← 作家・中川｜業務とITの見直し相談 ／ 業務別の資料
作成: 中川 健太（作家・中川）公開: ／更新:
中小企業の経営者のための 社内ITの見直しと生成AI
中小企業で、ITの専任の担当者がいないのは珍しいことではありません。困るのは専任がいないことではなく、誰が見るかが決まっていないことです。パソコン、アカウント（メールやサービスに入るためのIDとパスワード）、契約しているサービス、生成AI。見る人と一覧があれば、守りも費用の見直しも始められます。
この資料の結論
専任の担当者を雇う前に、兼任でも見る人を決めます。機器・アカウント・契約の3つの一覧（台帳）があれば、次にやることが見えます。情報セキュリティ専門の部署や担当者がいる中小企業は、9.3%です（情報処理推進機構＝IPA の調査）。
不正アクセスの被害のうち、更新していないソフトや機器の弱点を突かれたものが48.0%、IDとパスワードをだまし取られたものが36.8%でした（IPA）。まず、ソフトの更新、二段階認証（パスワードに加えて、スマホなどでも本人を確かめる設定）、バックアップ（データの控え）を固めます。
禁止しても、個人の判断で使われます。使ってよいサービスと入れてよい情報を1枚に決めてから、会社の道具として使います。
症状チェック ／ 約3分
当てはまる症状が多い工程ほど、見直す余地が大きくなります。当てはまった数が最も多い工程を、最初に見る工程として示します。6つの工程すべてに当てはまった時は、工程01から順に見ることを勧めます。
6つの工程
持っているものを把握し、穴と無駄を減らし、続く形にする。前の工程で作った一覧が、後の工程の材料になります。
改善の定石
業務改善の定石は、なくす・まとめる・入れ替える・仕組みにする、の順に考えることです（英語の頭文字から ECRS と呼びます）。社内のITでも順番は同じです。使っていないサービスや古い機器を残したまま守りを固めても、守るものが多いままです。
更新やバックアップのように、決まった手順で繰り返す処理は、設定とシステムの方が確実です。生成AIは、規約や見積のような文書を読む場所で使います。
AIを導入している中小企業の割合です。導入している企業のうち82.6%が生成AIを使っています。一方で、成功事例や活用事例の情報が不足していると答えた企業は83.3%にのぼります。
出典: 中小機構「中小企業のAI等の利活用に係る実態調査」（新しいタブで開きます）（2026年3月・有効回答1,668社）
台帳・入れ替え・サポートの期限
会社のパソコンが何台あるか、すぐには答えられません。
仕事の道具そのものです。どの機器を誰が使い、いつ買ったかが分からないと、更新も入れ替えも守りも始まりません。
サイバー攻撃などの被害にあった中小企業の被害額の平均です。最大は1億円、100万円以上は9.4%でした。復旧までは平均5.8日かかり、約7割で取引先にも影響が出ています。
出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（新しいタブで開きます）（2025-02-14 速報・2024年10〜11月調査・n=4,191）
各社・各機関が公開している情報をもとにまとめたもので、作家・中川の支援事例ではありません。
受発注の管理をインターネット経由のシステムに移した時、何を守ればよいか分からなかった。総務と兼任の担当者が、自治体と地域の産業振興機構に相談し、専門家の紹介を受けて学んだ。その知識で、Wi-Fi機器の安全のための設定を見直した。外からの通信を防ぐ仕組み（ファイアウォール）では、使っていない出入口（ポート）を閉じた。不審なメールの見分け方も、社内に知らせた。
出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録1「中小企業のためのセキュリティ人材確保・育成の実践ガイドブック」 p.7（B社）（新しいタブで開きます）（2026-03-27）
経営への影響壊れた・盗まれた・ウイルスに感染した時に、被害がどこまで及ぶか分からない。急な買い替えで、出費と仕事の停止が重なる
台数や保守の期限は、台帳とメーカーの情報で確かめる。AIの答えを台帳の代わりにしない。
入社・退職・パスワード・二段階認証
辞めた社員のアカウントが、まだ使える状態かもしれません。
会社のメールやクラウドサービスに入るための鍵です。鍵の配り方と回収の仕方が決まっていないと、機器をいくら守っても入口が開いたままになります。
不正アクセスの被害の手口のうち、IDとパスワードをだまし取られたものの割合です。
出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（新しいタブで開きます）（2025-02-14 速報・2024年10〜11月調査・n=4,191・不正アクセスの手口は n=419）
各社・各機関が公開している情報をもとにまとめたもので、作家・中川の支援事例ではありません。
退職した社員のアカウントの削除や権限の変更を、退職日の当日に済ませている割合。回答者は企業の経営者・経営層・情報システム部門のモニターで、中小企業に限った数字ではない。
出典: ISOプロ「退職者による機密情報持ち出し・不正アクセスのリスクと組織のセキュリティ体制」に関する調査（PR TIMES）（新しいタブで開きます）（2026-05-27）
経営への影響退職者や外部からの不正なログイン、情報の持ち出し、取引先へのなりすましメール
アカウントの作成・停止と権限（使える範囲）の設定は、人が確認して行う。AIにパスワードや認証コードを渡さない。
更新・社外からの接続・バックアップ
ウイルス対策ソフトを入れたので大丈夫だと思っています。
高い製品より先に、基本の穴をふさぐ工程です。不正アクセスの入口の多くは、更新していないソフトや機器と、だまし取られたパスワードです。
不正アクセスの被害の手口のうち、更新していないソフトや機器の弱点を突かれたものの割合です。取引先を経由したものも19.8%ありました。
出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（新しいタブで開きます）（2025-02-14 速報・2024年10〜11月調査・n=4,191・不正アクセスの手口は n=419）
各社・各機関が公開している情報をもとにまとめたもので、作家・中川の支援事例ではありません。
身代金ウイルス（ランサムウェア）の被害を受け、業務が止まった。被害額は17億円と同社が公表している。どの会社にも起こりうる被害である。
出典: 関通の発信（ECのミカタ PR）（新しいタブで開きます）（2026-03-03）
警察に報告されたランサムウェアの被害の件数で、半期として最多。被害にあった組織の約6割が中小企業。被害にあった組織へのアンケートでは、侵入の経路は、社外から社内につなぐ機器（VPN）が約5割。復旧に総額1,000万円以上かかった組織は、アンケートに答えた組織の6割にのぼる。警察に届け出るほどのランサムウェアの被害に限った数字で、中小企業全体の平均（工程01の73万円）より大きくなる。
出典: 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（新しいタブで開きます）（2026-09-10）
経営への影響データを人質にとる身代金ウイルス（ランサムウェア）で業務が止まる。出荷や請求が止まり、取引先にも影響が広がる
感染が疑われる時の判断（ネットワークから外す、業務を止める）は人が行い、専門家に連絡する。AIの答えを待たない。
棚卸し・解約・まとめる
毎月ITにいくら払っているか、合計を見たことがありません。
クラウドサービス（インターネット経由で使うサービス）は、申し込みが手軽な分、契約が増え続けます。使っていないサービスの支払いや、辞めた人の分の利用枠が残りやすい工程です。
各社・各機関が公開している情報をもとにまとめたもので、作家・中川の支援事例ではありません。
社内で使う18のクラウドサービスについて、退職者のアカウントが残っていないかを確かめる棚卸しを、月に約8回、手作業で行っていた。管理ツールで自動にし、年288時間かかっていた作業がほぼなくなった。
出典: Admina 導入事例（新しいタブで開きます）（掲載日不明・2026-10-19 閲覧）
クラウドサービスなどのシステム費用を見直し、総額640万円を削減した。最も大きいのは、Microsoft 製品の購入先を変えたことによる約450万円。何年分の削減かは公表されていない。管理ツールの会社のコンサルタントの支援を受けた。
出典: Admina 導入事例（新しいタブで開きます）（掲載日不明・2026-10-19 閲覧）
使われずに残っていたアカウントに気づき、年約50万円の費用を減らした。
出典: マネーフォワード Admina のお知らせ（hokan の導入事例インタビューの公開）（新しいタブで開きます）（2025-09-11）
経営への影響気づかないうちに固定費が積み上がる。会社が把握していないサービスに、会社の情報が置かれる
解約と契約の判断は人が行う。費用の合計は明細の数字で出し、AIに計算させない。
使ってよいサービス・入れてよい情報
社員が生成AIを使っているかどうか、把握していません。
生成AIは、禁止しても個人の判断で使われます。止めるより先に、使ってよいサービスと入れてよい情報を1枚のルールにまとめる工程です。
生成AIについて、会社としての方針を決めていない中小企業の割合です。「個人で活用していることもある」と答えた中小企業は27.7%でした。
出典: 東京商工リサーチ「『生成AI』に関するアンケート調査」（新しいタブで開きます）（2026-04-27公表・2026年3〜4月調査・n=6,327、うち中小企業5,872・民間調査）
各社・各機関が公開している情報をもとにまとめたもので、作家・中川の支援事例ではありません。
生成AIの導入に当たり、使い方と禁止事項を示したガイドラインを作った。約1か月の試験導入で、11部門の140業務に使い、合計で月28時間相当の作業を減らした。
出典: 労働新聞（新しいタブで開きます）（2024-07-31）
生成AIを活用している中小企業の割合。小規模企業では28.0%。調査によって数字に幅があり、中小機構の調査では、AIを導入している中小企業は20.4%だった（「改善の定石」の節）。
出典: 帝国データバンク「生成AIに関する企業の動向調査（2026年3月）」（新しいタブで開きます）（2026-05-14）
経営への影響顧客や取引先の情報の流出、誤った内容の社外への発信、著作権などの権利の問題
ルールを決めるのは経営者。何を入力してよいか、誰が最終判断するかをAIに決めさせない。
兼任・社外の相談先・支援サービス・補助金
ITのことは、詳しい社員に頼んでいます。
中小企業では、ITの専任の担当者がいないのが普通です。大事なのは専任を雇うことより、誰が見るかを決め、一人で抱えさせないことです。
情報セキュリティ専門の部署や担当者がいる中小企業の割合です。兼任の担当者を任命しているのは21.0%でした。
出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（新しいタブで開きます）（2025-02-14 速報・2024年10〜11月調査・n=4,191）
各社・各機関が公開している情報をもとにまとめたもので、作家・中川の支援事例ではありません。
情報システムの担当者のうち、他の業務と兼ねる人の割合が、2023年の48.0%から61.1%に増えた。担当が1人の企業も21.3%から24.5%に増えた。
出典: @IT「『孤軍奮闘型の情シス』の割合が増加、さらに『兼任化』も進む」（ノークリサーチ調査）（新しいタブで開きます）（2025-10-17）
取引先がサイバー攻撃で、データを置くコンピュータ（サーバ）のデータをすべて失い、業務が止まった。それを見て、対策を始めた。取引のあるITの業者に相談し、Webサイトの作成を担当している社員を、セキュリティの担当として兼任で任命した。分からないことは業者に聞きながら、OSとソフトの更新、ウイルス対策、バックアップを始めた。
出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録1「中小企業のためのセキュリティ人材確保・育成の実践ガイドブック」 p.5（A社）（新しいタブで開きます）（2026-03-27）
経営への影響担当者が辞めると社内のITが止まる。本業の時間が削られる。業者に言われるまま契約する
業者の選定と契約、補助金の申請は経営者が判断する。補助金の要件は、AIの要約ではなく公募要領の原文で確かめる。
全体像
6つの工程の「いま」と「改善後」、そして効果を確かめる指標を一覧にします。
守りも費用の見直しも、一覧が無いと始まりません。見直しは、把握から順に進めます。生成AIのルールだけは、並行して始めて構いません。
機器とアカウントの一覧ができ、守る範囲と止める鍵が分かる。
更新・二段階認証・バックアップがそろい、使っていないサービスへの支払いが止まる。
生成AIのルールと担当が決まり、一人に頼らずに見直しが続く。
効果の測り方
経営層に報告するのは一番上の層です。「導入したツールの数」や「AIの利用回数」は活動の量であって、成果ではありません。
IPAの「5分でできる！情報セキュリティ自社診断」と同じ項目で点数をつけた時、100点だった企業の被害額の平均です。50〜69点の企業では約134万円でした。点数が高い企業ほど被害額が小さい傾向を示す数字です。点数を上げれば被害が減ると証明したものではありません。
出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 業種ごとの効果的な取組事例集」（新しいタブで開きます）（2025年5月）p.2
進め方
期間は、社員数十人の会社を想定した目安です。最初の1か月で、見る人を決めて数えるところまで進めます。
生成AIのルールづくりは、他の段階を待たずに始めて構いません。ルールが無いまま個人で使われている状態を、早く終わらせる方が安全です。
経営判断
社内のITの見直しは、担当者の努力だけでは先に進めなくなる所があります。次の5つは、IT担当の権限では決められません。