【IPA 2026年版】情報セキュリティ10大脅威を中小企業向けに解説｜生成AI時代に必要なルールと基礎対策

生成AIは、中小企業の生産性向上に大きく貢献する一方、運用ルールを整えないまま利用すると、情報漏えい・誤情報の活用・業務停止といった重大なリスクを招きます。特に、経営者・管理職・現場担当がそれぞれ別の認識でAIを使い始めると、便利さが先行し、統制が追いつかない状態になりやすい点に注意が必要です。
都城エリアの中小企業でも、生成AIの活用は急速に進んでいます。だからこそ重要なのは、**「AI活用を止めること」ではなく、「安全に使い続けるための最小ルールを先に決めること」**です。本記事では、次の3点に絞って、30日で着手できる実務対策を整理します。

• AI利用ルール（A4一枚）の作成
• PC・ネットワークの基礎対策の固定化
• 役割分担（確認者・承認者）の明確化

※本記事は、IPA「情報セキュリティ10大脅威 2026」の公開情報をもとに、中小企業の実務向けに再構成しています。

なぜ今、情報セキュリティ対策を見直すべきなのか

中小企業におけるセキュリティ課題は、「対策を知らない」ことよりも、対策が現場運用に落ちていないことにあります。
「方針はあるが、誰がいつやるか決まっていない」「更新漏れ・退職者IDの放置・バックアップ未検証が常態化している」といった状態は、どの業種でも起こり得ます。

さらに生成AIの普及で、従来よりも情報の出入りが増えました。
入力内容、出力結果、外部共有のそれぞれで事故ポイントが生まれるため、従来の「PCを守る」対策だけでは不十分です。
AI利用ルールと基礎対策を同時に整備することが、いま最も現実的な進め方です。

中小企業がまず押さえるべき3つの原則

1.入力禁止情報を明文化する

最初に決めるべきは、「何をAIに入力してはいけないか」です。次の情報は原則として入力禁止にしてください。

• 個人情報（氏名・住所・連絡先・識別可能な属性情報）
• 顧客機密（契約情報、未公開価格、取引条件、図面・仕様の機密部分）
• 社内未公開情報（新商品計画、M&A情報、人事評価、財務の機微情報）

現場判断に委ねると必ず揺れます。禁止対象は具体例付きで明文化し、迷った場合の相談先（上長・管理部門）も明記してください。

2. 出力確認手順を固定する

生成AIの出力は、もっともらしく見えても誤りを含みます。そのため、出力物は必ず人が確認する前提で運用してください。確認観点は、最低でも次の3つです。

• 事実誤認がないか
• 社外公開してよい表現か
• 顧客固有情報が混入していないか

「誰が確認するか」「どのタイミングで確認するか」を業務フローに組み込むことが重要です。

3. 最終承認者を明確化する

事故を防ぐうえで最も効果的なのは、責任の所在を明確にすることです。対外文書・見積文面・提案資料・告知文など、外部に出る情報は最終承認者を固定してください。承認者が曖昧な状態は、スピードを上げるほど危険になります。

都城の中小企業が直面するリスク

都城エリアの中小企業では、総務・経理・現場責任者が兼務でIT対応を担うケースが多く、対策が後回しになりやすいのが実情です。その結果、生成AIの活用が先行しても、**ルール未整備（何を入力してよいか、誰が確認するか）**のまま運用されるリスクがあります。まずは高度な投資より、AI利用ルール（A4一枚）とPC・ネットワークの基礎対策を優先して、運用を固定化することが現実的です。

情報セキュリティ対策の3つの判断軸
AI利用ルール／基礎対策／SECURITY ACTION「★一つ星」

対策は、網羅的に並べるよりも「先に効く順」で進める方が定着します。本記事では、都城エリアの中小企業が今月中に着手しやすい3軸として、①AI利用ルール（A4一枚） ②PC・ネットワークの基礎対策 ③SECURITY ACTION「★一つ星」の順で解説します。

まずは①AI利用ルールから着手し②基礎対策を進め③★一つ星で社内運用を定着させる流れが最も現実的です。

AI利用に関するルール策定の重要性

生成AIを安全に活用するためには、利用ルールを先に定義することが必要です。
実務では、次の3点を最初に決めると運用しやすくなります。

• 　入力禁止情報：個人情報、顧客機密、未公開見積・設計情報
• 　出力確認手順：事実確認の方法、確認担当、確認タイミング
• 　最終承認者　：対外文書・提案書・見積書を誰が最終承認するか

都城エリアの中小企業では、まずこの3点をA4一枚で明文化し、全社員に共有するだけでも事故リスクを大きく下げられます。「禁止すること」だけでなく、「どう確認して、誰が責任を持つか」まで決めることがポイントです。

次章では、このルールを現場で形骸化させないために、PC・ネットワークの基礎対策とあわせて実行する方法を解説します。

PC・ネットワークの基礎対策の徹底

情報セキュリティ対策の基本は、PCやネットワークの基礎対策を徹底することです。

OSやソフトウェアを常に最新の状態に保ち、セキュリティソフトを導入・更新することはもちろん、パスワード管理の徹底や不審なメールへの警戒も欠かせません。

これらの対策は、たとえAI利用ルールを定めても、それを守るための土台となります。

都城の中小企業では、人手不足などの理由から、基礎対策がおろそかになっている場合も見受けられます。

この機会に、自社の対策状況を改めて確認し、徹底を図りましょう。

都城の中小企業における情報セキュリティ対策の具体例：建設業A社の場合

都城の建設業A社を例に、情報セキュリティ対策の重要性を見ていきましょう。生成AIの利用は業務効率化に貢献する一方、情報漏洩のリスクも伴います。具体的な事例と対策を通して、自社に合った安全なAI利用ルールを策定しましょう。

見積作成業務における生成AI利用とリスク

建設業A社では、見積作成に生成AIを活用し、大幅な時間短縮を実現しました。しかし、AIへの入力情報に顧客情報や機密情報が含まれるため、情報漏洩のリスクが懸念されます。また、AIが生成した見積内容の正確性や妥当性を確認するプロセスも必要です。

リスクを考慮した安全なAI利用ルールの策定

A社では、情報システム担当者が中心となり、AI利用に関するルールを策定しました。具体的には、AIへの入力情報に関する規定、出力された情報の確認方法、責任者の明確化などです。従業員への研修も実施し、ルール遵守の意識向上を図っています。

情報セキュリティ対策に関するFAQ：中小企業が抱える疑問を解消

情報セキュリティ対策について、中小企業からよく寄せられる疑問にお答えします。AI利用ルールの策定やPC・ネットワークの基礎対策について、具体的な方法を解説します。

Q1：AI利用ルールの策定は何から始めれば良いですか？

まずは、自社の業務におけるAIの利用状況を把握しましょう。

AIにどのような情報を入力しているのか、どのような情報を出力しているのかを洗い出すことから始めます。その上で、入力してはいけない情報、出力された情報の確認方法などをルールとして明文化しましょう。

Q2：PCやネットワークの基礎対策では具体的に何をすれば良いですか？

PCやネットワークの基礎対策は、情報セキュリティ対策の基本です。

これらの対策を定期的に実施することで、リスクを大幅に軽減できます。

今すぐ始める次の一手：30日実行プランと5分セルフチェック

情報セキュリティ対策は、日々の業務に組み込むことで、無理なく継続できます。そこで、AI利用ルールの策定と基礎対策に焦点を当てた30日実行プランと、自社のセキュリティレベルを簡単に診断できる5分セルフチェックをご用意しました。

30日実行プラン：AI利用ルールの策定と基礎対策を始める

まずは、AI利用に関する社内ルールを策定しましょう。具体的には、AIへの入力禁止情報、AIが生成した情報の確認方法、最終的な承認者を定めることが重要です。

同時に、PCやネットワークのセキュリティ対策として、OSやソフトウェアのアップデート、ウイルス対策ソフトの導入、パスワードの定期的な変更などを実施しましょう。これらの対策を30日間で計画的に実行することで、セキュリティレベルを段階的に向上させることができます。

5分セルフチェック：自社のセキュリティレベルを簡易診断する

自社のセキュリティレベルがどの程度か、簡単に把握できるセルフチェックをご用意しました。例えば、IPAが提供する「中小企業の情報セキュリティ対策自己診断ツール」などを活用すれば、5分程度で現状を把握できます。診断結果を基に、優先的に取り組むべき課題を明確にし、具体的な対策を検討しましょう。

SECURITY ACTION一つ星とは：中小企業が最初に取り組むべきセキュリティ対策

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むための経済産業省推進の制度です。自社の状況に合わせて2段階の目標を設定し、対策を宣言することで、安全・安心な企業経営を目指します。まずは一つ星から取り組み、情報セキュリティ対策の第一歩を踏み出しましょう。

SECURITY ACTION一つ星を取得するメリット

一つ星を取得すると、企業は以下のメリットを享受できます。

SECURITY ACTION一つ星への申し込み手順

一つ星への申し込みは、以下の3ステップで完了します。

まとめ

都城の中小企業は、生成AIの利用における情報セキュリティリスクに備えましょう。 IPA「情報セキュリティ10大脅威2026」では、AI利用をめぐるリスクが新たに上位に入り、都城の中小企業ではAI利用ルールが未整備なケースも多いです。

まずは自社のAI利用状況を把握し、A4一枚で良いのでAI利用ルールを策定しましょう。