AI時代のセキュリティ。会社の大切な資産を守るために、経営者が知っておきたいこと

ニュースでたびたび耳にする、企業へのサイバー攻撃や情報漏えい。

「大企業が狙われる話でしょう？」「うちは小さな会社だから大丈夫」

そう考えている経営者の方もいるかもしれません。

しかし、サイバー攻撃によって失うものは、顧客情報だけではありません。業務データや取引先との信用、場合によっては事業を継続するための環境そのものが失われる可能性があります。

さらに、AIの普及によって攻撃の手口が巧妙になる一方、社内でのAI利用が新たな情報漏えいの原因になることもあります。

今回は、中小企業が知っておきたいセキュリティの現状と、自社で確認しておきたい基本的な対策を紹介します。

1．サイバー攻撃は、会社の業務を止めてしまう

昨年話題になったニュースとしては、2025年9月、アサヒグループがサイバー攻撃を受け、システム障害が発生したのを覚えていますか？

原因はランサムウェアによる攻撃。国内の生産・出荷業務などにも影響が広がり、個人情報の漏えいも問題となりました。
ランサムウェアとは、企業のシステムやデータを使えなくしたり、盗み出した情報を悪用したりして、金銭を要求する攻撃です。

ここで注目したいのは、情報漏えいだけでなく、普段の仕事ができなくなることです。

例えば、中小企業でも次のような事態が考えられます。

• 見積書や請求書が開けず、取引先への対応が止まる

• 顧客情報や製造図面にアクセスできなくなる

• メールが使えず、受発注や連絡ができなくなる

• データの復旧や取引先への説明に、多くの時間と費用がかかる

セキュリティ対策は、単に情報を守るだけでなく、会社の事業を止めないための備えでもあります。

2．AIの普及で、セキュリティの何が変わった？

独立行政法人情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入りました。

AI時代に注意したいリスクは、大きく2つあります。

① AIを悪用した攻撃の巧妙化

AIを利用すれば、自然な日本語の偽メールや、本物らしい案内文なども作成しやすくなります。取引先を装った振込先変更の依頼や、社員をだましてパスワードを入力させる手口には、これまで以上の注意が必要です。

② 社員によるAI利用からの情報漏えい

ChatGPTなどのAIサービスは、文章作成や資料整理に便利な道具です。
しかし、顧客名簿や社外秘の資料、契約内容などを、利用規約やデータの取り扱いを確認せずに入力することは避けるべきです。

業務でどのAIサービスを利用してよいのか、入力してはいけない情報は何か。
AIを禁止するのではなく、安心して活用するための社内ルールが求められています。

3．会社の資産は、パソコンの中だけではない

セキュリティというと、ウイルス対策ソフトや不正アクセス防止を思い浮かべるかもしれません。しかし、会社が守るべき情報資産は、もっと幅広いものです。

例えば、顧客情報、見積書、契約書、製造図面、取引履歴、メール、ホームページ、クラウドサービスのアカウントなど。

そして、こうした情報がどこに保存され、誰が管理しているのかを把握することも重要です。

• 「以前の担当者しかパスワードを知らない」

• 「Dropboxに保存しているから、バックアップは大丈夫だと思う」

• 「退職した社員のアカウントが、今も使える状態になっている」

これらは、サイバー攻撃を受けていなくても、業務上のトラブルにつながりかねません。

外部からの攻撃を防ぐことと、社内の情報管理を整えること。どちらも会社の資産を守るために必要です。

4．まずは自社のセキュリティを5つの項目で確認

専門のIT担当者がいない会社でも、まずは以下の項目を確認してみましょう。

① データのバックアップはありますか？

パソコンの故障や誤削除、ランサムウェア被害に備えて、重要なデータを復旧できる状態にしておきましょう。クラウドで同期しているだけでは、誤削除などが反映される場合もあります。

② パスワードやアカウントを管理できていますか？

複数のサービスでのパスワード使い回しを避け、重要なアカウントには多要素認証を設定しましょう。退職者のアクセス権限も確認が必要です。

③ パソコンやソフトウェアを更新していますか？

OSやソフトウェアの古い状態を放置すると、既知の弱点を悪用される危険があります。サポート期限も含めて確認しましょう。

④ 社員のAI利用についてルールがありますか？

利用可能なサービスや、入力してはいけない情報を決めておくことが大切です。

⑤ 万が一のとき、誰に連絡しますか？

不審なメールを開いた、データが使えなくなった、といった場合の報告先や初動対応を決めておきましょう。

すべてを一度に整える必要はありません。まず現状を確認し、重要度の高いものから改善していくことが現実的です。

5．セキュリティ対策は、導入よりも管理と運用が大切

高額なセキュリティ製品を導入すれば、会社の情報がすべて守られるわけではありません。どんなに優れた仕組みがあっても、担当者が分からない、設定が更新されていない、社内ルールが守られていない状態では、十分な効果を発揮できません。

2026年9月には、IPAの「中小企業の情報セキュリティ対策ガイドライン」も改訂され、基本対策にバックアップの重要性が加えられました。

会社の規模や業務に合わせて、無理なく続けられる管理体制をつくることが重要です。

自社のIT環境や情報管理に、不安はありませんか？

「何から確認すればよいか分からない」

「社内にIT担当者がおらず、管理が属人化している」

「クラウドやAIを活用したいけれど、セキュリティも気になる」

そんな場合は、一度、自社のIT環境を整理してみませんか。

SDPlanningでは、中小企業のIT相談窓口として、パソコンやクラウド環境、アカウント管理、バックアップ、AI活用などについて、現状の確認から改善方法の検討まで支援しています。

セキュリティ対策は、特別なシステムを導入することだけではありません。

まずは会社の情報資産を把握し、管理できる状態にすること。そこから始めてみましょう。

自社のIT環境や情報管理についてお困りのことがあれば、お気軽にご相談ください。

参考情報

• IPA「情報セキュリティ10大脅威 2026」

• IPA「中小企業の情報セキュリティ対策ガイドライン」

• アサヒグループホールディングス「サイバー攻撃によるシステム障害の再発防止策」