービスやクラウドの点検を呼びかけています。※
主な対策：OSやソフトウェアの更新、多要素認証、不要な公開設定の見直し、バックアップなど
※ 出典：独立行政法人情報処理推進機構（不正アクセスによる漏洩等の事案を踏まえ、速やかに実施すべき対策等について | 情報セキュリティ | IPA 独立行政法人情報処理推進機構）
3-2. 人のミス｜メール誤送信・紛失・誤設定・誤廃棄
宛先間違いやCC・BCCの取り違え、添付ファイルの誤送付、USBメモリやノートPCの紛失、クラウド共有リンクの公開設定ミスなど、日常業務の中で起こる漏洩です。
個人情報保護委員会の令和7年度年次報告では、漏洩等報告のうち誤交付・誤送付が上位を占めています。※ 技術対策だけでは防ぎ切れないため、手順の標準化、チェック体制、従業員教育が必要です。
主な対策：外部メール送信前の宛先確認、共有リンクの有効期限設定、紙書類の施錠保管、廃棄ルールの整備など
※出典：個人情報保護委員会ウェブサイト（令和7年度個人情報保護委員会 年次報告 ｜個人情報保護委員会）
3-3. 内部不正｜従業員・退職者による不正な持ち出し
内部不正には、在職中の従業員による顧客情報や営業資料の持ち出し、退職者によるアカウント利用、委託先担当者による不正アクセスなどがあります。悪意のある持ち出しだけでなく、退職後もアカウントが有効なまま残るといった管理不備も、内部からの漏洩につながります。
共有IDを使っていると、誰がいつ操作したのかを特定しにくくなります。また、必要以上の権限を付与していると、業務に不要な情報まで閲覧・ダウンロードできてしまいます。
主な対策：最小権限の徹底、共有IDの廃止、退職・異動時のアカウント停止と端末回収など
なお、業務を外部に委託している場合は、委託先で起きた漏洩も自社の顧客や取引先に影響します。契約時に、秘密保持、再委託の条件、事故時の報告義務、契約終了時のデータ削除などを確認しておきましょう。
3-4. シャドーIT｜私物端末・USB・生成AI・未承認SaaS
便利さを優先して、従業員が私物端末や個人用クラウド、未承認SaaSなどを使うケースがあります。会社が把握していない場所に業務データが保存されると、退職時の回収や削除、アクセス管理が難しくなります。このように、会社が把握・許可していない端末やサービスを業務に使うことを「シャドーIT」と呼びます。
生成AIに顧客情報や未公開資料を入力することも、サービスの仕様によっては情報管理上の問題につながる可能性があります。前述の「情報セキュリティ10大脅威 2026」でも、「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に初めて選ばれており、利用ルールの整備は急務といえます。
主な対策：利用してよいツールと入力禁止情報の明確化、安全な代替手段の用意
4. 中小企業で見落とされやすい情報漏洩の穴
中小企業では、高度なサイバー攻撃よりも、日常運用における基本的な管理漏れが情報漏洩の入口になることがあります。自社に当てはまるものがないか確認してみましょう。
- 退職者・異動者のメールやSaaSのアカウントが残っている
- 共有IDを使っている、または管理者権限を持つ人が多すぎる
- クラウドストレージに「リンクを知っている全員が閲覧可能」の共有が残っている
- 私物端末やUSBメモリに業務データが保存されているか把握できていない
- 生成AIやSaaSに入力してよい情報のルールがない
一つでも当てはまる場合は、次の章の優先順位に沿って対策を進めることをおすすめします。
5. 専任担当者がいない中小企業の対策優先順位
対策を始めるのに、いきなり多くの製品を導入する必要はありません。IT専任者がいない場合は、「今日」「1週間」「1カ月」「継続」の4段階に分けると、対策を無理なく進められます。
5-1. 今日から着手する｜不要アカウントの停止と多要素認証の設定
全体の棚卸しには時間がかかるため、まずは被害に直結しやすい「明らかに不要なアカウント」と「認証の強化」から着手しましょう。
最初に確認したいのは、退職者・休職者・利用していないアカウントです。メール、クラウド、VPN、会計ソフト、チャット、顧客管理ツールなど、重要なサービスから順に不要アカウントを停止します。
次に、管理者アカウント、メール、クラウドストレージ、VPNなどで多要素認証を設定します。パスワードが漏洩しても、追加認証があれば不正ログインのリスクを下げられます。
⚠️パスワードは使い回さず、長く、推測されにくいものを設定しましょう。付箋、共有スプレッドシート、メモなどでの保管は避け、必要に応じてパスワード管理ツールの利用を検討します。
5-2. 1週間で進める｜情報資産・端末・SaaS利用状況の把握
会社で利用している端末、SaaS、クラウドストレージ、外部委託サービスを洗い出します。全社契約のサービスだけでなく、部署や担当者が個別に導入しているツールも対象です。
各サービスについて、管理者、利用者、保存している情報、ログの確認可否、多要素認証の設定状況、退職時の停止方法などを記録しておくと、以降の対策が進めやすくなります。
5-3. 1カ月で整える｜権限管理・退職者対応・利用ルールの整備
1カ月以内を目安に、権限管理と利用ルールを仕組みにします。
- 共有IDを個人アカウントへ移行し、アクセス権限を部署・役割ごとに必要最小限にする
- 退職・異動時のチェックリスト（アカウント停止、端末・USB回収、メール転送設定の停止など）を作り、人事・総務・上長の連絡の流れを決める
- 次の項目を簡潔なルールにまとめる：外部メール送信前の確認、私用クラウドへの保存禁止、生成AIへの入力禁止情報、未承認SaaSの申請手続き、事故時の報告先など
あわせて、情報セキュリティの責任者を明確にすることも重要です。専任者でなくても、経営者が責任者を任命し、総務・各部門の管理者・外部支援者が役割分担できる状態をつくります。
5-4. 継続して行う｜従業員教育・アップデート・バックアップ・ログ確認
情報漏洩対策は、一度ルールを作って終わりではありません。新しい従業員、退職者、異動、SaaS導入、働き方の変化にあわせて定期的に見直す必要があります。
- OS、ソフトウェア、セキュリティ製品を最新の状態に保つ
- 重要データを定期的にバックアップし、実際に復元できるか確認する
- 不審メール、生成AIの利用などについて従業員教育を行う
- 退職者・委託先のアカウントや、クラウドのログを定期的に確認する
- インシデント発生時の連絡先と手順を定期的に訓練する
IPAのガイドライン第4.0版※では、従来の基本対策にバックアップが追加され、情報セキュリティ6か条となっています。バックアップは取得するだけでなく、ランサムウェアや障害発生時に復元できるかどうか、事前に確認しておく必要があります。
※出典：独立行政法人情報処理推進機構（中小企業の情報セキュリティ対策ガイドライン | 情報セキュリティ | IPA 独立行政法人情報処理推進機構）
5-5. 情シス代行など外部支援の検討を見極めるチェックポイント
次のような状態にある場合は、自社だけで抱え込まず、外部の専門家や情シス代行への相談を検討しましょう。
- 自社が利用するSaaSやアカウントを一覧化できていない
- 不審なログイン、マルウェア感染、誤送信などが発生した際の対応手順がない
- バックアップの取得状況や復元可否を確認できない
- 委託先のセキュリティ管理や契約内容を確認できていない
- 取引先からセキュリティチェックシートの提出を求められている
外部支援を活用する目的は、すべてを丸投げすることではありません。自社の情報資産と業務を理解したうえで、優先順位付け、設定、運用、教育を継続できる体制を整えることです。
6. まとめ｜情報漏洩対策は「できることから、続けられる体制で」
本記事では、情報漏洩の主な原因である「外部からの攻撃」「人のミス」「内部不正」「シャドーIT」の4つと、中小企業が取り組むべき対策の優先順位を解説しました。
中小企業における情報漏洩は、高度なサイバー攻撃よりも、日常的な管理の抜け漏れをきっかけに起こるケースが少なくありません。ひとたび被害が発生すれば、自社だけでなく取引先にまで影響が及ぶ「サイバードミノ」を引き起こすおそれもあります。
対策は、一度にすべてを完璧に整える必要はありません。まずは不要アカウントの停止と多要素認証の設定から着手し、段階的に体制を整えていきましょう。大切なのは、対策を一過性で終わらせず、継続して運用できる仕組みをつくることです。社内でその体制を確保するのが難しい場合は、外部の専門サービスを活用することも有効な選択肢の一つです。
情報漏洩対策のご相談ならオプティムへ
中小企業やサプライチェーン全体に及ぶサイバー攻撃の脅威に対し、オプティムは、15年以上連続国内シェアNo.1※ のMDM（モバイルデバイス管理）を中心に、「SaaS管理・ID管理・物品管理・社内ITサポート」などの主要業務を一気通貫で支える統合型の資産管理サービスを提供しています。
オプティムの情シス業務アウトソーシングサービスである「OPTiM Biz 情シス代行」は、入退社に伴うアカウントの変更・削除や権限管理、SaaSのアカウント棚卸、セキュリティ運用支援など、本記事で紹介した対策の実務を必要な分だけ専門チームに任せることが可能です。セキュリティポリシーの立案といった企画の支援にも対応しており、月8時間相当のライトプランから始められます。
まずは「何から任せられるか」を知りたい方や、情報漏洩対策・情シス代行をご検討中の方は、ぜひお気軽にご相談ください。
※出典：デロイト トーマツ ミック経済研究所 「クラウドサービス市場の現状と展望 2013年度版 https://mic-r.co.jp/mr/00735/」IT資産管理（MDM含む）市場「合計売上高」2011年度～2012年度実績（2013年発刊）、 「コラボレーション/コンテンツ・モバイル管理パッケージソフトの市場展望 2014年度版 https://mic-r.co.jp/mr/00850/」MDM市場動向「MDM出荷ID数（SaaS・ASP含む）」2013年度実績（2014年発刊）、 「コラボレーション/コンテンツ・モバイル管理パッケージソフトの市場展望 https://mic-r.co.jp/mr/01480/」MDM市場動向「MDM出荷ID数（SaaS・ASP含む）」2014年度〜2017年度実績（2015～2018年発刊）、 「コラボレーション・モバイル管理ソフトの市場展望 https://mic-r.co.jp/mr/03500/」MDM市場「MDM出荷ID数（SaaS・ASP含む）」2018年度～2024年度実績および2025年度予測（2019年〜2025年発刊）より。