社員5人の会社のセキュリティは0点だった【後編】92点まで上げたのは、AIではなく社長の即断

前編では、社員5人の弊社が、セキュリティの点検で0点だったことを書きました。合鍵は玄関マットの下、窓は開けっぱなし、書類は道路から丸見え。見つかった弱点は86件で、最初の5日間で65点まで直しました。

後編は、その先の話です。

結論から言うと、65点から92点まで上げたのは、AIではなく、社長の即断でした。 AIは弱点を見つけるのが得意です。けれど、直すかどうかを決めることはできません。65点から先に残っていたのは、私にしか決められない弱点ばかりでした。

65点から92点までの12日間

後半の点数の動きは、こうなりました。

日	点数	やったこと
5日目	65点	（前編まで）
6〜7日目	67点	検査の取りこぼしを拾い直し、古い記録に残っていた鍵を消した
9日目	87点	管理画面の2段階認証、ドメインの乗っ取り防止、2台目のサーバーの再点検
12日目	90点	使わなくなるサービスの整理、社内アプリが預かる鍵の暗号化
17日目	92点	社内サーバーのディスクの暗号化とバックアップ

出典：弊社の全社セキュリティ点検の記録。見つかった86件を物差しに、各日の終わりに直っていた割合で計算

86件のうち77件を直し、残りは9件です。深刻さ「高」の弱点は、ゼロになりました。 残りは、日程を決めて進めている確認作業や手入れです。CVSS（前編で説明した、弱点の深刻さの国際的な物差し）でいうと、「緊急」にあたる11件はすべて直しています。

出典：弊社の全社セキュリティ点検の記録（86件中77件を対策・2026年11月6日時点）

残った弱点は、社長にしか決められないものだった

前半で直したものの多くは、AIがプログラムを書き換えれば済むものでした。後半に残ったのは、性質が違います。並べると、こうなります。

残っていた弱点	決められるのは誰か	なぜ担当者やAIでは進まないか
管理画面に2段階認証が無い	社長	認証の登録は、アカウントの持ち主のスマホでしかできない
書類が「リンクを知っている全員」に公開	社長	閉じると、誰かの仕事が止まるかもしれない。止めてよいかの判断が要る
使わなくなるサービスの鍵が残っている	社長	鍵を消すには、契約の整理（解約）を決めないといけない
ディスクの暗号化とバックアップが無い	社長	機材を買うお金と、止めてよい時間を決めないといけない
ドメインの乗っ取り防止が掛かっていない	社長	契約者の管理画面でしか設定できない

どれも、技術としては難しくありません。難しいのは「決める」ことです。そして、小さな会社でそれを決められるのは、社長しかいません。

点数の動きを見返すと、それがはっきり出ています。いちばん大きく動いた2日は、どちらも私がその場で決めた日でした。

• 5日目（＋30点）：公開されていた書類を「今日、全部閉じる」と決めた日です。困る人がいれば、あとで個別に共有し直せばいい、と割り切りました。
• 9日目（＋20点）：管理画面の2段階認証を、AIに画面を案内してもらいながら、その日のうちに私が自分で設定した日です。

即断した例、即断しなかった例

即断といっても、何でもすぐ変えればいいわけではありません。後半で決めたことを、いくつか挙げます。

その日のうちに決めたもの

• 2段階認証：「設定されていません」と聞いて、その日の夕方には設定を終えました。
• 使わなくなるサービスの解約：もともと解約する予定だったサービスがありました。解約日まで鍵を残しておく理由はないので、整理を前倒しにしました。
• バックアップ用の機材の購入：その日のうちに注文し、届いた翌日に設定しました。設定のあと、再起動して本当に元どおり動くかまで確かめて、92点になりました。

あえて今は変えないと決めたもの

• 社内のネットワーク機器の一部の設定：外出先から遠隔で変えて、もし失敗したら戻せません。危なさは低いので、「今のまま」と決めました。変えるなら、機器の前にいるときにやります。

「やらない」と決めるのも、立派な判断です。いちばん困るのは、決めないまま「あとで」と置いておくことでした。前編で書いたとおり、弱点の多くは、その「あとで」が積み重なってできていました。

失敗談：社長自身が、パスワードを覚えていなかった

後半にも失敗がありました。

1つ目。2段階認証を設定しようとしたら、ある管理画面のパスワードを、私自身が覚えていませんでした。作り直すことになり、途中でログインの回数制限に引っかかって、1時間以上待たされました。「社長しか決められない」は、「社長しか入れない」でもあります。その社長が鍵をなくしていたら、会社の誰も入れません。

2つ目。古い鍵を1本取り消したら、そこにひも付いていた別の鍵まで一緒に消えました。ある仕組みが動かなくなり、登録し直しました。鍵は単独で存在しているとは限りません。取り消す前に、その鍵で何を作ったかを確かめるようにしています。

どちらも、AIが見つけた弱点を直す途中で起きたことです。直す作業そのものにも、人の判断と確認が要ります。

気づいていない社長へ：点検はAIに、決めるのは社長に

この17日間で分かったのは、役割分担です。

1. AIに、見つけさせる。 社内の仕組みと共有ファイルを広く見て、弱点を一覧にするのは、AIが速くて正確です。CVSSで深刻さの目安を付け、直す順に並べるところまで任せられます。
2. 社長が、その日のうちに決める。 直すか、直さないか、いつ直すか。お金や契約や、誰かの仕事に関わる判断は、社長しかできません。
3. AIと一緒に、本当に直ったか確かめる。 直したあとに、別の方法でもう一度確かめます。AIの報告も、人の作業も、間違えるからです。

「セキュリティは担当者に任せている」という会社は多いと思います。けれど、担当者には、解約を決める権限も、機材を買う予算も、社長のアカウントに2段階認証を設定する手段もありません。任された担当者は、弱点を見つけても、社長の判断を待つしかないのです。

だから、社長がやることは1つです。決める時間を、先に取っておく。 弊社では、AIが弱点を挙げたら、その場で「今日直す」「日を決めて直す」「今は直さない」のどれかに振り分けました。「あとで考える」は選ばないようにしました。

92点は、ゴールではない

92点は、満点ではありません。残りの9件もあります。新しい仕組みを作れば、新しい弱点も生まれます。新しい弱点が見つかれば、点数はまた下がります。

それでも、0点の家と92点の家では、泥棒の目に映る姿がまったく違います。そして、0点から92点まで、かかったのは17日でした。特別な予算や専門の部署は要りませんでした。要ったのは、AIに見つけさせる仕組みと、社長がその場で決めることだけです。

自分の会社が何点なのか、まだ分からない方へ。まずは1度、点検してみてください。そして、見つかった弱点を前にしたら、その日のうちに決めてください。

---

参考：グラフの数字は、弊社の全社セキュリティ点検の記録（2026年10月21日〜11月6日）から作りました。CVSSの区分は FIRST「CVSS v4.0 Specification Document」によります。CVSSの考え方は前編で詳しく説明しています。