Security Priority Roadmap

中堅企業のセキュリティ対策は何から手を付けるか
— 予算別・優先順位ロードマップ

やるべきことのリストは、どのガイドラインを開いても100項目を超えます。専任が1〜3名の会社で「全部やる」は成立しないので、この記事は順番の話だけをします。判断基準はひとつ、攻撃者が最初に触る場所から先に塞ぐ。この基準で並べると、対策は4段階に収まります。

前提：この順番の根拠

侵入型ランサムウェアや情報窃取の大半は、次のどれかから始まります。インターネットに露出した脆弱な機器（サポート切れのVPN装置、放置されたテスト環境）、盗まれた・推測されたパスワード（多要素認証のないメールやVPN）、設定ミスで公開状態になったクラウド／SaaS。この3つは、EDRやSIEMのような「入られた後に検知する」対策より手前にあります。

だから順番はこうなります。まず外から見える範囲を知る（知らないものは守れない）。次に、外から見えるものへの入口である認証を固める。それからSaaSという「自社のサーバではないが自社のデータがある場所」を可視化する。最後に、それでも起きる事故に備える。4段階のうち前の段階を飛ばすと、後の段階の投資が効きません。

STEP 1外部から見える資産を棚卸しする

最初にやるのは「自社が持っているもの」ではなく、「インターネットから自社のものとして見えているもの」を数えることです。両者は一致しません。社内の台帳は「知っているもの」しか載っておらず、攻撃者が最初に見つけるのは台帳に無いもののほうです。

ここで見つかる典型

• 数年前のキャンペーンで作ったサブドメインが、契約切れのホスティングを指したまま（乗っ取り可能）
• 拠点や子会社が独自に契約した回線に、サポート終了済みのVPN装置がぶら下がっている
• 開発会社が検証用に立てたサーバの管理画面が、パスワードだけで公開されている
• 買収した会社のドメインが、誰の管理下にもない

最低限やること

• 自社と関連会社のトップドメインと割当済みグローバルIPを全部書き出す。ここが起点になる
• 起点からASMツール（または無料の外部調査サービス）で関連資産を洗い出し、台帳と突き合わせて差分を作る
• 差分ひとつずつに「自社のもの／違う／不明」と所有部門を付ける。「不明」はゼロにするまでが棚卸し
• 公開されている管理画面、サポート切れ機器、期限切れ証明書を、この時点で即座に潰す

経済産業省のASM導入ガイダンスはこの工程をプロセスとして定義しており、製品ごとの対応状況はガイダンス対応表にまとめています。ツールは国内向けの定額製品なら年間数十万円台から、グローバル製品は数百万円台からが目安です。最初の一回は無料枠や試用で十分で、継続の周期が決まってから契約すれば足ります。

STEP 2認証を固める

STEP 1で「外から見える入口」が分かったら、その入口の鍵を替えます。ここで最も費用対効果が高いのは多要素認証（MFA）の全員適用で、これに勝る対策は存在しません。順番は、外から直接触れるものから。

1. VPN・リモートデスクトップ：外部からの侵入経路の筆頭。MFAが付けられない機器なら、機器の更改を検討する理由になる
2. メール（Microsoft 365 / Google Workspace）：パスワードリスト攻撃の主な標的。同時に、IMAP／POPなどMFAを迂回できる旧プロトコルを無効化する
3. 管理者アカウント：クラウド、ドメイン管理、DNS、決済系。日常業務用と管理用の分離もここで
4. その他のSaaS：可能な限りIdP（ID基盤）経由のシングルサインオンに寄せ、個別パスワードを減らす

費用は、IdPやMFAの機能が既存のMicrosoft 365／Google Workspaceのプランに含まれていることが多く、追加コストより全員に適用しきる社内調整のほうが本当のコストです。例外を作った時点で、その例外が入口になります。

STEP 3SaaSの利用状況と設定を可視化する

STEP 1と2は「自社のサーバと入口」の話でした。STEP 3は、自社のサーバではないが自社のデータがある場所、つまりSaaSの話です。部門が独自に契約したツール、外部と共有されたままのフォルダ、退職者が残したアカウントは、どれも情シスの視界の外にあります。

可視化する対象は2種類

利用の可視化

誰がどのSaaSを使っているか。未承認のツール（シャドーIT）の把握。プロキシやIdPのログ、CASB（Cloud Access Security Broker）と呼ばれる製品分野が担う

設定の可視化

承認済みSaaSの設定が安全か。外部共有の既定値、管理者の数、MFA未設定ユーザー、連携アプリの権限。SSPM（SaaS Security Posture Management）と呼ばれる製品分野が担う

最低限やること

• 経理の支払い記録とIdPのアプリ一覧から、契約中のSaaSを全部書き出す（これだけで見えていなかったものが出る）
• 主要SaaS（ストレージ、チャット、CRMなど上位5つ程度）の外部共有設定と管理者一覧を手で確認する
• 退職者・異動者のアカウント停止が確実に走る手順を、人事の流れに組み込む

製品を入れるのは、手作業で回らない規模になってからで構いません。SaaSが20を超え、部門ごとに管理者が分散しているなら、製品化の検討時期です。

STEP 4事故が起きた日のために準備する

1〜3をやっても事故はゼロになりません。差が出るのは事故の日に何時間で動けるかで、これは事前準備の量でほぼ決まります。ここで買うべきはツールではなく、手順と契約です。

• 連絡網と判断者：休日夜間に誰が判断し、誰に連絡するか。経営層、法務、広報、主要取引先の連絡先を紙でも持つ
• バックアップの復旧テスト：バックアップがあることと、復旧できることは別。年1回、実際に戻して時間を測る。ランサムウェア対策としては、本番環境から書き換えられない世代を1つ持つことが必須
• ログの保全：認証ログ、VPNログ、主要SaaSの監査ログを最低90日、できれば1年。事故の日に「ログが無い」が最も多い詰まり方
• 初動手順：「ネットワークから切る／切らない」「電源を落とさない」「誰に証拠保全を頼むか」を1枚にする
• 外部支援先の事前契約：フォレンジックやインシデント対応の会社は、事故当日に探すと着手まで数日かかる。年間契約またはリテイナーで、連絡先と着手条件を決めておく

サイバー保険はこの段階で検討対象になります。ただし1〜3が未実施だと引受条件が厳しくなる（MFA未適用は多くの保険会社で引受不可）ため、順番としては最後です。

順番を間違える典型例

EDRを入れて安心し、外部露出を放置する

EDRは「入られた後」の検知です。サポート切れのVPN装置から侵入されると、EDRが入っていない機器を経由されるか、EDRの検知前に認証情報を取られます。内側を固める前に、外側の穴を数えてください。

年1回の脆弱性診断で「やった」ことにする

診断は「知っている資産」を「その時点」で深く見るものです。知らない資産と、診断の翌週に公開された脆弱性は対象外です。STEP 1の継続的な棚卸しと組み合わせて初めて機能します。診断を減らす必要はありませんが、診断だけで外部露出が管理できているとは言えません。

ツールを買って、運用者を決めない

ASMもSSPMも、結果は「対応が必要なリスト」として出てきます。リストを受け取って部門に依頼し、進捗を追う人がいなければ、ツールは高価なレポート生成機になります。契約前に「毎週このリストを誰が見るか」を決めてください。決まらないならマネージドサービスのほうが安く済みます。

同じ機能の製品を重ねて買う

セキュリティ製品は機能の境界が曖昧で、EDRベンダーが露出管理を、ASMベンダーが脆弱性管理を、それぞれ製品に取り込んでいます。導入済みの製品に同等機能が含まれていないかを、新規購入の前に確認してください。特に大手の統合プラットフォームを契約済みなら、追加ライセンスで済むことがあります。

予算帯別：どこまでやるか

年間の追加予算（既存ライセンスを除く）ごとに、各段階でどこまでやるかの目安です。金額は2026年時点の国内市場の相場観で、製品や規模で大きく変わります。

「〜300万円」の列は、実質的に既存ライセンスの設定変更と人の時間だけで成立します。予算が無いことは、STEP 1と2をやらない理由になりません。

最初の90日の進め方

• 最初の30日：ドメイン・IP・SaaSの3つの一覧を作る。外部から見える資産の差分を出し、即座に潰せるもの（公開管理画面、EOL機器、期限切れ証明書）を潰す。
• 31〜60日：MFAをVPN・メール・管理者から順に全員適用。旧プロトコルを無効化。退職者アカウントを一掃。
• 61〜90日：主要SaaSの外部共有設定を確認。連絡網と初動手順を1枚にする。バックアップから実際に戻してみる。

90日でここまで進めば、ツール導入の判断に必要な情報（自社の露出の量、運用に割ける時間、手作業で回らない部分）が全部揃います。製品選定は、その情報が揃ってからで遅くありません。