中小企業のセキュリティ対策、まずは”ネットに晒しているもの”から手をつけよう

作成日: 2026-09-14

「取引先からセキュリティ対応について聞かれたけど、まず何から答えたらいいんだろう…」

取引先の要求水準が上がってきていて、対応せざるを得ない。でも社内には専任者がいないし、予算も潤沢ではない。中小企業では「まず何から手をつければいいか」が最大の悩み、というケースが多いように感じます。

私は本業で大手グローバル製造業のセキュリティチーム（CSIRT）に所属していて、日々の脆弱性対応や社内展開の意思決定をしています。その視点から言えることを、この記事にまとめました。

結論から言うと、まずはサプライチェーンリスク評価制度で解説した SECURITY ACTION ★1・★2 から始めていただき、ルールや体制ができてきたら、「まず攻撃者から見えている面（＝インターネットに公開している資産）から手をつける」 のが良いと思っています。

#005 SECURITY ACTION ★1・★2とは｜SCS対応の出発点を理解する

なぜ”外から見える資産”を先に守るべきか
でも、全部自分で調べるのは現実的じゃない
まず自分で「持っているもの」を棚卸しする
見つけた資産の弱点を判定する（CVSSは”目安”）
【コラム】デジタル庁も”Medium”から侵入された
ASM（アタックサーフェスマネジメント）、脆弱性診断など外部に頼る
まとめ：見える面から、両輪で
関連記事

なぜ”外から見える資産”を先に守るべきか

攻撃者は、皆さんの会社のことをインターネット越しに調べて、攻撃できる箇所を探しています。もちろん、メールやWeb閲覧など内部から攻撃を招き入れてしまうこともありますが、インターネットに公開している資産に脆弱性があると、いつでもすぐに攻撃できる状態ということです。

なので、対策の優先順位を考えるときは 「一番攻撃されやすい箇所から守る」 ことは有効な対策の1つです。もちろん、重要な情報は手厚く守る、1つの対策が突破された場合も他の対策で守るなど、多層・多重で対策する必要があるので、1つだけやれば十分というわけではなく、優先順位の話です。

でも、全部自分で調べるのは現実的じゃない

そうは言っても、正直、中小企業が自分たちだけで「外から見えている資産を全部把握する」のは現実的じゃないと感じています。

世の中には、こういう調査をやってくれるサービスがちゃんとあります。網羅的に「他にも資産があるのでは？」を探してくれるものや、特定の資産（Webサイト・VPN機器など）について弱点を診断してくれるもの、いくつか種類があります。詳しくは後半でご紹介します。

ただ、外部サービスにいきなり丸投げする前に、「自分たちが何を持っているか」は自社で把握しておいた方が良い です。依頼するときの精度が上がりますし、そういったサービスでも完全に自社に関連する資産を洗い出すことはできないので、管理できずに放置されている資産は攻撃者の格好の的になります。

まず自分で「持っているもの」を棚卸しする

やることはシンプルで、「自分たちが公開しているものを、自分たちで把握しておく」だけです。

どんなWebサーバがあるか（コーポレートサイト、採用サイト、ECサイト、キャンペーンLP…）
どんなSaaSを使っているか（メール、ファイル共有、CRM、勤怠…）
VPN機器はあるか（在宅勤務用、拠点間接続用）
クラウド上に何か公開しているものはないか（AWS、Azure、GCP上のサーバ、S3バケット…）

規模の大きい会社であればツールが必要だと感じますが、ExcelやGoogleスプレッドシートでもよいので、一覧化するだけで大きな一歩です。

リストにすること自体に価値があります。「うちが何を出しているか、案外把握できていなかったな」という気付きがあるはずですし、後から外部診断を頼むときの見積もり材料にもなります。

なお、資産の棚卸しをより本格的にやりたい方は、当ブログの #008 SCS★3③ IT資産棚卸しとネットワーク一覧の作成も参考にどうぞ。SCS制度の要求事項に沿った、もう一段深い棚卸しの考え方をまとめています。

見つけた資産の弱点を判定する（CVSSは”目安”）

一覧化した資産に脆弱性があるかどうかは、CVSS（シーブイエスエス）という共通の”目安”で優先順位が付けられます。

CVSS は脆弱性の深刻度を 0.0〜10.0 の数値で表す、業界標準のスコアです。目安としてはこんな感じ。

スコア	深刻度	対応方針の目安
9.0〜10.0	Critical（緊急）	即対応
7.0〜8.9	High（重要）	1〜2週間以内
4.0〜6.9	Medium（警告）	数週間〜1ヶ月以内
0.1〜3.9	Low（注意）	定期メンテナンスの範囲

「[製品名] CVE」で検索すると、その製品に該当する脆弱性の一覧とCVSSスコアが出てきます。

ただし、これはあくまで”共通の目安”であって、自社での本当の深刻度は別 です。CVSS が Medium だからといって、必ずしも安全というわけではありません。

そのことが最近、大きな事案で明らかになりました。

【コラム】デジタル庁も”Medium”から侵入された

2026年9月11日、デジタル庁がガバメントソリューションサービス（GSS）への不正アクセスを公表しました。約24.6万件の個人情報が漏えいした可能性があるという、かなりインパクトのある発表でした。

原因は VPN機器の脆弱性を悪用された ものだそうです。デジタル庁のQ&Aでは、この脆弱性のCVSS評価は当初「Medium」だったことが示されています。

悪用されたのは CVE-2026-0257（Palo Alto Networks 社の PAN-OS GlobalProtect の認証回避の脆弱性）である可能性が高いとされていますが、CVSS v4 のスコアは 4.7（Medium）。数字だけ見ると「そこまで焦らなくていい」印象を受けるスコアです。

デジタル庁ですら侵入を許したわけですから、中小企業が自分たちだけで全部の脆弱性を見つけて優先順位を付けるのは、正直厳しいです。ここは素直に、外部の力を借りるのが現実解になります。

ASM（アタックサーフェスマネジメント）、脆弱性診断など外部に頼る

じゃあどうするか。前半で自分たちで「持っているもの」を一覧化したら、そこから先は素直に外部に頼るのが現実解だと感じています。

大きく3つの選択肢があります。

① 「他にも資産があるのでは？」を確認したい → ASM

「うちが把握していない露出資産が他にもあるんじゃないか」という不安に応えるサービスが ASM（Attack Surface Management：攻撃対象領域管理） です。

自社ドメインを起点に、外から見て「これも御社の資産では？」と網羅的に洗い出してくれる仕組みです。経済産業省も導入ガイダンスを出していて、考え方は公的にオーソライズされています。

ASM（Attack Surface Management）導入ガイダンス（経済産業省）

ASMを提供している事業者は複数あるので、経産省のガイダンスで考え方を掴んだうえで、比較検討するのが良いと感じます。

② 特定資産の弱点を診てほしい → 外部脆弱性診断

「このWebサイトが安全か診てほしい」「このVPN機器の設定が適切か診断してほしい」といった、特定の資産に対する診断 は外部脆弱性診断サービスの領域です。

従来型のスポット診断は数十万円〜と、正直中小企業には敷居が高いものが多かったです。ただ、最近は月額数千円〜の継続監視型サービスも出てきていて、選択肢が広がっています。

たとえば GMOサイバー攻撃ネットde診断 Lite（GMOサイバーセキュリティ byイエラエ株式会社）は月額4,280円（税抜）／4,708円（税込）から、WebサイトやVPN機器などの外部公開資産を365日自動で診断・監視してくれるSaaS型サービスです。専門家不在・予算不足の悩みを想定して設計されているので、まず月額型で試してみて、必要ならスポット診断も併用する、というのが現実的だと思います。

もう少し手軽に、Webサイトの脆弱性診断とマルウェア対策だけ から始めたい場合は、SiteLock というサービスも選択肢に入ります。ドメイン運用者向けに提供されている、月額型の Web セキュリティサービスです。