情報セキュリティとは：守るべき情報と、機密性・完全性・可用性｜情報セキュリティの基本 第1回

KOUZA情報セキュリティの基本

第1回／全6回

講師：田中 磨生（株式会社Abin 代表取締役）

この講座の目次を見る

1. 第1回情報セキュリティとは：守るべき情報と、機密性・完全性・可用性
2. 第2回いま多い攻撃と被害：ランサムウェア・フィッシング・ビジネスメール詐欺のしくみ
3. 第3回パスワード・多要素認証・アカウント管理：入口を守る基本会員
4. 第4回クラウド・SaaSを安全に使う：責任共有モデルと設定ミスの防ぎ方会員
5. 第5回社内ルールと教育、インシデント対応：起きたときに慌てないために会員
6. 第6回中小企業の対策の進め方：IPAガイドラインの4ステップとSECURITY ACTION会員

この回で分かること：①会社が守るべき「情報資産」とは何か、②情報セキュリティの3つの要素「機密性・完全性・可用性」の意味、③脅威・脆弱性・リスクの関係と、対策の4つの種類。全6回の土台として、「何を、何から、どう守るのか」という考え方の枠組みをつくります。

情報セキュリティとは：3つの要素を保つこと

「情報セキュリティ」と聞くと、ウイルス対策ソフトやファイアウォールといった道具を思い浮かべる人が多いかもしれません。しかし、道具はあくまで手段です。情報処理推進機構（IPA）の「中小企業の情報セキュリティ対策ガイドライン」は、情報セキュリティを「情報の機密性、完全性、可用性を維持すること」と説明しています。図1の3つの要素を、身近な例で見ていきましょう。

3つの要素は、どれか1つだけを守ればよいものではありません。たとえば、機密性を高めようとして、ファイルを誰も開けないほど厳重に管理すれば、今度は可用性が損なわれます。情報セキュリティの仕事は、3つの要素のバランスを、その情報の大切さに合わせて取ることだと考えると分かりやすくなります。

「漏れなければ安全」は誤解

よくある誤解が、「情報が外に漏れなければ、セキュリティは守られている」という考えです。これは機密性だけを見た考え方です。実際には、近年の大きな被害の多くは、可用性が損なわれる形で起きています。第2回で詳しく扱うランサムウェアは、ファイルを暗号化して使えなくし、業務を止めてしまいます。警察庁によると、2025年に報告されたランサムウェアの被害は226件で、そのうち143件は中小企業でした。情報が外に出たかどうかに関係なく、「業務が止まる」こと自体が大きな損害になるのです。

守るべき「情報資産」を知る

何を守るかが分からなければ、守り方も決まりません。会社にとって価値のある情報と、それを扱う機器やサービスをまとめて情報資産と呼びます。図2のように、情報資産は紙の書類から、パソコン、クラウドのサービス、さらには社員の頭の中にある知識まで、幅広く存在します。

情報資産を洗い出すときは、次の3つの観点で整理すると、どれから守ればよいかが見えてきます。

1. どんな情報か：顧客の個人情報、取引条件、技術情報、人事情報など
2. どこにあるか：社内のパソコン、クラウドのストレージ、紙のファイル、取引先との共有フォルダなど
3. 失われたり漏れたりしたら、どのくらい困るか：法令違反になる、取引先に迷惑がかかる、業務が何日止まる、など

IPAのガイドラインには、こうした情報を一覧にする「情報資産管理台帳」のひな形が付録として用意されています。最初から完璧な台帳をつくる必要はありません。まずは「顧客名簿」「見積書・請求書」「従業員情報」など、漏れたり消えたりしたら本当に困る情報を5〜10個書き出すだけでも、対策の優先順位がはっきりします。台帳づくりは第6回でもう一度取り上げます。

個人情報は特に注意が必要

情報資産の中でも、顧客や従業員の個人情報は、扱いを誤ると法律上の義務が生じる点で特別です。個人情報保護法では、一定の条件にあたる漏えいが起きた場合、個人情報保護委員会への報告が義務づけられています。具体的な報告の流れは第5回で扱いますが、「どこに、誰の、どんな個人情報があるか」を把握しておくことは、セキュリティ対策の出発点の1つです。

脅威・脆弱性・リスクの関係

セキュリティの話では、「脅威」「脆弱性」「リスク」という言葉がよく出てきます。似ているようで役割が違うので、図3で関係を整理しておきましょう。

• 脅威：情報資産に被害を与えるきっかけになるもの。外部からの攻撃（ウイルス、不正アクセス、詐欺メール）だけでなく、社員の操作ミス、機器の故障、地震や火災などの災害も含まれます。
• 脆弱性：脅威につけこまれる弱点。更新していないソフトウェア、使い回しのパスワード、誰でも見られる共有設定、ルールが決まっていないこと、社員が手口を知らないことなども脆弱性です。
• リスク：脅威が脆弱性を突いて、情報資産に被害が出る可能性。被害の大きさと、起きやすさで考えます。

たとえるなら、泥棒（脅威）がいても、家の鍵（脆弱性への対策）がしっかりかかっていれば、被害には至りにくくなります。逆に、鍵をかけ忘れた家（脆弱性）があっても、泥棒が来なければ被害は出ません。ただし、インターネットにつながっている以上、「泥棒が来ない」ことを期待するのは現実的ではありません。会社が自分でコントロールしやすいのは、脆弱性を減らすことです。

IPAのガイドラインでは、より本格的に取り組む段階として、情報資産の重要度と、被害が起きる可能性を組み合わせてリスクの大きさを見積もる方法を紹介しています。大切な情報ほど、そして被害が起きやすいところほど、先に手を打つという考え方です。

対策は4つの種類を組み合わせる

脆弱性を減らすための対策は、道具だけでは完結しません。図4のように、対策は大きく4つの種類に分けて考えると、抜け漏れを防げます。

どれか1つが欠けると、ほかの対策の効果も下がります。たとえば、最新のウイルス対策ソフトを入れていても、社員が詐欺メールの添付ファイルを開いてしまえば被害は起きます。逆に、社員教育を徹底していても、ソフトウェアの更新を怠っていれば、弱点を突かれる可能性は残ります。

リスクへの向き合い方は4通り

洗い出したリスクに対しては、すべてを同じように「なくす」必要はありません。一般に、リスクへの向き合い方は図5の4通りで整理されます。

• 低減：対策をとってリスクを小さくする（例：多要素認証を入れる）
• 回避：その情報の扱い自体をやめる（例：不要になった個人情報は消去する）
• 移転：保険や外部のサービスに一部を任せる（例：サイバー保険に入る、専門の事業者に監視を任せる）
• 受容：影響が小さいリスクは、理解したうえで受け入れる

予算や人手には限りがあります。大切なのは、「何も考えずに放置している」状態をなくし、どのリスクにどう向き合うかを、会社として決めておくことです。

この記事の監修者に相談できます

監修者の田中磨生が代表を務める株式会社Abinで、ご相談をお受けしています。

相談無料ツギノテ編集部に相談する→

よくある誤解

誤解1「うちのような小さな会社は狙われない」

「盗まれて困るような情報はないから、うちは狙われない」と考える経営者は少なくありません。しかし、先に見たとおり、2025年に警察庁へ報告されたランサムウェアの被害226件のうち143件は中小企業でした。攻撃の多くは、特定の会社を選んでいるのではなく、弱点のある機器やアカウントを機械的に探して入り込んでくるものです。規模に関係なく、弱点があれば被害にあうと考えておく必要があります。

さらに、IPAの「情報セキュリティ10大脅威 2026」では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が入っています。対策の手薄な取引先を足がかりに、本命の大企業へ入り込む手口です。自社が被害にあうだけでなく、取引先に迷惑をかける入口になってしまうおそれもあります。取引先から「セキュリティ対策の状況を教えてください」と聞かれる場面が増えているのは、このためです。

誤解2「セキュリティはIT担当者の仕事」

ソフトウェアの更新や機器の設定は、たしかにIT担当者の仕事です。しかし、詐欺メールを開くかどうか、書類を机の上に置きっぱなしにしないか、パスワードを使い回さないかは、社員一人ひとりの行動で決まります。また、どこまで予算をかけるか、事故が起きたら誰が判断するかは、経営者が決めることです。IPAのガイドラインも、情報セキュリティ対策は経営者のリーダーシップで進めるべきだとしています（第6回で詳しく扱います）。情報セキュリティは、経営者・IT担当者・社員の全員で担うものです。

実務ではこう使う

最初の一歩として、次の3つを1時間ほどで書き出してみてください。

1. 守るべき情報を5〜10個：顧客名簿、見積書・請求書、従業員情報、取引先との契約書、設計データなど
2. それぞれの置き場所：社内のパソコン、クラウドのストレージ、紙のファイル、メールなど
3. 3つの要素のどれが特に大切か：漏れたら困る（機密性）、書き換えられたら困る（完全性）、使えないと業務が止まる（可用性）

たとえば、次のような簡単な表で十分です。

この一覧があると、第2回以降で学ぶ攻撃の手口や対策を、「自社のどこに当てはまるか」という目で読めるようになります。社内で使っているクラウドのサービスが多く、どこに何があるか分からない場合は、第4回で扱うSaaSの棚卸しも役立ちます。ツールでまとめて把握したい場合は、SaaS管理ツールおすすめ比較も参考にしてください。

この回のまとめ

• 情報セキュリティとは、情報の機密性・完全性・可用性を保つこと。3つのバランスを情報の大切さに合わせて取る
• 「漏れなければ安全」ではない。業務が止まる（可用性が損なわれる）被害も大きい
• 守るべき情報資産は、データだけでなく紙・機器・サービス・人の知識にもある
• 脅威が脆弱性を突くと被害が出る。会社が減らしやすいのは脆弱性
• 対策は組織・人・技術・物理の4種類を組み合わせ、リスクには低減・回避・移転・受容のどれで向き合うかを決める

確認テスト

次回予告

第2回は「いま多い攻撃と被害」です。IPAの「情報セキュリティ10大脅威 2026」をもとに、ランサムウェア、フィッシング、ビジネスメール詐欺、取引先を経由した攻撃のしくみと、基本的な備えを学びます。

参考資料

• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日公開） https://www.ipa.go.jp/security/guide/sme/about.html （確認日：2026年11月12日）
• 警察庁「令和8年版 警察白書」第3章 サイバー空間の安全の確保（ランサムウェアの被害状況） https://www.npa.go.jp/hakusyo/r08/honbun/html/cc3314000.html （確認日：2026年11月12日）
• 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html （確認日：2026年11月12日）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction （確認日：2026年11月12日）