「入らせない」——侵入経路の約5割はVPN機器。不正アクセスを防ぐために、いま優先する5つの対策

このコラムは、「相次ぐ個人情報漏えいは「氷山の一角」かもしれない」から続く連載の最終回です。
第1回で挙げた5つの視点のうち、最後に残った「入らせない」、つまり不正アクセスへの備えについてお話しします。

2026年9月下旬からの一連の大規模な漏えいは、そのほとんどが不正アクセスによるものでした。
警察庁によると、2026年上半期のランサムウェアの被害報告は123件で、統計を取り始めてから半期として最多です。
被害を受けた組織の約6割は中小企業で、侵入経路の約5割はVPN機器でした。
復旧に総額1,000万円以上を要した組織は6割にのぼり、1か月未満で復旧できた組織は5割弱にとどまります。

「うちは狙われるほどの会社ではない」という声をよく聞きます。
けれども、警察庁のセンサーが検知した脆弱性探索などの不審なアクセスは、1日・1IPアドレスあたり1万3,687件で、前年比50.7%増です。
攻撃の多くは、会社を選んで狙うのではなく、開いている入り口を機械的に探して入ってくるものです。
このコラムでは、個人情報保護委員会と警察庁の資料をもとに、いま優先すべき5つの対策をまとめました。

攻撃は、開いている入り口を探して入ってくる

警察庁の報告では、攻撃者は未修正の脆弱性や漏えいした認証情報を悪用してネットワークに侵入しており、標的型攻撃メールの添付ファイルによる感染は近年少なくなっているとされています。
つまり、いまの侵入の主流は、古いままのVPN機器や公開サーバー、使い回されたパスワードです。
どちらも、会社の規模や知名度とは関係がありません。

個人情報保護委員会も、2026年10月7日の注意喚起で、技術的な安全管理措置の例として、組織外からのアクセスや管理者権限、重要な個人データへのアクセスへの多要素認証の導入、認証・アクセス・操作などのログを一定期間保管して改ざんから守ること、ログの定期的な分析で不正アクセスの発生や兆候を早期に検知することを挙げています。
2021年の注意喚起でも、クラウドの公開設定のミス、弱い認証方式の併用、ソースコードに書かれた認証情報、脆弱性のあるVPN機器から入手された認証情報による侵入、といった事案が示されていました。
5年前から指摘されている入り口が、いまも開いたままになっている会社がある、ということです。

そして、入られたあとの負担は重いものです。
復旧の費用と期間に加えて、第2回でお話しした個人情報保護委員会への報告と本人への通知、取引先への説明、そして信頼の回復が続きます。
「入らせない」ための投資は、「入られたあと」の費用と比べて判断すべきものだと、私たちは考えています。

いま優先する5つの対策

対策は数え上げればきりがありません。
ここでは、警察庁と個人情報保護委員会の資料で示されている侵入経路と対策に絞り、優先順に5つに整理しました。
技術面の細かなチェック項目は「企業が今週中に確認したい、最低限の7つの対策」もあわせてご覧ください。

※個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）、警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」をもとに当社で整理した進め方の一例です。

中でも、最初に手をつけたいのは1と2です。

入り口の一覧がなければ、閉じようがない。
VPN機器、Webサイト、問い合わせフォーム、会員システム、クラウドの管理画面。
インターネットから見えているものを一覧にすると、「誰が管理しているか分からない」「とっくに使っていない」ものが、たいてい見つかります。
第4回の「持たない」と同じ考え方で、使っていない入り口は、守るのではなく、閉じるのが近道です。
残した入り口は、更新の担当者と確認の頻度を決めておきます。

多要素認証は、「どの方式か」まで決める。
多要素認証を入れていても、SMSやメールで届く確認コードは、偽のログイン画面に入力させる手口で突破されることがあります。
個人情報保護委員会の注意喚起が「フィッシングに耐性のあるものを含む」と書いているのは、このためです。
まず管理者権限と社外からのアクセスから、パスキーや認証アプリなどの方式に切り替えていくことをおすすめします。

3から5は、入られたときの被害を小さくする対策です。
退職者のIDや共有IDは、攻撃者にとって気づかれにくい入り口になります。
ログがなければ、第2回でお話しした「気づいて、調べて、説明する」ことができません。
バックアップは、取っているだけでは足りず、戻す手順を試したことがあるかどうかで、復旧の速さが決まります。

PマークやISMSを取得している企業には、この仕組みの土台があるはずです。
Pマークの基準（JIS Q 15001）では、個人情報への不正アクセスを防ぐための技術的な安全管理措置と、その運用の確認が求められます。
ISMS（ISO/IEC 27001）の附属書Aには、アクセス制御や認証情報の管理、脆弱性の管理、ログ取得と監視、バックアップに関する管理策が含まれています。
支援の現場でよく見かけるのは、公開している機器の一覧がない、多要素認証が一部の人だけ、退職者のIDが残っている、という3つです。
規程に書いてあるかどうかではなく、いま実際にそうなっているかを、この機会に確かめていただければと思います。

私たちUPFは、2009年からPマーク（プライバシーマーク）とISMS（ISO/IEC 27001）の取得・運用を支援してきました。
おかげさまで、支援実績は5,695社（2026年10月1日時点）となりました。
初めてUPFをご利用いただいたお客様が、次回の更新もUPFにご依頼くださる割合は95%（2020〜2026年平均）です。

社内にはプライバシーマーク（Pマーク）審査機関（JIPDEC）の現役審査員が在籍しています（自らがコンサルティングを担当する企業の審査は行いません）。
また、年間2,000件を超える審査関連の情報が社内に集まるため、不正アクセス対策についても、審査で確認されやすい点や、中小企業が無理なく続けられる形を、日々のご支援に活かしています。

この連載では、「気づいて動ける」「任せきりにしない」「持たない」「間違えて渡さない」「入らせない」の5つをお話ししてきました。
どれも、新しい技術よりも、仕組みを決めて回し続けることが中心です。
認証の取得をお手伝いするだけでなく、企業が「入り口を閉じ、入られても気づき、止まっても戻せる」状態を、実務の面から一緒につくっていければと考えています。

よくある質問

Q. 中小企業でも、本当に狙われますか？
A. 警察庁の報告では、2026年上半期のランサムウェア被害組織の約6割が中小企業です。
攻撃の多くは、会社を選ぶのではなく、脆弱性のある機器や漏えいした認証情報を機械的に探して侵入します。
規模よりも、入り口が開いているかどうかで決まります。

Q. 多要素認証は、何から始めればよいですか？
A. 管理者権限と、社外からのアクセス（VPN、クラウドの管理画面、メール）から始めてください。
方式は、SMSやメールの確認コードよりも、パスキーや認証アプリなど、フィッシングに耐性のあるものを優先します。
個人情報保護委員会の注意喚起でも、重要な個人データへのアクセスには多要素認証を導入する例が示されています。

Q. ログは、どのくらいの期間、何を保管すればよいですか？
A. 法令で一律の期間が決められているわけではありません。
個人情報保護委員会の注意喚起では、認証ログ、アクセスログ、操作ログ、通信ログなどを一定期間保管し、改ざんや不正消去から保護することが例示されています。
侵入から発覚までに時間がかかることを考えると、少なくとも数か月分は調査に使える状態で残しておくことをおすすめします。

Q. VPN機器を更新すれば、それで十分ですか？
A. 更新は出発点です。
過去に脆弱なバージョンを使っていた場合は、認証情報がすでに盗まれている可能性があるため、パスワードの変更と多要素認証の導入をあわせて行ってください。
2021年の個人情報保護委員会の注意喚起でも、この点が指摘されています。

Q. 不正アクセスを受けたかもしれません。最初に何をすればよいですか？
A. 社内の責任者への報告と、該当する機器のネットワークからの切り離し、記録を消さずに残すことが最初の一歩です。
そのうえで、個人情報保護委員会への報告の要否を判断し、警察への相談も検討してください。
初動の流れは「個人情報の漏えいに気づいたら、最初に何をするか」で解説しています。

Q. 不正アクセス対策の体制づくりについても相談できますか？
A. はい。
公開機器の棚卸し、アクセス制御と認証のルール、ログの運用、インシデント対応手順など、Pマーク・ISMSの取得・運用のご支援とあわせて承っています。
他社の支援で取得された企業からの「技術的な対策を見直したい」というご相談もお受けしています。

株式会社UPFは、プライバシーマーク・ISMS（ISO/IEC 27001）などの認証の取得・運用支援を通じて、企業の情報管理を実務の面から支えています。
「公開している機器を棚卸ししたい」「多要素認証やログの運用を決めたい」「取得した認証の運用を見直したい」といったご相談も承っております。
お気軽にお問い合わせください。

• プライバシーマーク（Pマーク）取得・運用支援の無料相談
• ISMS（ISO/IEC 27001）取得・運用支援の無料相談

数字の定義と根拠は「UPFの支援実績・継続率などの数字の定義と根拠」をご覧ください。