無料リソース
中小企業向けIT準備状況チェックリスト
ピッツバーグとクリーブランドの中小企業が、自社のテクノロジーについて答えられるべき22の質問です。それぞれにグリーン、イエロー、レッドの回答と、次の一歩が1つ付いています。所要時間は約20分です。
チェックリストの全文はこのページに掲載しています。印刷用の採点シートには、同じ質問とチェックボックスがあります。
所要時間は約20分で完了します
22の質問6つの分野にわたります
採点式最初に直すべき点がわかる
対象プラットフォーム
採点の仕組み
現在の自社の状況に合う回答をクリックしてください。現在のスコアは、「自己採点」のセクションに表示されます。
グリーン：良好な状態ですイエロー：早めの改善をお勧めしますレッド：最優先で対処してください
1. IDとアクセス
パスワードが盗まれると、攻撃者がそのままメールとファイルに入り込めます。対策の費用が低いため、この4つの質問を最初に置いています。
Q1.すべての業務アプリで、すべてのユーザーに多要素認証を必須としていますか?
グリーンMicrosoft 365 / Google、VPN、リモートアクセス、ネットバンキング、基幹業務アプリ、すべての管理者アカウントでMFAを強制している。できればフィッシング耐性のある方式(パスキー、FIDO2、番号一致)。
イエローMFAはメールのみで、ほかのアプリでは使っていない。またはSMSのみのMFA(フィッシングされうる)。
レッドMFAは任意、またはオフ。
次の一歩:MicrosoftもGoogleも、MFAは追加費用なしで利用できます。今後30日以内に、すべてで有効にしてください。
Q2.従業員はパスワードマネージャーを使い、パスワードの使い回しはゼロになっていますか?
グリーン会社が費用を負担するパスワードマネージャー(1Password、Bitwarden、Keeper、Dashlane)があり、共有ボールトを備え、全員が使っている。
イエローマネージャーを使う人もいれば、パスワードを使い回したり、スプレッドシートに保管したりする人もいる。
レッドマネージャーはなく、Summer2024のような季節ごとのパスワードが一般的。
次の一歩:法人向けプランに加入してください。無料プランや個人向けプランには、復旧、ロールベースの共有、監査ログがありません。予算は1ユーザーあたり月額4ドルから8ドルです。
Q3.1営業日以内にアクセス権を取り消す、正式な退職手続きがありますか?
グリーンログインの無効化、トークンの失効、メール転送、共有シークレットのローテーション、デバイスの回収を含むチェックリストがあり、必ず当日に実施している。
イエローメールとMicrosoft 365は停止するが、共有SaaS、VPN、古いトークンが残る。
レッド退職者がまだアクセスできる可能性がある。
次の一歩:今週中に、1ページの退職手続きチェックリストを作成してください。チームがこれまで誰かを登録したことのあるすべてのアプリを、リストに載せます。
Q4.管理者アカウントは最小権限の原則に従い、メールを読むのと同じアカウントを使わないようにしていますか?
グリーンドメイン、Microsoft 365、ファイアウォールなどごとに管理者アカウントを分けている。日常のメールとブラウジングには、特権のないアカウントを使う。可能な箇所ではPIMまたはジャストインタイムアクセスを使う。
イエローグローバル管理者が多すぎる、または1つの管理者アカウントをすべてに使っている。
レッド全員が自分のマシンの管理者で、オーナーはグローバル管理者でメールを読んでいる。
次の一歩:Microsoft 365で「アクティブなユーザー」、続いて「管理者ロール」を開き、グローバル管理者を少数に絞ります。ほかの用途には使わない、専用の管理者アカウントを作成してください。
2. バックアップと復旧
この5つの質問は、明日の朝にサーバー、ノートPC、SaaSのデータが失われた場合に、どれだけ早く業務に復帰できるかを扱います。バックアップは、実際にそこから復元できて初めて数えてください。
Q5.SaaSのデータ(Microsoft 365、Google Workspace、QuickBooks Online)をバックアップしていますか?
グリーンすべてのSaaSに対して、サードパーティ製のバックアップ(Datto SaaS Protection、Afi、Dropsuite、Spanning)が稼働し、確認済みの保持ポリシーがある。
イエローMicrosoftやGoogleがバックアップになっていると思っている。その標準の保持機能は限られており、意図的な削除からは守ってくれない。
レッドSaaSのバックアップは一切ない。
次の一歩:信頼できるSaaSバックアップを選び、今週中に有効にしてください。料金は通常、1ユーザーあたり月額3ドルから6ドルです。
Q6.バックアップは、通常のログインではアクセスできない場所に、少なくとも1つ保存されていますか?
グリーン3-2-1ルールに従っている。3つのコピー、2種類のメディア、1つはオフサイトまたは変更不可(S3 Object Lock、Wasabi Immutability、Datto)。
イエローオフサイトのバックアップはあるが、本番環境と同じ管理者の認証情報でアクセスできる。
レッドバックアップが、保護対象のデータと同じサーバー、NAS、ドメインにある。
次の一歩:変更不可またはエアギャップの保存先を追加してください。管理者のログインを手に入れた攻撃者は、そのログインでアクセスできるあらゆるバックアップを削除できます。
Q7.最後にバックアップを取った日ではなく、最後に復元テストに成功したのはいつですか?
グリーン過去90日以内に、実際のファイルまたはVMを復元して、バックアップが機能することを確認した。
イエローバックアップは毎晩実行されるが、過去1年間に実際に復元した人はいない。
レッドバックアップをいつテストしたか、そもそもテストしたことがあるかどうかも分からない。
次の一歩:重要なファイル1つ、マシン全体1台、クラウドデータ1セットについて、四半期ごとの復元テストを予定してください。繰り返しのタスクとしてカレンダーに登録します。
Q8.RTO(停止してよい時間)とRPO(失ってよいデータの量)を把握していますか?
グリーン重要なシステムごとに、事業責任者と合意した文書化済みのRTOとRPOがあり、バックアップはその両方を満たす規模で設計されている。
イエロー感覚的には分かっているが、文書化も検証もされていない。
レッド話し合ったことがない。障害時には場当たり的に対応することになる。
次の一歩:各部門の責任者に尋ねてください。午前9時にこれが失われたら、最も遅くていつまでに復旧が必要ですか。その答えがRTOです。次に、各RPOを満たせるだけの頻度でバックアップが実行されているかを確認します。
Q9.主要拠点で48時間にわたって停電とインターネット障害が起きた場合、事業を継続できますか?
グリーン在宅勤務が可能な従業員体制、クラウド電話システム、文書化されたフェイルオーバー手順がある。
イエロー一部のスタッフはリモートで働けるが、共有ドライブ、基幹業務アプリ、電話などの中核システムはオフラインになる。
レッド拠点が復旧するまで、業務が止まる。
次の一歩:1ページの事業継続計画を作成してください。誰が誰に連絡するか、顧客に電話で何を伝えるか、スタッフはどこで働くかを書き出します。
3. エンドポイントとメールのセキュリティ
チームが使うデバイスと、そこに届くメールに関する5つの質問です。
Q10.すべてのノートPC、デスクトップ、サーバーで、標準のウイルス対策以外のものを稼働させていますか?
グリーンエンドポイントの100%に、マネージドEDR(SentinelOne、CrowdStrike、Huntress、または人がアラートを監視するDefender for Business)を導入している。
イエローDefenderなどのウイルス対策は有効だが、アラートを確認する人がいない。
レッドOS標準のウイルス対策のみ、または何も入っていないマシンがある。
次の一歩:すべてのエンドポイントを棚卸しし、最新のEDRと、アラートを見る担当者がいることを確認してください。見落としやすい、サーバーとオーナーのノートPCも確認します。
Q11.OSとサードパーティ製アプリには、定められた期間内にパッチを適用していますか?
グリーンポリシーを持つパッチ管理ツールがあり、重要なパッチは7日以内、そのほかは30日以内に適用し、月次のコンプライアンスレポートを作成している。
イエローOSは自動更新されるが、サードパーティ製アプリ(Adobe、Java、ブラウザ)は更新が遅れがち。
レッド誰かが気付いたときにパッチを適用している。
次の一歩:パッチ管理ツール(NinjaOne、PDQ、Intune、Action1)を選び、ポリシーを定めてください。OSに加えて、ブラウザやほかのサードパーティ製アプリも対象に含めます。
Q12.受信メールは、プロバイダー標準のフィルターに加えて、フィッシングやなりすましを検出するフィルターを通していますか?
グリーンMimecast、Proofpoint、Avanan、IRONSCALESなどを導入し、なりすまし対策を有効にしている。
イエローMicrosoft 365またはGmailの標準フィルターのみで、明らかなフィッシングメールが受信トレイに届くことがある。
レッド高度なメールフィルタリングはなく、CEOを装ったなりすましメールが届く。
次の一歩:ライセンスにすでに含まれている高度なフィッシング対策ポリシー(Microsoft 365 Business Premium以上)を有効にするか、専用のセキュアメールゲートウェイを追加してください。予算は1ユーザーあたり月額3ドルから5ドルです。
Q13.送信ドメインにSPF、DKIM、DMARCを設定していますか?
グリーン3つともすべて設定している。DMARCはp=rejectまたはp=quarantineで、集約レポートを監視している。
イエローSPFとDKIMは設定しているが、DMARCはp=none(レポートのみ)。
レッド3つとも未設定、またはSPFに+allや?allといった典型的な誤りがある。
次の一歩:mxtoolbox.comでドメインを確認してください。DMARCポリシーを強制していないと、第三者が御社のドメインから送信したように見えるメールを送れてしまいます。
Q14.すべてのノートPCでディスク全体の暗号化を有効にしていますか?
グリーンノートPCの100%でBitLocker(Windows)またはFileVault(Mac)を有効にし、回復キーをEntra ID、Intune、Jamfに保管している。
イエローほとんどのノートPCで有効だが、回復キーを一元的に保管する場所がない。
レッド有効にしていない、または不明。
次の一歩:暗号化されていないノートPCを見つけた人は、そのファイルを読めてしまいます。BitLockerとFileVaultはWindowsとmacOSに組み込まれており、1つのポリシーで有効にできます。
4. ネットワークとリモートアクセス
このセクションでは、ファイアウォール、ネットワークの分割方法、スタッフがオフィスの外から接続する方法を扱います。
Q15.ファイアウォールは最新でサポート対象であり、少なくとも年1回は見直していますか?
グリーン現行世代のファイアウォール(Fortinet、Palo Alto、SonicWall、Meraki、OPNsense)で、有効なライセンスがあり、侵入防止を有効にして、ルールを毎年見直している。
イエローファイアウォールはあるが、ライセンスが失効しており、ルールを見直していない。
レッド家庭用ルーター、サポート終了のファイアウォール、または初期ルールのまま設定していない。
次の一歩:サポートが終了したファイアウォールには、セキュリティアップデートが提供されません。機種がまだサポート対象であることを確認し、ライセンスを更新してください。
Q16.ゲストのデバイス、IoT機器(カメラ、サーモスタット、プリンター)、従業員のノートPCは、別々のネットワークに分けていますか?
グリーンセグメント化している。業務用VLAN、IoT用VLAN、クライアント分離を備えたゲストネットワークがある。プリンターは専用のVLANに置いている。
イエローゲストネットワークはあるが、IoT機器はメインのネットワークを共有している。
レッドすべてが1つのフラットなネットワーク上にある。
次の一歩:フラットなネットワークでは、侵害されたサーモスタットからファイルサーバーに到達できます。現行のアクセスポイントとマネージドスイッチがあれば、小規模オフィスのセグメント化は半日ほどで済みます。
Q17.従業員はどのようにリモートで仕事に接続していますか。その方法は安全ですか?
グリーンシングルサインオンに加え、ゼロトラストアクセス(Cloudflare Access、Tailscale、Twingate)またはMFA付きの最新のVPN。インターネットに公開したRDPはない。
イエローユーザー名とパスワードだけの従来型VPN。
レッドRDPやリモートツールを共有の認証情報でインターネットに公開している。
次の一歩:インターネットに開放されているRDPポートがあれば、今日中に閉じ、リモートアクセスをMFA付きのVPNまたはゼロトラストツールの背後に移してください。
5. インシデント対応と資産
この3つの質問は、インシデント発生後の最初の30分に何をするか、スタッフがフィッシングを見抜けるか、自社が所有する機器を把握しているかを扱います。
Q18.1ページに収まる、文書化されたインシデント対応計画がありますか?
グリーンある。連絡先、判断フロー、サイバー保険会社に連絡する担当者、顧客に対応する担当者、計画の保管場所が記載されており、毎年見直している。
イエロー計画はあるが、2年間誰も読んでいない。
レッド計画がない。
次の一歩:グリーンの項目に挙げた内容を1ページにまとめて計画を書き、印刷したコピーを保管して、年に1回見直してください。
Q19.従業員は、過去12か月以内にフィッシング対策の研修を受けましたか?
グリーン受けている。信頼できるプラットフォーム(KnowBe4、Hoxhunt、Wizer、Curricula)を使い、誤ってクリックした割合は低下傾向にある。
イエロー入社時に1回受けただけで、その後はない。
レッド研修はない。
次の一歩:研修は丸1日の講座である必要はありません。採点付きの模擬フィッシングを使った、毎月5分の動画を活用してください。
Q20.完全で最新の資産台帳(誰がどのノートPCを持っているか、どのサーバーがあるか、クラウドに何があるか)がありますか?
グリーンRMMまたはMDM(Intune、NinjaOne、Jamf)から自動で維持される台帳が、リアルタイムで更新されている。
イエロー誰かが年に1回更新するスプレッドシート。
レッドどんな資産があるかは、見て回って初めて分かる。
次の一歩:RMMまたはMDMを選び、台帳を自動で作成させてください。
6. ベンダーとドキュメント
2つの質問です。データを預けている企業と、1人の頭の中にしかない知識についてです。
Q21.主要なベンダー(会計プラットフォーム、ファイル共有ツール、CRM)が今週末に侵害を受けた場合、そのベンダーが自社のどんなデータを保有しているか分かりますか?
グリーン主要なベンダーの短いリストがあり、各社が保有するデータと、最新のセキュリティレポートのコピーを持っている。
イエローベンダーを信頼しているが、書面で何かを問い合わせたことはない。
レッドリストがない。ベンダーで侵害が起きても、ニュースで知ることになる。
次の一歩:データの機密性が最も高い3つのベンダーを選び、それぞれに最新のセキュリティレポートを求めてください。提出できないベンダーは、リスクとして記録します。
Q22.ITの仕組みをすべて知っている1人が明日休んだ場合、ほかの誰かが把握できますか?
グリーン重要なこと(システムの場所、アクセス方法、連絡先)が、チームメイトが見つけられる場所に書かれており、変更があれば更新されている。
イエロー1人のエンジニアまたはオーナーが、すべての仕組みについての単一障害点になっている。
レッド知っているのは1人だけで、何も書かれていない。
次の一歩:月に1時間を確保し、1人しか知らないIT関連の事柄を書き出してください。
自己採点
22の質問に対するグリーン、イエロー、レッドの回答は、クリックするたびにここで集計されます。
22問中0問に回答しました。上の各質問で、ご自身に当てはまる回答をクリックしてください。
0グリーン
0イエロー
0レッド
0/22回答済み
グリーンが18個以上:良好な状態です。四半期ごとの復元テスト、月次のパッチ適用、年1回のポリシー見直しで、この状態を維持してください。
グリーンが11個から17個:基本はおおむね整っています。最も深刻なイエロー3つを選び、90日以内に解消してください。
グリーンが11個未満、またはQ1、Q5、Q6、Q10、Q14のいずれかがレッド:まずこの5つの質問のレッドを解消し、次にそれ以外のレッド、最後にイエローに取り組んでください。
セカンドオピニオンを受ける
KawaConnectは、ペンシルベニア州西部とオハイオ州北東部の中小企業向けに、無料のIT準備状況の相談を提供しています。回答をお聞かせいただければ、最初に何を修正するか、おおよその費用をお伝えします。継続的な支援については、マネージドITサービスをご覧ください。
無料の準備状況の相談を予約する採点シートをダウンロード0 / 22 回答済みスコアを見る
