小さな会社は、セキュリティ対策を何から始めればいい？

合鍵・窓・外から見える書類の3つから始めてください。弊社では、業務の鍵が置きっぱなしになっていたこと、使っていない入口が開いていたこと、社内の書類がリンクを知っていれば誰でも開けたことが、弱点の大半でした。どれもお金をかけずに、その日のうちに直せました。

社員5人の会社が、5日間でセキュリティを0点から83点にした話

「うちは小さい会社だから、狙われることはないだろう」

私もそう思っていました。社員は5人です。盗まれて困るものなど大してない、と。

結論から言うと、弊社は「泥棒が入ろうと思えばすぐ入れる家」でした。AIと一緒に5日間かけて社内を点検し、見つかった弱点を順に直して、いまは「ふつうの泥棒ならあきらめる家」になっています。点数にすると、0点から83点です。

この記事は、その5日間の記録です。

弊社は、研修の運営や営業の管理を、自分たちで作った仕組みで動かしています。作るのにAIを使うようになってから、仕組みの数は一気に増えました。増えた分、どこに何があるのかを、私自身が把握しきれなくなっていました。

そこで、AIに社内の仕組みと共有ファイルを一通り見てもらい、危ないところを挙げてもらいました。見つかった弱点は約50です。家にたとえると、こうなります。

家にたとえると	実際にあったこと
合鍵が玄関マットの下にある	業務で使う鍵（パスワードのようなもの）が、プログラムの中や作業の記録に、そのまま書かれていた
1本の鍵で全部の部屋が開く	1本の鍵で、本来の用途よりずっと広い範囲に手が届く設定になっていた
使っていない窓が開いている	使っていない入口が、開いたままになっていた
書類が道路から見える	社内の書類の一部が、リンクを知っていれば誰でも開ける設定のままだった
表札を誰でも使える	会社の名前をかたったメールを、送れてしまう状態だった

どれも、誰かが悪意を持って作ったものではありません。便利だから、急いでいたから、あとで直すつもりだったから。その「あとで」が積み重なっていました。

特に怖かったのは、書類です。以前、ファイルを別の場所から移したとき、「リンクを知っている人は見られる」という設定が、フォルダごとまとめて付いていました。誰も気づかないまま、そのままになっていたのです。

約50の弱点を、全部同じ重さで扱うと、どこから手を付けるべきか分からなくなります。そこで、深刻さで点数を付けました。目安にしたのは、脆弱性（ぜいじゃくせい）の深刻さを表す国際的な指標の区分です。

そのうえで、「全部の点数のうち、直した分が何割か」を100点満点で表すことにしました。弱点を1つ直すたびに、点数が上がります。

点数の動きは、こうなりました。

点数にしてよかったのは、「どこまで来たか」が、私にも社員にも一目で分かることです。セキュリティの話は、ふつうは「気をつけましょう」で終わってしまいます。点数があると、「今日は何点上がった」という会話になります。

なお、この点数は社内の目安です。外部の監査で付く点数ではありません。

やったことは、どれも地味です。

鍵を全部取り替えた。 使える範囲を必要な分だけに絞り、期限も付けました。古い鍵は無効にしました。
使っていない入口を閉めた。 使っていないアプリや設定も片付けました。
書類のカーテンを閉めた。 「リンクを知っていれば誰でも見られる」設定を、1つずつ「社内の人だけ」に戻しました。お客様に見せる必要があるものは、相手を名指しで共有する形に変えました。
表札の偽造を防いだ。 会社の名前をかたったメールを、受け取る側がはじけるようにしました。

お金はほとんどかかっていません。かかったのは時間と、「これは本当に要るのか」を1つずつ判断する手間です。

1つ、失敗も書いておきます。

最初の日、AIは「この入口は閉まっている」と報告しました。ところが3日後に別の角度から確かめ直すと、実際には開いていました。「呼ばれたら開く」状態を、「閉まっている」と読み違えていたのです。

AIに点検させると、速く、広く見てくれます。それでも、報告をそのまま信じるのは危ない、と分かりました。いまは、直したあとに「本当に直ったか」を、別の方法でもう一度確かめるようにしています。共有ファイルも、閉じたあとに1つずつ設定を読み直して、「リンクで見られる」状態が消えたことを確かめました。

「泥棒が入ろうと思えばすぐ入れる家」から「ふつうの泥棒ならあきらめる家」にするのに、特別な道具は要りませんでした。小さな会社がまず見るべきなのは、次の3つだと思います。

完璧な家はありません。弊社にも、まだ手を付けていない対策が残っています。それでも、0点の家と83点の家では、泥棒の目に映る姿がまったく違います。

点検してみなければ、自分の家が0点だとは分かりませんでした。まずは1度、点検してみることをおすすめします。