情報漏洩リスクが高まる今、中小企業の経営者が考えておきたいこと

はじめに｜相次ぐ情報漏洩と、変わりつつある情報管理の常識

最近、企業の情報漏洩やサイバー攻撃に関するニュースを目にする機会が増えました。

顧客情報が外部に流出した、システムが使えなくなった、業務が一時停止したなど、その内容もさまざまです。

こうしたニュースを見ると、「大きな会社は大変だな」と、どこか他人事に感じてしまうかもしれません。

しかし、少し考えてみると、私たちの身近な事業にも同じようなリスクが存在しています。

飲食店の予約情報、美容室の顧客名簿、ネットショップの注文履歴、宿泊施設の宿泊者情報。規模は違っても、お客様から大切な情報を預かっていることに変わりはありません。

「うちの会社は大丈夫だろうか」

最近のニュースを見て、そんな不安を感じた経営者の方もいらっしゃるのではないでしょうか。

さらに近年は、AIの進化によってサイバー攻撃の手口が巧妙化することも懸念されています。

デジタル化によって仕事は便利になりましたが、その便利さをどう安全に利用していくのか。経営者にとって、少し悩ましい時代になってきました。

とはいえ、すべての会社が高度なセキュリティシステムを導入できるわけではありませんし、専門の担当者を置くことも簡単ではありません。

では、中小企業や個人事業主は、こうした状況にどう向き合っていけばよいのでしょうか。

今回は、2026年の情報セキュリティを取り巻く動向を確認しながら、日々の事業運営の中で考えておきたいことを整理してみたいと思います。

1．サイバー攻撃は、もう大企業だけの問題ではない

独立行政法人情報処理推進機構（IPA）は、2026年1月29日に「情報セキュリティ10大脅威2026」を公表しました。

これは、前年に社会的影響が大きかった情報セキュリティ上の事故や攻撃などを踏まえ、専門家による選考を経て決定されたものです。

企業や組織にとって注意すべき脅威として、次のようなものが挙げられています。

順位	情報セキュリティ上の脅威
1位	ランサム攻撃による被害
2位	サプライチェーンや委託先を狙った攻撃
3位	AIの利用をめぐるサイバーリスク
4位	システムの脆弱性を悪用した攻撃
5位	機密情報を狙った標的型攻撃

出典：IPA「情報セキュリティ10大脅威2026」 IPA 独立行政法人 情報処理推進機構

特に気になるのが、2026年に初めて選出された「AIの利用をめぐるサイバーリスク」です。

AIは文章作成や情報整理など、さまざまな業務を効率化してくれる便利な技術です。しかし、悪意のある人物がAIを利用すれば、自然な日本語の詐欺メールや、本物と見分けにくい偽の情報を作成することも可能になります。

以前なら、不自然な日本語のメールを見て「これは怪しいな」と気付けたかもしれません。

ところが、文章が自然だからといって安心できない時代になってきました。

また、企業側がAIを利用する際にも、顧客情報や機密資料の取扱いには注意が必要です。

もちろん、AIそのものが危険というわけではありません。

重要なのは、技術の進歩に合わせて、企業側の情報管理の考え方も見直していくことです。

2．中小企業でも、実際に被害が発生している

「うちの会社には、狙われるような情報なんてないよ」

そう考える経営者の方もいらっしゃるかもしれません。

しかし、サイバー攻撃の目的は、必ずしも企業の機密情報を盗むことだけではありません。

例えば、ランサムウェアと呼ばれる不正なプログラムによって、パソコンやシステム内のデータが暗号化され、業務ができなくなるケースもあります。

IPAが全国の中小企業4,191社を対象に実施した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、過去3期以内にサイバーインシデントが発生した企業における被害額は平均73万円、復旧までに要した期間は平均5.8日と報告されています。

また、被害額が100万円以上だった企業も確認されています。

なお、これらは被害が発生した企業についての調査結果であり、すべての中小企業に同程度の被害が発生するという意味ではありません。

それでも、決して軽視できる数字ではないでしょう。

例えば、ネットショップが数日間停止してしまったらどうでしょうか。

商品の注文を受け付けることができず、売上に直接影響するかもしれません。

飲食店で予約システムが使えなくなれば、予約状況を確認できず、お客様への対応に支障が出る可能性もあります。

さらに、システムの復旧費用や顧客への説明など、通常業務以外にも対応しなければならないことが増えます。

つまり、情報漏洩やサイバー攻撃は、単なるパソコンの問題ではありません。

売上や信用、場合によっては事業の継続にまで影響する経営上のリスクなのです。

3．自分の会社だけでなく、取引先にも影響することがある

もう一つ、経営者が知っておきたいのが「サプライチェーン攻撃」です。

少し難しい言葉ですが、簡単に言えば、取引先や業務委託先などを経由して、別の企業に侵入したり、被害を広げたりする攻撃のことです。

例えば、大企業が高度なセキュリティ対策を導入していても、その取引先である中小企業の管理が不十分だった場合、そこが攻撃の入り口になる可能性があります。

先ほどのIPAの調査でも、不正アクセス被害を受けた企業のうち、19.8％が取引先やグループ会社などを経由した侵入を経験したと回答しています。

これは中小企業にとって、少し考えさせられる問題です。

自社の情報を守るだけでなく、取引先から預かった情報を守る責任もあるからです。

企業間取引では、今後さらに情報管理体制について説明を求められる場面が増える可能性があります。

「取引先から求められたので、急いで対策を始める」

そうなる前に、自社の管理状況を確認しておくことが大切ではないでしょうか。

4．情報漏洩は、日常業務の中でも起こり得る

情報漏洩というと、高度な技術を持つ攻撃者が企業のシステムに侵入する場面を想像しがちです。

しかし、実際には日常業務のちょっとした不注意が原因になることもあります。

例えば、次のようなケースです。

メールの誤送信

顧客情報を含むファイルを、誤った相手に送信してしまうケースです。

パスワードの使い回し

複数のサービスで同じパスワードを使用していたため、一つのサービスから認証情報が流出し、ほかのシステムにも不正アクセスされてしまうケースです。

従業員による情報の持ち出し

業務資料を個人のパソコンやクラウドサービスに保存した結果、適切な管理ができなくなるケースです。

古いソフトウェアの使用

更新されていないパソコンやソフトウェアの脆弱性を悪用されるケースです。

生成AIやクラウドサービスへの不用意な情報入力

業務を効率化しようとして、顧客情報や社内の機密資料を外部サービスに入力してしまうケースです。

情報の利用目的や保存方法、サービス提供事業者によるデータの取扱条件などを確認せずに使用すると、思わぬ問題につながる可能性があります。

こうして見ると、情報漏洩は高度な技術だけの問題ではないことが分かります。

実際、情報を扱うのは人間です。

どれほど優れたシステムを導入していても、従業員が情報の取扱方法を理解していなければ、事故につながる可能性があります。

セキュリティ対策は、機械に任せて終わりというわけにはいかないようです。

5．経営者が今から確認しておきたい5つのこと

では、中小企業や個人事業主は、具体的に何から始めればよいのでしょうか。

最初から高額なセキュリティシステムを導入する必要はありません。

まずは、日常業務の中で見直せることから始めてみましょう。

① 会社が持っている情報を把握する

顧客情報、従業員情報、契約書、取引先情報など、会社がどのような情報を保有しているのか整理します。

そして、それらがどこに保存され、誰がアクセスできる状態になっているのかを確認しましょう。

「そういえば、昔使っていたパソコンにも顧客名簿が残っていた」

そんなことがないか、一度確認しておきたいところです。

また、すでに利用する必要がなくなった個人情報については、法令上の保存義務などを確認したうえで、適切に削除・廃棄することも大切です。

② パスワードとアクセス権限を見直す

業務で使用するサービスのパスワードは、使い回さないことが基本です。

利用できるサービスでは、多要素認証も設定しましょう。

また、従業員全員がすべての情報にアクセスできる必要があるとは限りません。

担当業務に応じて権限を分けることも、有効な対策です。

特に、退職した従業員のアカウントがそのまま残っていないかは、一度確認しておきたいところです。

③ パソコンやソフトウェアを最新の状態にする

OSやソフトウェアの更新には、セキュリティ上の問題を修正する目的もあります。

更新通知を後回しにしている場合は、一度確認してみましょう。

また、重要なデータは定期的にバックアップを取り、必要なときに復元できる状態にしておくことも大切です。

バックアップについては、元のシステムと一緒に被害を受けないよう、保存先やアクセス権限にも配慮する必要があります。

④ 従業員と情報管理のルールを共有する

顧客情報を個人のスマートフォンに保存しない、業務資料を許可なく外部サービスにアップロードしないなど、基本的なルールを決めておきましょう。

生成AIを業務で使用する場合も、入力してよい情報と、入力してはいけない情報の基準を設けることが望まれます。

難しい規程を作ること自体が目的ではありません。

従業員が迷ったときに、何をしてよいのか、誰に確認すればよいのかが分かることが重要です。

⑤ 万が一の対応を考えておく

情報漏洩が疑われたとき、誰に連絡すればよいのか。

システムが使えなくなった場合、どのように業務を続けるのか。

こうしたことも、事前に考えておきたいところです。

事故が発生してから対応方法を考えるのでは、判断が遅れてしまう可能性があります。

IPAが2026年3月27日に公開した「中小企業の情報セキュリティ対策ガイドライン第4.0版」には、情報管理に役立つ資料や自社診断ツールも用意されています。

まずは自社の状況を確認するところから始めてみるのもよいでしょう。

参考：IPA「中小企業の情報セキュリティ対策ガイドライン」 IPA 独立行政法人 情報処理推進機構

---

6．もし顧客情報が漏洩してしまったら？

ここで、少し法律の話にも触れておきます。

会社が保有する個人データについて情報漏洩が発生した場合、内容によっては個人情報保護法に基づく対応が必要になります。

個人情報保護法第26条では、一定の個人データの漏洩等について、個人情報保護委員会への報告や本人への通知を義務付けています。

例えば、次のような事態です。

• 要配慮個人情報が含まれる個人データの漏洩等
• 財産的被害が生じるおそれのある個人データの漏洩等
• 不正な目的で行われたおそれのある個人データの漏洩等
• 1,000人を超える本人に関する個人データの漏洩等

これらに該当する場合、実際に漏洩が確認されたときだけでなく、漏洩等が発生したおそれがある場合にも報告対象となることがあります。

報告義務が生じる場合、個人情報保護委員会は、速報について発覚から概ね3～5日以内、確報について原則30日以内、不正目的による漏洩等については原則60日以内と案内しています。

もちろん、すべての情報漏洩で報告義務が発生するわけではありません。漏洩した情報の種類や件数、発生した事情などによって判断が異なります。

また、法律上の報告義務とは別に、顧客や取引先への説明、システムの復旧、原因調査、再発防止策の実施などが必要になる場合もあります。

ここで経営者が意識しておきたいのは、情報漏洩による影響が、単なるシステムの復旧費用にとどまらないということです。

長年の取引関係や、お客様との信頼関係に影響することもあるでしょう。

情報漏洩は、発生してから対応を考えるのではなく、万が一の事態まで想定して備えておくことが大切です。

7．セキュリティ対策に使える補助金もあります

本格的なサイバーセキュリティ対策を検討する際、気になるのが導入費用です。

特に中小企業や個人事業主の場合、専門の担当者を配置したり、高額なシステムを導入したりすることは簡単ではありません。

こうした事業者向けの支援制度として、国の「デジタル化・AI導入補助金2026」には、セキュリティ対策推進枠が設けられています。

この制度では、一定の要件を満たす事業者が、登録されたサイバーセキュリティサービスを導入する際、費用の一部について補助を受けられる場合があります。

補助額は5万円から150万円、補助率は小規模事業者が3分の2以内、中小企業が2分の1以内です。

対象となるのは、IPAの「サイバーセキュリティお助け隊サービスリスト」に掲載され、補助金事務局にも登録されたサービスです。

そのため、すべてのセキュリティ機器やソフトウェアが自由に購入できるわけではありません。

また、補助金は審査があり、申請すれば必ず交付されるものでもありません。

導入を検討する際には、対象サービスや最新の公募状況を確認しておきましょう。

参考：デジタル化・AI導入補助金2026 セキュリティ対策推進枠

8．国もセキュリティ対策の強化に動き始めている

情報漏洩やサイバー攻撃が経営上の問題として認識される中、国も企業のセキュリティ対策を強化するための取り組みを進めています。

例えば、経済産業省と内閣官房国家サイバー統括室は、2026年3月27日に「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表しました。

これは、企業がどの程度のセキュリティ対策を実施しているのかを可視化し、取引先などが確認しやすくするための仕組みです。

2026年度末頃には、一部の評価区分について申請受付の開始を目指すとされています。

現時点では任意の制度であり、すべての企業に評価の取得を義務付けるものではありません。

しかし、こうした取り組みからも、国が個々の企業だけでなく、取引先を含めたサプライチェーン全体のセキュリティ対策を重視していることが分かります。

今後は、国としても新たな制度の整備や支援策の拡充など、サイバーセキュリティ対策の強化に向けた取り組みをさらに進めていく可能性があります。

また、企業間取引において、情報管理体制やセキュリティ対策の状況が、これまで以上に重視されるようになることも考えられます。

もちろん、具体的な規制強化や新たな義務がすべて決まっているというわけではありません。

ただ、経営者としては、こうした変化を知らないままでいることも避けたいところです。

事業主や企業の代表者として、日々の情報管理を見直すとともに、今後の法制度や国の支援策の動向にも目を向けておきたいものです。

情報漏洩対策は、何か問題が起きてから考えるものではなく、これからの事業運営を見据えて、少しずつ備えていくべき経営課題なのかもしれません。

9．便利な時代だからこそ、あえて立ち止まって考えたいこと

ここまで、情報漏洩のリスクやセキュリティ対策について紹介してきました。

最後に、もう一つ考えておきたいことがあります。

それは、何でもデジタル化すればよいというわけではないということです。

最近では、契約書の作成や保存、顧客情報の管理、社内での情報共有など、多くの業務をオンラインで行えるようになりました。

業務効率化という点では、大きなメリットがあります。

一方で、便利だからという理由だけで、必要以上の情報をクラウドサービスに保存したり、多くの従業員が閲覧できる状態にしたりしていないでしょうか。

例えば、特に機密性の高い書類については、閲覧できる人を限定する、必要に応じて紙媒体で保管するなど、情報の性質に合わせた管理方法を選ぶことも考えられます。

もちろん、紙で保管すれば必ず安全というわけではありません。

紛失や盗難、誤廃棄といったリスクもあります。

大切なのは、デジタルとアナログのどちらが優れているかということではなく、その情報をどのように管理することが適切なのか、会社として判断することだと思います。

便利なサービスが増えている今だからこそ、一度立ち止まって、自社の情報管理を見直してみる。

そんな時間を設けてみてもよいのではないでしょうか。

まとめ｜情報を守ることは、会社の信用を守ること

サイバー攻撃の高度化やデジタル化の進展によって、企業を取り巻く情報セキュリティ上の課題は複雑になっています。

しかし、情報漏洩対策は、必ずしも高度な専門知識や多額の設備投資がなければ始められないものではありません。

まずは、自社がどのような情報を保有しているのかを知ること。

そして、日常業務の中にあるリスクを確認し、できることから対策を進めていくことが大切です。

特に中小企業では、経営者自身が情報管理の重要性を理解し、従業員と共有することが大きな意味を持ちます。

今後、国によるセキュリティ対策の制度整備や支援策が進めば、企業に求められる対応も変わっていく可能性があります。

そうした変化に慌てて対応することのないよう、普段から情報管理への意識を持ち、必要に応じて対策を見直していきたいものです。

情報漏洩は、企業の規模に関係なく起こり得る問題です。

そして、その影響はパソコンやシステムだけでなく、お客様や取引先との信頼関係にも及ぶ可能性があります。

「うちの会社は大丈夫だろうか」

そう感じたときこそ、情報管理を見直すよい機会なのかもしれません。

会社の情報を守ることは、お客様から預かった大切な情報を守ること。

そして、これまで積み重ねてきた会社の信用を守ることにもつながります。

これからの時代、情報セキュリティ対策は、経営者自身が継続して向き合っていくべき重要な経営課題の一つになっていくでしょう。

行政書士としてお手伝いできること

当事務所では、創業支援や事業運営に関する各種手続き・書類作成などを通じて、事業者の皆様をサポートしています。

私自身は、サイバーセキュリティシステムの技術的な専門家ではありませんが、これからの事業運営において、情報管理やセキュリティ対策はますます重要になると考えています。

そのため、創業時の事業計画や設備投資に関するご相談をはじめ、セキュリティ対策に活用できる補助金・支援制度のご案内や、申請に必要な書類の作成支援など、行政書士として対応できる範囲でお手伝いできればと考えています。

また、技術的な対応が必要な場合には専門事業者への相談も視野に入れながら、事業者の皆様が安心して事業を続けられるよう、伴走型の支援を大切にしています。

---

※本記事は一般的な情報提供を目的としています。個人情報保護法に基づく報告義務の有無や補助金の対象要件については、個別の事情と最新の公式情報により判断する必要があります。また、今後の制度改正や支援策の拡充に関する記述は将来的な可能性を示すものであり、実施が確定しているものではありません。