中小企業のセキュリティ対策、社長の仕事は3つだけ 担当・予算・号令
アンリミテッドアム株式会社 CEO
2026年10月9日、国家サイバー統括室は、大量の個人情報を扱う事業者に向けて注意喚起を出しました（ITmedia NEWS 2026年10月9日）。その中で経営層に向けて、サイバー攻撃の被害は情報システムの部門だけの問題ではないとして、セキュリティ対策を経営課題と位置づけ、必要な投資や人員体制を含めて強化するよう求めています。
「経営課題と言われても、技術のことは分からない」。そう感じた社長も多いはずです。この記事は、そんな社長のために書きました。
先に答えを言います。技術は分からなくて大丈夫です。社長の仕事は 3 つだけです。①担当を 1 人決める、②来期の予算に 1 行入れる、③「やる」と号令をかける。パスワードの設定やサイトの直し方は、担当者や制作会社の仕事です。
社長が技術を覚えなくていい理由
中小企業でセキュリティが進まない理由は、技術が足りないからではありません。IPA の 2024 年度の調査（IPA 2025年2月14日 速報版）では、セキュリティの専門の部署がある中小企業は 9.3% で、約 7 割が組織としての体制を整えていません。さらに 62.6% が、直近 3 期にセキュリティ対策に投資していませんでした。
足りないのは、技術ではなく「誰が、いくらで、いつやるか」を決めることです。そして、それを決められるのは社長だけです。私は著書の終章で、号令をかけられるのは社長だけだ、と書きました。情報システムの担当者が「見直したい」と言っても、各部署は後回しにします。社長が「今月中にやる」と言えば、全員が動きます。
1つ目 担当を1人決める
最初の仕事は、担当を 1 人決めることです。専任でなくて構いません。総務や Web の更新をしている人の兼任で十分です。
担当の仕事は、技術を全部分かることではありません。次の 3 つです。
- 制作会社や外部の専門家との窓口になる
- サイトの点検の結果を受け取り、社長に 1 行で報告する
- 決めたことが回っているかを、月に 1 回確かめる
弱点の知らせを受け取るメールは、個人ではなく部門のメールアドレスで登録しておくと、担当が休んでも異動しても止まりません。担当に基本を学んでもらいたいときは、社員が攻撃者と同じ手順で自社サイトを確かめられるようになるホワイトハッカー育成講座もあります。
2つ目 来期の予算に1行入れる
2 つ目は、来期の予算書に「セキュリティ」の行を 1 行作ることです。古い仕組みの入れ替えは、予算を組んでから 1〜2 年かかることがあります。行がなければ、どれだけ必要でも後回しになります。
金額は、今どこまでできているかで決まります。著書の第8章では、費用を次の式で考えると書きました。
費用 ＝ 足りない対策を整える費用 ＋ 必要に応じて外部に頼む費用（SCS 評価制度（サプライチェーンのセキュリティ対策を評価する国の制度）の★3 の登録を目指す場合は、これに登録料が加わります）
今どこまでできているかを知るのに、お金はかかりません。IPA の「SECURITY ACTION」は、中小企業が自らセキュリティに取り組むことを宣言する制度で、取り組みに応じて一つ星・二つ星のロゴマークを無料で使えます（IPA SECURITY ACTION とは）。二つ星では「5分でできる！情報セキュリティ自社診断」で自社の状況を確かめます。宣言であって、IPA が認定するものではない点は覚えておいてください。
予算を待たずに今月から始められることもあります。自社サイトの外からの点検は、無料診断なら 0 円です。
3つ目 「やる」と号令をかける
3 つ目は、社内に向けて「やる」と言うことです。ポイントは、誰が・いつまでに・何をするかまで言うことです。「セキュリティをちゃんとして」では、誰も動けません。
すべてを一度にやる必要はありません。今期はここまでやり、ここは来期に回す、と社長が決めて記録に残せば、それは立派な経営の判断です。危ないのは、決めないまま放っておくことです。
社長が今週、担当者に送る3行
号令は、次の 3 行をそのまま送れば足ります。
「セキュリティの担当を○○さんにお願いします。今月末までに、会社のメールアドレスでサイトの無料診断を受けて、結果を 1 行で報告してください。来期の予算にセキュリティの行を作るので、必要な費用の見込みも一緒に教えてください」
これで、担当・予算・号令の 3 つが一度に動き出します。報告が届いたら、社長は「直す」「来期に回す」「やらない」のどれにするかを決めて、返事を 1 行返すだけです。決めた内容は、担当者に記録として残してもらってください。次に同じことを聞かれたとき、その記録がそのまま答えになります。
取引先から聞かれたときにも効く
担当・予算・号令がそろうと、取引先のチェックシートにも答えやすくなります。同じ IPA の調査では、取引先からの要請で行った対策が取引につながったと答えた中小企業は 42.1% でした。セキュリティは、売上を生まない費用ではなく、取引を続けるための条件になりつつあります。取引先から★3 を求められたときの進め方は、★3 で半年にやることを 1 枚の表にした記事にまとめています。
今日やること
- 担当者の名前を 1 人決める
- 上の 3 行を、その人に送る
- 来期の予算の表に「セキュリティ」の行を 1 行作る
この 3 つで、社長の仕事はひとまず終わりです。あとは、担当者の報告を待って、次に何をやるかを決めてください。
よくある質問
IT に詳しい社員がいません。担当は誰にすればいいですか？
詳しさより、続けられる人を選びます。総務や Web の更新をしている人の兼任で構いません。担当の仕事は、技術を全部分かることではなく、制作会社や外部の専門家との窓口になり、決めたことが回っているかを確かめることです。
予算はいくら入れればいいですか？
金額は、今どこまでできているかで決まります。まず無料の点検や IPA の SECURITY ACTION の自社診断で今の状態を知り、足りないものの費用を見積もってから入れます。来期の予算書に「セキュリティ」の行を 1 行作っておくことが、最初の一歩です。
号令をかけても、社員が動かないときはどうしますか？
期限と担当の名前を一緒に伝えます。「セキュリティをちゃんとして」ではなく「○○さんが、今月末までに、サイトの無料診断を受けて結果を報告する」と書きます。誰が・いつまでに・何をするかが決まれば、社員は動けます。
全部はできません。やらないことを決めてもいいですか？
構いません。大事なのは、知らないうちに放っておくことと、決めて後回しにすることを分けることです。「今期はここまでやり、ここは来期に回す」と社長が決め、記録に残しておけば、それは経営の判断です。
担当者が最初に受ける点検は、会社のドメインのメールアドレスで申し込むVibeGuard の無料診断がおすすめです。点数と問題の名前が届くので、社長への報告も 1 行で済みます。技術の側で最初にやる 3 つは、何から手をつけるか分からない社長への記事にまとめています。
書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』。
出典
この記事を書いた人
アンリミテッドアム株式会社 CEO
大学卒業後、送電線建設会社、コンサル会社、メーカーと転職の後に独立。
1998年よりECスタートし、独立系ECコンサルタントとしては日本最古。
1999年よりネットショップ運営に携わり、立ち上げ1年半で月商4500万円を達成。3年連続楽天総合3位。200社を立ち上げから年商1億円以上に導く。
最高年商10億円。商品開発からシステム開発、広告プロモーションとEC経営とシステム開発にまつわる業務に精通し、運営も行う。
サポート企業は延べ1000社を超え17名のEC関連本の著者を輩出。
自ら著書3冊を持ち、新聞、雑誌など各メディアに寄稿。
2013年設立した一般社団法人ジャパンEコマースコンサルタント協会は、最新の日本と海外最新事例をECコンサルタントにアップデートしている。
2017年には、早稲田大学主幹の一般社団法人日本イーコマース学会を設立、大学にECのカリキュラムを構築。
直近では、多くのシステム開発を要件定義から開発、納品まで、直接クライアントとやりとりし、請け負っている。
著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』（SCS評価制度の星3に備える 中小企業のサイバーセキュリティ対策）