自社のウェブサイトが改ざんされないためのセキュリティ対策とは

目次

１　加害者にもなりかねない「ウェブサイトの改ざん」

「ウェブサイトの改ざん」は、ウェブサイトの脆弱性を突かれて、コンテンツやデザイン、機能が不正に書き換えられてしまうもので、例えば、次のような危険があります。

  • リンクが不正に書き換えられ、クリックするとフィッシングサイトに誘導される
  • 悪意のあるスクリプトが埋め込まれ、アクセスするとマルウェアに感染してしまう
  • 悪意のあるスクリプトが埋め込まれ、入力フォームに記入した情報が窃取されてしまう

自社が運営するウェブサイトが改ざんされてしまうと、自分たちは被害者なのにもかかわらず、ウェブサイトを訪れた人たちに対する加害者になってしまう恐れがあります。

安全にウェブサイトを運用管理するためには、ウェブアプリケーション、ウェブサーバー、ネットワークなどについて、適切なセキュリティ対策を講じる必要があります。

IPA（情報処理推進機構）の「ウェブサイトのセキュリティ対策のチェックポイント20ケ条」を基に、対策が実施できているか確認してみましょう。次のページからチェックリスト（エクセルファイル）をダウンロードできます。

IPA「ウェブサイトのセキュリティ対策のチェックポイント20ケ条」
https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

２　ウェブサイトのセキュリティ対策のチェックポイント

ここでは、IPA「ウェブサイトのセキュリティ対策のチェックポイント20ケ条」を、順に、少し解説を足して紹介します。

1）ウェブアプリケーションのセキュリティ対策

1.公開すべきでないファイルを公開していませんか？

個人情報や機密情報の記載されたファイル、「.htaccess」などのシステムファイルなどは、公開すべきでないファイルです。誤って公開してしまっていた場合、単に非公開にするだけでは検索エンジンのキャッシュとして残っている恐れもあります。

例えば、所有するウェブサイトの情報をGoogle検索結果から削除しようとする場合、Google Search Consoleを通じて手続きできます。

Google Search Consoleヘルプ「ウェブサイトの情報を Google から削除する」
https://support.google.com/webmasters/answer/7479439

2.不要になったページやウェブサイトを公開していませんか？

不要になったウェブサイトを公開したまま放置していると、管理が及ばず、脆弱性が発覚した際に影響を受ける恐れがあります。期間限定のページなどは、公開期間が終了になった際に非公開にするようにします。

3.「安全なウェブサイトの作り方」に取り上げられている脆弱性への対策をしていますか？

後述の第3章でもう少し詳しく触れますが、IPA「安全なウェブサイトの作り方（改訂第7版）」では、ウェブアプリケーションの脆弱性のうち、届出件数が多い脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、概要や対策方法を解説しています。必ず確認し、対策を実施しましょう。

4.ウェブアプリケーションを構成しているソフトウェアの脆弱性対策を定期的にしていますか？

ウェブアプリケーションは様々なソフトウェアやフレームワーク、CMS（コンテンツ・マネジメント・システム）などで構成されています。これらに脆弱性が発見された場合、都度、セキュリティパッチを当てたり、バージョンアップしたりするといった対策が必要です。

5.不必要なエラーメッセージを返していませんか？

ウェブアプリケーションのエラーメッセージから、ウェブサイトの設定情報などが漏えいし、攻撃に悪用されることがあります。攻撃者に余計な情報を与えないためにも、エラーメッセージの内容は必要最低限にします。

6.ウェブアプリケーションのログを保管し、定期的に確認していますか？

ログ情報は、不正アクセスやその兆候、故障などの事故があった際、原因を追究するために必要な情報源です。必要な期間、ログを保管し、正しく取得できているか定期的に確認しましょう。

7.インターネットを介して送受信する通信内容の暗号化はできていますか？

ウェブアプリケーションと利用者の間で交わされる通信は、盗聴や改ざん、なりすましなどの被害を受ける恐れがあります。通信内容を暗号化（HTTPS化）すれば、仮に盗聴などの被害を受けても重要情報が不正に取得されることを防止できます。

ウェブサイトを運営するときは、第三者機関からサーバー証明書を取得し、TLS（現在の主流はTLS1.2およびTLS1.3）を設定することが安全性の担保につながります。

8.不正ログインの対策はできていますか？

別のウェブサイトやサービスから漏えいしたIDやパスワードを使った不正ログインは後を絶ちません。ログイン機能のあるウェブサイトでは、利用者に対して、「複雑で推測されにくいパスワードを設定する」「パスワードを使いまわさない」という基本対策をアナウンスするとともに、IDやパスワードの入力を一定回数間違った場合にアカウントをロックする機能の実装や、多要素認証の導入などを検討しましょう。

2）ウェブサーバーのセキュリティ対策

9.OSやサーバーソフトウェア、ミドルウェアをバージョンアップしていますか？

OSやサーバーソフトウェア、ミドルウェアのバージョンアップは、セキュリティ対策の基本です。ただし、バージョンアップをすることで、今まで動作していたウェブアプリケーションが正常に動作しなくなる場合もあるため、事前に検証することが重要です。

10.不要なサービスやアプリケーションがありませんか？

ウェブサーバー上で不要なサービスが起動している場合、そのサービスが悪用されることがあるため、最低限必要なもの以外は、停止します。不要になったアプリケーションも削除します。

11.不要なアカウントが登録されていませんか？

ウェブサーバーやウェブサーバーを管理する端末に不要なアカウントが登録されている場合、悪用される恐れがあります。最低限必要なアカウント以外は削除しましょう。特に、開発工程やテスト環境で使用したアカウントが残っていないか注意しましょう。

12.推測されやすい単純なパスワードを使用していませんか？

推測されやすい単純なパスワードを設定している場合、アカウントを乗っ取られ、悪用される恐れがあるため、推測されにくい複雑なパスワードを設定・使用するようにします。特に管理者権限を持ったアカウントやリモート管理ソフトなどのアプリケーションは注意が必要です。

13.ファイル、ディレクトリへの適切なアクセス制御をしていますか？

サーバー上に配置されているファイル、ディレクトリに適切なアクセス制限がされていない場合、非公開のはずのファイルを第三者に見られたり、不正なプログラムを設置されて実行されたりする恐れがあります。

14.ウェブサーバーのログを保管し、定期的に確認していますか？

ウェブサーバーのログ（「システムログ」「アクセスログ」「データベース操作ログ」など）は不正アクセスなどがあった際、原因を追究するために必要な情報源です。必要な期間、ログを保管し、正しく取得できているか定期的に確認しましょう。

3）ネットワークのセキュリティ対策

15.ルータなどを使用してネットワークの境界で不要な通信を遮断していますか？

境界ルータなどのネットワーク機器を使用して、不要な通信を遮断することで、攻撃の糸口を減らすことができます。運用上、外部から内部ネットワークへの通信が必要な場合は、情報を秘匿するためVPNなどを利用することを検討します。内部の通信の場合でも、不要な通信を遮断することで、万が一、侵入された場合の被害を軽減できる可能性があります。

16.ファイアウォールを使用して、適切に通信をフィルタリングしていますか？

ファイアウォールを設置していても、適切なフィルタリング設定がなされていない場合、防御することができません。「どのサーバー」の「どのサービス」に「どこから」のアクセスを許可する（許可しない）のか、設定を見直しましょう。

17.ウェブサーバー（または、ウェブアプリケーション）への不正な通信を検知または、遮断していますか？

IDS（Intrusion Detection System：不正侵入検知システム）、IPS（Intrusion Prevention System：不正侵入防止システム）、WAF（Web Application Firewall：ウェブアプリケーションファイアウォール）を導入することで、ウェブサイトと利用者の間の通信を検査し、自動的に検知、遮断をすることができます。

18.ネットワーク機器のログを保管し、定期的に確認していますか？

ネットワーク機器のログは不正アクセスなどがあった際、原因を追究するために必要な情報源です。必要な期間、ログを保管し、正しく取得できているか定期的に確認しましょう。

4）その他のセキュリティ対策

19.クラウドなどのサービス利用において、自組織の責任範囲を把握した上で、必要な対策を実施できていますか？

クラウドやホスティングのサービスを利用してウェブサイトを運営している場合、サービス提供事業者側がセキュリティ対策を実施しているケースも少なくありません。サービス提供事業者側の責任範囲を把握した上で、不足する対策は自社で対応することを検討します。

20.定期的にセキュリティ検査（診断）、監査していますか？

セキュリティ対策を実施しているか、自社内で確認した上で、第三者機関による脆弱性診断やセキュリティ監査を受けることは、対策漏れなどを洗い出すために効果的な手段です。

３　ウェブサイト改ざんにつながる代表的な脆弱性

IPA「安全なウェブサイトの作り方（改訂第7版）」では、ウェブサイト改ざんにつながる11種類の脆弱性を取り上げ、脆弱性の原因そのものをなくす根本的な解決策などが解説されています。

IPA「安全なウェブサイトの作り方（改訂第7版）」
https://www.ipa.go.jp/security/vuln/websecurity/about.html

これらは、よく知られている脆弱性であり、全てに対応が必要です。ここでは代表的な3つの脆弱性を取り上げて紹介します。

1）SQLインジェクション

SQLインジェクションは、ウェブアプリケーションのSQL文（データベースへの命令文）の組み立て方の脆弱性を突き、不正なSQL文を実行させてデータベース内の情報を窃取・改ざん・消去するものです。

運営主体やウェブサイトの性質を問わず、データベースを利用するウェブアプリケーションを設置しているウェブサイトに存在しうる問題です。

根本的な解決策として、次が挙げられます。

  • SQL文の組み立ては全てプレースホルダで実装する。
  • SQL文の組み立てを文字列連結により行う場合は、エスケープ処理等を行うデータベースエンジンのAPIを用いて、SQL文のリテラルを正しく構成する。
  • ウェブアプリケーションに渡されるパラメータにSQL文を直接指定しない。

2）クロスサイトスクリプティング（XSS：Cross-Site Scripting）

クロスサイトスクリプティング（XSS）は、ウェブアプリケーションの出力処理（画面への表示）の脆弱性を突き、不正なスクリプトを埋め込んで、ウェブサイトにアクセスした利用者のブラウザ上で実行するものです。「XSS」と略すのは、スタイルシート言語（Cascading Style Sheets）で使用されている「CSS」と混同しないようにするためです。

運営主体やウェブサイトの性質を問わず、あらゆるサイトにおいて注意が必要な問題です。Cookieを用いたセッション管理を行っているサイトや、フィッシング詐欺の標的になりやすいログイン画面や個人情報の入力画面などを持つサイトは、特に注意が必要です。

根本的な解決策として、次が挙げられます。

  • ウェブページに出力する全ての要素に対して、エスケープ処理を施す。
  • URLを出力するときは、「https://」で始まるURLのみを許可する。
  • <script>…</script> 要素の内容を動的に生成しない。
  • スタイルシートを任意のサイトから取り込めるようにしない。

3）クロスサイトリクエストフォージェリ（CSRF）

クロスサイトリクエストフォージェリ（CSRF）は、ウェブアプリケーションのセッション管理（リクエストの正当性確認）の脆弱性を突き、ログイン中の利用者に不正なリンクを踏ませるなどして、あたかもその利用者が操作をしたかのようにウェブアプリケーションに不正なリクエストを送信し、実行させるものです。

Cookieを用いたセッション管理や、Basic認証、SSLクライアント認証を実装しているウェブサイトは、CSRFによる影響を受ける可能性があります。

根本的な解決策として、次が挙げられます。

  • 処理を実行するページをPOSTメソッドでアクセスするようにし、その「hiddenパラメータ」に秘密情報が挿入されるよう、前のページを自動生成して、実行ページではその値が正しい場合のみ処理を実行する。
  • 処理を実行する直前のページで再度パスワードの入力を求め、実行ページでは、再度入力されたパスワードが正しい場合のみ処理を実行する。
  • Refererが正しいリンク元かを確認し、正しい場合のみ処理を実行する。

４　ウェブサイトの改ざんの被害に遭ってしまったら

警察庁は、ウェブサイト改ざんの被害に遭った場合、アクセスログ等の資料を持参して、最寄りの警察署またはサイバー犯罪相談窓口に通報・相談するように呼びかけています。

e-Gov電子申請（デジタル庁が運営する電子申請のポータルサイト）からオンラインで「サイバー事案に関する通報等」を行うこともできますが、e-Govアカウントの取得やアプリのインストールなどが必要です。いざというときに備えて、事前に対応しておくとよいでしょう。

警察庁「ウェブサイト改ざん対策」
https://www.npa.go.jp/bureau/cyber/countermeasures/hacked-website.html

以上（2026年4月作成）

pj60384
画像：savittree-Adobe Stock

経営のヒントとなる言葉（大久保利通）

「我一人ヲ以國家ヲ維持スルノ境界ナクテハ堅忍耐久志業ヲ成スコト能ハサルヘシ」（＊）

出所：「大久保利通文書6」（東京大学出版会）

冒頭の言葉は、

「自分一人で国家を維持するほどの器（力量）がなければ、つらさや苦しみに耐え忍んで志を果たすことはできない」

ということを表しています。

幕末、幕府の威力が衰えて倒幕の機運が高まると、土佐藩脱藩浪士の坂本龍馬（さかもとりょうま）の仲介により、反目していた長州藩と手を結び、1866年に薩長同盟が成立しました。薩長同盟によって倒幕への流れは大きく加速し、王政復古の大号令によって幕府が倒され、1868年に明治新政府が成立しました。

政府の要職に就いた大久保氏は、政府の使節団として欧米を訪問し、諸国における近代産業の発展や整備された国家制度を目の当たりにして、日本の国内基盤の整備が急務であることを痛感しました。

しかし、大久保氏が帰国すると、政府は2つの派閥に割れて紛糾していました。当時、鎖国状態にあった朝鮮に出兵して開国を迫る「征韓論」を主張する派閥と、それに反対する派閥が対立していたのです。そして、征韓論派の中心とされていたのは、大久保氏の長年の盟友であった西郷隆盛氏でした。

国内基盤の整備を最優先課題としていた大久保氏は、征韓論に反対しましたが、西郷氏も自身の主張を譲りませんでした。結局、大久保氏らの働きかけによって西郷氏の朝鮮派遣は取り消され、これにより、西郷氏をはじめとする征韓論派は政府を去ることとなります。

その後、1876年に廃刀令および秩禄処分が施行され、華族や士族の俸禄（家禄）制度および身分的特権が廃されることとなりました。これをきっかけとして、かねてより政府に不満を持っていた旧武士階級の反発が高まり、全国各地で不平士族の反乱が相次ぎました。そしてついに、1877年には鹿児島県で西郷氏を中心とした不平士族が大規模な反乱を起こし、西南戦争がぼっ発しました。

大久保氏にとって、薩摩軍と戦うことは耐えがたいことでしたが、新しい国家を創造するためにやむなく討伐を決意し、政府軍は薩摩軍を破って西南戦争に勝利しました。これによって日本における内乱は終結し、日本の近代国家としての歩みが本格的に始まることとなります。

大久保氏は、日本の国家づくりに要する期間を30年間とみて、その過程を細かく計画していました。国家づくりに臨むに際して、大久保氏は次のような言葉を遺しています。

「凡（およ）そ国家の事は深謀遠慮自然の機に投じて図（はか）るにあらざれば成す事能（あた）はざるや必せり」（＊＊）
（国家の運命を左右するような重大な事柄は、将来のことまでよく考え、計画を立て、機会をみて行わなければ成し遂げることができない）

大久保氏は、西南戦争で長年の盟友であった西郷氏をはじめとする薩摩軍を敵として戦いました。こうした過酷な状況にあっても志を曲げなかったのは、近代国家としての日本を創造するという壮大な目標があったからです。

大きな物事を成し遂げるには、長期的展望に立った綿密な計画が重要です。そしてなにより、「たとえ自分一人の力だけでも、それを必ずやり遂げてみせる」という強い決意が必要となるのです。

【本文脚注】

本稿は、注記の各種参考文献などを参考に作成しています。本稿で記載している内容は作成および更新時点で明らかになっている情報を基にしており、将来にわたって内容の不変性や妥当性を担保するものではありません。また、本文中では内容に即した肩書を使用しています。加えて、経歴についても、代表的と思われるもののみを記載し、全てを網羅したものではありません。

【経歴】

おおくぼとしみち（1830～1878）。薩摩国（現鹿児島県）生まれ。青年期より同郷の西郷隆盛氏とともに藩政改革を志し、後に薩摩藩を倒幕に導く。1871年、大蔵卿就任。1873年、内務卿就任。

【参考文献】

（＊）「大久保利通文書6」（日本史籍協会（編）、東京大学出版会、1983年10月）

（＊＊）「【次代への名言】8月10日・大久保利通（産経新聞　東京朝刊（2009年8月10日付））」（産経新聞社、2009年8月）

「大久保利通」（笠原英彦、吉川弘文館、2005年5月）

以上（2026年4月更新）

pj15063
画像：日本情報マート

【助成金（育児サポート編）】仕事と育児の両立支援で最大1342万円！

目次

１　両立支援等助成金で社員の子育てをサポート！

「育児休業」（以下「育休」）等をはじめ、子育てをする社員の支援制度は近年ますます手厚くなっています。社員にとっては嬉しい一方、人手不足の中小企業にとっては、「育休等を取得する社員が増えたら、仕事が回らなくなる……」という不安があるかもしれません。

ですが、

休業する社員の業務をカバーする他の社員に手当等を支給したり、代替要員を新たに雇ったりすると、最大で1342万円が支給

されるのをご存じでしょうか。この記事で紹介する両立支援等助成金がそうです。「働きやすさ」が社会的にも求められている昨今、会社に「子育てなどと仕事の両立」を求める社員もいるでしょう。このニーズに応える上で、この助成金はとても重要です。以降で、制度概要と申請上のポイントを専門家が解説します。

なお、助成金の内容は2026年4月8日時点のもので、将来変更される可能性があります。また、申請書の書き方や添付書類については、全コースまとめてこちらに記載されていますので、ご確認ください。

■厚生労働省「両立支援等助成金のご案内」■
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kodomo/shokuba_kosodate/ryouritsu01/index.html

２　育休中等業務代替支援コース（最大1342万円）

1）育休中等業務代替支援コースとは？

社員が育休を取得したり、短時間勤務制度を利用したりしている間、その社員の業務をカバーする他の社員に手当等を支給したり、代替要員を新たに雇ったりした場合に助成金を受け取れるコースです。

2）助成金を受け取るには？

このコースは「手当支給等（育児休業）」「手当支給等（短時間勤務）」「新規雇用（育児休業）」に分かれていて、次の要件などを満たす必要があります。

1.手当支給等（育児休業）

社員が7日以上の育休（産後パパ育休を含む）を取得し、その業務をカバーする他の社員に対し、会社が手当等を支給する必要があります。手当等の内容は事前に就業規則等で定めなければなりません。

2.手当支給等（短時間勤務）

社員が短時間勤務制度（3歳未満の子を養育する社員を対象とするもの）の措置を受けられる制度を1カ月以上利用し、その業務をカバーする他の社員に対し、会社が手当等を支給する必要があります。手当等の内容は、事前に就業規則等で定めなければなりません。

3.新規雇用（育児休業）

社員が7日以上の育休（産後パパ育休を含む）を取得し、その業務をカバーする他の社員を、会社が新たに雇用し（または派遣で受け入れ）、実際に業務を代替させる必要があります。

3）受け取れる金額はいくら？

手当支給等（育児休業）・手当支給等（短時間勤務）・新規雇用（育児休業）それぞれについて、図表1の額を受け取れます。その他、

  • 育休取得者（または短時間勤務利用者）が有期雇用の場合、業務代替期間が1カ月以上であれば「有期雇用労働者加算」
  • プラチナくるみん認定を受けている場合、「プラチナくるみん認定事業主への加算」
  • 育休の取得状況を厚生労働省が運営するウェブサイト「両立支援のひろば」で公表した場合、「育休等に関する情報公表加算」

を受けられます。

■厚生労働省「両立支援のひろば」■
https://ryouritsu.mhlw.go.jp/

育休中等業務代替支援コース

支給額の計算がややこしいですが、仮に手当支給等（育児休業）を1年度10人まで申請した場合、加算も含めると最大1342万円を受け取れる計算になります。

4）専門家のワンポイントアドバイス

子育てをする社員へのサポートに注力するあまり、その業務をカバーする周囲の社員へのフォローが手薄になり、「制度を利用する人だけが優遇されている」といった不平不満が職場から上がるケースは珍しくありません。支援制度は、対象となる社員だけでなく、その業務を引き受ける同僚にも目を配ってこそ、職場全体で納得感をもって運用できるものです。助成金額と照らし合わせつつ、手当等がカバーに回る社員の負担を考慮した額になるよう制度を設計しましょう。

また、このコースは1年度につき10人までが支給対象になるという手厚い内容ではありますが、「手当支給等（育児休業）」「手当支給等（短時間勤務）」「新規雇用（育児休業）」を合わせて10人なので、どの方法で社員の負担を軽減していくのかを計画的に決めましょう。

くるみん認定・トライくるみん認定を受けている事業主については特例があり、2031年3月31日までに1事業主当たり延べ50人までの申請が可能です。認定取得済み、あるいは取得予定の企業にとっては、さらに活用余地が広がります。

なお、コース共通の条件として、次世代育成支援対策推進法に基づく一般事業主行動計画を策定し、都道府県労働局に届け出ていることが必要となります。申請日が行動計画期間内であることも条件となっていますので、ギリギリで動くのではなく余裕を持った対応が求められます。（プラチナくるみん認定を受けている場合、行動計画の策定・届出がなくても支給対象）。

３　柔軟な働き方選択制度等支援コース（最大197万円）

1）柔軟な働き方選択制度等支援コースとは？

3歳以上小学校就学前の子を養育する社員のために、短時間勤務などの柔軟な働き方に関する制度等を複数導入した上で、実際に対象者に利用させた場合に助成金を受け取れるコースです。

2）助成金を受け取るには？

このコースでは、「柔軟な働き方選択制度」という図表2の制度等を、最低でも3つ以上導入する必要があります（就業規則等への規定も必須です）。制度等を導入した上で、「育児に係る柔軟な働き方支援プラン」という、社員の柔軟な働き方をサポートするための計画を策定します。その計画に基づいて社員が利用開始から6カ月間のうちに、制度等を一定基準以上利用すると、助成金を受け取れます。助成対象は中小企業のみです。

柔軟な働き方選択制度

3）受け取れる金額はいくら？

次の2つの場合に、図表3の額を受け取れます。

  • （制度等を導入し、対象者が利用）柔軟な働き方選択制度を3つ以上導入し、社員が1つ以上制度を利用した場合
  • （子の看護等休暇制度有給化支援）子の看護等休暇を有給化し、社員が利用した場合

また、「育休等に関する情報公表加算」の他、柔軟な働き方選択制度の全てまたは子の看護等休暇（有給）を、次の子を養育する社員が利用できるようにした場合にも、次の加算を受けられます。

  • （制度利用期間延長加算）3歳以上中学校修了前の子を養育する社員が対象
  • （障害児等要配慮支援加算）18歳到達年度の末日（3月31日）までまたは高等学校等を修了する年の末日（3月31日）までの障害児等を養育する社員が対象

柔軟な働き方選択制度等支援コース

制度等を4つ以上導入して1年度に社員5人が利用し、さらに子の看護等休暇を有給化した場合、加算も含めると最大197万円を受け取れる計算になります。

4）専門家からのワンポイントアドバイス

このコースは、育児・介護休業法の「柔軟な働き方を実現するための措置等」との関連性が深いです。会社は2025年10月1日から、図表2で紹介した「始業時刻の変更」など5つの制度から2つ以上を選択して実施する義務を負っています。

このコースも、受給の条件として、次世代育成支援対策推進法に基づく一般事業主行動計画を策定し、都道府県労働局に届け出ていることが必要となります。

４　出生時両立支援コース（最大127万円）

1）出生時両立支援コースとは？

会社（実際は支店等の事業場単位）が、「男性社員」が育休を取得するための雇用環境や業務体制を整備し、男性社員が実際に育休を取得した場合、助成金を受け取れるコースです。「子育てパパ支援助成金」とも呼ばれます。

2）助成金を受け取るには？

このコースは「男性労働者の育児休業取得」「男性労働者の育児休業取得率の上昇等」に分かれていて、次の要件などを満たす中小企業が対象となります。

1.男性労働者の育児休業取得

一定の「雇用環境整備措置」を講じた上で、就業規則等に基づいて引き継ぎなどの業務体制を整備し、男性社員が産後8週間以内に連続5日以上の育休（産後パパ育休を含む）を取得する必要があります（2人目の取得者は10日以上、3人目の取得者は14日以上）。この他、休業期間中に含まれる所定労働日数に関する日数条件もあります。

雇用環境整備措置とは、次の5つです。育休取得者の数などに応じて、2～5つの措置を講じなければなりません。

  • 育休に係る研修の実施
  • 育休に関する相談体制の整備
  • 育休の取得に関する事例の収集・提供
  • 育休に関する制度・育休の取得の促進に関する方針の周知
  • 育休の取得が円滑に行われるようにするための業務配分や人員配置の見直し

2.男性労働者の育児休業取得率の上昇等

男性社員の育休取得率が、一定の要件を満たす必要があります。また、「男性労働者の育児休業取得」と同じく雇用環境や業務体制の整備に関する要件もあります。

3）受け取れる金額はいくら？

「男性労働者の育児休業取得」「男性労働者の育児休業取得率の上昇等」それぞれについて、図表4の額を受け取れます。また、育休中等業務代替支援コースと同じく、「プラチナくるみん認定事業主への加算（「男性労働者の育児休業取得率の上昇等」のみ）」「育休等に関する情報公表加算」も受けられます。

出生時両立支援コース

「男性労働者の育児休業取得（3人分）」と「男性労働者の育児休業取得率の上昇等」、さらに加算を含めると、最大127万円を受け取れる計算になります。ただし、第1種と第2種を、同一年度内に申請することはできません。

4）専門家のワンポイントアドバイス

このコースも、受給の条件として、次世代育成支援対策推進法に基づく一般事業主行動計画を策定し、都道府県労働局に届け出ていることが必要となります。

「男性社員の育休取得」を後押しするものですが、制度を整えるだけでは取得は進みません。特に中小企業では、「自分が休んだら現場が回らない」「上司や同僚に迷惑がかかる」と感じて取得をためらう男性社員が少なくありません。雇用環境整備措置の中でも「研修の実施」や「事例の収集・提供」を通じて、「取得して当たり前」という空気をつくることが大切です。

５　育児休業等支援コース（最大122万円）

1）育児休業等支援コースとは？

社員（男性・女性を問わない）の育休の取得・職場復帰が円滑に進むよう、会社が一定の取り組みをした場合、助成金を受け取れるコースです。

2）助成金を受け取るには？

このコースは「育休取得時」「職場復帰時」に分かれていて、次の要件などを満たす中小企業が対象です。

1.育休取得時

「育休復帰支援プラン」という、育休（産後パパ育休を含む）の取得・職場復帰をサポートするための計画書を策定する必要があります。まず、育休復帰支援プランを使って、育休の取得・職場復帰をサポートする旨を社内に周知し、育休取得者のプランを本人との面談を通して作成します。その上で、本人に連続3カ月以上の育休を取得させる必要があります。

2.職場復帰時

1.の育休取得者の休業終了時に、本人と面談をして原職等に復帰させ、6カ月以上継続雇用する必要があります。「育休取得時」の助成金を受給していないと申請できません。また、育休取得者を継続雇用する際は、本人が雇用保険の被保険者である必要があります。

3）受け取れる金額はいくら？

育休取得時・職場復帰時それぞれについて、図表5の額を受け取れます。どちらも社員2人（無期雇用1人、有期雇用1人）まで受給可能です。また、「育休等に関する情報公表加算」なども受けられます。

育児休業等支援コース

育休取得時（2人分）と職場復帰時（2人分）、さらに加算を含めると、最大122万円を受け取れる計算になります。

4）専門家のワンポイントアドバイス

支給要領では、育休復帰支援プランを策定する場合、少なくとも育休取得者の、

  • 業務の整理、引き継ぎに関する措置
  • 休業中の業務内容等に関する情報提供に関する措置

について定めなければならないとされています。厚生労働省ウェブサイトでは、プランの様式や、職場の状況（代替要員の確保が難しい、残業が多いなど）に応じたモデルプランを記載したマニュアルが公表されているので、参考にしながら策定を進めてください。

■厚生労働省「育休復帰支援プラン策定のご案内」■
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000067027.html

このコースも、受給の条件として、次世代育成支援対策推進法に基づく一般事業主行動計画を策定し、都道府県労働局に届け出ていることが必要となります。

６　不妊治療及び女性の健康課題対応両立支援コース（最大90万円）

1）不妊治療及び女性の健康課題対応両立支援コースとは？

女性社員が不妊治療と仕事を両立したり、健康課題（月経や更年期）に対応したりするため、休暇制度などを導入し、実際に対象者に利用させた場合に助成金を受け取れるコースです。

なお、不妊治療部分は男女問わず対象となりますが、月経・更年期対応は女性社員が対象です。

2）助成金を受け取るには？

このコースは「不妊治療」「女性の健康課題対応（月経）」「女性の健康課題対応（更年期）」に分かれていますが、大まかな要件は共通しています。次の制度のいずれかを導入し、1年間に5日以上、対象者に利用させる必要があります。助成の対象は中小企業のみです。

  • 休暇制度（不妊治療や女性の健康課題に対応するための特別休暇。多様な目的で利用できるものも可）
  • 短時間勤務制度（1日の所定労働時間を1時間以上短縮する制度。ただし、利用しても1時間当たりの基本給等の水準の引き下げや雇用形態の変更がされないことが条件）
  • 所定外労働制限（残業免除）、時差出勤制度、フレックスタイム制度、在宅勤務等

さらに、本コースの特徴として他コースのような上司面談ではなく、「両立支援担当者」の選任と相談対応体制の整備が申請要件となっています。

3）受け取れる金額はいくら？

不妊治療・女性の健康課題対応（月経）・女性の健康課題対応（更年期）それぞれについて、図表6の額を受け取れます。加算は特にありません。

不妊治療及び女性の健康課題対応両立支援コース

それぞれについて支給要件を満たした場合、最大90万円を受け取れる計算になります。

4）専門家のワンポイントアドバイス

このコースでは、休暇制度や短時間勤務制度を1年に5日以上対象者に利用させる必要がありますが、不妊治療や女性の健康課題対応が目的であることが明確でない場合、利用しても日数にカウントされません。

例えば、休暇制度を設ける場合、女性社員が利用しやすいよう「ファミリーサポート休暇」などの名称にすることがあります。ただし、助成金の受給を考えるのであれば、「休暇申請書などの際に利用目的を記載する欄を作ること」などを検討する必要があるかもしれません。ただ、その場合、労務担当者が男性だと申請しにくい女性社員もいるでしょう。制度の運用をスムーズにするためにも、「両立支援担当者」を男女混合の少人数チームで構成するなどの配慮も検討しましょう（両立支援担当者の選任は、本コースの要件でもあります）。

以上（2026年5月更新）
（監修　社会保険労務士　柴田充輝）

pj00739
画像：Gemini

【管理会計】部門や支店が増えた場合に役立つ「貢献利益」による業績評価

目次

１　質問：部門ごとの利益を把握していますか？

店舗販売部門、外商部門、卸売部門の3つの部門を持つA社。会社全体の利益はすぐに出てくるものの、部門ごとの利益は売上総利益（売上－売上原価）までしか把握できていません。

創業当初はシンプルだった組織も、事業規模が拡大していくにつれ、さまざまな部門が設置され、営業所なども増えてきます。ここで問題となるのが、部門や営業所ごとの業績が見えにくくなることです。こうした状況に直面した場合における判断の基準をご紹介します。

２　部門などごとに「貢献利益」を算出する

貢献利益とは、限界利益（売上高から変動費を引いた値）から管理可能固定費を引いた値です。管理可能固定費とは、各部門でコントロールできる固定費をいいます。

貢献利益は次のように計算します。

  • 限界利益＝売上高－変動費
  • 貢献利益＝限界利益－管理可能固定費

貢献利益のイメージ

管理会計では、費用は売上高の増減に合わせて変動する「変動費」と、売上高の増減に関係なく発生する「固定費」とに分けられます。売上高が伸びると変動費は増えますが、固定費は一定です。

例えば小売業の場合、売上原価などは売上高に合わせて増減する変動費になります。一方、人件費や減価償却費、賃借料などが固定費となり、その中には各部門で管理可能（コントロール可能）なものと管理不能（コントロール不能）なものがあります。

各部門で決裁権のある費用は管理可能固定費となります。例えば、消耗品費、会議費、交際費などについて、各部門や支店での判断が可能ならばコントロール可能な固定費となります。

部門や支店の要請で人員補充が行われる場合、人件費も管理可能固定費とします。一方、支店、営業所、工場などの開設に伴う賃借料や減価償却費、支払利息のように経営者の経営判断によるものは、各部門にとっては管理不能固定費とします。

３　事例を用いた「貢献利益」の計算例

1）事例前提条件

A社には、店販部門、外商部門、卸売部門の3つの販売部門があります。また、自社ビルを保有し、その中にこの3部門が設置されています。

A社の部門別売上高と費用

店舗販売部門は、自社ビル内の店舗で小売販売をしています。店販部門の売上高は10億円です。商品の値入率は55%（原価率45%）です。管理可能固定費は、人件費1億4400万円（480万円×30人）とします。

外商部門は、会員顧客（年間に一定金額以上を購入する優良顧客）向けに訪問販売と通信販売を行っています。掛率（小売価格に対する販売価格の割合）は90%です。管理可能固定費は、人件費7200万円（480万円×15人）、車両費・物流費4200万円（営業車7台分の減価償却費・管理費・燃料費700万円＋代金引換を含む小口配送費用3500万円）とします（便宜上、配送費用は管理可能固定費に含めています）。

卸売部門は、百貨店等の大規模小売店や専門店に対して商品を卸売りしています。掛率は65%です。管理可能固定費は、人件費7200万円（480万円×15人）と交通費・物流費2700万円（営業交通費200万円＋商品配送費用2500万円）とします。商品配送費用は、売上高に応じて変動する性質の費用ですが、ここでは管理可能固定費としています。

2）店販部門の貢献利益

店販部門の売上高は10億円、商品の値入率が55%なので、売上原価と限界利益は次のように算出することができます。

  • 売上原価＝売上高10億円×売上原価率45%＝4億5000万円
  • 限界利益＝売上高10億円－売上原価4億5000万円＝5億5000万円

店販部門の管理可能固定費は、人件費1億4400万円なので、貢献利益は次のように算出することができます。

  • 貢献利益＝限界利益5億5000万円－管理可能固定費1億4400万円＝4億600万円
  • 従業員1人当たり貢献利益＝貢献利益4億600万円／従業員数30人＝1353万3300円

3）外商部門の貢献利益

外商部門の売上高は6億円、店販部門の販売価格に対して掛率90%で販売しているので、売上原価と限界利益は次のように算出することができます。

  • 売上原価＝売上高6億円／90%×売上原価率45%≒3億円
  • 限界利益＝売上高6億円－売上原価3億円＝3億円

外商部門の管理可能固定費は、人件費7200万円と車両費・物流費4200万円なので、貢献利益は次のように算出することができます。

  • 貢献利益＝限界利益3億円－管理可能固定費1億1400万円＝1億8600万円
  • 従業員1人当たり貢献利益＝貢献利益1億8600万円／従業員数15人＝1240万円

4）卸売部門の貢献利益

卸売部門の売上高は10億円、店販部門の販売価格に対して掛率65%で販売しているので、売上原価と限界利益は次のように算出することができます。

  • 売上原価＝売上高10億円／65%×売上原価率45%＝6億9200万円
  • 限界利益＝売上高10億円－売上原価6億9200万円＝3億800万円

卸売部門の管理可能固定費は、人件費7200万円と交通費・物流費2700万円なので、貢献利益は次のように算出することができます。

  • 貢献利益＝限界利益3億800万円－管理可能固定費9900万円＝2億900万円
  • 従業員1人当たり貢献利益＝貢献利益2億900万円／従業員数15人≒1393万3300円

5）各部門の比較

A社の部門別貢献利益を一覧で示すと次の通りです。

A社の部門別貢献利益

3部門で貢献利益が最も大きいのが店販部門で、他2部門を大きく上回っています。次いで卸売部門、外商部門となっています。

店販部門は、売上高が大きく限界利益率が高いことが特徴です。卸売部門は、限界利益率は低いものの、それを売上高でカバーしている状況です。

従業員1人当たり貢献利益では、卸売部門が最も大きく、次いで店販部門、外商部門という結果になっています。

実際には、部門別に時系列で比較し、各事業部門の貢献利益の増減を比較評価するのが効果的な方法です。

４　貢献利益を運用する際の注意点

1）目に見えないもう1つの貢献利益

部門別の貢献利益によって、部門や支店ごとの業績が把握できます。活用方法はさまざまで、例えば賞与の査定に差をつけることもできます。

ただし、慎重に運用しなければなりません。なぜなら、各部門は独立した組織であるようでいて他部門から少なからず影響を受けているものであり、各部門からのアシストについても考慮する必要があります。

各部門の貢献利益を比較する場合、他部門からの好影響（創業からの貢献度合いやブランド価値など）も考えなければなりません。これを考えずに、部門別貢献利益を他部門との比較のために用いると、部門間にあつれきが生じる危険があります。

2）適正な売上管理や労務管理が大前提

管理可能固定費というのは、各部門でコントロールが可能な費用です。部門別業績評価をする場合、各部門の売上管理や労務管理等が適正に行われていることが不可欠です。

例えば、各部門に未払いの残業代があるなどの場合が問題です。もし、部門内でサービス残業が常習化しているような場合、それを管理可能固定費に加味すると貢献利益は異なってきます。また、評価基準を利益に重きを置きすぎたときに生じる売上の粉飾もあります。不正へのきっかけとならないためにも、社員教育の徹底や管理体制の整備も同時に行っていきましょう。

５　練習問題

1.（問題1）

A事業部の売上高は5000万円（変動費率55%）、管理可能固定費は1500万円です。A事業部の貢献利益はいくらですか？

（問題1の回答）

A事業部の限界利益は、売上高の5000万円から変動費の2750万円を引いた2250万円となります。貢献利益は限界利益から、管理可能固定費を引いた利益なので750万円（2250万円－1500万円）となります。

問題1の答え：750万円

2.（問題2）

A事業部に係る費用項目は次の通りです。A事業部の管理可能固定費はいくらですか？

接待交際費180万円、福利厚生費30万円、器具備品の減価償却費80万円、

オフィス賃借料850万円、光熱費100万円、広告宣伝費130万円、旅費交通費200万円、

A事業部の役員給与1000万円、A事業部の従業員給与8640万円

（問題2の回答）

管理可能固定費とは、A事業部がコントロールできる費用です。上記の中では、接待交際費、福利厚生費、光熱費、広告宣伝費、旅費交通費、A事業部の従業員給与となります。なお、役員給与は株主総会（役員個人の給与額については取締役会または代表取締役）の決議事項であるため、管理不能固定費に該当します。

問題2の答え：9280万円

以上（2026年4月更新）
（監修　税理士法人AKJパートナーズ 公認会計士 仁田順哉）

pj35047
画像：photo-ac

【朝礼】意見される人になろう

【ポイント】

  • 周囲の人は、「この人にもっと能力を発揮してもらいたい」と考え、意見を言う
  • 意見されるには、周囲の人が意見を言いやすい環境づくりが必要
  • 立場にかかわらず、意見してくれた人には感謝の気持ちを伝える

今朝は、いつも周囲の人から「意見される人」についてお話ししようと思います。周囲の人からいつも意見される人と聞くと、おっちょこちょいで、いつも失敗ばかりしている人や、思慮が足りず周囲から注意される人といった、マイナスの印象を与える人を思い浮かべるかもしれません。一方で、周囲の人は、「この人にもっと能力を発揮してもらいたい」「意見する価値がある人だ」と考え、意見を言います。周囲の人の意見には、自分だけではなかなか気づくことのなかったたくさんのアイデアや視点が含まれています。意見される人は、こうした意見をうまく自分の仕事に反映し、成果を得ているはずです。

豊臣秀吉と竹中半兵衛、本田宗一郎と藤沢武夫といったように、偉人や名経営者と呼ばれる人の隣には名参謀がいます。偉人や名経営者と呼ばれる人も自分だけの能力ではなく、自分に意見してくれる人材、参謀に恵まれたからこそ、十分な力を発揮することができたといえるでしょう。

それでは、周囲の人からいつでも意見される人であるには、どうすればよいのでしょうか。私は「日ごろから相手と意思疎通を図っておく」「いかなる場合も人の話に耳を傾ける」といった、周囲の人が意見を言いやすい環境づくりが必要だと思います。例えば、部下から上司に対して意見があったとしても、忙しそうにしていて話を聞いてもらえる様子がなかったり、以前に意見したときに全く取りあってもらえなかったとすれば、その部下は上司に意見を言うことはないでしょう。

従って、部下を持つ上司は、常日ごろから部下に声をかけたり、意見を求めたりすることが大切です。そして、立場にかかわらず、意見してくれた人には、感謝の気持ちを伝えましょう。時には、耳の痛い意見や、意に沿わない意見もあるかもしれません。しかし、そうした意見を言ってくれる人こそ、あなたのことを真剣に考えてくれている場合が多いものです。

一般的に、担当する仕事量が増えて忙しくなったり、役職が上がって部下の人数が増えたりするといった状況になると、人から意見されにくくなります。どのような状況にあっても、周囲の人から意見される人であるよう、周囲の人が意見を言いやすい環境づくりを忘れないように心がけ、人の意見をうまく取り入れて、自らの糧としていきましょう。

　　　　　　　　　　　　　　

以上（2026年4月作成）

pj16518
画像：Mariko Mitsuda

「DDoS攻撃」の防御策と踏み台にされないための対策とは

目次

１　IoT機器などが乗っ取られて、攻撃の踏み台に！

「DDoS攻撃」（Distributed Denial of Service attack; 分散型サービス妨害攻撃）は、

サーバーやネットワークなどに意図的に過剰な負荷をかけることで、正常なサービスを提供できなくするサイバー攻撃

です。「ディードス」と読みます。

攻撃者は、何らかの方法で乗っ取った複数の機器で構成されるネットワーク（ボットネット）を踏み台として、特定のサーバーやネットワークに対して大量のアクセスを一斉に仕掛けて高負荷状態にさせる、もしくは回線帯域を占有してサービスを利用できなくします。

IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」では、「DDoS攻撃（分散型サービス妨害攻撃）」が、組織向け脅威として取り上げられており、2026年には第9位にランクインしています。

情報セキュリティ10大脅威

「DDoS攻撃」は、ルーターやネットワークカメラなどのIoT機器を狙う「Mirai」と呼ばれるウイルス（IoTマルウェア）や、その亜種に感染したボットネットを踏み台とするのが主流でしたが、足元では「Mirai」とは異なるIoTマルウェアの感染も拡大しているといいます。

大規模な「DDoS攻撃」を受けると、ウェブサイトの停止、業務の中断といった深刻な被害が生じます。中小企業も対策を怠ると攻撃の踏み台にされてしまう恐れがあります。

この記事では、「DDoS攻撃」の防御策と、攻撃の踏み台にされないための対策を紹介します。

２　「DDoS攻撃」の防御策

1）海外に割り当てられたIPアドレスからの通信の遮断

攻撃元となるIPアドレスの多くは、海外に割り当てられたIPアドレスです。例えば、サービス対象者が国内に限られるウェブサイトを運営している場合、海外に割り当てられたIPアドレスからのアクセスを制限（ジオブロック）することで、被害を抑えられます。

2）DDoS攻撃の影響を排除または軽減するための専用の対策装置やサービスの導入

WAF（ウェブアプリケーションファイアウォール）、IDS/IPS（不正侵入検知システム/不正侵入防止システム）、UTM（統合脅威管理）、DDoS攻撃対策専用アプライアンス製品等を導入し、DDoS攻撃を防ぐため必要な設定を行います。

3）コンテンツデリバリーネットワーク（CDN）サービスの利用

CDNは、独自に構築したキャッシュサーバーやそれにひも付くネットワークを利用して、ウェブサイトのコンテンツを配信するサービスです。元々、ウェブサイトのレスポンス向上を目的として利用されてきましたが、「DDoS攻撃」に対しても、CDNが攻撃トラフィックを分散処理することで、オリジンサーバーへの負荷軽減が期待できます。オリジンサーバーへの直接アクセスを防ぐため、オリジンサーバーのIPアドレスを隠蔽する必要があります。

4）その他各種DDoS攻撃対策の利用

インターネットサービスプロバイダーや、WAF/CDNを提供するクラウドサービス事業者が別途提供する、DDoS対策機能を利用することも有用です。

5）サーバー装置、端末及び通信回線装置、通信回線の冗長化

代替のサーバー装置などに切り替える対策です。この場合、DDoS攻撃の検知、代替サーバー装置などへの切り替えが許容される時間内に行えるようにする必要があります。

6）サーバー等の設定の見直し

代替のサーバー装置などについて、パケットフィルタリング機能、3way handshake時のタイムアウト短縮、各種Flood攻撃への防御、アプリケーションゲートウェイ機能がある場合は、有効にしましょう。

３　攻撃の踏み台にされないための対策

1）オープンリゾルバー対策

オープンリゾルバー（Open Resolver）とは、外部の不特定のIPアドレスからの、再帰的な問い合わせを許可しているDNSサーバーのことです。DNSサーバーの設定不備によるものだけでなく、ブロードバンドルーターなどのネットワーク機器に組み込まれているリゾルバーが、意図せずインターネットからアクセス可能になっているケースもあります。

JPCERTコーディネーションセンターが運用する「オープンリゾルバー確認サイト」に、ウェブブラウザでアクセスすると、自身の利用する環境がオープンリゾルバーとして機能していないか、適切な設定や対策が施されているかを確認できます。設定されているDNSサーバーやブロードバンドルーターが、オープンリゾルバーと判定されたときは、設定を見直しましょう。

■JPCERTコーディネーションセンター「オープンリゾルバー確認サイト」■
https://www.openresolver.jp/

2）セキュリティパッチの適用

サーバーやネットワーク機器の脆弱性を放置すると、攻撃者にマルウェアを仕掛けられ、DDoS攻撃の踏み台として悪用される恐れがあります。

OS、ミドルウェア、アプリケーションの定期的なアップデートが欠かせません。ベンダーからセキュリティパッチがリリースされたら、速やかに適用し、脆弱性が含まれるプログラムや設定を更新・修正しましょう。

3）フィルタリングの設定

正常な通信パケットでは、ヘッダー部分にあるIPアドレスは送信者のアドレスになっています。このIPアドレスを書き換えた詐称パケットで相手先に接続を試みるのが、「IPスプーフィング」と呼ばれる手法です。

ルーターやファイアウォールにおいて、送信元IPアドレスが詐称されているパケットをフィルタリングすることが求められます。

４　参考

■みんなで守る、IoT。NOTICE■
https://notice.go.jp/
■情報通信研究機構 サイバーセキュリティ研究所「NICTER Atlas」■
https://www.nicter.jp/atlas

以上（2026年4月作成）

pj60383
画像：DAIN-Adobe Stock

【書籍ダイジェスト】『となりの陰謀論』

本書は、陰謀論の存在感が増す社会において、なぜこうした考え方が生まれ、広がり、力を持つようになってきたのかを考察している。
陰謀論とは、世の中の問題について、不確かな根拠のもとに「誰かの陰謀である」と決めつける考え方を指す。昔からあり、誰もがそうした考え方をする素質を持っているものだという。しかし、インターネットの出現によって陰謀論の世界は激変し、アクセスも容易になった。陰謀論は無視するのではなく、政治がそれらとどう関わっていくのかに目をこらしていく必要があるようだ。

書籍ダイジェストは、こちらからお読みいただけます。pdf

中小企業が「標的型攻撃」の踏み台にならないための多層防御とは

目次

１　油断大敵！ あなたの会社もサイバー攻撃のターゲットに

「標的型攻撃」は、

特定の企業や組織をターゲットとして、機密情報や知的財産、アカウント情報（ID、パスワード）などを窃取しようとするサイバー攻撃

です。中国や北朝鮮といった国家を背景とする犯行グループの関与が疑われる事案も後を絶ちません。

IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」では、「機密情報を狙った標的型攻撃」が、初選出の2016年から11年連続で組織向け脅威として取り上げられており、2026年には第5位にランクインしています。

情報セキュリティ10大脅威

「うちは中小企業で、狙われるような機密情報もないし、関係ないだろう」と、仮にあなたがそう考えているのであれば、その認識は甘いと言わざるを得ません。

なぜなら、第1位の「ランサム攻撃による被害」、第2位の「サプライチェーンや委託先を狙った攻撃」などの端緒は、標的型攻撃メールなどによる侵入のことも多く、大企業に対する攻撃の踏み台として、「取引先である中小企業」が標的にされることもあるからです。巧妙な標的型攻撃を100%防ぐことは不可能です。

この記事では、標的型攻撃の主な手法を知った上で、ネットワークに侵入されることを前提とした「多層防御」の考え方について解説します。

２　標的型攻撃の主な手法

1）標的型攻撃メール

標的型攻撃の侵入経路として多く使われるのは、今なお、電子メールです。この「標的型攻撃メール」の手法は、簡単に言うと、

添付ファイル（Word、Excel、PDF、Zipなど）の開封や本文中のURLリンクのクリックを促すことで、マルウェアに感染させるもの

ですが、メール受信者の心理的な隙を突くために、手口が非常に巧妙化しています。

例えば、実在の取引先、上司や同僚、公的機関（税務署・保健所など）になりすましたり、採用応募や問い合わせをかたったりした、不審なメールを受信したことのある人も多いのではないでしょうか。

ここ数年は、AIの技術がすさまじい速度で発展しており、「不自然な日本語に気を付ける」といった、メールを読んだときの違和感による真偽の見極めは、通用しなくなってきています。

2）不正アクセス

攻撃者が何らかの方法でネットワークに不正アクセスし、追加の認証情報の窃取や不正アカウントの作成、バックドアの設置などを行い、「踏み台」として使うものです。

コロナ禍を経てよく見られるのが、テレワークのために設置したVPN機器が初期設定のままだったり、リモートデスクトッププロトコル（RDP）のポートがインターネットに公開されていて、簡単なパスワードだったりするケースです。そうすると、総当たり攻撃（ブルートフォースアタック）によって容易にネットワークに侵入されてしまいます。

3）ウェブサイトの改ざん（水飲み場型攻撃）

ターゲットが信頼している場所（＝水飲み場）で待ち伏せする手口です。例えば、業界団体のニュースサイトなど、情報収集の目的でよく閲覧するウェブサイトがあったとします。そのウェブサイトのセキュリティ対策が甘いと、サイトが改ざんされ、マルウェアを仕掛けられて、そのサイトにアクセスするだけで、マルウェアに感染してしまう恐れがあります。

３　多層防御の考え方

情報システムのセキュリティ対策は、旧来、攻撃者による侵入をネットワークの入り口で防ぎ切れるという考えの下で、入り口対策に重きが置かれてきました。しかし、標的型攻撃は、入り口対策だけでは防ぎ切れません。メールフィルタリングやウェブフィルタリング、マルウェア対策ソフトの利用といった基本的な入り口対策に、内部対策、出口対策を重ね、一つの層が破られても別の層で守られるという、「多層防御」の考え方が重要です。

1）入り口対策

自社が管理するネットワーク、システムや端末などと、インターネットなどの外部環境との接続点で、不正な通信が入り込むことを防ぐ対策です。先に述べた基本的なメールフィルタリングやウェブフィルタリング、マルウェア対策ソフトの利用の他に、次のような対策が考えられます。

  • 多要素認証（MFA）：VPNやRDP、クラウドサービスへのアクセスには、ID/パスワードだけでなく、MFAを必須とし、不正ログインを防ぎます。
  • パッチ管理：OSやソフトウェア、特にVPN機器などの脆弱性をなくすためのセキュリティパッチを、迅速かつ確実に適用します。

また、「標的型攻撃メール訓練」も有効です。標的型攻撃メールを疑似的に再現したメールを従業員に対して送信し、その開封状況や万が一、引っかかってしまった際の対応策が、会社のルールにのっとってきちんと実施できているか、などを可視化できます。

2）内部対策

入り口対策をすり抜けた不正な通信に対して、内部ネットワーク環境に保存・設置されている機密情報やシステム等に対する、攻撃の予兆などを検知・隔離するものです。次のような対策が考えられます。

  • ふるまい検知：旧来のマルウェア対策ソフトは、パターンファイルにマッチする既知のウイルスを検出するものでした。ふるまい検知は、プログラムの挙動から悪意のあるマルウェアを検出する仕組みで、「不審な動作」をしているかどうかを監視するため、データベースに登録されていない新種のマルウェアにも対応可能です。
  • EDR（Endpoint Detection and Response）：PCやサーバーの「エンドポイント」でプログラムの動作などを監視し、その動きによってウイルスの感染を検知し、情報収集・調査や感染PCの遠隔隔離などをすることで、リスクを最小限に抑えるものです。
  • XDR（Extended Detection and Response）：EDRの情報に加え、ネットワーク機器やクラウドのログも相関的に分析し、より高度な脅威検知を実現します。

また、アクセス権限の適切な設定も重要です。本来の目的に必要な最低限の権限しか与えない、「最小特権の原則」を守るようにしましょう。

3）出口対策

組織内から重要な情報が外部に送信される段階で、被害を食い止める対策です。次のような対策が考えられます。

  • 社外へのアクセス経路の制限：社内ネットワークとインターネットの間にプロキシサーバーを配置し、通信を仲介することで、有害なコンテンツや不正な宛先への通信を遮断します。
  • WAF（ウェブ Application Firewall）の導入：WAFは、アプリケーションレベルで通信の中身を解析し、特定の条件にマッチする通信を検知・遮断します。

また、万が一、データが流出してしまっても情報にアクセスできないよう「データを暗号化」しておくことや、いつ、何が起きたのか調査し対策を講じるために、サーバーやウェブアプリケーションなどの「ログを記録」しておくことも重要です。

４　対策の定期的な見直しが不可欠

中小企業が「標的型攻撃」の踏み台にならないためには、多層的な防御策を講じることが求められます。「入り口」「内部」「出口」の各所で、それぞれの対策が連携して機能することで、初めて効果を発揮します。

そして、セキュリティを取り巻く環境は常に変化します。新たな脅威に対応するため、定期的に対策を見直し、改善していく継続的な取り組みが不可欠です。

５　参考

■国民のためのサイバーセキュリティサイト「標的型攻撃への対策」■
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/04/
■国民のためのサイバーセキュリティサイト「電子メールとウェブサイトにおける対策」■
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/admin/05/

以上（2026年4月作成）

pj60382
画像：WM-WoodenMannequin–Adobe Stock

【管理会計】その選択をしなかった場合の結果を「機会費用」として検討する

目次

１　質問: まだ確定していない注文を見込むべきか?

自社の商品Aをいくつ製造するか決めたいと思っています。既にB社から5000個の発注を受けていますが、営業担当者によるとB社以外からも5000個の注文をもらえる可能性があるとのこと。さぁ、選択です。

B社向けに5000個だけ製造するか、B社以外の販売も見込んで1万個製造するか

営業担当者が“いける”というのなら、B社以外の販売先の注文も受けたいものですが、もし注文がこなかったらと心配になります。こうしたシーンに直面することはよくあるので、判断の基準をご紹介します。

２　「機会費用」という感覚を持つ

「機会費用」とは、

ある選択をした場合に、選ばなかった別の選択をすることで得られた利益

のことです。商品Aの販売単価は1000円、製造原価は700円です。5000個だけ製造することを選んだ場合、B社以外の販売先に5000個販売することで得られたはずの利益150万円(=5000個×利益300円)が機会費用です。

機会費用は「収益の最大化」を意識して検討します。例えば、営業担当者がB社以外の販売先を複数見込んでおり、有力な先もあるのであれば、1万個の製造を選択しやすくなります。さらに大量生産で製造単価も下がるならなおさらです。

反対に、有力な見込み先がなく、製造単価も削減できないなら、5000個だけ製造してB社に売り切ったほうがよさそうです。在庫リスクはなく、営業担当者も他の商品の営業に注力できるので、商品Aの機会費用はなくなります。

３　機会費用を意識した優先順位

もう1つ、機会費用を検討するトレーニングをしましょう。

営業先にC社とD社とがあります。C社は過去に取引実績があり、要求も厳しくありません。競合他社も存在しないので、商談はスムーズに進むでしょう。C社で期待できる利益は400万円です。一方、D社は新規であり、要求はかなり複雑です。競合他社も多数存在するので、受注できるか分かりません。しかし、D社で期待できる利益は1200万円と、C社の3倍です。

C社かD社のいずれか1社としか取引ができないとすると、皆さんはどう判断しますか?

リスクを低減するならC社を優先して400万円を獲得します。800万円の機会費用が発生しますが、営業上のトラブルや、D社に対応することでリソースが割かれ、他の営業先に悪影響が生じることはありません。

反対にD社を選択する場合は何を考えるでしょうか。1200万円の利益は魅力的で、D社の要求に応えるための努力 (技術やノウハウ) は自社の財産になるかもしれません。競合他社に敗れても、将来に向けたビジネスの可能性が広がります。

これは単純な例ですが、機会費用を意識することでより深く検討できます。

４　後ろ髪を引かれても「サンクコスト」は気にしない

管理会計では「サンクコスト(埋没費用)」という考え方も重要です。サンクコストとは、

既に投資したコストや時間など

を指すものです。例えば、人気のラーメン店の行列に並んでいるとき、

予定より待ち時間が長くておなかペコペコだけど、ここまで待ったのだから我慢する

と、それまでのコストや時間を考慮するのがサンクコストの典型です。気持ちは分かりますが、意思決定においては、既に支払っているサンクコストは考慮しないのがセオリーです。そのため、

おなかペコペコなので、別の店にいく。ここまで待った時間は意識しない (諦める)

と、判断します。

ビジネスに話を戻しましょう。ビジネスでは常に撤退プランが準備されています。「これはやるべきではないかもしれない」 「無駄かもしれない」と気付いたとき、それまで費やしたコストや時間を考慮せず、素早く撤退の判断したほうがよいのです。

５　練習問題

(問題1)

商品Aの販売単価は1000円、製造単価は1~5000個では700円、5001~1万個では690円の商品があります。

B社以外への販売を考慮せず、5000個だけ製造しました。しかし、B社以外から5000個受注したとすると、機会費用はいくらになるでしょうか? なお、商品Aを販売する際の販売費及び一般管理費などは考慮しません。

(問題1の回答)

1万個製造する場合、5000個までの製造単価は700円、残り5000個は690円で作れます。この場合、B社以外に追加で5000個販売したときの機会費用は次の通りです。

155万円=(1000円-690円) ×5000個

(問題2)

商品Aの販売単価は1000円、製造単価は1~5000個までは700円、5001~1万個では690円の商品があります。

B社以外への販売を見込み、1万個製造しました。ところが、B社以外に納品する前に1000個に欠陥があることが判明し、1000個を追加で製造しました。また、納期が遅れたため、この1000個の販売単価を1000円から990円に値下げしました。一方、作り直し分の製造単価は680円に抑えることができました。

B社への5000個、B社以外への5000個は、全て販売できたものとした場合、作り直しが発生しなかった場合と比較してどう違うでしょうか?

(問題2の回答)

答えは以下の通りです。

マイナス69万円(=236万円-305万円)

1.1000個の作り直しが発生した場合の利益 (236万円)

  • 売上高(a)：999万円=1000円×9000個+990円×1000個
  • 製造原価(b)：763万円=700円×5000個+690円×5000個+680円×1000個
  • 利益(a-b)：236万円=999万円-763万円

2.作り直しが発生しなかった場合の利益 (305万円)

  • 売上高(a)：1000万円=1000円×1万個
  • 製造原価(b)：695万円=700円×5000個+690円×5000個
  • 利益(a-b)：305万円=1000万円-695万円

以上（2026年4月更新）
（監修　辻・本郷税理士法人税理士 安積健）

pj00277
画像：kapinon-Adobe Stock

ストレスチェックの対象は全企業へ！47項目の実務チェックリスト

目次

１　いよいよ中小企業でも、ストレスチェック制度が義務に!

ストレスチェック制度とは、

社員が所定の質問に答えて自身のストレス状態を把握する「ストレスチェック」や、高ストレス者に対する「医師による面接指導」などの一連の施策のこと

です。現状、社員数が常時50人以上の会社は、年1回以上、ストレスチェック制度を実施する義務があります。これまでは常時50人未満の会社については現状努力義務でしたが、昨今のメンタルヘルス不調の増加などを受けて、

常時50人未満の会社においても、2025年5月14日から3年以内に、ストレスチェック制度の実施が「義務化」

されることになりました。

そのような状況となりましたので、中小企業も今のうちから義務化に向けた準備を進める必要があります。ただ、注意しなければならないのは、「健康診断と違って社員に受検を強制できない上に、受検結果も社員の同意がないと取得は不可」などストレスチェック制度特有のルールがあり、場当たり的に取り組むと法令違反や実務の抜け漏れが起きかねないという点です。

そこで、この記事では、

ストレスチェック制度で最低限押さえるべき47項目の実務チェックリスト

を紹介します。ストレスチェック制度を実施する前に、この記事の実務チェックリストを確認してみてください。

なお、厚生労働省では、ストレスチェック制度の実施が全企業で義務化されることを受け、「小規模事業場ストレスチェック制度実施マニュアル」を公表していますので、こちらもご確認ください。また、ストレスチェック制度の実施に当たって疑問や悩みがある場合は、労働者健康安全機構の「ストレスチェック制度サポートダイヤル」などもご利用ください。

厚生労働省「『小規模事業場ストレスチェック制度実施マニュアル』を公表します」
https://www.mhlw.go.jp/stf/newpage_69680.html
労働者健康安全機構「ストレスチェック制度サポートダイヤル」
https://www.johas.go.jp/sangyouhoken/helpline/tabid/1008/Default.aspx

２　これだけは押さえる! 実務チェックリスト47項目

ストレスチェック制度を実施する際は、次のチェックリストを実務の抜け漏れ防止にご活用ください。

チェックリストは、こちらからダウンロードできます。

こちらからダウンロード

（図表）【ストレスチェック制度の実務チェックリスト47項目】

区分 項目 チェック
会社の
現状		 常時50人以上の社員（パート等や派遣社員を含む）がいますか？（50人以上いる場合、現時点でストレスチェック制度の実施は義務。50人未満の場合も、2025年5月14日から3年以内に実施は義務になります） 　
ストレスチェック制度の対象になる社員を雇用していますか？（正社員、所定労働時間が正社員の4分の3以上かつ1年以上雇用見込みがあるパート等） 　
ストレス
チェック		 実施者は決まっていますか？（医師・保健師、研修を修了した歯科医師・看護師・精神保健福祉士・公認心理師） 　
実施事務従事者（実施者の補佐役）は決まっていますか？（会社の労務担当者（直接的な人事権を持たない者）など。衛生推進者や安全衛生推進者の選任義務のある50人未満の事業場は、当該者を担当とすることが望ましい） 　
実施者と実施事務従事者は社内に周知されていますか？ 　
ストレスチェックの受検は努力義務になっていますか？（受検を強制するのは違法） 　
ストレスチェックの受検をどのように社員に勧奨するか決まっていますか？（書面、メールなど） 　
実施時期と頻度は決まっていますか？（年1回以上。定期健康診断などの時期に合わせることも可） 　
実施媒体は決まっていますか？（書面、ICTなど。併用も可） 　
質問項目（調査票）は決まっていますか？（厚生労働省「職業性ストレス簡易調査票（57項目）」など） 　
質問項目に「性格検査」「適性検査」「うつ病検査」などが含まれていませんか？（ストレス状態の把握が目的なので、目的に関係ない項目は除外） 　
ストレスの程度の評価方法や高ストレス者の選定方法・基準は決まっていますか？（厚生労働省「労働安全衛生法に基づくストレスチェック制度実施マニュアル」など） 　
社員に提供する受検結果の内容は決まっていますか？（ストレスの特徴・傾向、ストレスの程度、医師による面接指導の要否は必ず通知） 　
実施者から社員への受検結果の提供方法は決まっていますか？（書面、メール、ICTで受検する場合は受検終了後に画面に表示するなど） 　
受検結果が他人に類推されないように配慮していますか？（「高ストレスの社員だけに、職場で受検結果を配布する」などの方法は不適当） 　
会社が実施者から受検結果を取得する場合、社員から同意を得るようになっていますか？（同意がなければ、受検結果の取得は不可） 　
受検結果の取得について、社員から同意を得る方法は決まっていますか？（書面、メールなど。衛生委員会の合議などで包括的に同意を得るのは不可） 　
受検結果を誰が保存するか決まっていますか？（実施者、実施事務従事者、会社（社員から同意を得た場合）） 　
受検結果をどこに保存するか決まっていますか？（社内サーバー、キャビネット、委託先である外部機関の保管場所など） 　
受検結果を何年保存するか決まっていますか？（会社が保存する場合、5年間（義務）。実施者などが保存する場合も5年間が望ましい） 　
第三者に見られないよう、受検結果の管理体制を整えていますか？（システムへのログインパスワードの管理、キャビネットの鍵の管理など） 　
ストレスチェックを外部に委託する場合、外部機関に「サービス内容事前説明書」の作成・提出を求め、内容について説明を受けていますか？（実施体制・実施方法・料金体系・面接指導・情報管理など。社員数が常時50人未満の場合、原則外部委託を推奨） 　
医師に
よる
面接指導		 面接指導を実施する条件は決まっていますか？（ストレスチェックで高ストレス者に該当し、実施者が必要と認めた場合） 　
面接指導の申し出を、誰が、いつ、どのように社員に勧奨するか決まっていますか？（実施者が望ましく、ストレスチェック終了後概ね1カ月以内、書面、メールなど） 　
面接指導は医師のうち、誰が実施するか決まっていますか？（産業医、地域産業保健センターの医師など） 　
社員が面接指導を申し出る方法は決まっていますか？（書面、メールなど） 　
面接指導をいつ、どこで実施するか決まっていますか？（申し出後概ね1カ月以内、社内や地域産業保健センターの個室など） 　
オンラインで面接指導を実施する場合、対応方法などを検討していますか？（衛生委員会などでの審議、社員への周知、面接環境の整備など） 　
面接指導の実施時期、実施場所を社員に通知する方法は決まっていますか？（書面、メールなど） 　
就業上の措置について、いつ、どのように医師から意見を聴取するか決まっていますか？（面接指導後概ね1カ月以内、書面、メールなど） 　
面接指導の結果を記録・保存する体制が整っていますか？（会社が記録し、会社が5年間保存（義務）） 　
就業上の
措置		 措置の内容（労働時間の短縮、配置転換など）の決定方法は決まっていますか？（社員との話し合いで決定するよう努める。産業医などが同席するのが望ましい） 　
措置の実施、変更、解除などについて、関係者と連携する体制が整っていますか？（産業医などに随時相談する、職場の管理監督者に措置の目的や内容を説明するなど） 　
社員のストレス状態が改善した場合の方針は決まっていますか？（産業医などの意見を聴いた上で、通常の勤務に戻すなど） 　
集団ごとの集計・分析 ストレスチェックの受検結果を集団（部、課など）ごとに集計・分析していますか？（実施は努力義務） 　
集団ごとに集計・分析する場合、個人が特定されないよう配慮していますか？（集団は10人以上とするなど。集計・分析の単位が10人を下回る場合には、個人が特定される恐れがあるため、原則として集団分析結果の提供を受けてはいけない） 　
集計・分析結果の活用方法は決まっていますか？（結果を基に、ストレスチェックの実施者などから職場改善について意見を聴くなど） 　
集計・分析結果を記録・保存する体制が整っていますか？（会社が記録し、会社が5年間保存するのが望ましい） 　
相談窓口 ストレスチェック制度に関する情報開示や苦情対応のための相談窓口がありますか？（社内の労務担当者、外部機関など） 　
情報開示の請求や苦情の申し立て方法は決まっていますか？（書面、電話、メールなど） 　
窓口担当者の守秘義務について、社内に周知していますか？ 　
就業規則
など		 ストレスチェック実施方針を定め、表明しましたか？（ストレスチェック制度の実施目的、実施要領、個人情報の保護など） 　
ここまでの内容を就業規則（ストレスチェック実施規程など）に落とし込みましたか？（ストレスチェック制度の実施方法の詳細、受検結果の取扱いなど） 　
制度全般において、社員に不利益な取扱いが生じないルールになっていますか？（ストレスチェックを受けない社員や受検結果が良くない社員の評価を下げるなど） 　
ストレスチェック制度の実施に当たり、社内にて意見聴取を行いましたか？（常時50人以上の場合は衛生委員会など。50人未満の場合は社員から広く意見を募るなど） 　
就業規則については、過半数労働組合（ない場合は過半数代表者）の意見を聴取した上で、労働基準監督署に届け出て、社内に周知しましたか？ 　
その他 ストレスチェックの実施後、所轄労働基準監督署への報告が必要なのを知っていますか？（心理的な負担の程度を把握するための検査結果等報告書。常時50人未満の会社は現状不要だが、社員数のカウント方法に要注意） 　

（出所：日本情報マート作成）

最後（その他）の「心理的な負担の程度を把握するための検査等報告書」については、常時50人未満の会社は現状提出不要ですが、社員数のカウント方法に注意が必要です。

ストレスチェックの「50人」は、正社員と、所定労働時間が正社員の4分の3以上かつ1年以上雇用見込みがあるパート等が何人いるかで判断しますが、心理的な負担の程度を把握するための検査等報告書の「50人」は、

ストレスチェックの対象者のように契約期間や週の労働時間によるのではなく、常態として使用されているかどうかで判断するので、労働時間が短いパート等も対象になり得る

からです。

なお、この報告書は、

「電子政府の総合窓口（e-Gov）」によるオンラインでの提出（電子申請）が原則義務化

されているので注意が必要です。

厚生労働省「労働局・労働基準監督署への申請・届出はオンラインをご活用ください」
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/koyou_roudou/roudoukijun/denshishinsei.html

以上（2026年4月更新）
（監修 人事労務すず木オフィス 特定社会保険労務士 鈴木快昌）

pj00337
画像：takasu-Adobe Stock