休みの間、異変に気づける人がいない｜IT化の第一歩を「夏の点検リスト」から始める
AI CTO
IT化・DXを実際に推進する技術担当
「IT化と言われても、結局どこから手をつければいいんでしょうね」
「AIだ、DXだと言われるけれど、うちは何から始めればいいのか分からない」
「セキュリティ対策と言われても、何を買えばいいのか誰も教えてくれない」
「お盆は自分も社員も休む。その間、事務所の機器は誰が見ているんだろう」
社長から最も多く聞くのは、この「順番が分からない」という声です。株式会社Leachが2026年5月18日に公開した『中小企業AI導入実態調査2026』（従業員300名以下の中小企業が対象）では、AI導入率は約12%。導入を阻む最大の障壁は、コストでも人材でもなく「何から始めればいいか分からない」で、62%が挙げて首位でした。
手を止めているのは予算でも人材でもなく、「最初の一歩が決まっていないこと」です。 そして最初の一歩は、多くの場合「新しいツールを買うこと」ではありません。すでに会社にあるもの——ルーターやVPN機器、社員のメール、社長名で飛んでくる指示——を、点検できる状態に置くこと。その練習台として、夏の長期休暇ほど都合のいい機会はありません。
IPAが7月30日に公開した「夏休みの注意喚起」
IPAは2026年7月30日、夏休み期間の情報セキュリティに関する注意喚起を公開しました。組織向けとして挙げられているのは、次の点です。
- インターネットに接続された機器・装置類の脆弱性を悪用する「ネットワーク貫通型攻撃」が相次いでいること
- 侵害された機器が、他組織への攻撃の中継点（ORB）とされるおそれがあること
- DDoS攻撃への対策
- 8月の安全保障関連の記念日前後や、ロシア軍の演習に関連した攻撃への警戒
- 社長等をかたる詐欺メールや、サポート詐欺への注意
（出典は記事末尾）
社長に読んでほしいのは2つ目です。自社が被害に遭うだけでなく、乗っ取られた自社の機器が他社を攻撃する踏み台になる。 失うのは復旧費用だけではありません。
IPAが7月22日に公表したサイバーセキュリティ相談窓口の相談状況（2026年4〜6月）では、相談は合計302件、内訳は「その他」148件、「サポート詐欺」68件、「インシデント対応」65件でした。企業を狙う詐欺の特徴として、攻撃者が実在する企業や組織、経営層、取引先、公的機関などを装い正規の連絡と見分けがつきにくい形で接触してくること、遠隔操作ソフトと電話を組み合わせ、二要素認証を含む各種の認証手続きを被害者自身に実施させる手口が増えていることが挙げられています。二要素認証を入れたから安心、とは言えなくなっています。
国は「中小企業の底上げ」を年次計画に書いた
サイバーセキュリティ戦略本部は7月31日、2025年度の年次報告であり2026年度の年次計画でもある「サイバーセキュリティ2026」を決定しました。AIを悪用して攻撃の大部分を自動実行することで効率的に大規模攻撃が可能になったとの報告があることを指摘し、2026年度に特に強力に取り組む施策として、サプライチェーン全体の対策強化とあわせ、地方公共団体・中小企業・医療・大学等の「一層の対策が必要な分野」の底上げを挙げています。（出典は記事末尾）
中小企業は、国の計画のうえで「一層の対策が必要な分野」として名指しされている側です。
休暇の前後で終わる、最初の一歩
大がかりな計画は要りません。この夏にやることは3つだけです。
1. インターネットにつながっている機器を、紙1枚に書き出す
ルーター、VPN機器、複合機、防犯カメラ、勤怠打刻機、外から入れるようにしてあるサーバー。型番と設置年、最後にファームウェアを更新した日付を書きます。書けない欄が出たら、そこが弱点です。ネットワーク貫通型攻撃が狙うのは、まさにこの「誰も見ていない機器」。一覧ができれば、次に何を更新すべきかは自動的に決まります。
2. 「社長からの指示」を疑ってよいルールを、先に作る
送金・振込先変更・パスワード共有・遠隔操作ソフトの導入。この4つは、メールやチャットの文面だけで実行せず、必ず本人へ電話で確認する。そして確認のために作業が止まった社員を、絶対に責めないと社長自身が明言し、紙に書いて掲示するところまでやります。
3. 休み明けの最初の1時間を「点検の時間」にする
長期休暇の怖さは、攻撃が来ることではなく、来たことに気づく人が数日間いないことです。休み明けの朝、いきなり通常業務に戻さず、担当を決めて点検します。見るのは機器の警告表示、休暇中に届いた不審メール、身に覚えのないログインや送信履歴。異変がなければ5分で終わります。
費用面も触れておきます。「デジタル化・AI導入補助金2026」（旧IT導入補助金）にはセキュリティ対策推進枠があります。中小企業庁が6月18日に公表した第1次締切分（5月12日締切）では、同枠は88者の申請に対し64者の採択で採択率72.7%。7月23日公表の2次締切分（6月15日締切）では28者の申請に対し20者の採択でした。締切は公募回ごとに動きます。使うなら最新の公募要領で確認してください。
8月2日から始まる、もうひとつの「表示」の話
欧州委員会は7月31日、同委員会のAI Officeと各国当局が8月2日からEU AI法の執行を開始し、新たな透明性規則の適用が始まると公表しました。チャットボット等の対話型AIシステムは、利用者に人間ではなくAIを相手にしていることを伝える必要があり、ディープフェイク（AIを用いて編集または生成された画像・動画・音声）はラベル表示が必要になります。委員会のFAQによれば、猶予が認められるのは8月2日より前に上市されたAIシステムのAI生成コンテンツのマーキング・検出義務に限られ、遵守期限は2026年12月2日です。（出典は記事末尾）
日本国内の事業者に直ちに義務が生じるものではありませんが、対話型AIやAI生成コンテンツの扱いが国際的に「表示するもの」へ動いていることは押さえておく価値があります。自社サイトとSNSで、AIが応対している箇所とAIが作った画像・動画を一覧にする。
Before / After
Before： IT化は「いつか、まとまった予算ができたら」の話。機器の一覧はなく、最後にファームウェアを更新した日も誰も知らない。休暇中に何かあっても、気づくのは休み明けの午後。社長名で来た振込先変更のメールを、経理がそのまま処理してしまう余地もある。
After： 紙1枚に、外とつながっている機器と更新日が並んでいる。休暇前・休暇明けにやることが手順として決まり、担当も決まっている。送金と振込先変更は必ず電話で確認するルールが掲示されている。この「決めて、書いて、回す」流れができた会社は、次にAIツールを入れるときも同じやり方で進められます。
よくある失敗と、避け方
- 機器の一覧を作らないまま、更新作業だけ指示する → 何台あるか分からないものに抜け漏れは必ず出ます。「数える」が先、「更新する」が後
- ルールを朝礼で口頭説明して終わりにする → 休暇中に留守番するのは、その朝礼にいなかった社員かもしれません。紙に書き、連絡先まで載せて掲示する
- AIツールの導入を先に進め、守りは「そのうち」にする → 新しいツールは、外とつながる経路を1本増やすということ。数え方が決まっていない会社は、増えた1本も数えられません
- 休み明けの「なんとなくおかしい」を気のせいで流す → 迷ったら止めて相談する、と決めておく。止めた判断を後から責められた社員は、二度と報告しません
こんな社長に向いています
- IT化を進めたいが、何から手をつけるか決まらないまま数年が過ぎている
- 社内にIT担当がいない、または他業務との兼任で手が回っていない
- 取引先から情報セキュリティの体制について聞かれたことがある
- 社長名の指示が、メールやチャットで現場に流れる運用になっている
- 補助金は気になるが、対象ツールや締切を追いきれていない
ひとつでも当てはまるなら、この夏が着手の機会です。休暇という区切りが、期限のない改善を期限のある作業に変えてくれます。
AI CTOは、この「順番」を一緒に決める役割です。機器の棚卸しの様式づくり、休暇前後の点検手順、社内ルールの文面、補助金の対象になり得るかの整理まで、社長の手元で回る大きさに落として伴走します。作るのは分厚い計画書ではなく、来週から使える1枚です。守りの型ができたところから、AIをどの業務に入れるかという次の相談に進めます。料金は月5万円（税別）。まずは試したい方には、お試し月3万円（税別）もご用意しています。