← よろずテック トップへ
セキュリティへの取り組み
事故は、どこから入ってくるのか
約6割ランサムウェア被害のうち中小企業の割合（2025年）[1]
84%感染の入口が VPN 装置か遠隔操作（リモートデスクトップ）だった割合[2]
2位「委託先を狙った攻撃」の脅威順位（2026年）[3]
狙われるのは古い装置、盗まれたパスワード、仕事を任せた業者。よろずテックは「任せられる業者」として、自らが入口にならないことを最優先にしています。
よくある事例とリスク、よろずテックの対策
1. 社内網につなぐ装置（VPN）・遠隔操作
よくある事例とリスク
- 大阪の総合病院（2022年）：給食業者の VPN 装置から侵入。電子カルテが約2か月半停止[4]
- 名古屋港（2023年）：保守用 VPN から侵入。コンテナの搬出入が停止[5]
よろずテックの対策
- お客様側に VPN 装置・外から入れる口を置かない（ブラウザで使うだけ）
- サーバーは外からの受け口を開けず、暗号化した専用の通り道だけで公開
- サーバー管理は登録端末だけの専用網から
2. 盗まれたパスワード
よくある事例とリスク
- Snowflake（2024年）：盗まれた ID・パスワードで約165社のデータ流出。2段階認証なし[6]
- 士業の法人（2026年）：チャットのアカウントを乗っ取られ、偽の請求が送られた[7]
よろずテックの対策
- 2段階認証（スマートフォンの認証アプリ）
- 連続で間違えるとロック
- パスワードは元に戻せない形で保存（よろずテックにも読めない）
- パスワード変更で、ほかの端末のログインをすべて切断
3. 外部サービスとつなぐ「鍵」
よくある事例とリスク
- Salesloft Drift（2025年）：Salesforce と連携する鍵（トークン）が盗まれ、多数の企業のデータが流出。Salesforce 自体は無傷[8]
よろずテックの対策
- 鍵の権限は必要な範囲だけ（例：カレンダーは予定だけ）
- 鍵はサーバー内だけに保管
- お客様側でいつでも切断できる
- 送る・受け取る項目は、つなぐ前にお客様と一覧で決定
4. 仕事を任せた業者（委託先）
よくある事例とリスク
- 社労士事務所向けクラウド（2023年）：運営会社がランサムウェア被害。利用事務所と顧客の情報に流出のおそれ。個人情報保護委員会が指導[9]
- 印刷・データ処理の委託先（2024年）：ランサムウェアで委託元の自治体・企業の情報が流出[10]
よろずテックの対策
- お客様ごとにデータベースと鍵を分離（ほかのお客様のデータに届かない）
- 見本（デモ）は本番と別の網
- 控え（バックアップ）は暗号化して別の機械へ
5. 古いままの部品
よくある事例とリスク
- 徳島の町立病院（2021年）：VPN 装置の既知の弱点を放置して侵入され、電子カルテが暗号化[11]
よろずテックの対策
- サーバーの基本ソフトは毎日自動更新
- 部品の弱点が公表されたら確認し、修正版へ
- AI による模擬攻撃で定期的に穴を点検
6. 設定の誤り・権限の広げすぎ
よくある事例とリスク
- 自動車メーカーの子会社（2023年）：設定ミスで約10年間データが外から見える状態[12]
- 先の大阪の総合病院：全利用者に管理者権限があり、被害が拡大[4]
よろずテックの対策
- 社内用システムは検索に出さない
- 職員の追加・権限の変更は責任者だけ
- 案件ごとに見られる人を限定
- ほかのサイトへの埋め込み・すり替えを防ぐ設定
7. データを人質にとられる（ランサムウェア）
よくある事例とリスク
- 東京の法律事務所（2019年）：ファイル共有サーバーが暗号化[13]
- オーストラリアの大手法律事務所（2023年）：約4TB が盗まれ、一部公開[14]
よろずテックの対策
- 控えは毎日、暗号化して別の機械へ
- 置くたびに戻して中身を照合
- 控えが止まれば即通知
8. Webシステムそのものの穴
よくある事例とリスク
- 駿河屋.JP（2025年）：監視ツールの弱点を突かれ、決済ページが改ざん。カード情報約3万件に漏えいのおそれ[17]
よろずテックの対策
- 画面を開くたび・操作のたびに、サーバー側でログインと権限を確認
- 他人のデータが見えないかを AI による模擬攻撃で点検
- 変更は試しの環境で確かめてから本番へ
9. 内部の人による持ち出し
よくある事例とリスク
- NTT西日本の子会社（2023年）：保守担当の元派遣社員が管理者アカウントを悪用し、約900万件を持ち出し[18]
よろずテックの対策
- 見られる範囲は必要な人だけ（案件ごとに限定）
- 誰が・いつ・何を見たかを記録
- 管理者アカウントを共用しない
- 退職者はその日に停止
10. 人のミス（誤送信・誤操作）
よくある事例とリスク
- 上場企業の漏えい・紛失事故のうち、約2割が誤表示・誤送信（2025年）[19]
よろずテックの対策
- 書類はメールに添付せず、システム内のリンクで共有
- 見られる人をシステム側で限定（送り間違えても中身は開けない）
- 変更・削除の記録を残し、元に戻せる
11. パソコン・スマートフォンの感染や紛失
よくある事例とリスク
- CircleCI（2022年）：社員のパソコンがウイルスに感染。2段階認証済みのログイン状態ごと盗まれ、本番環境に侵入された[20]
よろずテックの対策
- データは端末に残さず、ブラウザで見るだけ
- ログインには有効期限
- パスワード変更で、ほかの端末のログインを一括で切断
「ひとつにまとめると、守りが緩くなるのでは？」
半分はその通りです。鍵が集まる所は狙われます（上の 3.）。だから、まとめるなら守りも同時に強くします。
一方、まとめなければ情報の写しが散らばります。チャットに貼った書類、個人のカレンダーに書いた顧客名、個人スマートフォンのファイル。どれも、お店や事務所からは止められず、誰が見たかも追えません。
まとめれば、ログイン確認・閲覧範囲・操作記録を1か所でかけられ、退職者も1回で止められます。
さらに、チャットやカレンダーには中身を流さず、システムへのリンクだけを出します。
外部サービスとつなぐときの決まり
よろずテックのシステム中身はここだけ
ログインした人だけが見る
「新しい書類が届きました」＋リンク→個人名・中身は送らない
チャット・カレンダー通知とリンクだけ
- 送る項目は事前に一覧で決定
- 権限は必要な範囲だけ
- 鍵はお店・事務所名義
- いつでも切断できる
- AI に送る場合は事前に了承
乗り換えの途中も、抜かれないように
データの移行中と、両方を使う期間は、情報がふだんと違う道を通ります。
STEP 1データを移す
- メール添付・USB で受け取らない
- 作業は運営者本人だけ
- 件数と中身を照合して報告
STEP 2両方を使う期間
- 始まりと終わりを先に決める
- つなぐ鍵は読み取りだけ
- 項目ごとにどちらが正かを決める
STEP 3終わったら
- その日につなぐ鍵を切る
- 受け取ったファイルを消去し報告
- 元システムの解約・消去を一緒に確認
記録を残す
誰が・いつ・何を見て、何を変えたか（書類を開いた記録を含む）を記録。万一のとき「どこまで見られたか」を調べる根拠になります。
業種ごとの点検にも使えます（例：弁護士情報セキュリティ規程〈2024年6月施行〉の年1回の点検[15]）。
万一のとき
- 気づく停止・控えの停止・ログイン失敗の連続を通知
- 止める外部の鍵と関係するログインを即停止
- 知らせる判明した時点で連絡。分かったこと・分からないことを分けて報告
- 戻す別の機械の控えから復旧
- 引き継ぐ続けられなくなっても、データとプログラム一式を渡す
保険での備え（加入予定）
保険は事故のあとの備えで、漏れないことの代わりにはなりません。三井住友海上のサイバー保険「サイバープロテクター」（IT業務特約つき）への加入を予定しています[16]。
お客様への賠償情報漏えい（おそれを含む）、システムの不具合・停止による損害
事故対応の費用原因調査・復旧・法律相談・関係者への連絡など
補償の内容と金額は加入手続きで確定します。加入後にこのページを更新します。
お客様にお願いしていること
- ほかのサービスと同じパスワードを使わない
- 2段階認証を全員が設定
- パソコン・スマートフォンの更新を止めない
- 職員の退職は当日中に連絡（すぐ止めます）
- 「パスワードを教えて」には応じない（よろずテックから聞くことはありません）
セキュリティについて相談する →
出典