中小企業の社内ネットワークセキュリティ構築｜経営者の実装7ステップ

「うちのような規模の会社まで、本当に狙われるものだろうか」。中小企業の社内ネットワークセキュリティ構築を検討し始めた経営者の方から、必ずといっていいほど伺うお声です。

結論から言うと、社内ネットワークセキュリティ構築は「守るべき資産の棚卸し→ネットワーク分離→UTM／MFA／EDR／バックアップの4基盤→運用体制の整備」という7ステップで進めるのが実務的な最短ルートです。従業員10〜100名規模であれば、初年度100万円レンジで境界・多要素認証・バックアップの3点は揃えられます。

本記事では、経営者が押さえるべき7ステップ、必ず入れるべき技術対策、失敗パターンと回避策、予算別の投資計画、そしてインシデント発生時の対応フローまでを順に整理していきます。中小企業経営者の方の意思決定の材料としてお役に立てれば嬉しく思います。

中小企業がサイバー攻撃の主戦場になっている現状

中小企業を狙うサイバー攻撃は、この5年で「たまに起こる災害」から「常に降っている雨」へと様変わりしました。攻撃者側の関心は、防御が薄く、大手取引先へつながる導線を持つ企業に集中しています。

サプライチェーン攻撃で中小企業がゲートウェイになる仕組み

サプライチェーン攻撃とは、標的企業ではなく、その取引先や委託先の弱いところを踏み台にして本命に到達する攻撃手法のことです。例えば、大手メーカーAが取引を行う部品加工メーカーBの社内ネットワークに侵入し、B社の共有フォルダに置かれたA社の図面や見積書を窃取するといった形で発生します。

守る側からすると、「自社の情報は大したものではない」と考えていても、取引先の情報が自社経由で漏れれば、契約解除・損害賠償・信用毀損というトリプルパンチを受けます。ここが、中小企業が主戦場と言われる最大の理由です。

IPA『情報セキュリティ10大脅威 2025』が示す組織の脅威

IPA が毎年公表する「情報セキュリティ10大脅威」は、経営者が最初に目を通しておくべき資料です。組織編の2025年版では、上位に「ランサムウェアによる被害」「サプライチェーンの弱点を悪用した攻撃」「内部不正による情報漏えい等の被害」が並びます。

いずれも、社内ネットワークの入口（境界）、内部の権限管理、バックアップの取り方という3点を押さえられていれば大幅にリスクを下げられる項目です。逆にいえば、この3点のどれかが欠けている企業ほど、統計上位の脅威に直撃されます。

1件のランサムウェア被害で発生する平均コストと復旧期間

警察庁が公表するランサムウェア被害の企業アンケート結果を見ると、復旧までにかかった期間が「1週間〜1か月未満」と回答する企業が最多層に位置し、調査・復旧費用の合計が数百万〜数千万円レンジになるケースが多数を占めます。

数字で並べると、初期投資100万円レンジの対策と、被害発生時の損失の桁が違うことが一目で分かります。経営会議で説明するときも、「守るコスト」ではなく「起きたときの損失を先払いで潰す保険」というフレームで話すと、経営陣の腹落ちが早くなります。

社内ネットワークセキュリティを構成する5階層モデル

社内ネットワークセキュリティは、5階層の重ね着で考えると全体像を見失いません。境界・端末・アイデンティティ・データ・運用の5層のそれぞれで、担当役割と最低ラインを揃えるのが定石です。

境界防御（ファイアウォール／UTM／VPN）の役割

境界防御とは、社内ネットワークとインターネットの境目に配置し、外部からの通信をふるいにかけるレイヤーのことです。ファイアウォールはIPアドレス・ポート単位で通信を制御し、UTM（Unified Threat Management）はそこにアンチウイルス・IPS・Webフィルタリングなどを一体化した機器を指します。

社内ネットワーク構築の入口として、まず境界防御の設計から着手するのが原則です。VPNは、リモートワーカーが社外から社内ネットワークへ入る際に暗号化トンネルを確保するために組み合わせます。

エンドポイント対策（EDR／MDMがカバーする領域）

エンドポイントとは、PC・スマートフォン・タブレットなど、社員が実際に触れる端末のことです。EDR（Endpoint Detection and Response）は、端末の挙動を常時監視して不審な動きを検知・隔離する仕組み、MDM（Mobile Device Management）はスマートフォンなどのモバイル端末を一括管理する仕組みを指します。

境界を突破された前提で、端末の内側からもう一段防御を張るのがエンドポイント層の役割です。ここが弱いと、社員がフィッシングメールで踏んだ1件の悪性リンクから、社内全域に被害が広がります。

アイデンティティ層（ID・パスワード・多要素認証）

アイデンティティ層は、「誰が」「何にアクセスできるか」を扱う階層です。ID・パスワード管理と、多要素認証（MFA：ワンタイムパスワードや認証アプリなど、追加要素で本人確認する仕組み）が中心になります。

クラウド利用が広がった現在、境界防御をどれだけ強くしても、社員のIDが盗まれた瞬間に守りは崩れます。MFAは「最小投資で最大効果」の代表格として、境界防御の次に必ず入れるべき層です。

データ層（暗号化・バックアップ・アクセス制御）

データ層では、情報そのものを守る仕組みを設計します。ファイルサーバやクラウドストレージの暗号化、部門・役職ごとのアクセス制御、そして最後の砦としてのバックアップです。

とくにバックアップは「取っている」ではなく「戻せる」ことが要件です。後述する3-2-1ルールを軸に、復旧テストまでセットで運用してこそ意味を持ちます。

運用層（ログ監視・インシデント対応体制）

運用層は、機器や仕組みを「動かし続ける」ための階層です。ログ監視、パッチ適用、退職者アカウントの棚卸し、インシデント対応窓口の運用が含まれます。

見落とされやすい層ですが、事故が起きたときに「気づけるかどうか」「初動が打てるかどうか」を左右するのはこの層です。人手が足りない中小企業では、後述するSOC（Security Operation Center）の一部外部委託を組み合わせるのが現実的です。

経営者が押さえる社内ネットワーク構築の7ステップ

社内ネットワークセキュリティ構築の実装は、順番を守るだけで失敗確率が大きく下がります。「機器を先に買う」のではなく、資産の棚卸しと構成の可視化から入るのが鉄則です。ここから7ステップに分解します。

ステップ1｜守るべき情報資産の棚卸しとリスク評価

最初の作業は、機器選定ではなく資産の棚卸しです。顧客情報・図面・見積書・契約書・従業員情報などを「機密度」「保管場所」「取扱者」の3軸で並べます。棚卸しをせずに機器を導入すると、必ず「守るはずのものが守れていなかった」という事態が起こります。

リスク評価は、「万が一漏れたときの損失額」「発生確率」の2軸で行い、上位数点だけを重点対策の対象にします。全部を等しく守ろうとすると、投資が薄く広がって効果が出ません。

ステップ2｜ネットワーク構成図と現状のセグメント可視化

次に、現在の社内ネットワークを1枚の構成図に落とします。ルーター・スイッチ・アクセスポイント・サーバ・複合機・IoT機器・来客Wi-Fi・VPN接続経路までを、実物ベースで書き出す作業です。

この段階で「誰も管理していないHUB」「野良Wi-Fi」「退職者しか設定を知らないサーバ」といった暗部が必ず出てきます。構成図が無い会社は、まずこの1枚を作るだけで、体感リスクが半減します。

ステップ3｜VLAN／サブネットで業務系・来客系・IoTを分離

構成図ができたら、業務系・来客系・IoTを別のセグメント（VLAN／サブネット）に分けます。VLANとは、1本の物理配線を仮想的に複数のネットワークに区切る仕組みのことです。

例えば、来客Wi-Fiに接続したノートPCから、社内ファイルサーバへ直接到達できてしまう構成は非常に危険です。セグメント分離は、専用機器を1台入れれば実現できる範囲で、投資対効果が極めて高い施策として真っ先に手をつけるべきです。

ステップ4｜UTM・VPN・多要素認証の基盤導入

境界に UTM を設置し、リモートワーカー向けに VPN、クラウドサービス利用者向けに MFA を導入します。この3点セットは、「境界＋アイデンティティ層」の基礎工事にあたります。

MFA については、Microsoft 365 や Google Workspace 側の標準機能をオンにするだけで大半のリスクが下げられます。追加コストほぼゼロで、被害の発生確率を1桁下げられる代表施策です。

ステップ5｜EDRとMDMで端末を丸ごと管理下に置く

社給PCにEDR、社給スマホ／タブレットにMDMを導入し、「どの端末が」「どのバージョンで」「どこで使われているか」を経営が把握できる状態にします。

BYOD（私物端末業務利用）を許可するかどうかは、経営判断です。許可する場合でも、MDM でコンテナ分離（業務用領域だけを管理下に置く方式）を条件にしないと、退職時のデータ回収と個人情報保護のバランスが崩れます。

ステップ6｜バックアップ3-2-1ルールと復旧テスト

3-2-1ルールとは、「データを3つのコピーで保持し、そのうち2つは異なる媒体、1つはオフサイト（社外／オフライン）に置く」というバックアップ設計の国際標準です。ランサムウェア対策としては、加えて「イミュータブル（書き換え不可）領域」を持つのが最低条件になります。

作って終わりにせず、半年に1度は「リストアテスト」で実際に戻せるかを確認します。テストしていないバックアップは、「無い」のと同じです。

ステップ7｜社内規程・教育・インシデント対応窓口の整備

技術対策と同じ重さで、社内規程と教育、通報窓口の整備をセットにします。パスワードポリシー・退職者アカウント運用ルール・私物端末の扱い・情報持ち出し規程などを文書化し、年1回の全社研修と紐づけます。

インシデント対応窓口は、「気づいた人が誰に何時までに連絡するか」を決めるだけで良く、複雑な体制図は必要ありません。連絡先が決まっていない企業ほど、初動が遅れて被害が拡大する傾向があります。

必ず入れるべき技術対策7つと選定基準

各層で選ぶべき製品カテゴリと、選定時に外してはいけない判断軸を整理します。「大手だから」ではなく、「自社の規模と情報資産に対して適正か」で選ぶのが原則です。

UTMとファイアウォール、境界防御はどちらを選ぶか

従業員50名未満なら、アンチウイルス・IPS・Webフィルタが一体化した UTM を1台で導入するのが定石です。管理画面が1つに集約されるため、専任情シスがいない企業でも運用しやすい構成です。

100名を超え、拠点が複数ある場合は、単体ファイアウォール＋別レイヤーで各機能を分離する構成の方が拡張性で優位に立ちます。ここは「今の規模」ではなく「3年後の規模」で判断するのが失敗しないコツです。

SASE／ゼロトラストは中小企業でも現実的か

ゼロトラストとは、「社内ネットワークだからといって信頼しない」という発想で、通信ごとに認証・認可を行うセキュリティモデルのことです。SASE（Secure Access Service Edge）は、その考え方をクラウド側で一括提供するサービス群を指します。

100名規模を超え、リモートワーカー比率が高い企業では、SASE への移行が現実解になってきています。ただし、ゼロトラストは「思想」であり「製品」ではないので、いきなり全面移行を狙わず、まずは MFA と条件付きアクセスから段階的に導入するのが妥当な進め方です。

EDRとアンチウイルスソフトの決定的な違い

従来型アンチウイルスは「既知のパターン」を検知するのに対し、EDR は「端末上の挙動」を継続的に監視し、未知の攻撃や横展開の兆候まで検知します。ランサムウェア対策としては、EDR の導入が事実上の標準になりつつあります。

「アンチウイルスは入っているから大丈夫」と考えている企業ほど、実は最新の脅威に無防備という状態が起きています。年間ライセンス費用は端末1台あたり数千〜1万円レンジで、投資対効果は高い部類です。

MDMで社給端末とBYODをどう線引きするか

社給スマホや社給タブレットは、MDM で「業務アプリしかインストールできない」「紛失時に遠隔ワイプできる」状態にしておくのが基本です。個人所有端末を業務利用させる BYOD の場合は、業務領域だけを分離するコンテナ方式を採用します。

「社員のプライバシー侵害にならないか」という懸念が経営者から必ず出ますが、コンテナ方式なら私的なアプリや写真は MDM の管理対象外にできます。ルールとして「業務利用する範囲だけ管理下に置く」線引きを明文化するのが実務的です。

SSO＋多要素認証（MFA）で守るクラウド利用

SSO（シングルサインオン）は、1つのIDで複数のクラウドサービスにログインできる仕組みです。Microsoft 365 や Google Workspace を中心に据え、そこに社内で使う SaaS を集約すると、退職者アカウント削除もワンストップで済むようになります。

MFA と組み合わせることで、「ID・パスワードが漏れても、追加要素がなければ入られない」状態が作れます。クラウド活用が広がるほど、この階層の重要度は上がる一方です。

バックアップは3-2-1ルールとイミュータブル領域を必ずセット

バックアップ製品を選ぶ際は、「イミュータブル（書き換え不可）保存」に対応しているかを最優先で確認します。ランサムウェアは近年、バックアップ領域そのものを暗号化しにくる挙動を見せており、書き換え不可の保管領域がなければ「バックアップから戻せない」被害が現実に起こります。

オンサイト・オフサイト（クラウド）・オフラインの3層構成にし、少なくとも1層はイミュータブルで保持するのが現代の最低ラインです。

監視ログ保管とSOC外部委託の判断基準

社内で24時間365日のログ監視を行うのは、中小企業ではまず不可能です。SOC 外部委託は「監視・一次対応」を月額数万〜数十万円レンジで代行してくれるサービスで、専任情シスが1名以下の企業では検討価値が高い選択肢です。

判断基準は、「事故が起きたときに、経営が知りたい情報を、いつまでに報告してくれるか」というレスポンスタイム。契約前にサービスレベル合意（SLA）の中身を必ず確認します。

中小企業でよくある失敗パターン3つと回避策

社内ネットワークセキュリティ構築で「予算をかけたのに事故が起きた」という企業には、驚くほど共通するパターンがあります。3つに絞って構造ごと解説します。

失敗1｜『機器を買った時点』で完了扱いになり運用者不在

もっとも多いのが、UTMやEDRを導入した瞬間に「対策完了」と考えてしまうパターンです。しかし、ログの確認、パッチ適用、ライセンス更新、閾値の調整といった運用作業が回らなければ、機器は数か月で「置物」になります。

回避策は、導入契約と同時に運用担当を社内外どちらかに割り当てることです。社内に人がいなければ、MSP（マネージドサービスプロバイダ）へ運用込みで委託するプランを最初から選ぶ設計にします。

失敗2｜『共有アカウント』と『退職者アカウント放置』

「営業共通のID」「バックオフィス全員が使う共通のシステム管理者ID」など、共有アカウントが残っている企業は、内部不正や情報漏えいの温床を抱えています。加えて、退職者のアカウントが半年〜1年放置されているケースは想像以上に多く見られます。

回避策は、「1人1アカウント原則」「退職日に全アクセス即時停止」の2点を規程に落とし込むこと。SSO を導入していれば、退職手続きのチェックボックス1つで大半のアクセスが止められる状態を作れます。

失敗3｜『来客Wi-Fi』と『業務Wi-Fi』が同一ネットワーク

来客用の Wi-Fi パスワードを社員が SNS に載せてしまい、そこから業務ネットワークに侵入されたという実際の事故が中小企業でも起きています。SSID（Wi-Fiの名前）が分かれていても、物理的に同じネットワークにいれば意味がありません。

回避策は、業務系・来客系・IoT系の3セグメント分離をルーター／アクセスポイントの機能で分けることです。多くの業務用機器は VLAN 対応しており、追加投資なしで実現できるケースが多くあります。

予算別｜100万円から始めるセキュリティ投資計画

セキュリティ投資は、青天井にかけようと思えばいくらでもかけられます。中小企業では「守るべき優先度が高い層から順番に埋める」ことが最重要で、予算レンジごとに構成を提示します。

初年度予算100万円レンジ｜『境界＋MFA＋バックアップ』の3点

もっとも投資対効果が高いのが、この3点です。UTM を1台、Microsoft 365 または Google Workspace の MFA 有効化（追加コストほぼゼロ）、そして3-2-1ルールに沿ったバックアップ環境です。

初期費用60万〜80万円、年間ランニング20万〜40万円レンジで揃えられます。この3点だけで、IPA10大脅威の上位項目に対する初期防御が組み上がります。

年間予算300万〜500万円レンジ｜EDR・MDM・SOC外注の追加

100名前後の中小企業で、機密情報を多く扱う場合はこのレンジが現実的です。EDR（1台あたり年数千〜1万円）、MDM（1台あたり年数千円）、SOC 外部委託（月10万〜30万円）が追加でのり、監視から対応までを外部と共同運用する体制になります。

「情シスが常駐しなくても、24時間の監視は回っている」状態を作れるのが、このレンジの利点です。

IT導入補助金・サイバーセキュリティお助け隊の活用ポイント

経済産業省とIPAが推進する「サイバーセキュリティお助け隊サービス制度」は、監視・駆けつけ・保険を月額数千円レンジからパッケージで提供する中小企業向けの仕組みです。認定を受けたサービスから選ぶことで、単体ベンダー選定の手間を大幅に減らせます。

IT導入補助金のセキュリティ対策推進枠は、対象製品の導入費用の一部を補助する制度で、年度によって条件が変わります。経営課題と紐づけて事業計画に落とし込んだうえで申請するのが、採択率を上げるコツです。

インシデント発生時の対応フローと事業継続

どれだけ守っても、100%は防げません。ここからの主戦場は「気づいてから戻すまでの時間」です。経営者が事前に準備しておくべき初動と外部連絡先を整理します。

検知から30分・24時間・72時間で何をやるべきか

30分以内は、感染端末のネットワークからの隔離、社内共有の停止、経営への一報が中心です。24時間以内に、被害範囲の初動把握、外部専門家への連絡、バックアップからの復旧候補選定を行います。

72時間以内には、個人情報保護法上の報告義務判定（要件を満たせば個人情報保護委員会への速報）、取引先への連絡方針決定、暫定復旧の目処を立てます。この時間軸を経営者があらかじめ持っているかどうかで、初動の質が大きく変わります。

IPA・警察・JC3・弁護士など外部連絡先の準備

IPA の情報セキュリティ安心相談窓口、都道府県警のサイバー犯罪相談窓口、JC3（一般財団法人 日本サイバー犯罪対策センター）、そして顧問弁護士は、平時のうちに連絡先と担当者名まで台帳化しておきます。

「事故が起きてから調べる」時間は、被害を1桁大きくします。経営者の携帯電話に主要連絡先を登録し、四半期に1度は開通確認を入れておくのが実務的な運用です。

BCP（事業継続計画）に社内ネットワーク復旧を組み込む

BCP は自然災害だけでなく、サイバー攻撃も想定した内容に更新しておく必要があります。「基幹システムが3日停止したら、業務をどこまで縮退運用で回すか」「メールが使えないときの取引先連絡手段は何か」を、あらかじめ言語化しておくことです。

社内ネットワーク復旧を BCP に組み込むと、平時のバックアップ設計と有事の運用が一気通貫でつながり、投資判断の物差しも明確になります。

よくある質問（FAQ）

Q1. 社員10名の会社でも本格的なUTMやEDRは必要ですか？

A. 取り扱う情報の重要度と、取引先が求めるセキュリティ水準で決まります。上場企業や官公庁との取引がある場合は、SPF／DMARC、EDR、MFA の導入がほぼ必須の水準として求められます。社員数が少なくても、顧客の個人情報や取引先の機密情報を扱うなら、UTM・MFA・EDR・バックアップの4点は最低ラインとしてご検討ください。

Q2. 情シス担当が兼務1名しかいません。運用を続けられるか不安です。

A. 運用の一部を MSP（マネージドサービスプロバイダ）や SOC へ外部委託する前提で設計するのが現実解です。IPA「サイバーセキュリティお助け隊サービス」のように中小企業向け月額プランも登場しており、社内担当は「契約先とのやり取り」「ユーザー教育」「インシデント初動」に集中する体制が組めます。

Q3. クラウド移行すればオンプレミスのセキュリティは不要になりますか？

A. 物理サーバの台数は減っても、社内ネットワーク（LAN・Wi-Fi・端末・ID）はほぼそのまま残ります。むしろクラウド利用が広がるほど、IDとネットワークの入口が守るべき最重要ポイントになります。「社内LANも信頼しない前提」で設計し直すゼロトラストの発想が必要です。

Q4. 投資対効果をどう経営会議で説明すればよいですか？

A. 「攻撃を受けた場合の想定損失」と「対策投資額」を並列に置くのが、もっとも通じる説明の仕方です。ランサムウェア1件で数百万〜数千万円レンジの対応費用が発生する一方、初期投資100万円レンジで境界・MFA・バックアップの3点は整えられます。「いくらで守れるか」ではなく「いくらの損失を防ぐ保険か」というフレームで語ると、経営会議での意思決定が進みやすくなります。

Q5. 補助金は使えますか？

A. 「IT導入補助金」のセキュリティ対策推進枠、「サイバーセキュリティお助け隊サービス」は代表的な選択肢です。年度で公募条件が変わるため、最新情報を経済産業省・IPA公式サイトで確認したうえで、事業計画書に経営課題と紐づけて申請するのがポイントです。

Q6. どこから手をつければ最も費用対効果が高いですか？

A. 「MFA の有効化」「来客Wi-Fiと業務Wi-Fiの分離」「バックアップの3-2-1化」の3点は、追加投資が小さい割にリスク低減効果が大きい入口です。この3点で守りの基礎工事を終えてから、UTM・EDR・SOC 外注へ順に投資を広げていくのが王道です。

編集部より

社内ネットワークセキュリティ構築は、突き詰めれば「経営者が、自社の情報資産にどれだけ経営マターとして向き合えるか」に尽きます。取材のなかで印象的だったのは、被害を経験した経営者の方々が口を揃えて「あの時、あと少し早く動いていれば」と語られる姿でした。

一方で、この記事で紹介したような基礎的な打ち手を、順序どおりに積み上げてきた企業は、大手取引先からの信頼獲得や補助金採択の場面で、しっかりと成果を出しておられます。守りは、実は攻めの武器でもあります。

限られた予算と人員のなかで、何から着手すべきか。この記事が、経営会議の資料や、情シス担当の方との会話のたたき台として、少しでもお役に立てば嬉しく思います。

参考文献・出典

• 独立行政法人 情報処理推進機構「情報セキュリティ10大脅威 2025」（2025年1月公表） https://www.ipa.go.jp/security/10threats/10threats2025.html
• 独立行政法人 情報処理推進機構「サイバーセキュリティお助け隊サービス制度」 https://www.ipa.go.jp/security/otasuketai-pr/index.html
• 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/
• 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」 https://www.meti.go.jp/policy/netsecurity/mng_guide.html
• 一般財団法人 日本サイバー犯罪対策センター（JC3） https://www.jc3.or.jp/
• 参考動画：情報処理安全確保支援士よしだセキスペch「ネットワーク構成図で学ぶWeb＆メールサーバー7つのセキュリティ対策」 https://www.youtube.com/watch?v=kRJP9dGkrfo