情報セキュリティとサイバーセキュリティの違い｜中小企業が先に決めるのは、情報の入口・中・出口

会社の情報を守る話は、2つに分かれます。外の攻撃から守る「サイバーセキュリティ」と、社内でどう扱うかを決める「情報セキュリティ」です。ニュースになるのは前者ですが、中小企業が自分たちで決められることが多いのは後者です。決めるのは、情報の入口（誰が入れるか）、中（書き換えや消失をどう防ぐか）、出口（誰が確かめて外に出すか）の3か所。AIを入れても、同じです。

この記事は、YouTube「AI顧問の現場録」で、聞き手の高橋の質問にAI顧問の私が答えた回の記録です。収録日（2026年10月25日）時点の内容で、公的機関の資料で数字を確かめ、収録で言い切った所には補足を足しています。

この記事の結論

• セキュリティの話は2層です。普段の運用で情報を守る情報セキュリティと、外の敵から守るサイバーセキュリティ。
• 漏えいの報告を原因別に見ると、誤交付・誤送付・紛失・誤廃棄で約8割、不正アクセスは約1割です（件数の話で、漏れた人数の話ではありません）。
• 「攻撃は関係ない」わけではありません。ランサムウェアの被害企業の約6割は中小企業です。VPN機器など自社で持つ機器の更新は、自社の仕事です。
• 情報資産のリスクは、漏えい・改ざん・消失の3つ。備えは、見られない・変わらない消えない・勝手に出さない・止めない、の4つです。
• リスクはゼロにできません。どこまで許容するかを決めて、入口・中・出口を考えます。
• AIも同じです。どのAIが入れるか、勝手に書き換えないか、勝手に送信しないかを決めます。
• 最初の一歩は、共有フォルダを開いて、誰でも見られる設定になっていないかを確かめることです。

動画で見たい方は、YouTube「AI顧問の現場録」の回をどうぞ：中小企業の情報セキュリティ入門｜サイバーセキュリティとの違い・3つのリスク・4つの対策・AIを入れるとき（2026年10月25日の収録）。

ニュースはサイバー攻撃ばかり。でも、セキュリティは2種類ある

聞き手の高橋が持ってきたのは、こんな問いでした。「情報漏えい、サイバーセキュリティの話ばかりですね。なんでこんなことになっちゃってるのか、赤堀さんの見解を聞きたい」。

世間で話題になるのは、サイバー攻撃による情報漏えい、つまりサイバーセキュリティの話です。システムをどうするか、という文脈になります。それとは別に、会社の情報をどう守り、どう適切に使っていくかという、情報セキュリティの話があります。

図解

情報セキュリティ

普段の運用で守り、正しく使う

社内の体制とルールの話。自社で決められる

サイバーセキュリティ

外の敵から守る

攻撃への備えの話。ツールやサーバーの提供元に任せる部分が大きい

普段から自社とお客さんの情報を大切に守り、上手に使っていくのが情報セキュリティ。それをさらに外の敵からどう守るかが、サイバーセキュリティ。大きく分けると、この2層です。高橋も「それはちょっとよく分かってなかったです」と言っていました。ごっちゃになりがちなところです。

※言葉の補足です。公的な資料では、情報セキュリティは「情報の機密性、完全性及び可用性を維持すること」と定義されていて（総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」、JIS Q 27000を基にした定義）、外からの攻撃に備えることも含む広い言葉です。この記事の2層は、社長が何を決めるかで分けた、私の整理です。

中小企業がいちばん気をつけるのは、社内のうっかり

では、中小企業は何に気をつければいいのか。一番大事にしてほしいのは、自社の人間がミスをして、うっかり漏らしてしまうこと。そして、誰でも見られる、触れる環境に情報を置いてしまうことです。社内の体制から漏れていくんです。

数字でも見てみます。ここからは動画では話していない補足です。個人情報保護委員会の年次報告には、事業者から委員会に直接届いた漏えい等の報告13,345件の原因が載っています（2025年4月〜2026年3月）。

原因	件数	割合
誤交付	6,443件	48.3%
誤送付	3,467件	26.0%
紛失	764件	5.7%
誤廃棄	85件	0.6%
不正アクセス	1,256件	9.4%
内部不正	86件	0.6%
盗難	66件	0.5%
その他	1,178件	8.8%

出典：個人情報保護委員会「令和7年度 年次報告」の付表「漏えい等元及び漏えい等原因」。報告者・委託先・不明の3行を足して計算しました。

誤交付・誤送付・紛失・誤廃棄の4つで10,759件、約8割です。不正アクセスは約1割でした。

ただし、読み方には注意が要ります。これは報告の件数で、漏れた人数ではありません。同じ報告によると、紙だけの漏えいが76.9%、1件あたり1,000人以下が93.6%で、病院や薬局の書類の誤交付も多く含まれます。中小企業だけの数字でもありません。1回の不正アクセスで数百万件が漏れることもあります（サイバー攻撃はAIのせい？に書いた大手カーシェアの件）。それでも、攻撃さえ防げば漏れない、とは言えないことが分かります。

「サイバーは関係ない」は、どこまで本当か

収録で私は、サイバーセキュリティは、ツールを使っている側からすると「そこまで関係がない話」だと言いました。大きな会社が提供するツールやクラウドを使っている限り、守りの仕組みは提供元の仕事だからです。使う側にできるのは、よく分からないメールを不用意に開かない、アップデートをちゃんとする、くらいになります。

自社のホームページのお問い合わせフォームも同じです。変なフォームを自作せず、サーバー会社やソフトウェア会社がちゃんと作ったフォームやログインの仕組みを使う。攻撃の入口になる弱いところ（脆弱性）を、自分たちで抱えないということです。自社でサービスやシステムを開発するときには、サイバーセキュリティの話が本格的に出てきます。

ここは補足が要ります。「関係がない」は「自分で作り込むものが少ない」という意味で、「狙われない」という意味ではありません。警察庁の報告では、2026年上半期のランサムウェア（データを暗号化して身代金を求める攻撃）の被害報告は123件で、半期として過去最多。被害企業の約6割が中小企業でした。侵入経路はVPN機器（社外から社内につなぐ機器）が約5割で、インターネットに露出した箇所から遠隔操作で入る手口が多くを占め、メールの添付ファイルからの感染は少なくなっているとされています（警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」）。

つまり、機器を自社で持っているなら、その更新は提供元ではなく自社の仕事です。

図解

クラウドを使うだけ

守りの仕組みは提供元の仕事

自社は2段階認証、共有設定、辞めた人のアカウント

自社で持つ機器

VPN機器、NAS、ネットワークにつないだ複合機など

更新と設定は自社か委託先の仕事

自社サイトのフォーム

ちゃんと作られたものを使う

更新を止めない

自社開発のシステム

サイバーセキュリティの話が本格的に出てくる

詳しい人を入れて進める

外から来る攻撃とAIの関係は、サイバー攻撃はAIのせい？に書きました。

情報資産の、何が怖い？ リスクは3つ

お客さんの情報や、自分たちの貴重なノウハウ。こういうものを情報資産と言います。最近は、人・物・金に情報を加えて、企業の4大資産の1つと言われるようになりました。では、この情報資産がどうなることが怖いのか。収録では、高橋にクイズを出しました。

再現イメージ

赤堀

情報資産のリスクは3つあります。何だと思いますか？

高橋

流出しちゃう。誰かに中身を見られちゃう。勝手に公開されちゃうとか。

赤堀

今のは全部、漏えいの話でしたね。あと2個あります。

高橋

ミス？　入れる情報を間違えちゃった。

赤堀

そうだね、改ざんだね。

高橋

改ざんか。漏えいと改ざんと、あともう一個……わかんないです。

赤堀

3つ目は消失ですね。

高橋

あー！　消しちゃうってことか。

図解

漏えい

外に漏れる

見られてはいけない人に見られる

改ざん

中で書き換わる

悪意だけでなく、ミスも含む

消失

消えてなくなる

必要なときに使えなくなる

どれも、自分やお客さんに損失を与えたり、事業を続けられなくしたりします。こうしたリスクに対策を立てるのが、情報セキュリティです。専門の資料で出てくる機密性・完全性・可用性は、この3つにおおむね当たります。

備えは、大枠で4つ

3つのリスクへの備えは、大枠で4つあります。

図解

見られない

誰でも見られる状態にしない

変わらない、消えない

書き換えや消失を防ぐ仕組みを作る

勝手に出さない

外に出すものは、人が確かめて出す

止めない

守りすぎて、仕事を止めない

1つ目は、誰でも見られる状態にしないこと。 情報資産が金庫に入っているとします。誰でも金庫に入れるのはよくない。だからログインという鍵をかけ、鍵を渡した人になりすまされないよう、2段階認証を入れます。

2つ目は、書き換えられない、消えない仕組みを作ること。 ファイルを直すときは、上書きせず、複製してバージョン2を作る。いらなくなったフォルダは、削除せず、いらないデータの置き場（アーカイブ）に移す。そのうえで、情報全体のバックアップを取っておきます。

3つ目は、勝手に出さないこと。 外に出すものは、基本的に人が承認してから出します。

4つ目は、情報を止めないこと。 セキュリティでは、ここが結構大事です。リスク対策のためにガチガチに固めると、今度は仕事が回らなくなります。たとえば、資料を1つ出すだけなのに、こんな流れだったらどうでしょう。

図解

1. 上司

   入ってくる情報は、必ず上司が確認する

2. 部長

   稟議を出し、レビューを頼み、承認をもらう

3. 情報管理部

   さらに承認をもらう

4. 送付

   情報管理部から、やっと送る

「無理じゃないですか」と聞くと、高橋は「無理です」。事業を続けるのが、だいぶ難しくなります。そもそも、リスクをゼロにすることは基本的に不可能です。仕事の効率とリスクを比べて、どのリスクは許容し、どこからは許容しないのかを見極めて、体制を作る。これが大事です。

迷ったら、入口・中・出口で考える

ざっくり考えるときは、情報の流れを3か所に分けます。

図解

1. 入口

   どんな情報を受け入れるか。誰が、どうやってアクセスするか

2. 中

   書き換えと削除のルール（版を残す、アーカイブする）、アクセスの記録、バックアップ

3. 出口

   情報を外に出すとき、どう動くか

この観点を押さえておけば、基本的には安全に情報資産を運用できます。ただ、会社の状況、許容できるリスク、業種や業態によって、答えは全然違います。これが正解、というものはありません。

AIを入れても、同じ

ここまでは人が扱う前提で話しましたが、AIも一緒です。

	人が扱う	AIが扱う
入口	誰がアクセスするか	どのAIがアクセスするか
中	ルールで書き換えと削除を防ぐ	勝手に書き換えない
出口	人が承認して外へ出す	勝手に送信しない

基本は、チームプランのように法人で契約した安全なAIを入れて使うことです。そのうえで、どのAIがどの情報に触れるか、AIが情報に触るときのルールを決めます。新しい別の話ではなく、本当に同じなんです。

私たちの社内システムでも、同じ考え方で決めています（動画にはない補足です）。資料ごとに見られる範囲を分け、消す代わりにアーカイブし、AIは原則として下書きまで。公開や送信は、人が確かめてから行います。

どの情報をAIに入れていいかはAI導入のセキュリティと情報入力の考え方、AIの社内ルールのひな形は生成AIの社内ルールの作り方、社員がこっそり使っていたときの動き方は社員がこっそりAIを使っていたらにまとめています。

使っているクラウドが破られたら？

高橋からは、こう聞かれました。これだけ気をつけても、選んだクラウドがやられたらどうするのか。答えは、基本的にお手上げです。

Microsoft、Google、もっと先進的なところならCloudflare。その上でGeminiやCopilotを使う。中小企業の技術や体制で、こうした会社に勝てるわけがありません。だから、自分たちが信頼できる会社に任せる。そこが破られるなら、お手上げです。

ただ、お手上げなのは「破られないようにすること」です（ここからは動画にない補足です）。止まったときの備えは、こちらでできます。2026年10月には、大手クラウド事業者がランサムウェア攻撃を受け、契約する495の企業・自治体に影響が出ました（詳しくはサイバー攻撃はAIのせい？）。情報処理推進機構の「情報セキュリティ6か条」（Version 2.1・2026年6月15日）にも「バックアップを取ろう！」があります。預け先とは別の場所にバックアップがあるか。止まったら何日なら仕事を回せるか。ここは決めておいてください。

持ち帰り：入口・中・出口の質問に答えを書く

最初の一歩は、会社の情報を置いている共有フォルダを開いて、共有設定を確かめることです。リンクを知っている人なら誰でも見られる設定や、関係のない部署まで見られる設定になっていないか。情報セキュリティ6か条にも「共有設定を見直そう！」があります。

そのうえで、次の質問に答えを書いてみてください。動画の話を質問の形に直したものです。答えられない所が、次に決める所です。

入口

• 会社の情報を置く場所はどこか。個人のパソコンやクラウドに散らばっていないか
• ログインと2段階認証は、全員に入っているか
• 辞めた人、異動した人のアカウントを止める担当は誰か
• 会社で使ってよいAIはどれか

中

• ファイルを直すとき、上書きせずに版を残しているか
• 消す代わりに、アーカイブへ移しているか
• 誰がいつ見たかの記録は残るか
• バックアップから、実際に戻せるかを試したか

出口

• お客様に出す資料は、誰が確かめて出すか
• メールの宛先は、誰がどう確かめるか
• AIが勝手に外へ送らないようにしているか

止めない

• 資料を1つ出すまでに、確認は何段あるか。その段は全部いるか
• どこまでのリスクなら許容するかを、一文で言えるか

もっと細かく見たいときは、情報処理推進機構の「中小企業の情報セキュリティ対策ガイドライン」（第4.0版・2026年3月27日公開）に、「5分でできる！情報セキュリティ自社診断」や基本方針のサンプルがあります。社内で一度、全員に話してほしいときは、AIセミナーの「AI時代の情報セキュリティ講座」でお話しできます。

まとめ

情報セキュリティとサイバーセキュリティは、別の話です。中小企業が自分たちで決められることが多いのは、社内で情報をどう扱うかのほうです。報告の件数で見れば、原因の約8割はうっかりでした。攻撃への備えも、自社で持つ機器の更新とバックアップは自社の仕事として残ります。

リスクはゼロにできません。自社が許容できるリスクを考えて、入口・中・出口を決めれば、人が扱うときも、AIが扱うときも、結構安心してマネジメントできる状態になります。

最初の一歩として、共有フォルダを開いて、誰でも見られる設定になっていないかを確かめてください。

※収録日（2026年10月25日）時点の内容です。数字と資料は2026年11月5日に公的機関の資料で確認したもので、変わることがあります。

伴走型AI顧問 WiLLAGENT

初月10万円で、AI顧問、使い放題。

月2回・隔週90分の定例枠で、AI社員の開発・改善、社員研修、導入設計・戦略、会社訪問を、御社の仕事に合わせて選べます。定例の間もチャットで相談できます。

初月10万円、翌月から月30万円。最低3か月・総額70万円（いずれも税別）。訪問の交通費、AIツール利用料は別途実費です。

AI顧問の内容と料金を見る →