検索の一番上にある「公式らしいサイト」。取引先の名前で届く、こちらの事情をよく知ったメッセージ。電話口では、聞き覚えのある声までします。そんなとき、何を確かめればよいでしょうか。
企業のセキュリティは、パソコンに詳しい社員だけの仕事ではありません。社長が、守る情報、確認の手順、人・時間・継続予算を決める経営課題です。「うちは小さいから、お金も人もかけなくてよい」という考え方を見直す必要があります。
この漫画では、知識がなく不安でいっぱいの社長・地敷 内男が、坂田誠とAI社員 菊理はちこと一緒に、確認し、相談し、会社を守る仕組みをつくる経営者へ成長します。表紙1ページ＋本編36ページ＋実践シート4ページ、全41ページを、私・坂田誠の解説とともにお読みください。
表紙｜守る知識を、会社を続ける力にする
落ち着いた姿の内男が前に立ち、坂田とはちこが支える表紙です。物語は、判断に迷い、目の前の連絡に振り回されそうになる内男から始まります。学んだ後の自信は、何でも見抜ける自信ではありません。分からないときに止まり、確かめる手順と相談先を持つ自信です。
専門用語を暗記する前に、「いま何を求められているか」「どこへ確認するか」「自分だけで決めてよいか」を考えてください。最後の実践シートは、自社の連絡先や担当者を書き込むために用意しています。
1ページ｜取引先の停止も、自社の経営リスクになる
内男社長が慌てるのは、自社のパソコンが壊れたからではありません。取引先の出荷が止まり、自社の納期まで危うくなったからです。この物語は架空ですが、現実にもアサヒグループの公表事案では、サイバー攻撃によって受注・出荷システムが停止しました。
ここで考えたいのは、自社と取引先の、どの仕事が止まると困るかです。仕入れ、受注、請求、入金を並べ、停止時の連絡先と代わりの手段を確かめましょう。セキュリティは、約束した仕事を続けるための経営課題です。
2ページ｜紙の帳簿の先にある、デジタルとの接点
帳簿は紙、商談は電話。それでも、注文の相手はメールを使い、銀行振込や取引先の在庫管理はインターネットにつながっています。内男社長のように詳しくなくても、会社の仕事とデジタルの接点を確認することはできます。
機械の名前より、仕事の流れから調べると始めやすくなります。「注文はどこから届くか」「請求書は誰が送るか」「入金は何で確認するか」を担当者に聞いてみてください。分からない部分を見つけることが、自社に合った対策を決める最初の一歩です。
3ページ｜情報を守るとは、漏えいを防ぐだけではない
顧客名簿が流出する。振込先を勝手に変えられる。注文の情報を取り出せなくなる。漫画の三つのカードは、それぞれ違う困りごとです。秘密が漏れていなくても、数字が書き換わったり、必要な時に使えなかったりすれば、仕事は続けられません。
守り方を考える時は、漏れたら困るもの、変えられたら困るもの、止まったら困るものを分けてみましょう。自社の具体例を一つずつ挙げるだけでも、誰に何を相談すべきかが見えてきます。この三つの視点は、IPAのガイドラインでも基本として扱われています。
4ページ｜担当者、学ぶ時間、継続予算を社長が決める
内男社長に必要なのは、その場で専門家になることではありません。知らないことを認め、誰が調べ、判断し、実行するのかを決めることです。中小企業でも、人と費用をかけないままでは対策が続かず、被害で事業継続が難しくなる恐れがあります。
社内の責任者、教育の時間、維持する予算を経営者が確保する。ここを出発点にしましょう。専任者を置けない場合は、兼務する担当と社外の支援先を組み合わせる方法もあります。IPAの人材確保・育成ガイドも参考に、自社で持つ役割を明確にしてください。
5ページ｜検索の一番上も、「公式」の表示も信用の証明にはならない
会社名や銀行名を検索し、一番上に出た広告を開く。日常的な動作ですが、警察庁は検索サイトの広告から偽サイトへ誘導される手口を紹介しています。名前やロゴが本物らしくても、広告の掲載や「公式」という表現だけでは、運営者の確認はできません。
検索広告を、本人確認の代わりに使わないことが大切です。特に銀行や仕事のサービスへ入る時は、確認済みの公式アプリやブックマークを使いましょう。社員にも「一番上だから大丈夫」と判断させず、会社で安全な入口を共有してください。
6ページ｜本物らしい画面でも、入力する前に止まる
内男社長が開いた画面は、いつものログイン画面に見えます。ところが、見た目が似ているだけで、入力先は相手の用意した偽サイトかもしれません。警察庁も、サイトの外観だけで真偽を見分けることは難しいと説明しています。
そこで、IDやパスワード、認証コードを入れる前に入口を確認する習慣をつけましょう。「送信ボタンを押さなければ大丈夫」とも決めつけないでください。不安な画面はいったん閉じ、確認済みの入口から入り直す。立ち止まる動作を、業務の手順にしておくことが役立ちます。
7ページ｜確認先も、相手の用意したものを使わない
怪しいページに問い合わせ番号があると、電話で確かめたくなります。しかし、その番号まで偽物なら、同じ相手に確認していることになります。ページ内のロゴや連絡先がそろっていることを、安心の根拠にしてはいけません。
確認は、以前から使っている公式アプリや連絡先から行う。内男社長が画面を閉じる行動に意味があります。警察庁が勧める公式アプリや事前のブックマークを使い、相手が示した経路から離れましょう。会社でも、重要なサービスの正しい入口を誰が確認し、管理するか決めておきます。
8ページ｜毎回見破ろうとせず、いつもの入口を用意する
偽サイトへの入口は検索広告だけではありません。メールやSMSのリンク、QRコードからも誘導されます。「広告さえ避ければ安心」と覚えると、別の入口で迷ってしまいます。大切なのは、届いた案内に合わせて、その都度ログイン先を変えないことです。
よく使うサービスは、正しいと確認した入口を登録する。銀行、会計、メールなど、重要なものからそろえましょう。警察庁の対策も参考に、ブックマークや公式アプリの使い方を社内で共有します。迷った時に操作を止めて相談できる相手も、一緒に決めてください。
9ページ｜いつもの名前と写真でも、振込先変更は確かめる
取引先の名前も写真もいつもどおり。それでも、口座変更の依頼が本人から来たとは限りません。表示名の偽装やアカウントの乗っ取りも考える必要があります。IPAも、社長や取引先などを装う詐欺メールについて注意を促しています。
送金や振込先の変更は、メッセージだけで確定しない。相手が急いでいても、登録済みの連絡先から依頼内容を確認し、社内の承認を通します。内男社長の戸惑いを「注意不足」で終わらせず、誰が受け取っても同じ手順を踏める会社にしていきましょう。
10ページ｜個人情報を知っている相手も、本物とは限らない
勤務先、氏名、生年月日、家族構成、人間関係。こうした情報を織り込まれると、以前から知る相手のように感じます。しかし、公開情報や漏えいした情報が悪用されることもあります。カナダ政府の注意喚起も、相手に合わせて作る標的型のメールを説明しています。
「私の事情を知っている」を、本人確認の根拠にしない。親しげな話題の後に送金や秘密の提供を求められても、確認の手順は変えません。会社や個人のSNSで、仕事上必要のない家族や行動予定まで公開していないかも見直してみてください。
11ページ｜声や顔を見分ける力より、確認を省かない手順
知っている声で「急いで」「誰にも言わないで」と頼まれると、冷静な判断は難しくなります。FBIは、生成AIで声や映像を偽装し、金銭をだまし取る手口を紹介しています。声が似ていることや、画面に顔が映ることだけでは、依頼の正当性を確かめられません。
本物かを見抜こうとする前に、操作を止めて通常の確認と承認へ戻す。これなら、AIの細かな特徴を見分ける知識がなくても実行できます。「急ぎだから例外」を認めないために、社長自身も同じ手順を守ると伝えておきましょう。
12ページ｜以前から知る番号へ、自分からかけ直す
内男社長は震える手を止め、以前から手帳にある番号へ自分から電話しました。届いたメッセージに書かれた番号や、相手がその場で示した連絡先ではない点が重要です。FBIも、いったん通話を終え、連絡先を独立して確認してから直接連絡する対策を案内しています。
既知の本人に、今回の依頼内容を具体的に確かめる。直接会って確認する方法もあります。ただし、携帯電話で似た声を聞けば必ず安全という意味ではありません。依頼内容の照合に加え、送金などは社内の承認手順も通してください。
13ページ｜違和感がなくても、社長の指示でも確認する
ここで内男社長は、不安に振り回される側から、確認の仕組みを決める側へ変わります。違和感に気づくことは役立ちますが、自然な文章や声なら気づけない場合もあります。だから、重要な操作を「怪しいと感じた時だけ」の確認にしてはいけません。
送金、口座変更、機密情報の提供は、別経路の確認と複数人の承認を必須にする。IPAの注意喚起も踏まえ、社長の指示にも適用するルールにしましょう。「確認してくれてよかった」と経営者が受け止める姿勢が、社員の相談を支えます。
14ページ｜アカウントは、誰が使うか会社で把握する
会社で使うアカウントは、サービスに入るための身分証のようなものです。皆で同じIDを使い、誰が管理しているかも分からなければ、変更や復旧の際に困ります。IPAのガイドラインも、IDの発行から削除まで管理する手順を求めています。
サービス名、利用者、管理者、復旧時の連絡先を会社で一覧にするところから始めましょう。可能なサービスでは利用者ごとにIDを分けます。退職や担当変更の時に更新できるよう、一覧の管理担当も決めてください。パスワードそのものを、誰でも読める一覧に載せるのは避けます。
15ページ｜パスワードを使い回さず、覚え方を仕組みに変える
忘れるのが怖くて同じパスワードにする。内男社長の不安は自然ですが、一か所から漏れた組み合わせを別のサービスで試される危険があります。IPAの不正ログイン対策を参考に、長く推測されにくいものを、サービスごとに分けて設定しましょう。
そのために、会社で認めた管理方法を決め、個人の記憶だけに頼らないことが大切です。管理ツールを使う場合も、使える人と復旧方法を確かめます。機器の初期パスワードが残っていないかも点検し、安全に保管して必要時に取り出せる運用を整えてください。
16ページ｜認証を強めても、コードや承認を相手へ渡さない
多要素認証は、パスワードだけでなく、持っている機器など別の要素も組み合わせて確かめる仕組みです。対応するサービスでは、端末のロック解除と同じ操作でログインできるパスキーも選択肢になります。IPAも、不正ログインへの対策として紹介しています。
設定後も、認証コードを教えず、心当たりのない承認要求は拒否して報告することが必要です。「確認のため」と頼まれても、そのコードや承認が相手のログインに使われるかもしれません。漫画の練習のように、断る動作と社内の報告先まで、一緒に確かめておきましょう。
17ページ｜退職や契約終了に合わせて、使える権限を見直す
以前の社員や業者のアカウントが、まだ使える。漫画の驚きは、入口を作った後の管理が抜けていたことを表しています。ここでいう権限とは、情報を見たり、変更したりできる範囲です。IPAのガイドラインも、異動・退職に伴う変更や削除を求めています。
必要な人に、必要な範囲を、必要な期間だけ渡すと考えましょう。特に、設定変更など幅広い操作ができる管理者権限は絞ります。退職、異動、外注契約の終了手続きにアカウント確認を組み込み、誰がいつ停止するかまで決めておくと、放置を防ぎやすくなります。
18ページ｜機器の更新と警告に、担当と確認日を置く
更新するものはパソコンだけではありません。スマートフォン、アプリ、通信の入口になるルーターも対象です。古い機器では、メーカーのサポートが終わり、弱点を直す更新が受けられなくなる場合もあります。機器を持つことと、安全に使い続けることは別の管理です。
更新、サポート期限、保護機能の警告を、誰がいつ確認するか決める。買い替えが必要なら予算も用意します。IPAの自社診断を使い、更新やウイルス対策の状態を点検しましょう。一つの製品を入れただけで安心せず、継続して確認する仕事にしてください。
19ページ｜情報の置き場所と、管理する人を見えるようにする
顧客名簿、会計データ、契約書。紙の棚だけでなく、パソコン、スマートフォン、契約したサービスにも情報は分かれています。どこに何があるか分からなければ、漏れた時の影響も、止まった時の復旧も判断しにくくなります。
情報の内容、置き場所、管理者、連絡先を一覧にすると、守る対象が具体的になります。IPAの資産管理の考え方も参考に、まず顧客情報や会計など重要なものから始めましょう。公開できるもの、社内向けのもの、特に秘密にすべきものを分け、一覧を更新する担当も決めてください。
20ページ｜送る前に、共有する相手と期限を確かめる
ファイルを送った相手は一人でも、「リンクを知る全員」が見られる設定なら、その先へ広がる可能性があります。共有リンクの便利さと、情報を見せる範囲は別に確認が必要です。IPAの自社診断も、共有設定を必要な人に限定できているかを確認項目にしています。
宛先、添付する内容、閲覧できる人、共有期限を送信前に点検する。必要な相手を指定し、作業が終われば共有を解除する運用にしましょう。内男社長が自分から設定を尋ねたように、送信を急ぐ時ほど、確かめる一呼吸を手順に組み込んでください。
21ページ｜机の上と持ち歩く情報も守る
席を立つ、書類を持ち出す、古い資料を捨てる。普段の動作にも、会社の情報を守る場面があります。内男社長が確認しているのは、画面のロック、紛失時の連絡先、私物の端末を使う条件です。IPAの自社診断でも、こうした身近な管理を点検できます。
まず離席時のロックと、紙・記録媒体の施錠保管を習慣にしましょう。持ち出す量を減らし、なくした場合はすぐ報告する。廃棄方法も決めておけば、忙しい日の自己判断を減らせます。
22ページ｜業者と自社の担当範囲を書面で決める
業者に任せる仕事と、自社が担う仕事は契約で確かめます。IPAのクラウド利用の手引きは、提供者と利用者が役割を分担する考え方を示しています。漫画の表のように、更新、利用者の管理、予備の保存と復旧を誰が担うか確認しましょう。
任せた範囲、社内に残る仕事、事故時の連絡先を一枚にまとめ、双方で確かめます。連絡可能な時間や、サービスが止まったときの代わりの方法も質問し、担当者が替わっても引き継げる状態にします。
23ページ｜急いでいるときほどAIへの入力を一度止める
締切が迫ると、手元の個人用AIに資料を入れたくなります。内男社長が入力前に立ち止まったことが、この場面の大切な判断です。会社が把握していないAIの利用は、預かった情報の行き先を管理しにくくします。英国NCSCも未承認AIのリスクを説明しています。
迷ったら資料を入力する前に、会社の担当者へ確認します。一方で経営者は、禁止の連絡だけで終わらせず、仕事に使える公認の道具と相談の時間を用意する。急ぐ人が安全な方法を選べる環境が必要です。
24ページ｜AIの契約と設定を確かめて入力範囲を決める
AIへ入力した情報の保存、学習への利用、共有の条件は、サービスや契約、設定で異なります。NCSCの注意点も踏まえ、無料か有料かという区分だけで安全性を決めないことが大切です。
顧客名簿、契約書、社員評価などは、まずその情報を、その契約・設定のAIへ入れてよいかを確認します。許可された範囲でも必要な部分だけに絞る。名前を消しても、ほかの内容から個人や取引が分かる場合があるため、迷う資料は相談しましょう。
25ページ｜会社で使うAIと相談先を明らかにする
使ってよいAIが曖昧だと、社員は便利さや使い慣れた方法で選びます。このページで内男社長が整えるのは、会社で使うサービス、業務用アカウント、入力できる情報、操作を任せる範囲です。道具の名前を知らせるだけでは、現場の迷いは残ります。
使えるAI・入れられる情報・困ったときの相談先を、具体例つきで共有しましょう。新しい用途が出たら確認し、ルールも見直します。NCSCが述べる公認の代替手段の用意も参考に、私用のサービスへ持ち出さずに仕事を進める道を作ります。
26ページ｜AIの文章は原資料に戻って確認する
整った文章を見ると、内容まで確かに思えてしまいます。しかし、AIは誤った数字や、実在しない出典を示すことがあります。IPAの解説書も誤った生成情報をうのみにしないよう注意しています。内男社長が提出を止めて直すのは、会社の発信に責任を持つためです。
数字、実績、引用、出典を元の資料と照合する担当を決めましょう。リンクは実際に開き、書いてある内容まで確認します。裏づけが取れない箇所はそのまま出さず、削除や修正をしてから人が提出・公開を判断します。
27ページ｜外部文書の命令がAIを惑わせることがある
ここは外部接続をせずに行う模擬実演です。読ませた文書の中の命令に、AIの処理が引っ張られています。こうした誘導は「プロンプトインジェクション」と呼ばれ、NCSCも文書などを通じた危険を説明しています。自分が書いた指示だけに従うとは限りません。
だからこそ、外部資料を読むAIに、必要以上の操作権限を渡さないことが重要です。「怪しい命令を無視して」と書くだけに頼らず、接続先と利用できる情報を絞り、問題が起きた場合の影響を小さくする設計を担当者に確認しましょう。
28ページ｜AIの権限を絞り、重要操作は人が承認する
AIが読める情報や実行できる操作は、会社が渡す権限で変わります。NCSCの説明を踏まえると、誘導を見破る努力に加え、失敗しても被害が広がりにくい制限が必要です。漫画では、まず閲覧と下書きから始め、接続先や履歴を確認しています。
送信・公開・送金・削除は、人が内容を確かめて承認する手順にしましょう。承認する人は、宛先、金額、公開する情報、消す対象まで確かめます。担当者と設定画面を見て、承認手順が実際の動作に反映されているかも確認してください。
29ページ｜バックアップの対象・頻度・保管先・担当を決める
予備の機械が置いてあっても、必要なデータが戻せるとは限りません。内男社長の質問が、機械の有無から保存の中身へ変わってきました。IPAのガイドラインも、バックアップの対象や頻度、保管方法、戻す手順を整える考え方を示しています。
まず何を、いつ、どこへ保存し、誰が結果を確かめるかを書き出します。受注、会計、顧客対応など、止まると困る仕事から考えると漏れを見つけやすくなります。業者に任せている部分も質問し、担当者不在の日の確認役を決めておきましょう。
30ページ｜同期とバックアップの違いを知る
同期は複数の場所の内容をそろえる働きです。削除や暗号化された状態まで反映される場合があり、「同じものが二つある」だけでは復旧の備えを判断できません。IPAの解説書も、ランサム攻撃への対策としてバックアップの保存方法や復旧を取り上げています。
使っているサービスでいつの状態へ戻せるか、予備まで変更・削除されないかを確認しましょう。また、予備があっても盗まれた情報の流出までは取り消せません。仕事を戻す備えと、情報を盗まれにくくする対策の両方が必要です。
31ページ｜元のデータと予備を一緒に失わない工夫をする
予備を元のシステムと同じ条件で扱うと、同時に失うおそれがあります。漫画の別保管と複数の日付は、その対策を考える入口です。IPAのガイドラインも、複数時点のデータの保存や、元のシステムから離して保管する方法を示しています。
予備を簡単に書き換えたり削除したりできない構成を、専門家と確認しましょう。必要なときだけ接続する方法など、業務に合う選択肢を検討します。保管場所だけでなく操作できる人も確認し、残す日数と点検する担当を決めておきます。
32ページ｜戻す練習をして、復旧にかかる時間を知る
保存に成功した表示があっても、仕事に使える状態へ戻せるかは別の確認です。IPAの自社診断も、予備からデータを戻せるか定期的に確かめる対策を示しています。漫画では別の環境で復元を試し、開けることと、時間がかかることの両方が分かりました。
必要なデータを実際に開き、復旧にかかった時間を記録するところまで練習します。その結果を見て、先に戻す仕事と、待つ間の連絡方法を決めましょう。受注を先に戻すのは漫画の会社の判断です。自社では何が最優先か、経営者が決めます。
33ページ｜疑いの段階で報告できる職場を作る
社員が「押してしまったかもしれない」と話すこの場面は、被害の有無をこれから確かめる段階です。それでも、早く把握できれば確認と初動につなげられます。IPAの事故対応の手引きも、疑わしい事象を社内の責任者へ報告する流れを示しています。
経営者の最初の言葉を「早く知らせてくれてありがとう」にしましょう。続けて、いつ、何を見て、何を操作したかを確認します。責任の追及を先にして報告が遅れれば、対応の機会も失います。迷った段階で連絡する相手を、全員が分かるようにしておきます。
34ページ｜利用を止め、通信を切り離し、記録して相談する
漫画では通信ケーブルを外しています。疑わしい端末は利用を止め、社内手順に沿って通信ケーブルを抜く、Wi-Fiを切るなどして、責任者へ連絡します。IPAの手引きが示すように、自己判断で電源を切る、初期化する、記録を消すことは避けるのが基本です。調査に必要な情報を失うことがあります。
時刻、画面の状態、直前の操作を紙などへ記録し、利用できる別の電話で担当者や専門家に相談しましょう。送金詐欺の疑いがあれば、銀行と警察への連絡も急ぎます。連絡先を調べる方法は、平時に決めておくと迷いを減らせます。
35ページ｜システムが止まった日の仕事を訓練する
このページは別の日の訓練です。メールや受注システムが使えない前提で、電話と紙による受付、顧客への説明、戻す順番を確認しています。機械を直す作業だけでは、お客様への対応は続けられません。紙を使う場合も、保管と取り扱う情報の範囲を決めます。
止められない仕事と、代わりの受付・連絡方法を一度試してみましょう。IPAの手引きを参考に、説明や報告の役割も整理します。漏えい等の報告・通知の要否は状況や制度によって異なるため、責任者が専門家や関係窓口へ早く確認できる体制を作ります。
36ページ｜社長が人・時間・費用を確保して続ける
内男社長は、確かめるべきことを知り、必要な人に相談しながら経営する自信を得ました。責任者、学ぶ時間、続ける予算も自分の仕事として決めています。IPAのガイドラインも、経営者が方針を示し、組織で対策する必要性を示しています。
会社の規模を理由に備えを後回しにせず、人・時間・費用を継続して確保する仕事を経営に組み込みましょう。さらに、社長の指示でも確認してよいと伝える。相談先と次の点検日を共有することで、学んだ知識が日々の判断に使われるようになります。
実践シート1（37ページ）｜公式の入口と本人確認を決める
会社でよく使うサービスを選び、確認済みの公式サイトやアプリを書き出してください。警察庁のフィッシング対策も、登録した公式サイトや公式アプリからの接続を勧めています。検索の上位や広告の表示を、公式であることの証拠にしないのが出発点です。
次に、以前から知っている携帯番号、対面で確かめる条件、確認者と承認者を決めます。届いた文面の番号へそのままかけ直さず、あらかじめ確かめた連絡先を使います。送金、口座変更、機密情報の提供は、一人の思い込みで進めない手順にしましょう。
実践シート2（38ページ）｜自社のAI利用ルールを書く
このシートには、公認AIのサービス名と業務用アカウント、入力してよい情報、確認した契約や設定を書きます。アカウント欄は利用する名義などを整理するもので、パスワードを書いて共有する欄ではありません。内容が分からない項目は、担当者へ確認する宿題にします。
さらに人が承認する操作と承認者、迷ったときの相談先を記入しましょう。NCSCの未承認AIへの注意点も参考になります。社員に渡す前に、よくある仕事を一つ当てはめてみてください。この表だけで使い方を判断できるか確かめると、曖昧な部分が見えてきます。
実践シート3（39ページ）｜事故の連絡先と代わりの業務を用意する
社内責任者、外部の支援先、銀行、警察の窓口を事前に調べて記入します。メールが使えない日にも確認できる場所へ保管し、連絡可能な時間も確かめましょう。最優先の仕事と、電話や紙などの代わりの受付方法を一緒に書くと、連絡の後に何をするかも考えられます。
初動欄は利用停止・通信の切り離し・記録・報告を確認するためのものです。IPAの手引きに沿って自社の手順を整え、自己判断で初期化しないことも共有します。記入後は連絡する役を決め、担当者が不在の場合にも動けるか試してみましょう。
実践シート4（40ページ）｜担当者と期限を決めて実行する
最後に、最初に変える対策を一つ選び、担当者と期限を記入してください。「気をつける」で終わらせず、公式の入口を登録する、復元を試すなど、完了を確かめられる行動にします。社内担当、外部支援、必要な時間と予算も合わせて決めるのが経営者の役割です。
教育日と次回の点検日を、その場で予定に入れるところまで進めましょう。点検では、実施したかだけでなく、現場で使えているかを聞きます。IPAの自社診断などの一次資料も使い、変わる手口や会社の仕事に合わせて対策を更新してください。
経営のまとめ｜「気をつける」を、人と仕組みと予算に変える
この漫画で私が一番伝えたいのは、社長が全部の技術を覚えなくても、守るための決定はできるということです。誰が管理するか、誰へ相談するか、何を先に守るか、いつ確認するか。その決定を、担当者の善意や空き時間だけに預けないでください。
- 入口と確認先を決める。重要なサービスは、正しいと確認した公式サイト・アプリから利用します。振込先変更、認証情報、秘密情報を求める連絡は、違和感がなくても、以前から知っている本人や窓口へ別の経路で確認し、承認を通します。
- 守る対象と担当を決める。重要な情報、会社のアカウント、機器、委託先を把握し、認証・更新・必要最小限の権限・共有範囲を整えます。AIにも、入力してよい情報と、任せてよい操作の範囲を決めます。
- 止まったときの備えを試す。バックアップを保存するだけでなく、攻撃から分けて守り、実際に戻せるかを確認します。連絡先、代替業務、復旧する順番を決め、異常を早く知らせてもらえる職場にします。
- 人・時間・継続予算を確保する。専任者をすぐ置けない会社でも、責任者と外部の相談先を決め、教育と点検の時間を予定に入れられます。必要な対策費と復旧への備えを、毎年見直す経営の費用として考えましょう。
まずは巻末のシートから一つ選び、担当者と期限を決めて、実行することを一つ書く。内男のように、知識を会社の行動へ移すところから始めてください。
最近の事件を、自社の備えへ読み替える
アスクルの2025年12月12日の調査報告は、ランサムウェア攻撃に伴うサービス停止や情報流出、バックアップへの被害を説明しています。アサヒグループホールディングスの2026年2月18日の報告でも、受注・出荷に関するシステムへの影響と、復旧・再発防止の取り組みが示されています。
これらを受けて、自社では「受注できない」「出荷できない」「取引先へ連絡できない」ときに何が起きるかを考えてください。自社の被害だけでなく、取引先やお客様へ波及する影響も見積もることが、備えに人と予算を割く判断につながります。両事例をAIによる攻撃と断定するものではなく、漫画の会社とも別の事例です。
参考にした公式資料・出典
- IPA『中小企業の情報セキュリティ対策ガイドライン 第4.0版』：経営者の責任、段階的な対策、情報管理、バックアップ、人材の確保・育成。
- 警察庁『フィッシング対策』：偽サイトへの誘導、公式アプリや確認済みブックマークの利用。
- IPA『社長等をかたる詐欺メールに注意』（2026年3月12日）：業務指示を装う連絡と、別の連絡手段による確認。
- カナダ政府サイバーセキュリティセンター『Spotting malicious email messages』：相手や組織に合わせた不審メールを考えるための資料。
- 国民生活センター『警察を名乗る電話に注意』（2025年4月23日）：相手が個人情報を知っていることを信用の証明にしない。
- FBI『Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud』（2024年12月3日）：生成AIを用いた声・映像などの偽装と、既知の連絡先による確認。
- IPA『不正ログイン被害と対策』（2025年8月28日）：パスワード、多要素認証、パスキー、認証情報の保護。
- 英国NCSC『The hidden risks of shadow AI』：未承認のAI利用と組織の情報管理。
- IPA『情報セキュリティ10大脅威 2026』：AI利用のリスクやランサム攻撃などの背景資料。順位を各社の対策の優先順位とは扱わない。
- 英国NCSC『Prompt injection is not SQL injection』：外部の文書などに含まれる指示とAIの動作を分けて考える資料。
- アスクル『ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告』（2025年12月12日、PDF）：業務停止、情報流出、バックアップへの被害、復旧・再発防止の背景事例。
- アサヒグループホールディングス『サイバー攻撃被害の再発防止策とガバナンス体制の強化について』（2026年2月18日）：業務への影響、復旧、人・組織・継続的な対策の背景事例。
- IPA『セキュリティインシデント対応の手引き』（第4.0版付録、PDF）：異常の報告、被害拡大防止、証拠の保存、相談と復旧。
確認日：2026-10-24（日本時間）。公開情報を基にした一般的な学習資料です。製品ごとの設定や契約条件は、それぞれの公式案内で確認してください。事故時の調査・復旧、法令上の報告や通知の判断は、担当者・専門家・関係窓口へ相談してください。漫画の取引先、詐欺のメッセージ、家族や会食の事情、AIへの模擬的な不正指示は創作です。
AI活用情報とセミナーの案内を、公式LINEで受け取る
AIやインターネットを仕事に生かすには、最初に学んで終わりにせず、知識を更新し、現場で試していくことが大切です。株式会社はちえん。の公式LINEでは、ビジネスに役立つAI活用情報と、セミナー・研修の案内をお届けしています。
「次に何を学べばよいか知りたい」「自社でもAIを使えるようになりたい」という経営者の方は、公式LINEに友だち登録して、これからの情報と開催案内をチェックしてください。
開かない場合は、LINEで @hachien を検索するか、公式サイトの登録案内をご確認ください。
執筆・解説：坂田誠
坂田誠｜株式会社はちえん。代表取締役
中小企業の経営者に向けて、生成AIとSNS・Webの業務活用を支援する講師・コンサルタント。AIに任せる仕事と人が確認する判断を分け、現場で続けられる使い方を伝えています。坂田誠の公式プロフィール
漫画・記事の制作には生成AIを使用しています。漫画内の坂田誠・菊理はちこの会話は、実際の発言記録ではありません。
株式会社はちえん。代表取締役。中小企業の生成AI活用・SNSマーケティングを支援する講師・コンサルタント。人材会社の株式会社ヒューマネットで、営業、採用・人事、経理・総務、Web集客など幅広い実務を経験。自社のホームページ集客で培った知識を経営者向けの勉強会で伝え、2010年にはちえん。を設立しました。
全国の商工会議所・商工会・行政・企業などで登壇し、2010年以降、SNS・IT・生成AIなどをテーマにしたセミナー講師実績は累計1,400本以上。共著に『Facebookマーケティング プロフェッショナルガイド』（マイナビ）があり、NHKニュースやTBS「news23」などでAIに関する取材・出演実績もあります。
2022年から生成AIの活用を深め、現在はAI社員・AIエージェントを含む業務設計や導入を支援。AIに任せる作業と人が確認する工程を整理し、情報管理や最終判断の責任にも配慮しています。経営者と現場の双方の視点から、専門用語をかみくだき、集客・採用・業務改善に使える具体的な方法を伝えることを大切にしています。
この記事を共有する