従業員10人の町工場にもサイバー対策が必要な理由と始め方①

社長、「うちは従業員10人の町工場だから、サイバー攻撃とは関係ない」と考えていませんか。大企業の情報漏えいニュースを見ても、自社にはそれほど重要な情報がないと感じるかもしれません。

しかし、町工場にも受注情報、設計図面、取引先の連絡先、見積書、請求書など、仕事を続けるために欠かせない情報があります。これらが突然使えなくなれば、加工や出荷、納期回答に影響する可能性があります。

サイバー対策は、大企業だけが取り組む特別なものではありません。今回は、従業員10人規模の製造業を想定し、なぜ対策が必要なのか、何から始めればよいのかを整理します。

1．従業員10人の町工場にも対策は必要か

結論から言えば、従業員10人規模の町工場にもサイバー対策は必要です。ただし、大企業と同じ人数の専門担当者を配置したり、同じ規模のシステムを導入したりする必要があるという意味ではありません。

大切なのは、自社で使っている情報とシステムを把握し、業務への影響が大きいものから守ることです。例えば、図面を保存しているパソコンが故障したとき、別のパソコンで作業を再開できるでしょうか。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、個人事業主や小規模事業者も対象としています。会社の規模に合わせ、段階的に対策を進める考え方が紹介されています。

参考：IPA｜中小企業の情報セキュリティ対策ガイドライン

2．小さな会社が攻撃を受ける理由

サイバー攻撃は、必ずしも特定の大企業だけを狙うものではありません。インターネットへ公開された機器の弱点や、漏えいしたパスワードなどを悪用する攻撃では、企業規模に関係なく被害を受ける可能性があります。

また、取引先の情報や業務データを扱う小規模企業が被害を受けると、自社だけでなく取引先にも影響が及ぶことがあります。IPAも、中小企業やサプライチェーンがサイバー攻撃の脅威にさらされていると説明しています。

3．町工場にある守るべき情報

町工場には、個人情報だけでなく、製造を続けるために重要な業務情報があります。取引先から預かった図面、加工条件、見積単価、受注内容、納期、検査記録なども、失うと困る情報です。

これらがすべて法律上の個人情報に該当するわけではありません。しかし、事業上の機密情報や、業務を継続するために必要な情報として管理することが重要です。

まずは、これらの情報がどのパソコン、サーバー、クラウド、外付け記憶装置に保存されているかを把握しましょう。

4．図面や受注情報が使えなくなったら

例えば、従業員10人の金属加工工場で、図面を保存したパソコンが突然使えなくなったとします。加工機械が正常でも、必要な図面や加工プログラムが確認できなければ、作業を進められない場合があります。

受注情報が見られなくなれば、どの製品を何個作るのか、いつ納品するのかを確認できなくなるかもしれません。取引先への納期回答が遅れれば、相手の生産計画にも影響する可能性があります。

これは説明のための想定例であり、特定の町工場で発生した事故ではありません。自社では、どの情報が失われると仕事が止まるのかを考えてみてください。

5．取引先へ影響が広がる可能性

町工場は、大手メーカーや地域の製造会社の部品供給を支えていることがあります。従業員が少なくても、代替が難しい加工技術や、短納期の仕事を担当している場合があります。

そのため、受注システムや図面が使えなくなると、自社の作業だけでなく、取引先の生産や納期にも影響する可能性があります。また、預かった設計資料や取引条件が外部へ流出すれば、信頼関係にも影響します。

すべての事故が取引先の操業停止につながるわけではありません。しかし、自社の重要な仕事と、取引先に預かっている情報を把握することは必要です。

6．町工場で注意したい侵入経路

サイバー攻撃の入り口には、不審なメール、更新されていないパソコンやネットワーク機器、弱いパスワード、設定不備のある遠隔接続などがあります。どれも小規模企業で利用する機器やサービスに関係するものです。

例えば、外部の保守会社が設備へ遠隔接続する仕組みを利用している場合、接続方法や管理者を把握しておく必要があります。取引先から届くメールや添付ファイルも、送信元や内容を確認する習慣が重要です。

最初に確認したいもの

• 業務用パソコンの更新状況
• インターネットへ接続している機器
• VPNや遠隔保守の利用状況
• メールの添付ファイルとリンクの扱い
• 共用アカウントや弱いパスワードの有無

7．専任のIT担当者がいない場合

従業員10人規模の町工場では、専任のIT担当者がいないことも珍しくありません。社長自身がパソコンを管理したり、事務担当者が外部の保守会社と連絡を取ったりしている場合もあります。

その場合、最初から専門的な対策をすべて社内で行う必要はありません。まず、機器を管理する人、故障時に連絡する相手、バックアップを確認する人を決めておくことが重要です。

8．まず実行したい情報セキュリティ6か条

IPAは2026年の中小企業向けガイドライン第4.0版で、従来の「情報セキュリティ5か条」にバックアップを加えた「情報セキュリティ6か条」を紹介しています。町工場でも、まず取り組みたい基本対策です。

表はIPAの基本対策を町工場向けに整理したものです。具体的な設定方法は、使用する機器やサービスに合わせて確認してください。

参考：IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版

9．図面と受注情報のバックアップ

小規模工場で特に確認したいのが、重要データのバックアップです。パソコンが故障したり、ランサムウェアによってファイルが使えなくなったりした場合でも、バックアップがあれば復旧できる可能性があります。

ただし、同じパソコン内にコピーしただけでは、機器の故障や感染によって両方失う可能性があります。別の保存先を利用し、可能であればネットワークから切り離したバックアップも用意しましょう。

確認したい3つのポイント

• 図面、加工プログラム、受注情報をバックアップしているか
• バックアップ先が元のパソコンと別になっているか
• 実際にファイルを復元できるか確認したことがあるか

バックアップを取っていることと、必要なときに仕事を再開できることは同じではありません。復元テストを行い、どのくらい時間がかかるか把握しておきましょう。

10．費用を抑えて対策を始める

町工場のサイバー対策では、費用をかける前に現在の設定や運用を確認することが重要です。OSの更新、不要なアカウントの削除、パスワードの見直し、バックアップの確認などは、既存の環境でも取り組める場合があります。

一方、機器が古く更新できない場合や、遠隔接続を安全に管理できない場合は、保守会社への相談や機器の更新が必要になることもあります。費用だけで判断せず、業務停止の影響も考えて優先順位を決めましょう。

IPAには、中小企業向けの相談・監視・初動対応などを組み合わせた「サイバーセキュリティお助け隊サービス」制度があります。自社だけで対応が難しい場合、外部支援を検討する際の参考になります。

参考：IPA｜サイバーセキュリティお助け隊サービス制度

11．取引先からの信頼を守る

町工場にとって、長年付き合ってきた取引先との信頼関係は重要な財産です。取引先から預かった図面や仕様書を適切に管理し、納期を守るための備えをすることは、事業を継続するうえでも意味があります。

サイバー対策を実施すれば、すべての事故を防げるわけではありません。しかし、重要情報の保存先やバックアップ、事故時の連絡体制を把握しておくことで、問題が起きた際の対応を進めやすくなります。

取引先からセキュリティに関する確認を求められた場合も、実際に取り組んでいる対策を説明できることが大切です。実施していない対策を「実施済み」と回答することは避けましょう。

12．社長向け7項目チェックリスト

ここまでの内容を、従業員10人規模の町工場でも確認しやすい7項目にまとめました。すべてを一度に解決する必要はありませんが、未確認の項目を把握することが重要です。

一つでも「分からない」があれば、そこから確認を始めましょう。大切なのは、会社の規模に合った対策を継続することです。

13．まとめ｜今日できる一つの行動

従業員10人の町工場にも、守るべき情報とシステムがあります。図面、受注情報、取引先の連絡先などが突然使えなくなれば、加工や出荷、納期回答に影響する可能性があります。

サイバー対策は、高額な機器を導入することだけではありません。パソコンの更新、認証の強化、共有設定の見直し、バックアップなど、できるところから始めることが重要です。

公式一次情報

• IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版
• IPA｜サイバーセキュリティお助け隊サービス制度
• IPA｜サイバーセキュリティお助け隊サービス（新類型）実証事業

※本記事は2026年10月30日時点のIPA公開資料を基に作成しています。本文の工場停止例は説明用の想定事例であり、特定企業で発生した事故を示すものではありません。