本記事の件数・状況は 2026年11月6日時点（2026年11月6日更新）。新たな公表があれば追記します。
専門の担当者がいない会社でも、三日あれば「どこに入り口があるか」「異常の兆しはないか」「万一のとき誰が動くか」までは確かめられる。以下は、IPAの注意喚起（10月9日）、JPCERT/CCの注意喚起、個人情報保護委員会の注意喚起（10月7日）が求めている点検と対策を、中小企業の段取りに並べ直したものだ。各項目の末尾に根拠を記した。
この記事の使い方
社長が読み、項目ごとに担当者の名前を書き込む。ITに詳しい社員がいなければ、委託先・制作会社・保守業者に「この項目について回答をください」と転送してよい。異常が見つかった時点で、次の記事「自社が当事者になったら」に進む。
0–24hDAY 1 — 入り口を洗い出す
- 使っている外部サービスをすべて書き出すクラウド、VPN、メール配信、予約、EC、会計など。組織全体だけでなく部署単位で契約しているものも含める。（IPA）
- 個人データを預けている委託先に印をつける何の情報を、何件くらい預けているか。委託先の監督は法律上の義務である（個人情報保護法第25条）。
- 管理者アカウントに多要素認証をかける各サービスの管理画面から。IPAは認証機能（多要素認証・パスワード）の強化を、個人情報保護委員会はアクセス者の識別と認証の見直しを求めている。
- 覚えのないアカウントがないか見る作った覚えのないアカウント、削除・無効化したはずなのに有効になっているアカウントがないか。（IPA）
24–48hDAY 2 — 兆しを探す
- ログを直近1か月、続けて3か月と遡って確認するログイン失敗の量、ログイン元のIPアドレス、ログイン時間帯、エラーの出力量など、平時との差を見る。サービスごとにログの保存期間が違うので、誰がいつどう確認できるかも整理する。（IPA）
- 未適用の修正プログラムを当てる自社サイトや業務システムの構成要素に、適用していない脆弱性対応パッチがないか。（IPA、JPCERT/CC）
- 使っていない公開機能を止める業務上必要のないサービスや管理機能がインターネットに公開されていれば、公開を停止する。（JPCERT/CC）
- アプリやAPIがあれば、制作会社に確認する非公開APIを含むアクセス制御、単位時間あたりのリクエスト数の制限、APIトークンの有効期限と、漏えいが疑われる場合にすぐ無効化できるか。（JPCERT/CC）
48–72hDAY 3 — 持たない・備える
- 要らなくなった個人データを消す法律は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを定めている（個人情報保護法第22条）。法令や契約で保存期間が決まっているものは除く。（個人情報保護委員会、JPCERT/CC）
- 異常を見つけたときの連絡先を一枚にまとめる社内の判断者、委託先の窓口、IPA「不正アクセス特別相談窓口」（電話 03-6759-5760、平日9時30分〜17時30分、12時〜13時を除く）。（IPA）
- 顧客向けの注意喚起文を下書きしておくJPCERT/CCは、漏えい発生時を想定し、多要素認証の利用など顧客の二次被害を防ぐ呼びかけを平時から準備するよう勧めている。
- 「5分でできる！情報セキュリティ自社診断」を受ける25の診断項目に答えて自社の対策状況を把握するIPAのツール。結果を次の一か月の宿題にする。（IPA）
01異常が見つかったら、判断を先送りしない
IPAは、異常なログやアカウントを見つけた場合は速やかにセキュリティインシデントと判定して対応を進め、情報漏えいの可能性を考えて専門のセキュリティベンダーに詳細調査を依頼することを強く推奨している。「様子を見る」は判断ではない。迷ったら、上記の特別相談窓口に電話をかけることから始めればよい。窓口では、起きている事象の聞き取りと被害の可能性についての助言、応急処置案の助言、インシデント対応を行う専門業者の一覧の紹介などを行うとされている。
0272時間で終わりにしない
IPAは、点検で異常がなかったとしても、外部公開範囲の見直し、アカウント棚卸の運用の見直し、ログの取得内容と保持期間の見直し、データの暗号化などに取り組むよう求めている。また、IPAは公的機関やセキュリティベンダーから調査に使える情報が今後公表される可能性があるとして、当面の情報収集の強化も呼びかけている。三日間の点検は、継続的な対策の一回目にすぎない。
