サイバーハイジーン（Cyber Hygiene）とは？情シス1人でも実践できる基本的なセキュリティ衛生管理ガイド

「うちの会社はまだ大きな被害を受けていないから大丈夫」——そう思っていませんか？サイバー攻撃の多くは、高度な手口よりも「基本的なセキュリティ習慣の欠如」を突いています。パッチが当たっていないサーバー、退職者のアカウントがそのまま残っている環境、バックアップを取っていない重要データ。攻撃者はこうした「衛生状態の悪いシステム」を狙い打ちにします。

この記事では、サイバーハイジーン（Cyber Hygiene）の概念と、情シス1人体制でも実践できる具体的な衛生管理の手順を解説します。難しい技術よりも、地道な習慣の継続がセキュリティの土台になることがわかります。

サイバーハイジーンとは？

サイバーハイジーンとは、「IT機器やシステムを健全・安全な状態に保つための日常的な習慣とプロセス」のことです。個人の健康に例えると、手洗いや歯磨きのような「当たり前だが継続が大切な基本行動」に相当します。

セキュリティの世界でよく言われることに「ハイジーンが整っていない組織は、高度な防御も意味をなさない」があります。最新のEDRやSIEMを導入しても、パッチが半年放置されていれば既知の脆弱性（セキュリティ上の欠陥）から簡単に侵入されます。

サイバーハイジーンが重視される背景

IPAの「情報セキュリティ10大脅威 2026」では、ランサムウェアや標的型攻撃が上位を占めています。これらの攻撃の多くは、既知の脆弱性悪用・パスワードスプレー・フィッシングといった「基本的な衛生管理で防げる手口」から始まっています。

つまり、最先端のサイバー攻撃に対しても、サイバーハイジーンの徹底は最も費用対効果の高い防御になります。予算が限られた中小企業ほど、高価なツールより先に衛生管理の土台を固めることが重要です。

攻撃者が狙う「衛生状態の悪い」システムの特徴

攻撃者は標的を絞る前に、侵入しやすいシステムを探索します。以下のような状態は、攻撃者にとって「入口」として認識されます。

・未適用パッチ: 既知のCVE（脆弱性識別番号）が修正されていないOSやミドルウェア
・放置アカウント: 退職者・異動者のIDが削除されずに残っている状態
・デフォルト認証情報: ルーターや機器の初期パスワードがそのままの状態
・シャドーIT: 管理外のクラウドサービスや私物デバイスが業務に混入している状態
・バックアップ未実施: ランサムウェア被害後に復旧できない状態
・過剰な権限: 必要以上の管理者権限が多くのユーザーに付与されている状態

これらは「高度な攻撃手法」ではなく、「当たり前の整備不足」を突いた攻撃です。企業が晒している攻撃対象領域（アタックサーフェス）の管理については攻撃対象領域（アタックサーフェス）とは？企業のデジタルリスクを可視化する管理実践ガイドでも詳しく解説しています。

サイバーハイジーン 5つの実践柱

1. パッチ・アップデート管理

アップデートの放置は、既知の侵入口を開けっ放しにするのと同じです。CISA（米国サイバーセキュリティ・インフラセキュリティ庁）のKEV（既知悪用脆弱性）カタログに掲載された脆弱性の多くは、パッチが公開されてから数週間以内に実際の攻撃に使われています。

パッチ適用の優先順位:
・最優先: OS・ファームウェア・公開サービス（Webサーバー・VPN・ファイアウォール）
・高優先: ブラウザ・Officeスイート・PDF閲覧ソフト・メールクライアント
・定期適用: その他のアプリケーション・ライブラリ

管理のポイントは「見える化」です。どのシステムがどのバージョンで稼働しているかを把握しない限り、パッチ漏れは必ず発生します。

# Linuxサーバーのセキュリティパッチ状況確認（RHEL/CentOS/AlmaLinux系）
yum check-update --security

# Debian/Ubuntu系
apt list --upgradable 2>/dev/null | grep -i security

# パッチ適用後のリブート要否確認（RHEL系）
needs-restarting -r

# 適用済みセキュリティパッチの履歴確認
yum history | head -20

パッチ管理の体系的な運用サイクルや優先度判定の方法はパッチ管理の基礎｜脆弱性対応サイクル・優先度判定・適用手順をわかりやすく解説を参照してください。

2. アカウント・アクセス権管理

「人」の動きに追いついていないアカウント管理は、内部不正・アカウント乗っ取りの温床になります。退職者のIDが半年後も有効なまま放置されていた結果、元従業員に不正アクセスされた事例は国内でも複数報告されています。

定期的に実施すべきアカウントレビュー:
・月次: 退職者・異動者アカウントの無効化または削除
・四半期: 管理者権限保有者のリスト確認と棚卸し
・半期: サービスアカウント・共有IDの棚卸しと使用状況確認

権限設計の基本は「最小権限の原則（Principle of Least Privilege）」です。業務に必要な最小限の権限のみを付与し、管理者権限は日常業務に使わないことが鉄則です。

# Linuxの最終ログイン日時を確認（長期未ログインアカウントの洗い出し）
lastlog | grep -v "Never logged in" | sort -k4

# 90日以上ログインしていないアカウントを抽出（目安）
lastlog -b 90

# sudo権限を持つユーザーの確認
grep -E '^sudo|^wheel' /etc/group
getent group sudo wheel

退職者アカウントの放置リスクと管理手順については中小企業のID管理入門｜退職者アカウント放置・過剰権限を情シス1人で防ぐ実践ガイドでまとめています。

3. IT資産の棚卸しと管理

「守るべき対象が何か」を把握していなければ、防御は絵に描いた餅です。CISセキュリティコントロールでも「資産の棚卸しと管理」が最優先コントロールとして位置づけられています。

IT資産台帳に記録すべき項目:
・ハードウェア: PC・サーバー・ネットワーク機器（型番・OS・IPアドレス・担当者・設置場所）
・ソフトウェア: インストール済みアプリケーション・バージョン・ライセンス期限
・クラウドサービス: 利用SaaSのリスト・契約者・格納データの種類・重要度
・IoT/OT機器: 監視カメラ・スマートロック・生産設備など

資産台帳がなければ、どこにパッチを当てればいいかも、どこに重要データがあるかも把握できません。「知らないシステム」は守れないのです。

実務的な資産管理の構築方法は中小企業のIT資産管理入門｜PCとソフトウェアの棚卸しで脆弱性の見逃しをなくす実践ガイドを参照してください。

4. バックアップの確実な実施と検証

ランサムウェア被害後に事業を再開できるかどうかは、バックアップの品質で決まります。重要なのは「バックアップを取っている」だけでなく、「定期的にリストアを検証している」ことです。

バックアップの3-2-1ルール:
・3: データのコピーを3つ保持する
・2: 2種類の異なる媒体に保存する（例: 内部HDDとクラウドストレージ）
・1: 1つはオフサイト（ネットワーク非接続または遠隔地）に保管する

バックアップが壊れていてリストアできなかった、あるいはバックアップサーバー自体もランサムウェアに感染していたという事例は珍しくありません。月に一度、ランダムなファイルのリストアテストを行うことを習慣にしてください。

詳細な設計方法は中小企業のバックアップ戦略｜3-2-1ルールでランサムウェアから事業を守る実践ガイドで解説しています。

5. ネットワークと機器の基本設定整備

ネットワーク機器の初期設定放置やデフォルトパスワードは、攻撃者が最初にチェックする項目です。Shodan（インターネットに接続されたデバイスを検索するサービス）を使えば、デフォルト認証情報のまま公開されている機器を数秒で探せます。

最低限確認すべき設定項目:
・ルーター・スイッチ: デフォルトパスワードの変更・管理画面へのアクセスをLAN側のみに制限
・Wi-Fi: WPA3（最低でもWPA2）への変更・ゲストネットワークの分離
・ファイアウォール: 不要なポートの閉鎖・インバウンドルールの最小化
・VPN機器: ファームウェアの最新化・管理インターフェイスのインターネット非公開化

Linuxサーバーのファイアウォール設定については、姉妹サイトLinuxMaster.JPでも実践的な設定手順を詳しく解説しています。

中小企業でも今日からできること

「人も予算も少ない」状況でも、優先順位を絞れば実践できます。以下の順番で着手することをお勧めします。

全部を一度にやろうとすると挫折します。まず①と②から始め、2か月かけて③④⑤に広げていくのが現実的です。月の合計工数は慣れれば5時間程度に収まるため、情シス1人体制でも継続可能です。

よくある誤解と注意点

【誤解1】「セキュリティ製品を入れれば衛生管理は不要」

EDRやUTMを導入しても、パッチ未適用やアカウント放置の問題は解決しません。ツールは補完的な役割であり、基本的な衛生管理が土台です。「ツールが不要」なのではなく、「ツールを入れる前に衛生管理を整える」という順番が重要です。衛生管理なしでツールだけ入れた場合、検知アラートが大量に発生してもその対応が追いつかない事態になりがちです。

【誤解2】「一度やれば終わり」

サイバーハイジーンは継続的なプロセスです。新しいシステムが追加されれば資産台帳を更新し、退職者が出ればアカウントを削除し、パッチは毎月確認する。「一度やって終わり」ではなく、「習慣として組織に根付かせる」ことが本質です。チェックリストと定期スケジュールを作り、業務の一部として組み込むことが長続きの秘訣です。

【注意】自動化は段階的に導入する

パッチの自動適用や自動バックアップは効率的ですが、本番環境に直接適用すると予期しない障害が発生することがあります。まずは検証環境で動作を確認してから本番に展開する手順を維持しましょう。「100%安全」な自動化はなく、必ず監視と確認のプロセスを並走させることが重要です。法律に関わる対応（個人情報保護法のインシデント報告義務など）については、詳細は法律の専門家にご確認ください。

本記事のまとめ

サイバーハイジーンは、高度なセキュリティ技術より先に整備すべき「セキュリティの土台」です。

・パッチ管理: 既知の脆弱性を放置しない。公開サービスを最優先に月次で確認する
・アカウント管理: 退職者・不要なIDを即座に削除。最小権限を徹底する
・IT資産の把握: 守るべき対象を可視化する。台帳の継続的な更新が必須
・バックアップ: 3-2-1ルールで構成し、月次のリストア検証を習慣化する
・ネットワーク設定: デフォルト認証情報・不要なポート開放を排除する

情シス1人体制でも、優先順位を絞って継続することで確実に実効性のある衛生管理が実現できます。まずパッチ確認とアカウント棚卸しから着手してみてください。高額なツール投資より先に、この「基本の徹底」が最も費用対効果の高いセキュリティ対策です。