「社内にセキュリティに詳しい人がいない」
「IT担当者はいるけれど、セキュリティまで任せてよいのか分からない」
「専門家を採用する余裕はないし、何から始めればよいのか分からない」
こうした悩みを抱える中小企業は、決して少なくありません。
サイバー攻撃への対策、クラウドサービスの管理、従業員へのセキュリティ教育、取引先からのセキュリティチェックシートへの回答など、企業に求められるセキュリティ対策は年々幅広くなっています。
しかし、これらをすべて一人の担当者が理解し、対応することは簡単ではありません。
IPA（独立行政法人情報処理推進機構）も、中小企業におけるセキュリティ人材の確保・育成を重要な課題と捉え、2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン 第4.0版」に、専門のガイドブックを追加しています。
そこで示されているのは、最初から高度な専門人材を揃えるのではなく、社内で担当者を決め、必要に応じて外部の専門家を活用しながら、段階的に体制を整えていくという考え方です。
今回は、セキュリティ専任者のいない中小企業が、どのように担当者を決め、経営者・総務・IT担当者・外部専門会社で役割を分担すればよいのか、具体的に解説します。
結論から言えば、すべての中小企業が、最初からセキュリティ専門の部署や専任担当者を設置する必要はありません。
もちろん、専門的な知識を持つ人材が社内にいれば理想的です。しかし、従業員が10人、20人といった規模の会社で、セキュリティ専門家を新たに採用することは、現実的に難しい場合もあります。
ここで大切なのは、「セキュリティ専門家がいること」と「セキュリティ対策を管理する人がいること」は別だという点です。
例えば、次のような業務は、必ずしも高度な技術知識がなくても担当できます。
✔️ 社内のセキュリティルールを整備し、従業員へ周知する
✔️ 入社・異動・退職時のアカウント管理を確認する
✔️ パソコンやクラウドサービスの管理状況を把握する
✔️ セキュリティ研修を企画する
✔️ 不審なメールや情報漏えいの相談を受け付ける
✔️ 外部専門会社との連絡窓口になる
これらは、総務担当者やIT担当者が兼務できる業務でもあります。
実際に、IPAの「中小企業のためのセキュリティ人材の確保・育成の実践ガイドブック」でも、最初の段階では、兼務であっても社内にセキュリティ担当者を1人確保することを推奨しています。
その後、取り組みの段階に応じて、兼務担当者を複数名に増やし、本格的なセキュリティ対策を進める段階では専任者の確保・育成を目指すという考え方です。
つまり、中小企業にとって最初に必要なのは、専門家を採用することよりも、セキュリティを会社の業務として位置付け、責任者と担当者を明確にすることなのです。
セキュリティ人材の確保が難しい理由は、単純に「人手が足りない」という問題だけではありません。
大きく分けると、次の3つの課題があります。
🔵① 求められる知識の範囲が広すぎる
セキュリティと一口に言っても、その業務は多岐にわたります。
例えば、ネットワークやサーバーの保護、クラウドのアクセス権管理、マルウェア対策、不正アクセスの監視、インシデント対応、従業員教育、社内規程の整備などがあります。
さらに、サイバー攻撃の手口や利用する技術も変化し続けています。
これらすべてに詳しい人材を一人で確保することは、大企業であっても簡単ではありません。
🔵② 採用や育成には費用と時間がかかる
専門性の高いセキュリティ人材を採用するには、相応の人件費が必要です。
また、既存の従業員を育成する場合も、日常業務と並行して研修を受け、知識や経験を積む必要があります。
特に中小企業では、採用だけでなく、教育に割ける時間や予算を確保することも課題になります。予算不足から基本的な防御策でさえ後回しにされがちです。
🔵③ どのような人材が必要なのか分からない
そもそも、自社にどのようなセキュリティ人材が必要なのか分からない、というケースもあります。
セキュリティ製品の設定ができる人が必要なのか、社内ルールを整える人が必要なのか、サイバー攻撃が発生したときに対応できる人が必要なのか。
必要な役割が整理できていなければ、採用や外部委託を検討しても、適切な人材やサービスを選ぶことができません。
そこで重要になるのが、まず「自社で行うべき仕事」と「専門家に任せる仕事」を分けて考えることです。
セキュリティ人材の問題を考えるとき、最初に整理したいのは役割です。
中小企業では、最低限、次の4つの機能を意識しておくとよいでしょう。
| ① セキュリティ責任者 |
|
会社全体のセキュリティ対策について、方針や優先順位を決める役割です。 経営者自身、あるいは経営者から権限を与えられた管理職などが担当します。 セキュリティ対策に必要な予算の確保、重要なリスクへの対応方針、事故が発生した際の経営判断などを担います。 |
| ② セキュリティ担当者 |
|
社内のセキュリティ対策を日常的に管理・推進する役割です。 総務担当者、情報システム担当者、管理部門の担当者などが兼務することもできます。 重要なのは、すべての技術を理解することではなく、必要な対策が実施されているかを確認し、問題があれば責任者や専門家につなぐことです。 |
| ③ IT・システム管理担当者 |
|
パソコン、ネットワーク、クラウドサービス、業務システムなどの技術的な管理を担います。 OSやソフトウェアの更新、アカウントの設定、バックアップの確認、システム障害への対応などが主な業務です。 自社で対応できない部分は、外部のIT保守会社などと連携します。 |
| ④ インシデント対応担当者 |
|
サイバー攻撃や情報漏えいが疑われる事態が発生した際に、社内の報告を受け、関係者への連絡や初動対応を取りまとめる役割です。 中小企業の場合、普段のセキュリティ担当者が兼任しても構いません。 ただし、重大な事故に関する最終判断まで一人で背負わせるのではなく、経営者や外部専門会社と連携する仕組みが必要です。 こうしたインシデント対応を組織的に行う仕組みが「CSIRT」です。 |
中小企業でよく見られるのが、「パソコンに詳しい人がセキュリティも担当する」という体制です。
もちろん、IT担当者は重要な存在です。
しかし、IT担当者がいるからといって、会社のセキュリティ対策をすべて任せてよいわけではありません。
例えば、次のような場面を考えてみてください。
❌ケース① 退職者のアカウントが残っていた
アカウントを削除する作業自体はIT担当者が行えます。しかし、誰がいつ退職するのかを把握し、削除を依頼するのは人事・総務部門の役割です。
❌ケース② 従業員が不審なメールを開いてしまった
技術的な調査はIT担当者が行うとしても、従業員がすぐに報告できる環境や、報告後の連絡体制を整えることは、会社全体の課題です。
❌ケース③ ランサムウェアによって業務システムが停止した
ネットワークの遮断やシステムの調査は技術的な仕事ですが、業務を止める判断、顧客への説明、復旧の優先順位の決定などは経営判断を伴います。
このように、セキュリティには技術だけでは解決できない問題が数多くあります。
また、IT担当者が一人しかいない場合、その人が休暇中だったり、退職したりすると、必要な対応ができなくなるおそれもあります。
大切なのは、「IT担当者がセキュリティに詳しいかどうか」だけでなく、「IT担当者だけに依存しない体制になっているか」という視点です。
社内ですべてを対応できない場合、外部の専門会社やセキュリティサービスを活用する方法があります。
ただし、外部サービスにもさまざまな種類があり、それぞれ対応できる範囲が異なります。
代表的なものを整理してみましょう。
| IT保守会社・システム運用会社 |
パソコンやサーバー、ネットワーク、業務システムなどの日常的な保守・運用を支援する会社です。
機器の設定、更新作業、障害対応などを依頼できます。
ただし、IT保守契約を結んでいるからといって、サイバー攻撃の監視やインシデント調査まで対応してもらえるとは限りません。
| SOC（Security Operation Center） |
SOCは、ネットワークや端末、サーバーなどのセキュリティ情報を監視し、不審なアクセスや攻撃の兆候を検知・分析する体制です。
外部SOCサービスを利用すれば、自社で専門の監視チームを持たなくても、継続的な監視を委託できます。
（参考）SOCとは？中小企業に監視体制は必要か｜SIEM・MDRとの違いも解説
| MSS（Managed Security Service） |
MSSは、セキュリティ機器やサービスの監視・運用などを、専門会社が継続的に提供するサービスの総称です。
例えば、ファイアウォールの運用、セキュリティログの監視、各種セキュリティ製品の管理などが含まれます。
実際に提供される範囲はサービスや契約によって異なります。
| MDR（Managed Detection and Response） |
MDRは、端末などのセキュリティ情報をもとに脅威を検知し、調査や対応を支援するサービスです。
EDRなどの製品を活用し、専門家が不審な動きを分析して、必要に応じて端末の隔離などの対応を支援します。
ただし、実際にどこまで対応してもらえるかは、契約内容によって異なります。
🔴外部委託で特に確認しておきたいこと
外部サービスを利用する際に注意したいのは、「監視してもらえること」と「事故が起きたときに対応してもらえること」は、必ずしも同じではないという点です。
例えば、不正アクセスを検知しても、通知するだけで、その後の調査や復旧は別料金・別契約となる場合があります。
外部会社を選ぶ際には、少なくとも次の点を確認しておきましょう。
✴️ 何を監視・管理してくれるのか
✴️ 異常を発見したら誰に、どのように連絡するのか
✴️ 夜間・休日にも対応できるのか
✴️ 端末の隔離やアカウント停止などを実施できるのか
✴️ 事故発生後の調査・復旧を支援してもらえるのか
✴️ 対応範囲や追加費用は明確になっているか
重要なのは、すべてを外部に任せることではありません。
社内で判断する部分を残しながら、専門知識や技術が必要な部分を外部に委託することが、現実的な体制づくりにつながります。
では、実際の中小企業では、どのように役割を分ければよいのでしょうか。
例えば、従業員20～30人程度で、専任のセキュリティ担当者がいない企業を想定してみます。
| 担当 | 主な役割 |
| 経営者・経営幹部 | セキュリティ方針の決定、予算の確保、重大事故の経営判断 |
| 総務・管理部門 | 社内ルールの管理、従業員教育、入退社時の手続き、報告窓口 |
| IT担当者・システム管理者 | PC・システム管理、更新、アクセス権の設定、バックアップ確認 |
| 外部IT保守会社 | 機器・システムの保守、技術的な設定・障害対応 |
| 外部セキュリティ専門会社 | リスク診断、監視、専門的な調査、インシデント対応支援 |
※これは役割分担の一例であり、会社の規模や利用システムによって調整が必要です。
例えば、総務担当者がセキュリティ担当を兼任し、IT関連の運用は外部保守会社へ委託するという体制も考えられます。
一方、サイバー攻撃の監視や高度な事故調査については、別途セキュリティ専門会社の支援を受ける方法があります。
このような体制で重要なのは、業務の担当者だけでなく、問題が起きたときの判断者と連絡先を決めておくことです。
例えば、従業員が不審なメールを開いた場合、
| 1. 従業員が総務・セキュリティ担当者へ報告する 2. 担当者がIT担当者や外部保守会社へ連絡する 3. 技術担当者が状況を確認し、必要な初動対応を行う 4. 重大な事故が疑われる場合は、経営者へ報告する 5. 必要に応じてセキュリティ専門会社による調査・対応を行う |
という流れです。
重要なのは、事故が発生してから誰に連絡するかを考えるのではなく、平時から関係者と手順を共有しておくことです。
なお、インシデント発生時の具体的な行動については、以前のコラムで解説しています。
（参考）インシデント対応とは？サイバー攻撃を受けたとき中小企業が最初にすべきこと
ここまで読んで、「考え方は分かったけれど、自社では何から始めればよいのだろう」と感じた方もいるかもしれません。
セキュリティ体制づくりは、最初から完璧を目指す必要はありません。経営トップがリーダーシップを取り、「今日できることから一歩ずつ始めること」です。
まずは、次の5つを進めることをおすすめします。
| STEP1．社内のセキュリティ責任者と担当者を決める |
|
兼務でも構いませんが、担当する業務と、問題が発生した際の報告先を明確にしておきます。 |
| STEP2．現在の管理状況を把握する |
|
パソコン、アカウント、重要な情報、バックアップなどについて、現状を確認することが第一歩です。 |
| STEP3．社内でできることと、できないことを分ける |
|
すでに契約しているIT保守会社があれば、セキュリティ面でどこまで対応してもらえるのか確認してみましょう。 |
| STEP4．緊急時の連絡体制を作る |
|
担当者が不在の場合の代理者も決め、必要な連絡先は、社内ネットワークが使えなくなった場合にも確認できるようにしておきます。 社内の担当者、外部のサポート窓口、警察などの「緊急連絡先」と、「まずはネットワークからPCを物理的に切断する」といった初動手順を1枚のシートにまとめ、社内の目立つ場所に掲示しておきましょう。 |
| STEP5．定期的に見直し、少しずつ改善する |
|
担当者が変わったとき、新しいクラウドサービスを導入したとき、取引先から新しいセキュリティ要件を求められたときなど、必要に応じて見直すことが大切です。 また、年に一度など定期的に、事故を想定した連絡訓練を実施することも有効です。 |
こうした取り組みは、経済産業省などが進めるSCS評価制度や、取引先からのセキュリティチェックシートへの対応を考えるうえでも重要です。
セキュリティ対策の実施状況だけでなく、「誰が責任を持って管理しているのか」「問題が起きたときにどのような体制で対応するのか」を説明できるようになるためです。
（参考）SCS評価制度とは？サプライチェーンセキュリティ対策を中小企業向けに解説
セキュリティ人材が不足しているからといって、中小企業が対策を諦める必要はありません。
もちろん、高度な専門知識を持つ人材を社内で確保できれば心強いでしょう。しかし、最初からすべての専門知識を社内に揃える必要はありません。
大切なのは、
| ✴️ 経営者がセキュリティを経営課題として認識する ✴️ 社内に責任者と実務担当者を決める ✴️ IT担当者だけに負担を集中させない ✴️ 専門的な業務は外部の力を活用する ✴️ 事故発生時に連携できる体制を整える |
ということです。
これからの中小企業に求められるのは、セキュリティに詳しい人が一人いる会社ではなく、特定の人だけに依存せず、会社としてセキュリティ対策を続けられる体制です。
まずは、自社で次の問いを確認してみてください。
「もし今日、サイバー攻撃が発生したら、誰が対応を始め、誰が最終判断をするのでしょうか？」
その答えが曖昧であれば、そこがセキュリティ体制づくりの出発点です。
セキュリティ対策は、製品を導入することだけではありません。
人と役割を整理し、社内外で協力できる仕組みをつくることも、会社を守るための重要な対策なのです。
「社内にセキュリティに詳しい人がいない」
「IT担当者に任せきりになっている」
「外部の専門会社をどう活用すればよいか分からない」
そんなお悩みはありませんか？
LYSTでは、中小企業の現状や課題を整理し、無理なく取り組めるセキュリティ対策や社内体制づくりをご支援しています。
専任担当者がいなくても、できることから始められます。貴社に合ったセキュリティ体制を考える第一歩として、まずはお気軽にご相談ください。