ひとりで仕事をしていても、使う仕組みは一つではありません。顧客とのメール、納品ファイルを置くクラウド、請求に使うサービス、自宅のルーター。どれか一つに入れなくなるだけで、仕事が止まることがあります。セキュリティ対策を考えるときは、機器を守ることと、仕事を続けられることを一緒に見る必要があります。
米国国立標準技術研究所（NIST）は2026年11月2日、「Small Business Cybersecurity: Non-Employer Firms」（CSWP 50）の確定版を公表しました。事業主以外に有給の従業員がいない、IT構成の小さな事業に向け、NIST Cybersecurity Framework（CSF）2.0を具体的な行動へ落とし込んだ指針です。2016年のNIST IR 7621 Rev. 1を置き換え、対策の理由、始め方、事業が大きくなったときの選択肢を並べています。
簡単にまとめると？
- 守る対象にはパソコンだけでなく、データ、アカウント、外部サービスも含まれます。止まったときの仕事への影響から優先順位を考えます。
- CSF 2.0の六つの機能で、方針づくりから保護、異常の検知、対応、復旧までをつなぎます。
- バックアップは作成して終わりではありません。保護と復元の試験、再利用するデータやアカウントの確認までが対象です。
機器の一覧に「止まると困る仕事」を重ねる
指針が最初に求めるのは、事業にとって大切な資産の把握です。ここでいう資産は、高価な機器だけを指しません。顧客データ、ソフトウェア、メールやクラウドのサービスも、仕事を成り立たせるものとして含まれます。
たとえば、在宅で制作物を納品する仕事を考えてみます。パソコンの中に作業中のファイルがあり、完成品はクラウドで共有し、顧客との連絡にはメールを使う構成です。これは説明のための仮想例ですが、機器名だけを列挙すると、クラウドへ入るためのアカウントや、アカウントを回復する連絡先を見落としやすくなります。
NISTの資産台帳の例には、所有者、データの機密性、保管場所、侵害された場合の影響、パスワードや多要素認証の設定、アカウント回復用の連絡先が並びます。何がどこにあるかに加え、使えなくなったら何に困るか、誰が戻せるかを結ぶための一覧です。ネットワークにつながるプリンターやカメラも対象に入ります。
この関係が見えると、限られた時間で手を付ける場所を選びやすくなります。納品に不可欠なクラウドと、その回復に使うメールの両方を保護する、といった判断です。対策の順序は、機器の値段だけでは決まりません。
CSF 2.0の六つの機能を、日々の行動にする
CSF 2.0は、特定の製品を導入するための仕様ではありません。セキュリティで達成したい状態を整理する枠組みです。今回の指針は、その六つの機能を小さな事業で扱える行動に結び付けています。
| 機能 | 小さな事業での行動例 |
|---|---|
| Govern（統治） | 守る方針と責任を決め、外部サービスとの役割分担を把握する |
| Identify（識別） | 機器・データ・サービスを台帳にし、失った場合の影響を考える |
| Protect（保護） | 権限を絞り、認証、更新、バックアップを整える |
| Detect（検知） | ログイン通知や記録から、普段と違う動きに気付けるようにする |
| Respond（対応） | 問題を記録し、影響の拡大を抑え、必要な相手へ連絡する |
| Recover（復旧） | 再利用する資産を確かめ、業務を戻し、経験を次の改善へ残す |
保護の設定だけに集中すると、異常に気付く方法や、使えなくなった後の戻し方が残ります。一方、復旧を考えると、何をバックアップするか、そのデータへ誰がアクセスできるかという保護の話へ戻ります。六つの機能は、こうした抜けを見つけるためにも役立ちます。
本文の各表は「検討する行動」「その理由」「始め方」「事業成長に応じた検討事項」という構成です。すべてを一律に実施する適合審査用のチェックリストとしては書かれていません。自分の事業の構成や扱う情報に合わせて選ぶための資料です。
認証と権限は、同じ仕事の別の入口を守る
アカウントの保護では、利用できるサービスで多要素認証（MFA）を有効にし、特にフィッシング耐性のある方式を使うことを勧めています。MFAは、パスワードのような「知っているもの」だけでなく、セキュリティキーのような「持っているもの」など、異なる要素を組み合わせて本人を確かめる方法です。
ただし、MFAならどの方式でも偽のログイン画面に同じように強い、というわけではありません。指針は方式の差を示し、対応するサイトで使うパスキーを、広く利用できるフィッシング耐性のある認証手段の例として挙げています。メールや重要なクラウドだけでなく、バックアップに入るアカウントも保護の対象です。
もう一つが最小権限です。日常作業では管理者権限を持たない標準アカウントを使うなど、その仕事に必要な権限へ絞ります。外注先へクラウドの一部を共有するときも、対象と期間を限定し、不要になったアクセスを見直します。認証は「誰か」を確かめ、権限は「何をできるか」を絞るものです。
ルーターなどの初期管理パスワードの変更や、ソフトウェアの更新も、この入口を守る対策につながります。台帳があれば、パソコンだけ更新して周辺機器を忘れる、といった抜けを探せます。
バックアップを、実際に仕事へ戻せる状態にする
バックアップについては、定期的な作成に加えて、保護と試験が一組になっています。複数のコピーを検討し、少なくとも一つは対象の機器につながっていない媒体などに持つこと、クラウド事業者のバックアップ方針も調べることが示されています。
先ほどの制作の例なら、「納品ファイルを保存した」という記録と、「別の環境でファイルを戻して開けた」という確認は違います。復元の試験は、コピーの存在だけでは分からない手順の抜けを見つける機会になります。また、元の機器が使えない状況でも参照できるよう、重要な連絡先を紙やオフラインで持つという考え方も紹介されています。
実際の問題が起きた後は、何がいつ起き、どの操作をしたかを記録し、用意していた連絡先や対応計画を使います。復旧前にはバックアップなどの完全性を確かめ、アカウントのMFA、利用者、共有設定、有効なセッション、メール転送ルールなども点検します。データを戻すだけでなく、入り込まれた状態をそのまま使い続けないためです。
CSWP 50は米国の小規模事業を主な読者にした出発点です。業種や取引、地域ごとに必要な条件は異なり、この指針だけですべてを満たせるわけではありません。それでも、仕事に必要なものを一枚の台帳でつなぎ、保護から復旧までの抜けを見つける考え方は、複雑なIT部門を持たない事業でも使いやすいものです。
参考資料
- Daniel Eliot, Jeffrey A. Marron, Savann Thorn, Small Business Cybersecurity: Non-Employer Firms（NIST CSWP 50）。2026年11月2日確定版。第1〜3章、特に資産台帳、CSFの六機能、認証・バックアップ・復旧の表を参照。
- NIST CSRC, CSWP 50の公開情報・改訂履歴。旧IR 7621 Rev. 1との関係と、確定版の日付を参照。