IPAガイドラインは第4.0版へ更新されている
IPAは2026年9月30日更新の案内で、中小企業の情報セキュリティ対策ガイドライン第4.0版を公開しています。バックアップの項目、人材確保・育成、インシデント対応などにも触れています。以前の資料を利用中なら、版と最新の付録を確認することが出発点になります。
本記事は公式資料を丸ごと要約するのではなく、専任担当者がいない架空の会社で着手する順序を組み立てた独自の計画例です。取引先の要求や業種の条件は会社ごとに異なります。30日間で全ての対策が終わる、事故が起きなくなる、という説明ではありません。
具体的な判断へ進むには情報資産台帳の作り方を確認してください。
1週目：仕事・情報・所有者を対応させる
架空の会社では、メール、経理、受注、顧客ファイル、オンライン会議を使っています。まず業務が止まったら何が困るかと、どの情報を誰が管理しているかを確認します。全端末の細かな設定を一人で調べようとする前に、責任者と各業務の窓口を決めます。
一覧には、サービス名、用途、対象データ、管理者、利用者、委託先、更新・バックアップの担当を残します。会社が管理していると思っていたアカウントが退職者の個人契約だった場合は、利用状況と契約を管理者が確認して移行を計画します。作業の勢いでアカウントを削除しないようにします。
2週目：日常の管理が続く状態を作る
アカウントの作成・異動・退職時の処理、重要サービスの認証、更新状況を点検します。MFAやパッチの導入は有効な対策ですが、組織の担当者が対象と業務影響を確認して進めてください。設定した一回だけで終えず、誰が継続して確認するのかを明確にします。
共有アカウントは誰が操作したかが分かりにくくなる場合があります。すぐに変更できない事情があるなら、理由、影響、代替の制御、見直し期限を記録します。説明書に機能が載っていることと、自社の環境で有効になっていることも別です。
- 1
第1週
守る業務・情報・管理者を整理
- 2
第2週
権限・認証・更新の運用を確認
- 3
第3週
復旧と事故連絡を訓練
- 4
第4週
教育・根拠・残課題を見直す
日数より、責任者と完了の確認方法を重視する。
当サイトが学習用に整理した図。実際の運用は組織の手順と管理者の指示を優先します。
3週目：保存したデータを戻せるか確かめる
バックアップの成功表示があっても、業務を再開できるとは限りません。必要な設定、鍵、依存先、権限が揃うかを確認し、許可された安全な環境で復元を試します。詳しい判断はバックアップと復元訓練で扱っています。
事故連絡も訓練します。担当者が不在の場合の窓口、ネットワークが使えない場合の連絡先、外部の支援先を確認しましょう。机上訓練の記事では、実際の攻撃や本番停止を起こさずに役割と記録を確かめる方法を紹介しています。
4週目：社員に伝え、説明できる根拠を残す
規程を配布しただけで、全員が迷わず行動できるとは限りません。怪しい依頼、紛失、誤送信、生成AIへの入力など、担当業務に近い例を使って短く確認します。社員教育の設計とAI利用ルールへ進むと、役割ごとの具体例を確認できます。
取引先へ回答するためには、チェックシートの根拠も整理します。ただし回答をきれいに見せることより、未実施・一部実施・確認できていない状態を正しく残すことが重要です。経営者が残課題と優先度を確認できるようにしましょう。
文書・設定がある
- 規程・機能・担当者の名称
- 存在を確認する
実際に運用している
- 退職処理・更新・復元の記録
- 対象と確認日を残す
改善が続く
- 未実施項目の責任者・期限
- 見直し結果を次へ反映する
導入だけでなく、運用と見直しの根拠を残す。
当サイトの整理。項目の面積や並びは被害件数・発生確率・公式の出題比率を表していません。
外部に頼む範囲と、自社で決める範囲
事故の隔離、復旧目標、外部支援の役割を決める
ランサムウェアが疑われた場合を想定し、隔離の担当、証拠やログの保全、復旧と再接続の承認者を事前に決めます。業務影響や追加調査の必要性は環境によって異なるため、担当者が自己判断で本番環境を戻す手順にはしません。IPAガイドラインと付録に照らし、自社の計画と連絡先を確認します。
受注台帳の例では、RPOを4時間とすると、どこまでのデータを戻せるかを確認します。RTOを8時間とすると、復元・整合性確認を経て受注業務を再開できるかを確認します。どちらも説明用の目標値で、IPAが一律に指定した値ではありません。
CSIRTは組織のインシデント対応を調整する体制です。サイバーセキュリティお助け隊は中小企業向けの外部サービス制度で、契約した支援範囲で相談や対応を依頼します。サービスを契約した場合も、自社の承認者、関係者への連絡、サービス窓口をあらかじめ分けて確認します。IPAのお助け隊サービスFAQ
| 場面 | 訓練で確かめること |
|---|---|
| 隔離と記録 | 対応者・連絡時刻・確認済みの事実を共有できるか |
| 復元と再接続 | 復元点の時刻、業務再開までの時間、再接続の判断を記録できるか |
| 外部への相談 | 連絡先、契約範囲、自社責任者へ戻す判断が分かるか |
知識を演習へつなげる
本記事のケース・図解は当サイト独自の学習用です。公表事例と架空の練習例を区別し、実際の試験問題や過去問を再現していません。時事情報がそのまま出題されるという意味ではありません。
学習範囲を確認するなら情報・サイバーセキュリティ管理士の概要、理解を確かめるなら登録不要の無料お試し20問へ。収録内容と料金は管理士のコースページで確認できます。
外部の制度・事例は2026年10月14日時点で確認しました。事件の評価や製品の対応状況は更新されるため、実務判断では末尾の一次資料も再確認してください。