【IPA】不正アクセス被害時の相談窓口開設と中小企業が備えるべき対策|A-Zent

1. 不正アクセスの被害企業向け「不正アクセス特別相談窓口」の開設

独立行政法人情報処理推進機構（IPA）は、2026年10月16日に、不正アクセスの被害を受けている、またはその可能性がある企業・組織を対象とした「不正アクセス特別相談窓口」を開設しました。本窓口では、専門的な知見に基づいた初動対応のアドバイスや、被害の拡大を防ぐための具体的な支援を提供しています。

相談窓口の概要と対応内容

本窓口は、日本全国の企業や組織を対象に、電話およびE-mailで相談を受け付けています。対応時間は平日の9時30分から17時30分まで（12時〜13時を除く）です。

電話番号：03-6759-5760
E-mail：IPAセキュリティセンター宛

提供される主な支援内容は以下の通りです。

初動対応の助言：インシデント発生時に最初に行うべき対応についての指導。
被害状況のヒアリング：事象を整理し、被害が発生している可能性についての助言。
応急処置案の提示：二次被害を防ぐための有効な対策案の提案。
専門業者の紹介：インシデント対応を専門とする民間業者一覧の案内。
関係機関の紹介：事案の内容に応じ、必要な相談先や報告先を案内。

ただし、個別のシステムログの調査・解析や、法的解釈・契約に関する事項、特定の製品紹介などは対応の対象外となっています。

国民向け「情報セキュリティ安心相談窓口」との違い

IPAでは、一般消費者や国民向けに「情報セキュリティ安心相談窓口」も提供しています。こちらはウイルス感染や不正アクセスに関する技術的なアドバイスを行う窓口で、相談件数は2017年の7,600件から2024年には12,787件へと増加傾向にあります。企業・組織が組織的な被害（ランサムウェア感染やシステム侵入など）について相談する場合は、今回新設された「不正アクセス特別相談窓口」や、企業・組織向け相談窓口（cs-support@ipa.go.jp）を利用することが適切です。

2. 被害発生を想定し、速やかに行うべき点検と対策

IPAは、昨今の不正アクセス事案を踏まえ、企業が被害を未然に防ぐ、あるいは最小限に抑えるために直ちに実施すべき点検事項を推奨しています。2026年10月9日に公開された「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」では、以下の3点を重点的に点検することが求められています。

重点点検事項

外部公開アプリケーションの精査：外部からアクセス可能なアプリケーションに脆弱性がないか、不要なものが公開されていないかを確認します。
外部利用サービスの洗い出し：クラウドサービスや外部委託先を含め、自社が利用している全ての外部サービスを把握します。
保有データの再点検：自社がどのような重要情報を、どこに、どのような設定で保存しているかを再確認します。

これらに加え、システムやネットワークへの不正侵入の形跡がないかを定期的に確認し、万が一の際には速やかにIPAへの届出を行うことが推奨されます。届出の対象には、ランサムウェアによる金銭要求や、セキュリティソフトによるウイルスの検知、不正アクセスの痕跡などが含まれます。

3. 中小企業が活用すべきセキュリティ支援制度とツール

中小企業が限られたリソースで効果的なセキュリティ対策を行うために、IPAは多様なガイドライン、支援ツール、および補助金対象となるサービスを提供しています。

IPAが提供する主な支援施策

サイバーセキュリティお助け隊サービス：中小企業向けのワンパッケージ型セキュリティサービスです。本サービスは「デジタル化・AI導入補助金」の支援対象となっており、導入コストの負担を軽減しながら対策を強化できます。
SECURITY ACTION（セキュリティ対策自己宣言）：中小企業が自ら情報セキュリティ対策に取り組むことを宣言する制度です。「一つ星」や「二つ星」のロゴマークを掲示することで、取引先への信頼向上に繋がります。
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）：2027年3月の開始が予定されており、サプライチェーン全体でのセキュリティ水準の底上げを目指す新しい制度です。

教育・専門情報の提供

IPAでは、対策のヒントとなる「プラクティス・ナビ」や、ウェブサイトの安全な作り方、インシデント対応の手引き、ランサムウェア対策ハンドブックなどを公開しています。また、ドラマ形式で学べる映像教材や、サイバー攻撃を想定した机上演習教材も活用可能です。

さらに、以下の日程で各地でのセミナーや演習イベントの開催が予定されています。

2026年10月28日：工場におけるOTセキュリティ対策のための机上演習（宮城県）
2026年10月29日：中小企業向けサイバーセキュリティセミナー（福岡県）
2026年11月5日：サイバーセキュリティセミナー in 青森
2026年11月12日：新たなセキュリティ対策評価制度（SCS）の内容と準備（千葉県）

4. 「5分でできる！情報セキュリティ自社診断」による現状把握

自社のセキュリティ対策が十分であるかを確認するための第一歩として、IPAは「5分でできる！情報セキュリティ自社診断」の活用を推奨しています。これは、25の設問に答えるだけで、自社のセキュリティ上の問題点を可視化できる自己診断ツールです。

診断項目（全25項目）の構成

診断は以下の3つのパートに分かれており、各項目を「実施している」「一部実施している」「実施していない」「わからない」の4択で評価します。

【Part 1：基本的対策】

OSやソフトウェアの最新化
ウイルス対策ソフトの導入と更新
強固なパスワードの設定
データの共有設定の限定
重要情報の定期的なバックアップ
脅威や手口の情報収集と社内共有

【Part 2：従業員としての対策】 7. 不審なメールへの注意 8. 宛先の送信ミス防止 9. 重要情報の送信時の保護（パスワード等） 10. 無線LANの盗聴・無断使用対策 11. インターネット利用時のトラブル防止 12. 重要情報の放置禁止 13. 重要情報の安全な持ち出し 14. 不要情報の復元不可な消去 15. 離席時の機器操作防止 16. 事務所への立ち入り制限 17. 機器・備品の盗難防止

【Part 3：組織としての対策】 18. ネットワークの不要な通信の遮断 19. ウェブサイトの安全な運用 20. 従業員への情報セキュリティ教育 21. 私物端末（BYOD）の業務利用ルールの決定 22. 取引先への秘密保持要請 23. 信頼できる外部サービスの選定 24. セキュリティ事故への備え（手順の準備） 25. 対策ルールの整備と周知

診断結果に基づき、点数が低い項目から優先的に対策を講じることが重要です。特に、OSのアップデート（脆弱性対策）やバックアップの取得は、多くのサイバー攻撃において被害を軽減するための要となります。

5. クラウドサービスを安全に利用するための指針

多くの企業で導入が進んでいるクラウドサービスについては、事業者任せにせず、利用者側でも適切な管理を行う必要があります。IPAが公開している「中小企業のためのクラウドサービス安全利用の手引き」では、15項目のチェックシートを用いて安全性を確認するよう求めています。

クラウド利用における3つの重要ポイント

選択時のポイント：取扱う情報の重要度を確認し、ISMAP（政府情報システムのためのセキュリティ評価制度）やISMSクラウドセキュリティ認証などの外部認証を参考に、信頼できる事業者を選定します。
運用時のポイント：管理担当者を明確にし、利用者の範囲を限定します。また、ID・パスワードの厳格な管理だけでなく、多要素認証（MFA）を積極的に活用することが推奨されます。
セキュリティ管理のポイント：通信の暗号化や、利用終了時のデータ確保、データの保存場所（地理的所在地）に伴う法規制のリスクを確認します。クラウド事業者と利用者の間で「どちらがどの範囲のセキュリティに責任を持つか」を把握しておくことが不可欠です。

インシデントは、たとえ対策をしていても発生する可能性があります。日頃から自社診断やガイドラインを活用して備えを固めるとともに、万が一の際にはIPAの「不正アクセス特別相談窓口」などの公的機関を速やかに活用できる体制を整えておくことが、企業の事業継続を守る鍵となります。