小さな会社のセキュリティは、戸締まりからお客様の情報と明日の仕事を守る基本
公開
この記事の目次
2026年10月、身近なサービスで大きな個人情報の漏えいが公表されました。「焼肉きんぐ」の公式アプリで約1,079万件、「ローソンID」で約216万件。どちらも、私たちが普段の暮らしで使っているサービスです。
焼肉きんぐの10月5日の発表によると、漏えいしたのは会員番号、登録名、メールアドレス、電話番号です。パスワードや決済情報、利用履歴は含まれておらず、同発表の時点では不正利用も確認されていません。
それでも、使っていた側からすれば不安が残ります。自分の名前や電話番号が外部へ渡り、お店を装った偽のSMSやメールに使われるかもしれないからです。
アプリを入れた人が、何か危険な操作をしたわけではありません。「便利だから使っていた」。ただそれだけです。
ここで少し、立場を自分のお店や会社に変えてみます。
予約を受けるために預かった、お客様の電話番号。見積書を送ったメールアドレス。過去に買ってくれたお客様の住所や購入履歴。
その情報は今、どこに保存され、誰が見られる状態になっているでしょうか。もし明日、何か問題が起きたとき、すぐに確かめられるでしょうか。
セキュリティは、大企業が難しいサイバー攻撃から身を守るためだけのものではありません。お客様から預かった大切な情報と、自分たちの明日の仕事を守るための「基本の戸締まり」です。
最近のニュースを入り口に、小さな会社やお店に必要なセキュリティを考えてみます。
情報漏えいって、パスワードが盗まれなければ大丈夫じゃないの？
お金が直接盗まれなくても、詐欺の連絡を信じさせる材料に使われることがあります。
パスワードやクレジットカード番号が含まれていなければ、それらを直接使った不正ログインや決済の危険は抑えられます。しかし、名前・メールアドレス・電話番号にも、悪用されるおそれがあります。
例えば、よく行くお店からこんなメッセージが届いたらどうでしょうか。
「会員情報の再確認が必要です。本日中にお手続きください」
差出人には馴染みのある店名があり、本文には自分の名前が正しく書かれている。そのために、本物のお知らせだと信じてしまうかもしれません。
リンクを開いた先の偽の画面で、パスワードやカード番号を入力させて奪い取る。こうした手口が「フィッシング」です。
漏えいした情報すべてが悪用されるわけではありません。ただ、本物の名前や連絡先は、詐欺の連絡を本物らしく見せる材料になります。
だからこそニュースを見るときは、「何件漏れたか」という規模だけでなく、「何の情報が漏れ、どのように悪用されるおそれがあるのか」を見ることが大切です。
これは、情報を預かるお店や会社にとっても同じです。
- 連絡を取るだけなのに、生年月日や住所まで聞いていないか
- 使わなくなったアンケートの回答用紙を、ずっと手元に置いていないか
必要な情報だけを預かり、不要になったものは適切に消す。漏えいしたときの被害を小さくするための、基本的な備えです。
小さな会社やお店も、狙われるの？
はい。小さな会社でも、仕事で使うメールやサービスが攻撃の入口になることがあります。
「うちは小さい店だから、盗まれるような情報はない」と感じるかもしれません。
しかし、毎日の仕事メール、お店の公式SNS、ネット予約、顧客名簿などは、小さな会社でも使っています。これらのアカウントを乗っ取られれば、お店になりすましてお客様に連絡されたり、予約や注文の受付が止まったりするおそれがあります。
攻撃者が、いつも会社の名前や規模を見て一社ずつ狙っているとは限りません。流出したパスワードを使ってログインを試したり、公開されているシステムの弱点を探したりする攻撃もあります。
大切なのは、自社が有名かどうかよりも、仕事で何を使い、それが使えなくなったら何に困るかです。
IPA（情報処理推進機構）も、中小企業や小規模事業者に向けて、日常の業務で取り組むセキュリティ対策を案内しています。まずは身近な道具から点検してみてください。
自分の会社が攻撃されなくても、情報は漏れるの？
漏れることがあります。使っている外部サービスが攻撃を受ける場合もあるからです。
ネット予約、通販、問い合わせフォーム、顧客管理。こうした仕組みに、外部のサービスを利用している会社は多いでしょう。
お客様から見れば「そのお店で買い物をした」のであって、裏側でどのシステム会社が動いているかまでは、普段意識しません。
2026年、ネットショップ作成サービス「ショップサーブ」で情報漏えいが発生しました。運営会社のEストアーによる10月16日の最終報告では、サーバー上のプログラムにあった弱点（脆弱性）を悪用され、5月21日から8月1日まで、データベースの情報が外部へ不正送信されていたと公表されています。
もし自分のお店の通販サイトがこのシステムを使っていたら、どうなるでしょうか。自社のパソコンに問題がなくても、自分のお客様が対象に含まれるかを確かめ、問い合わせに答える準備が必要になります。
外部サービスは業務を助けてくれますが、情報の管理をすべて任せきりにできるわけではありません。サービスを選ぶときは、値段や使いやすさに加え、「どんな情報を預けるのか」「事故のとき、どのように連絡や調査をしてくれるのか」も確かめておきましょう。
ホームページがなくても、セキュリティは関係あるの？
関係します。守るべきものは、ホームページだけではありません。
「うちはInstagramとGoogleマップだけで集客しているから、関係ない」と感じる方もいるかもしれません。それでも、仕事に使っているアカウントや情報を守る必要はあります。
- お店のSNSが乗っ取られたら、お店の名義で、偽のプレゼント企画や詐欺メッセージを発信されるおそれがあります。
- Googleマップの店舗情報を管理するアカウントが乗っ取られたら、営業時間や連絡先などを、勝手に変更されるおそれがあります。
- 仕事用のメールが乗っ取られたら、取引先とのやり取りを読まれたり、振込先を変更した偽の請求書を送られたりするおそれがあります。
メール、SNS、顧客名簿、スマートフォン、パソコン、外部のクラウドサービス。仕事に関わる道具と、その中にある情報が対象です。
情報セキュリティでは、守りたい状態を「機密性」「完全性」「可用性」の3つで説明します。
ウイルス対策ソフトを入れることも、そのための対策の一つです。情報を隠すだけでなく、正しく保ち、仕事で使い続けられる状態を整えることが大切です。
パスワードや鍵マークがあっても、なぜ危ないの？
通信の保護、本人の確認、情報を見られる範囲の管理には、それぞれ別の役割があるからです。
ホームページのアドレスにある「https」や、ブラウザの接続保護を示す表示を見て、安心したことはないでしょうか。
httpsは、通信を暗号化して途中での盗み見や改ざんを防ぎ、証明書を使って接続先のドメインを確認する仕組みです。ただし、そのサイトの運営者や内容、保存されている情報の安全性まで保証するものではありません。
接続先のサーバーに弱点があったり、管理画面のパスワードが盗まれたりすれば、通信が保護されていても被害は起こり得ます。
もう一つ、役割が違うのが「認証」と「認可」です。認証は、IDとパスワードなどで「会員Aさん」だと確かめること。認可は、会員Aさんに「Aさん自身のマイページ」だけを見せることです。
もしシステムに欠陥があり、ログインしたAさんが会員Bさんの予約情報まで見られてしまったら、強いパスワードだけでは守れません。
社外から社内につなぐ「VPN」も、通信を保護する仕組みです。接続機器の更新や、利用者のアカウント管理は別に必要になります。
専門用語をすべて覚える必要はありません。業者やツールに頼るときに、何を守る対策で、どの管理が自分たちに必要なのかを確かめておくことが大切です。
では、最初に何を見直せばいいの？
まずは、いま使っている道具と日常の管理を点検します。
IPAの中小企業向けの資料を参考に、お店や会社で確認したいことを4つにまとめました。
1．会社のメールやSNSを、誰が管理していますか？
同じパスワードを使い回したり、担当者全員で共有したりしていると、一つの流出が別のサービスに広がったり、誰が操作したか分からなくなったりする原因になります。
退職者や過去の委託先に権限が残っていないかも確かめます。昔の担当者や、契約を終えた制作会社が、今も管理画面に入れる状態になっていないでしょうか。
必要な人に必要な権限を与え、認証を強くします。サービスごとに長く推測されにくいパスワードを設定し、対応しているサービスでは多要素認証やパスキーを利用します。
パスワードは、長く使っているという理由だけで一律に変えるのではなく、漏えいや不正利用のおそれがある場合、弱いものや共有したものを使っている場合などに、速やかに見直します。
2．パソコンや通信機器の更新は、誰が担当していますか？
更新のお知らせを後回しにしていないでしょうか。パソコンやスマートフォンだけでなく、ルーターやVPN機器、ホームページのソフトウェアにも更新が必要です。
自社で行うものと保守会社に任せるものを整理し、更新する人と、メーカーのサポート期限を確認します。重大な弱点が見つかったときの対応も決めておきます。
普段どおり動いていることと、安全に使い続けられることは同じではありません。
3．お客様の情報は、どこに・どれだけありますか？
予約台帳、メールの受信トレイ、個人のスマートフォン、以前使っていたサービスなどに、同じ顧客情報が散らばっていませんか。
法令や業務上必要な保存期間を確認したうえで、保存する目的と期間を決め、不要になった情報を削除します。「とりあえず残しておく」を見直し、誰が見られるかも一緒に点検します。
4．明日パソコンが壊れたら、どうやって仕事を続けますか？
クラウドと同期しているだけで、バックアップも十分だと思っていないでしょうか。誤って削除したり、ランサムウェアでファイルを書き換えられたりすると、その変更がクラウド側にも反映されることがあります。
復元できるバックアップを、守られた場所に持ちます。日常の作業環境と切り離せる保存先や、勝手に変更・削除されにくいバックアップ機能を使い、元に戻せるかを試しておきます。クラウドの履歴や復元機能も、保存期間と利用条件を確認します。
専門家や制作会社に任せれば、それで安心？
専門家に任せることは有効な方法です。何を任せているかは、確認しておく必要があります。
小さな会社が、ITやセキュリティのすべてを自前でこなすのは簡単ではありません。外部の力を借りることで、続けやすい管理体制を整えられる場合があります。
ただし、「セキュリティは全部お願いしているから大丈夫」と考えていると、契約とのすれ違いが起きることがあります。
- ホームページを作る契約に、公開後のソフトウェア更新や監視まで含まれているか
- 予約システムの保守とは別に、店舗スタッフの追加・削除を誰が行うか
打ち合わせでは、次のように具体的に聞いてみてください。
- 「日々の更新やメンテナンスは、費用や作業に含まれていますか？」
- 「ログインできなくなったり、不審な操作を見つけたりしたときの連絡先はどこですか？」
- 「別のシステムに移りたくなったとき、必要なデータを安全に取り出せますか？」
どんな対策にも限界があります。「これを入れれば絶対に安全」という言葉だけで決めず、守る範囲と残る課題を説明してくれる相手を選ぶことが大切です。
セキュリティは、どこまでやれば十分なの？
守る情報と、仕事が止まったときの影響に合わせて、必要な備えを決めます。
すべての小さな会社に、大企業と同じ設備が必要なわけではありません。一方で、会社が小さいからといって、預かる情報や業務への影響も小さいとは限りません。
まずは基本の管理を整え、それだけでは対応が難しい場合には、専門家による監視や事故対応の支援も検討します。
日常の運用では、管理するものを必要以上に増やさないことも大切です。
- 会員登録がいらないホームページなら、無理に会員機能を作らない
- 名前と電話番号だけで足りるなら、住所やアンケート項目を増やさない
- 使っていない機能やアカウントは、そのまま残さず整理する
機能を増やすと、設定や更新、権限の確認が必要な場所も増えます。
「自分たちは何を使い、どんな情報を預かり、何が止まったら一番困るのか」。まずは紙に書き出してみてください。必要な対策を決めるための出発点になります。
一度決めた備えも、サービスや担当者、仕事の内容が変わったら見直します。
誰かのサービスを使うときは、自分たちの情報を預けている。お客様を迎えるときは、大切な情報を預かっている。
どちらの立場も忘れずに、できるところから一つずつ、お店と仕事の戸締まりを整えていきましょう。
Umihana Lab の考え
Umihana Labでは、ホームページや日々の業務の仕組みを整えるとき、いたずらに機能を増やす提案はいたしません。
便利そうに見える機能も、管理の手間が増えて放置されてしまえば、弱点になることがあるからです。
「その機能は、本当にお店の仕事に必要なのか」
「預かった情報は、誰がどのように管理し続けるのか」
「万が一トラブルが起きたとき、現場の仕事を続けるためにどう動くか」
作って終わりにするのではなく、日々の仕事の中で無理なく安全に使い続けられる形を、お客様と一緒に考えながら設計します。
