残業削減の3ステップ「ターゲット決め・実態調査・目標設定」

1 足元で増加中の残業時間

厚生労働省によると、残業(所定外労働時間)の月平均は、直近5年間では10時間前後で推移しています。

1カ月当たりの実労働時間の推移

人材不足の問題もありますが、残業削減は変わらぬ経営の重要課題です。ただ、注意しなければならないのは、

業務量を調整せず、ただ「定時で帰れ」と命令しても残業は減らないし、むしろ持ち帰り残業を誘発したり、パワハラと指摘されたりするリスクがある

ということです。これを踏まえて社員が健康で働きやすい環境を整えなければなりません。

具体的に残業削減を成功させるステップは次の3つですので、この記事で紹介します。

  • (ターゲット決め) 誰の残業を削減するかを決める: 定量的な実績に基づいて決める
  • (実態調査)本当に残業するほど業務が多いのかを探る: ヒアリングして理由を聞く
  • (目標設定)目標を設定してやりきる: 中間目標と最終目標を決めフォローアップする

2 (ターゲット決め) 誰の残業を削減するかを決める

優先的に残業を削減すべき社員は、

  • 36協定の上限時間に抵触しそうな社員
  • 業務内容の割に残業が多い社員

です。

36協定の上限時間は、労働基準法の「時間外労働の上限規制」の範囲内で設定しなければなりません。時間外労働の上限規制とは、社員に時間外・休日労働を命じる際、会社が守らなければならないルールで、違反した場合、6ヵ月以下の懲役または30万円以下の罰金となります。

2024年4月1日からは、時間外労働の上限規制の適用範囲が拡大され、「新技術・新商品等の研究開発業務」を除くほぼ全ての業種・業務が対象となっています。

時間外労働の上限規制

例えば、図表2の「通常」の会社に勤める社員の場合、図表3のような働き方をしていると、時間外労働の上限規制に抵触します。

時間外労働の上限規制に抵触する働き方の例

なお、社員の残業時間を確認する際には、「そもそも労働時間を正確に管理できているのか」という点にも注意しましょう。例えば、会社から「残業が多い」と叱責されたくないために、タイムカードを定時で打刻する社員というのは少な好くないいます。このあたりは、打刻後に就業している社員がいないか、上司が現場を確認するなどして対応しましょう。

3 (実態調査)本当に残業するほど業務が多いのかを探る

優先的に残業を削減すべき社員を決めたら、その社員に残業する理由を聞いてみます。最初、多くの社員は「業務量が多いから」と答えるでしょうが、その背景には、

  • 非効率な進め方をしているが、自分で気付いていない
  • 実は残業代を当てにしている

といった問題があります。この辺りを明らかにするために、事前に業務内容の詳細を報告してもらい、ある程度、会社側で当たりをつけた上で、

  • やらなくてよい業務はあるか?
  • アウトソーシングできないか?
  • やめられないが、改善できそうな業務はあるか?

と質問してみましょう。その際、対象となる社員を批判するのではなく、冷静に状況を分析・改善する姿勢を崩してはいけません。そうして場を和ませつつ、残業代を当てにしていそうな社員にはその背景を聞いてみます。

こうして質問を繰り返していくと、残業削減の方向性が見えてきます。

残業削減の方法

4 (目標設定)目標を設定してやりきる

残業削減の方法が決まったら、目標設定をしましょう。例えば、

  • 現時点の状況(○年○月○日):時間外・休日労働が月○時間
  • 中間目標1(○年○月○日):時間外・休日労働が月○時間 (○時間削減)
  • 中間目標2(○年○月○日):時間外・休日労働が月○時間(○時間削減)
  • 最終目標(○年○月○日):時間外・休日労働が月○時間(○時間削減)

といった具合に、中間目標、最終目標を設定します。中間目標を設定するのは、思ったより残業削減の効果が上がらない場合に、軌道修正を図りやすくするためです。

目標設定の後は、中間目標の達成期限ごとに残業削減の実績 (何時間削減できたか)を確認し、中間目標に届いていない場合、社員にその理由をヒアリングします。考えられる理由としては次のようなものがあります。

  • 業務配分の見直しや各部署(部門) の配置の検討が十分ではなかった
  • 社員が真剣に取り組まなかった
  • 残業削減の方法が現実的でなかった
  • 中間目標の設定後に新しい業務が割り振られた

このサイクルを繰り返しても、残業削減が想定通りに進まなければ、社員個人のレベルでは、残業削減を進めるのが難しい可能性があります。その場合、

  • 事業の一部のアウトソーシング
  • 定時以降の取引が必要なクライアントとの取引縮小
  • 新たな人員の補充

など、会社レベルでの施策の実施を検討する必要も出てくるでしょう。

以上(2026年4月更新)

pj00374
画像:naka-Adobe Stock

【規程・文例集】「36協定」のひな型

1 36協定の更新忘れにご注意を!

会社は本来、労働基準法(以下「労基法」)の法定労働時間(休憩時間を除き、原則1日8時間、1週40時間)を超えて社員を働かせることができません。これは、違反すると6カ月以下の懲役または30万円以下の罰金が課せられるという罰則付きのルールですが、

会社が社員の代表と「時間外労働・休日労働に関する協定(通称「36協定」)」を締結し、会社の住所を管轄する労働基準監督署に届け出る

と罰則が適用されなくなり(免罰的効果)、時間外労働(法定労働時間を超える労働)や休日労働(法定休日の労働)を社員に命じられるようになります。なお、36協定と呼ばれる理由は、この協定が労基法第36条に基づく労使協定(過半数労働組合または過半数代表者との書面による協定)だからです。

ちなみに、

36協定の有効期間は「最長1年」で、毎年更新が必要

です。36協定を更新せずに時間外労働や休日労働を命じるのは違法ですから、有効期間は必ず確認しておきましょう。また、同じ内容の36協定を毎年使い回せばそれでいいというわけではありません。例えば、現在政府内では、労基法を改正し、

  • 13日を超える連続勤務を禁止すること
  • 勤務間インターバル制度の実施を義務化すること(休息時間は11時間を想定)
  • 法定労働時間の特例措置(週44時間)を撤廃すること

などが検討されており、こうした法改正への対応ができているかも都度チェックする必要があります。

以降で、36協定のポイントやひな型を紹介するので、確認していきましょう。

2 時間外労働・休日労働に関する協定(36協定)のポイント

1)時間外労働・休日労働の時間数の上限は決まっている

会社は、社員に時間外労働や休日労働を命じる場合、次の内容を守らなければなりません。これを「時間外労働の上限規制」といい、これに違反する36協定は無効となります。

2024年4月1日からは、時間外労働の上限規制の適用範囲が拡大され、「新技術・新商品等の研究開発業務」を除くほぼ全ての業種・業務が対象となっています。

時間外労働・休日労働の時間数の上限

通常、36協定に定められる時間外労働の時間数は、どの業種・業務も原則「1カ月45時間まで、1年360時間まで」です。これを「限度時間」といい、限度時間の範囲内で時間数を定めたものを「一般条項」といいます。

ただし、臨時的な特別な事情がある場合に限り、36協定に「特別条項」を設けることで、限度時間を超える時間外労働を社員に命じることが認められます。

特別条項とは、「納期が著しく逼迫して限度を超える時間外労働をしなければ対応できない」など、特別で臨時的な事態を想定した定め

です。特別条項を設けた場合、会社は限度時間を超える時間外労働を定められますが、1カ月の限度時間(原則45時間まで)を超えられるのは、1年に6回までです(自動車運転業務、医師を除く)。また、限度時間を超える場合も、図表の「臨時的な特別な事情がある場合」の時間数を遵守しなければなりません。これに違反すると、労基法の罰則の対象になります。

2)特別条項を設ける場合、「健康確保措置」を定める必要がある

特別条項を設ける会社は、社員の健康・福祉を確保するための措置(健康確保措置)を36協定に定める必要があります。次のいずれかから措置を選択するのが望ましいとされています。

  • 医師による面接指導
  • 深夜業(原則として午後10時から午前5時までの労働)の回数制限
  • 終業から始業までの休息時間の確保(勤務間インターバル)
  • 代償休日・特別な休暇の付与
  • 健康診断
  • 連続休暇の取得
  • 心とからだの相談窓口の設置
  • 配置転換
  • 産業医等による助言・指導や保健指導

なお、医師の場合は上記の健康確保措置に加え、医療法等に基づく「追加的健康確保措置」を定める必要があります。追加的健康確保措置の内容についてはこちらをご確認ください。

厚生労働省「長時間労働の医師への健康確保措置に関するマニュアル」
https://www.mhlw.go.jp/content/10800000/000677260.pdf

3)厚生労働省ウェブサイトの「36協定届」に追記して「36協定」とする

36協定は定められた様式で届け出る必要があります。限度時間の範囲内で時間外労働を命じる場合は一般条項の36協定届、限度時間を超える時間外労働を命じる場合は、特別条項付きの36協定届を使用します。次のURLからダウンロードできます。

厚生労働省「主要様式ダウンロードコーナー」
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/koyou_roudou/roudoukijun/roudoukijunkankei.html

また、実務上はこれらの様式に必要な事項を書き加えて、36協定にするのが一般的です。次章では、必要な事項を書き加えた36協定のひな型を紹介します。

なお、36協定はあくまでも労基法上の免罰的効果があるだけなので、実際に社員に時間外労働や休日労働を命じるには、就業規則等にもその旨を定めておく必要があります。

3 時間外労働・休日労働に関する協定(36協定)のひな型

以降で紹介するひな型は一般的な事項をまとめたものであり、個々の会社によって定めるべき内容が異なってきます。実際にこうした協定を作成する際は、必要に応じて専門家のアドバイスを受けることをお勧めします。

【時間外労働・休日労働に関する労使協定(36協定)のひな型】

株式会社○○○○(以下「甲」)と従業員の過半数代表者△△△△(以下「乙」)は、労働基準法第36条第1項に基づき、法定労働時間を超える勤務(以下「時間外労働」)および法定休日における勤務(以下「休日労働」)に関して下記の通り協定する。なお、甲は時間外労働および休日労働が従業員の健康状態や家庭生活に与える影響に配慮し、時間外労働および休日労働が最小限のものとなるように努めるものとする。

第1条(具体的事由)

甲が従業員に就業規則第○条の規定に基づき時間外労働および休日労働を命じることができる具体的な事由は次の通りとする。

  • 需要の増大・納期集中により、緊急増産が必要なとき。
  • 急激な販売量増加により、営業業務並びに発送業務が必要なとき。
  • 機械など製造設備が故障したとき。

第2条(時間外労働または休日労働を必要とする業務の種類および従業員数)

時間外労働および休日労働を必要とする業務の種類および従業員数は次の通りとする。

  • 製品の組み立て、検査、梱包。従業員数( 名)。
  • 販売。従業員数( 名)。
  • 製造・販売のサポート業務。従業員数( 名)。
  • 業務遂行のための企画・立案業務。従業員数( 名)。

第3条(延長することができる時間および起算日)

1)時間外労働時間の限度は次の通りとする。

  • 1日につき8時間以内。
  • 1カ月間につき45時間以内(起算日:毎月1日)。
  • 1年間につき360時間以内(起算日:4月1日)。

2)所定休日(時間外労働)および法定休日(休日労働)の労働時間の範囲は次の通りとする。ただし、業務の都合によりやむを得ない場合は午後10時00分まで延長することができる。

  • 午前8時00分から午後5時00分までの間で実働8時間以内。

3)前2項の延長時間は、時間外労働時間数の上限を示すものであり、常に当該時間まで時間外労働を命じるものではない。

第4条(休日労働の日数)

休日労働は1カ月につき4日以内とし、事前に甲および乙の協議を経た上で実施するものとする。

第5条(特別条項)

1)第3条にかかわらず、予測不能な機械等の故障、納期の著しい逼迫など臨時の必要がある場合は、甲および乙の協議を経た上で、1年につき6回を限度に時間外労働時間の限度を1カ月につき80時間(休日労働を含む)、1年につき720時間(休日労働を含まない)まで延長することができる。ただし、時間外労働および休日労働の合計時間は、2カ月から6カ月までの平均でいずれも1カ月当たり80時間を超えないものとする。

2)前項において時間外労働および休日労働を必要とする業務の種類および従業員数は次の通りとする。

  • 製品の組み立て、検査、梱包。従業員数( 名)。
  • 販売。従業員数( 名)。
  • 製造・販売のサポート業務。従業員数( 名)。
  • 業務遂行のための企画・立案業務。従業員数( 名)。

3)第1項の延長時間は、特別な事情がある場合における時間外労働時間数の上限を示すものであり、常に当該時間まで時間外労働を命じるものではない。

4)会社および従業員は、常に業務遂行に要する時間に注意を払い、1カ月当たり60時間を超える時間外労働(休日労働を含む)が生じないよう配慮する。

第6条(従業員に対する健康および福祉を確保するための措置)

前条により時間外労働の範囲を延長する場合において、甲は従業員に対する健康および福祉を確保するために次の措置を実施する。

  • 対象従業員に対する医師による面接指導。
  • 対象従業員に対する11時間の勤務間インターバルの設定。

第7条(割増賃金率)

1)時間外労働における割増賃金率は、次の各号の率とする。

  • 1カ月45時間以内の時間外労働:25%。
  • 1カ月45時間を超える時間外労働:25%。
  • 1カ月60時間を超える時間外労働:50%。

2)休日労働における割増賃金率は、一律35%とする。

第8条(有効期間)

本協定の有効期間は○年○月○日から1年間とする。

締結日 ○年○月○日

甲 株式会社○○○○
代表取締役 ○○○○

乙 株式会社○○○○
従業員代表 △△△△

以上(2026年4月更新)

pj00252
画像:ESB Professional-shutterstock

自社のウェブサイトが改ざんされないためのセキュリティ対策とは

1 加害者にもなりかねない「ウェブサイトの改ざん」

「ウェブサイトの改ざん」は、ウェブサイトの脆弱性を突かれて、コンテンツやデザイン、機能が不正に書き換えられてしまうもので、例えば、次のような危険があります。

  • リンクが不正に書き換えられ、クリックするとフィッシングサイトに誘導される
  • 悪意のあるスクリプトが埋め込まれ、アクセスするとマルウェアに感染してしまう
  • 悪意のあるスクリプトが埋め込まれ、入力フォームに記入した情報が窃取されてしまう

自社が運営するウェブサイトが改ざんされてしまうと、自分たちは被害者なのにもかかわらず、ウェブサイトを訪れた人たちに対する加害者になってしまう恐れがあります。

安全にウェブサイトを運用管理するためには、ウェブアプリケーション、ウェブサーバー、ネットワークなどについて、適切なセキュリティ対策を講じる必要があります。

IPA(情報処理推進機構)の「ウェブサイトのセキュリティ対策のチェックポイント20ケ条」を基に、対策が実施できているか確認してみましょう。次のページからチェックリスト(エクセルファイル)をダウンロードできます。

IPA「ウェブサイトのセキュリティ対策のチェックポイント20ケ条」
https://www.ipa.go.jp/security/vuln/websecurity/sitecheck.html

2 ウェブサイトのセキュリティ対策のチェックポイント

ここでは、IPA「ウェブサイトのセキュリティ対策のチェックポイント20ケ条」を、順に、少し解説を足して紹介します。

1)ウェブアプリケーションのセキュリティ対策

1.公開すべきでないファイルを公開していませんか?

個人情報や機密情報の記載されたファイル、「.htaccess」などのシステムファイルなどは、公開すべきでないファイルです。誤って公開してしまっていた場合、単に非公開にするだけでは検索エンジンのキャッシュとして残っている恐れもあります。

例えば、所有するウェブサイトの情報をGoogle検索結果から削除しようとする場合、Google Search Consoleを通じて手続きできます。

Google Search Consoleヘルプ「ウェブサイトの情報を Google から削除する」
https://support.google.com/webmasters/answer/7479439

2.不要になったページやウェブサイトを公開していませんか?

不要になったウェブサイトを公開したまま放置していると、管理が及ばず、脆弱性が発覚した際に影響を受ける恐れがあります。期間限定のページなどは、公開期間が終了になった際に非公開にするようにします。

3.「安全なウェブサイトの作り方」に取り上げられている脆弱性への対策をしていますか?

後述の第3章でもう少し詳しく触れますが、IPA「安全なウェブサイトの作り方(改訂第7版)」では、ウェブアプリケーションの脆弱性のうち、届出件数が多い脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、概要や対策方法を解説しています。必ず確認し、対策を実施しましょう。

4.ウェブアプリケーションを構成しているソフトウェアの脆弱性対策を定期的にしていますか?

ウェブアプリケーションは様々なソフトウェアやフレームワーク、CMS(コンテンツ・マネジメント・システム)などで構成されています。これらに脆弱性が発見された場合、都度、セキュリティパッチを当てたり、バージョンアップしたりするといった対策が必要です。

5.不必要なエラーメッセージを返していませんか?

ウェブアプリケーションのエラーメッセージから、ウェブサイトの設定情報などが漏えいし、攻撃に悪用されることがあります。攻撃者に余計な情報を与えないためにも、エラーメッセージの内容は必要最低限にします。

6.ウェブアプリケーションのログを保管し、定期的に確認していますか?

ログ情報は、不正アクセスやその兆候、故障などの事故があった際、原因を追究するために必要な情報源です。必要な期間、ログを保管し、正しく取得できているか定期的に確認しましょう。

7.インターネットを介して送受信する通信内容の暗号化はできていますか?

ウェブアプリケーションと利用者の間で交わされる通信は、盗聴や改ざん、なりすましなどの被害を受ける恐れがあります。通信内容を暗号化(HTTPS化)すれば、仮に盗聴などの被害を受けても重要情報が不正に取得されることを防止できます。

ウェブサイトを運営するときは、第三者機関からサーバー証明書を取得し、TLS(現在の主流はTLS1.2およびTLS1.3)を設定することが安全性の担保につながります。

8.不正ログインの対策はできていますか?

別のウェブサイトやサービスから漏えいしたIDやパスワードを使った不正ログインは後を絶ちません。ログイン機能のあるウェブサイトでは、利用者に対して、「複雑で推測されにくいパスワードを設定する」「パスワードを使いまわさない」という基本対策をアナウンスするとともに、IDやパスワードの入力を一定回数間違った場合にアカウントをロックする機能の実装や、多要素認証の導入などを検討しましょう。

2)ウェブサーバーのセキュリティ対策

9.OSやサーバーソフトウェア、ミドルウェアをバージョンアップしていますか?

OSやサーバーソフトウェア、ミドルウェアのバージョンアップは、セキュリティ対策の基本です。ただし、バージョンアップをすることで、今まで動作していたウェブアプリケーションが正常に動作しなくなる場合もあるため、事前に検証することが重要です。

10.不要なサービスやアプリケーションがありませんか?

ウェブサーバー上で不要なサービスが起動している場合、そのサービスが悪用されることがあるため、最低限必要なもの以外は、停止します。不要になったアプリケーションも削除します。

11.不要なアカウントが登録されていませんか?

ウェブサーバーやウェブサーバーを管理する端末に不要なアカウントが登録されている場合、悪用される恐れがあります。最低限必要なアカウント以外は削除しましょう。特に、開発工程やテスト環境で使用したアカウントが残っていないか注意しましょう。

12.推測されやすい単純なパスワードを使用していませんか?

推測されやすい単純なパスワードを設定している場合、アカウントを乗っ取られ、悪用される恐れがあるため、推測されにくい複雑なパスワードを設定・使用するようにします。特に管理者権限を持ったアカウントやリモート管理ソフトなどのアプリケーションは注意が必要です。

13.ファイル、ディレクトリへの適切なアクセス制御をしていますか?

サーバー上に配置されているファイル、ディレクトリに適切なアクセス制限がされていない場合、非公開のはずのファイルを第三者に見られたり、不正なプログラムを設置されて実行されたりする恐れがあります。

14.ウェブサーバーのログを保管し、定期的に確認していますか?

ウェブサーバーのログ(「システムログ」「アクセスログ」「データベース操作ログ」など)は不正アクセスなどがあった際、原因を追究するために必要な情報源です。必要な期間、ログを保管し、正しく取得できているか定期的に確認しましょう。

3)ネットワークのセキュリティ対策

15.ルータなどを使用してネットワークの境界で不要な通信を遮断していますか?

境界ルータなどのネットワーク機器を使用して、不要な通信を遮断することで、攻撃の糸口を減らすことができます。運用上、外部から内部ネットワークへの通信が必要な場合は、情報を秘匿するためVPNなどを利用することを検討します。内部の通信の場合でも、不要な通信を遮断することで、万が一、侵入された場合の被害を軽減できる可能性があります。

16.ファイアウォールを使用して、適切に通信をフィルタリングしていますか?

ファイアウォールを設置していても、適切なフィルタリング設定がなされていない場合、防御することができません。「どのサーバー」の「どのサービス」に「どこから」のアクセスを許可する(許可しない)のか、設定を見直しましょう。

17.ウェブサーバー(または、ウェブアプリケーション)への不正な通信を検知または、遮断していますか?

IDS(Intrusion Detection System:不正侵入検知システム)、IPS(Intrusion Prevention System:不正侵入防止システム)、WAF(Web Application Firewall:ウェブアプリケーションファイアウォール)を導入することで、ウェブサイトと利用者の間の通信を検査し、自動的に検知、遮断をすることができます。

18.ネットワーク機器のログを保管し、定期的に確認していますか?

ネットワーク機器のログは不正アクセスなどがあった際、原因を追究するために必要な情報源です。必要な期間、ログを保管し、正しく取得できているか定期的に確認しましょう。

4)その他のセキュリティ対策

19.クラウドなどのサービス利用において、自組織の責任範囲を把握した上で、必要な対策を実施できていますか?

クラウドやホスティングのサービスを利用してウェブサイトを運営している場合、サービス提供事業者側がセキュリティ対策を実施しているケースも少なくありません。サービス提供事業者側の責任範囲を把握した上で、不足する対策は自社で対応することを検討します。

20.定期的にセキュリティ検査(診断)、監査していますか?

セキュリティ対策を実施しているか、自社内で確認した上で、第三者機関による脆弱性診断やセキュリティ監査を受けることは、対策漏れなどを洗い出すために効果的な手段です。

3 ウェブサイト改ざんにつながる代表的な脆弱性

IPA「安全なウェブサイトの作り方(改訂第7版)」では、ウェブサイト改ざんにつながる11種類の脆弱性を取り上げ、脆弱性の原因そのものをなくす根本的な解決策などが解説されています。

IPA「安全なウェブサイトの作り方(改訂第7版)」
https://www.ipa.go.jp/security/vuln/websecurity/about.html

これらは、よく知られている脆弱性であり、全てに対応が必要です。ここでは代表的な3つの脆弱性を取り上げて紹介します。

1)SQLインジェクション

SQLインジェクションは、ウェブアプリケーションのSQL文(データベースへの命令文)の組み立て方の脆弱性を突き、不正なSQL文を実行させてデータベース内の情報を窃取・改ざん・消去するものです。

運営主体やウェブサイトの性質を問わず、データベースを利用するウェブアプリケーションを設置しているウェブサイトに存在しうる問題です。

根本的な解決策として、次が挙げられます。

  • SQL文の組み立ては全てプレースホルダで実装する。
  • SQL文の組み立てを文字列連結により行う場合は、エスケープ処理等を行うデータベースエンジンのAPIを用いて、SQL文のリテラルを正しく構成する。
  • ウェブアプリケーションに渡されるパラメータにSQL文を直接指定しない。

2)クロスサイトスクリプティング(XSS:Cross-Site Scripting)

クロスサイトスクリプティング(XSS)は、ウェブアプリケーションの出力処理(画面への表示)の脆弱性を突き、不正なスクリプトを埋め込んで、ウェブサイトにアクセスした利用者のブラウザ上で実行するものです。「XSS」と略すのは、スタイルシート言語(Cascading Style Sheets)で使用されている「CSS」と混同しないようにするためです。

運営主体やウェブサイトの性質を問わず、あらゆるサイトにおいて注意が必要な問題です。Cookieを用いたセッション管理を行っているサイトや、フィッシング詐欺の標的になりやすいログイン画面や個人情報の入力画面などを持つサイトは、特に注意が必要です。

根本的な解決策として、次が挙げられます。

  • ウェブページに出力する全ての要素に対して、エスケープ処理を施す。
  • URLを出力するときは、「https://」で始まるURLのみを許可する。
  • <script>…</script> 要素の内容を動的に生成しない。
  • スタイルシートを任意のサイトから取り込めるようにしない。

3)クロスサイトリクエストフォージェリ(CSRF)

クロスサイトリクエストフォージェリ(CSRF)は、ウェブアプリケーションのセッション管理(リクエストの正当性確認)の脆弱性を突き、ログイン中の利用者に不正なリンクを踏ませるなどして、あたかもその利用者が操作をしたかのようにウェブアプリケーションに不正なリクエストを送信し、実行させるものです。

Cookieを用いたセッション管理や、Basic認証、SSLクライアント認証を実装しているウェブサイトは、CSRFによる影響を受ける可能性があります。

根本的な解決策として、次が挙げられます。

  • 処理を実行するページをPOSTメソッドでアクセスするようにし、その「hiddenパラメータ」に秘密情報が挿入されるよう、前のページを自動生成して、実行ページではその値が正しい場合のみ処理を実行する。
  • 処理を実行する直前のページで再度パスワードの入力を求め、実行ページでは、再度入力されたパスワードが正しい場合のみ処理を実行する。
  • Refererが正しいリンク元かを確認し、正しい場合のみ処理を実行する。

4 ウェブサイトの改ざんの被害に遭ってしまったら

警察庁は、ウェブサイト改ざんの被害に遭った場合、アクセスログ等の資料を持参して、最寄りの警察署またはサイバー犯罪相談窓口に通報・相談するように呼びかけています。

e-Gov電子申請(デジタル庁が運営する電子申請のポータルサイト)からオンラインで「サイバー事案に関する通報等」を行うこともできますが、e-Govアカウントの取得やアプリのインストールなどが必要です。いざというときに備えて、事前に対応しておくとよいでしょう。

警察庁「ウェブサイト改ざん対策」
https://www.npa.go.jp/bureau/cyber/countermeasures/hacked-website.html

以上(2026年4月作成)

pj60384
画像:savittree-Adobe Stock

経営のヒントとなる言葉(大久保利通)

「我一人ヲ以國家ヲ維持スルノ境界ナクテハ堅忍耐久志業ヲ成スコト能ハサルヘシ」(*)

出所:「大久保利通文書6」(東京大学出版会)

冒頭の言葉は、

「自分一人で国家を維持するほどの器(力量)がなければ、つらさや苦しみに耐え忍んで志を果たすことはできない」

ということを表しています。

幕末、幕府の威力が衰えて倒幕の機運が高まると、土佐藩脱藩浪士の坂本龍馬(さかもとりょうま)の仲介により、反目していた長州藩と手を結び、1866年に薩長同盟が成立しました。薩長同盟によって倒幕への流れは大きく加速し、王政復古の大号令によって幕府が倒され、1868年に明治新政府が成立しました。

政府の要職に就いた大久保氏は、政府の使節団として欧米を訪問し、諸国における近代産業の発展や整備された国家制度を目の当たりにして、日本の国内基盤の整備が急務であることを痛感しました。

しかし、大久保氏が帰国すると、政府は2つの派閥に割れて紛糾していました。当時、鎖国状態にあった朝鮮に出兵して開国を迫る「征韓論」を主張する派閥と、それに反対する派閥が対立していたのです。そして、征韓論派の中心とされていたのは、大久保氏の長年の盟友であった西郷隆盛氏でした。

国内基盤の整備を最優先課題としていた大久保氏は、征韓論に反対しましたが、西郷氏も自身の主張を譲りませんでした。結局、大久保氏らの働きかけによって西郷氏の朝鮮派遣は取り消され、これにより、西郷氏をはじめとする征韓論派は政府を去ることとなります。

その後、1876年に廃刀令および秩禄処分が施行され、華族や士族の俸禄(家禄)制度および身分的特権が廃されることとなりました。これをきっかけとして、かねてより政府に不満を持っていた旧武士階級の反発が高まり、全国各地で不平士族の反乱が相次ぎました。そしてついに、1877年には鹿児島県で西郷氏を中心とした不平士族が大規模な反乱を起こし、西南戦争がぼっ発しました。

大久保氏にとって、薩摩軍と戦うことは耐えがたいことでしたが、新しい国家を創造するためにやむなく討伐を決意し、政府軍は薩摩軍を破って西南戦争に勝利しました。これによって日本における内乱は終結し、日本の近代国家としての歩みが本格的に始まることとなります。

大久保氏は、日本の国家づくりに要する期間を30年間とみて、その過程を細かく計画していました。国家づくりに臨むに際して、大久保氏は次のような言葉を遺しています。

「凡(およ)そ国家の事は深謀遠慮自然の機に投じて図(はか)るにあらざれば成す事能(あた)はざるや必せり」(**)
(国家の運命を左右するような重大な事柄は、将来のことまでよく考え、計画を立て、機会をみて行わなければ成し遂げることができない)

大久保氏は、西南戦争で長年の盟友であった西郷氏をはじめとする薩摩軍を敵として戦いました。こうした過酷な状況にあっても志を曲げなかったのは、近代国家としての日本を創造するという壮大な目標があったからです。

大きな物事を成し遂げるには、長期的展望に立った綿密な計画が重要です。そしてなにより、「たとえ自分一人の力だけでも、それを必ずやり遂げてみせる」という強い決意が必要となるのです。

【本文脚注】

本稿は、注記の各種参考文献などを参考に作成しています。本稿で記載している内容は作成および更新時点で明らかになっている情報を基にしており、将来にわたって内容の不変性や妥当性を担保するものではありません。また、本文中では内容に即した肩書を使用しています。加えて、経歴についても、代表的と思われるもののみを記載し、全てを網羅したものではありません。

【経歴】

おおくぼとしみち(1830~1878)。薩摩国(現鹿児島県)生まれ。青年期より同郷の西郷隆盛氏とともに藩政改革を志し、後に薩摩藩を倒幕に導く。1871年、大蔵卿就任。1873年、内務卿就任。

【参考文献】

(*)「大久保利通文書6」(日本史籍協会(編)、東京大学出版会、1983年10月)

(**)「【次代への名言】8月10日・大久保利通(産経新聞 東京朝刊(2009年8月10日付))」(産経新聞社、2009年8月)

「大久保利通」(笠原英彦、吉川弘文館、2005年5月)

以上(2026年4月更新)

pj15063
画像:日本情報マート

【助成金(育児サポート編)】仕事と育児の両立支援で最大1342万円!

1 両立支援等助成金で社員の子育てをサポート!

「育児休業」(以下「育休」)等をはじめ、子育てをする社員の支援制度は近年ますます手厚くなっています。社員にとっては嬉しい一方、人手不足の中小企業にとっては、「育休等を取得する社員が増えたら、仕事が回らなくなる……」という不安があるかもしれません。

ですが、

休業する社員の業務をカバーする他の社員に手当等を支給したり、代替要員を新たに雇ったりすると、最大で1342万円が支給

されるのをご存じでしょうか。この記事で紹介する両立支援等助成金がそうです。「働きやすさ」が社会的にも求められている昨今、会社に「子育てなどと仕事の両立」を求める社員もいるでしょう。このニーズに応える上で、この助成金はとても重要です。以降で、制度概要と申請上のポイントを専門家が解説します。

なお、助成金の内容は2026年4月8日時点のもので、将来変更される可能性があります。また、申請書の書き方や添付書類については、全コースまとめてこちらに記載されていますので、ご確認ください。

■厚生労働省「両立支援等助成金のご案内」■
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kodomo/shokuba_kosodate/ryouritsu01/index.html

2 育休中等業務代替支援コース(最大1342万円)

1)育休中等業務代替支援コースとは?

社員が育休を取得したり、短時間勤務制度を利用したりしている間、その社員の業務をカバーする他の社員に手当等を支給したり、代替要員を新たに雇ったりした場合に助成金を受け取れるコースです。

2)助成金を受け取るには?

このコースは「手当支給等(育児休業)」「手当支給等(短時間勤務)」「新規雇用(育児休業)」に分かれていて、次の要件などを満たす必要があります。

1.手当支給等(育児休業)

社員が7日以上の育休(産後パパ育休を含む)を取得し、その業務をカバーする他の社員に対し、会社が手当等を支給する必要があります。手当等の内容は事前に就業規則等で定めなければなりません。

2.手当支給等(短時間勤務)

社員が短時間勤務制度(3歳未満の子を養育する社員を対象とするもの)の措置を受けられる制度を1カ月以上利用し、その業務をカバーする他の社員に対し、会社が手当等を支給する必要があります。手当等の内容は、事前に就業規則等で定めなければなりません。

3.新規雇用(育児休業)

社員が7日以上の育休(産後パパ育休を含む)を取得し、その業務をカバーする他の社員を、会社が新たに雇用し(または派遣で受け入れ)、実際に業務を代替させる必要があります。

3)受け取れる金額はいくら?

手当支給等(育児休業)・手当支給等(短時間勤務)・新規雇用(育児休業)それぞれについて、図表1の額を受け取れます。その他、

  • 育休取得者(または短時間勤務利用者)が有期雇用の場合、業務代替期間が1カ月以上であれば「有期雇用労働者加算」
  • プラチナくるみん認定を受けている場合、「プラチナくるみん認定事業主への加算」
  • 育休の取得状況を厚生労働省が運営するウェブサイト「両立支援のひろば」で公表した場合、「育休等に関する情報公表加算」

を受けられます。

■厚生労働省「両立支援のひろば」■
https://ryouritsu.mhlw.go.jp/

育休中等業務代替支援コース

支給額の計算がややこしいですが、仮に手当支給等(育児休業)を1年度10人まで申請した場合、加算も含めると最大1342万円を受け取れる計算になります。

4)専門家のワンポイントアドバイス

子育てをする社員へのサポートに注力するあまり、その業務をカバーする周囲の社員へのフォローが手薄になり、「制度を利用する人だけが優遇されている」といった不平不満が職場から上がるケースは珍しくありません。支援制度は、対象となる社員だけでなく、その業務を引き受ける同僚にも目を配ってこそ、職場全体で納得感をもって運用できるものです。助成金額と照らし合わせつつ、手当等がカバーに回る社員の負担を考慮した額になるよう制度を設計しましょう。

また、このコースは1年度につき10人までが支給対象になるという手厚い内容ではありますが、「手当支給等(育児休業)」「手当支給等(短時間勤務)」「新規雇用(育児休業)」を合わせて10人なので、どの方法で社員の負担を軽減していくのかを計画的に決めましょう。

くるみん認定・トライくるみん認定を受けている事業主については特例があり、2031年3月31日までに1事業主当たり延べ50人までの申請が可能です。認定取得済み、あるいは取得予定の企業にとっては、さらに活用余地が広がります。

なお、コース共通の条件として、次世代育成支援対策推進法に基づく一般事業主行動計画を策定し、都道府県労働局に届け出ていることが必要となります。申請日が行動計画期間内であることも条件となっていますので、ギリギリで動くのではなく余裕を持った対応が求められます。(プラチナくるみん認定を受けている場合、行動計画の策定・届出がなくても支給対象)。

3 柔軟な働き方選択制度等支援コース(最大197万円)

1)柔軟な働き方選択制度等支援コースとは?

3歳以上小学校就学前の子を養育する社員のために、短時間勤務などの柔軟な働き方に関する制度等を複数導入した上で、実際に対象者に利用させた場合に助成金を受け取れるコースです。

2)助成金を受け取るには?

このコースでは、「柔軟な働き方選択制度」という図表2の制度等を、最低でも3つ以上導入する必要があります(就業規則等への規定も必須です)。制度等を導入した上で、「育児に係る柔軟な働き方支援プラン」という、社員の柔軟な働き方をサポートするための計画を策定します。その計画に基づいて社員が利用開始から6カ月間のうちに、制度等を一定基準以上利用すると、助成金を受け取れます。助成対象は中小企業のみです。

柔軟な働き方選択制度

3)受け取れる金額はいくら?

次の2つの場合に、図表3の額を受け取れます。

  • (制度等を導入し、対象者が利用)柔軟な働き方選択制度を3つ以上導入し、社員が1つ以上制度を利用した場合
  • (子の看護等休暇制度有給化支援)子の看護等休暇を有給化し、社員が利用した場合

また、「育休等に関する情報公表加算」の他、柔軟な働き方選択制度の全てまたは子の看護等休暇(有給)を、次の子を養育する社員が利用できるようにした場合にも、次の加算を受けられます。

  • (制度利用期間延長加算)3歳以上中学校修了前の子を養育する社員が対象
  • (障害児等要配慮支援加算)18歳到達年度の末日(3月31日)までまたは高等学校等を修了する年の末日(3月31日)までの障害児等を養育する社員が対象

柔軟な働き方選択制度等支援コース

制度等を4つ以上導入して1年度に社員5人が利用し、さらに子の看護等休暇を有給化した場合、加算も含めると最大197万円を受け取れる計算になります。

4)専門家からのワンポイントアドバイス

このコースは、育児・介護休業法の「柔軟な働き方を実現するための措置等」との関連性が深いです。会社は2025年10月1日から、図表2で紹介した「始業時刻の変更」など5つの制度から2つ以上を選択して実施する義務を負っています。

このコースも、受給の条件として、次世代育成支援対策推進法に基づく一般事業主行動計画を策定し、都道府県労働局に届け出ていることが必要となります。

4 出生時両立支援コース(最大127万円)

1)出生時両立支援コースとは?

会社(実際は支店等の事業場単位)が、「男性社員」が育休を取得するための雇用環境や業務体制を整備し、男性社員が実際に育休を取得した場合、助成金を受け取れるコースです。「子育てパパ支援助成金」とも呼ばれます。

2)助成金を受け取るには?

このコースは「男性労働者の育児休業取得」「男性労働者の育児休業取得率の上昇等」に分かれていて、次の要件などを満たす中小企業が対象となります。

1.男性労働者の育児休業取得

一定の「雇用環境整備措置」を講じた上で、就業規則等に基づいて引き継ぎなどの業務体制を整備し、男性社員が産後8週間以内に連続5日以上の育休(産後パパ育休を含む)を取得する必要があります(2人目の取得者は10日以上、3人目の取得者は14日以上)。この他、休業期間中に含まれる所定労働日数に関する日数条件もあります。

雇用環境整備措置とは、次の5つです。育休取得者の数などに応じて、2~5つの措置を講じなければなりません。

  • 育休に係る研修の実施
  • 育休に関する相談体制の整備
  • 育休の取得に関する事例の収集・提供
  • 育休に関する制度・育休の取得の促進に関する方針の周知
  • 育休の取得が円滑に行われるようにするための業務配分や人員配置の見直し

2.男性労働者の育児休業取得率の上昇等

男性社員の育休取得率が、一定の要件を満たす必要があります。また、「男性労働者の育児休業取得」と同じく雇用環境や業務体制の整備に関する要件もあります。

3)受け取れる金額はいくら?

「男性労働者の育児休業取得」「男性労働者の育児休業取得率の上昇等」それぞれについて、図表4の額を受け取れます。また、育休中等業務代替支援コースと同じく、「プラチナくるみん認定事業主への加算(「男性労働者の育児休業取得率の上昇等」のみ)」「育休等に関する情報公表加算」も受けられます。

出生時両立支援コース

「男性労働者の育児休業取得(3人分)」と「男性労働者の育児休業取得率の上昇等」、さらに加算を含めると、最大127万円を受け取れる計算になります。ただし、第1種と第2種を、同一年度内に申請することはできません。

4)専門家のワンポイントアドバイス

このコースも、受給の条件として、次世代育成支援対策推進法に基づく一般事業主行動計画を策定し、都道府県労働局に届け出ていることが必要となります。

「男性社員の育休取得」を後押しするものですが、制度を整えるだけでは取得は進みません。特に中小企業では、「自分が休んだら現場が回らない」「上司や同僚に迷惑がかかる」と感じて取得をためらう男性社員が少なくありません。雇用環境整備措置の中でも「研修の実施」や「事例の収集・提供」を通じて、「取得して当たり前」という空気をつくることが大切です。

5 育児休業等支援コース(最大122万円)

1)育児休業等支援コースとは?

社員(男性・女性を問わない)の育休の取得・職場復帰が円滑に進むよう、会社が一定の取り組みをした場合、助成金を受け取れるコースです。

2)助成金を受け取るには?

このコースは「育休取得時」「職場復帰時」に分かれていて、次の要件などを満たす中小企業が対象です。

1.育休取得時

「育休復帰支援プラン」という、育休(産後パパ育休を含む)の取得・職場復帰をサポートするための計画書を策定する必要があります。まず、育休復帰支援プランを使って、育休の取得・職場復帰をサポートする旨を社内に周知し、育休取得者のプランを本人との面談を通して作成します。その上で、本人に連続3カ月以上の育休を取得させる必要があります。

2.職場復帰時

1.の育休取得者の休業終了時に、本人と面談をして原職等に復帰させ、6カ月以上継続雇用する必要があります。「育休取得時」の助成金を受給していないと申請できません。また、育休取得者を継続雇用する際は、本人が雇用保険の被保険者である必要があります。

3)受け取れる金額はいくら?

育休取得時・職場復帰時それぞれについて、図表5の額を受け取れます。どちらも社員2人(無期雇用1人、有期雇用1人)まで受給可能です。また、「育休等に関する情報公表加算」なども受けられます。

育児休業等支援コース

育休取得時(2人分)と職場復帰時(2人分)、さらに加算を含めると、最大122万円を受け取れる計算になります。

4)専門家のワンポイントアドバイス

支給要領では、育休復帰支援プランを策定する場合、少なくとも育休取得者の、

  • 業務の整理、引き継ぎに関する措置
  • 休業中の業務内容等に関する情報提供に関する措置

について定めなければならないとされています。厚生労働省ウェブサイトでは、プランの様式や、職場の状況(代替要員の確保が難しい、残業が多いなど)に応じたモデルプランを記載したマニュアルが公表されているので、参考にしながら策定を進めてください。

■厚生労働省「育休復帰支援プラン策定のご案内」■
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000067027.html

このコースも、受給の条件として、次世代育成支援対策推進法に基づく一般事業主行動計画を策定し、都道府県労働局に届け出ていることが必要となります。

6 不妊治療及び女性の健康課題対応両立支援コース(最大90万円)

1)不妊治療及び女性の健康課題対応両立支援コースとは?

女性社員が不妊治療と仕事を両立したり、健康課題(月経や更年期)に対応したりするため、休暇制度などを導入し、実際に対象者に利用させた場合に助成金を受け取れるコースです。

なお、不妊治療部分は男女問わず対象となりますが、月経・更年期対応は女性社員が対象です。

2)助成金を受け取るには?

このコースは「不妊治療」「女性の健康課題対応(月経)」「女性の健康課題対応(更年期)」に分かれていますが、大まかな要件は共通しています。次の制度のいずれかを導入し、1年間に5日以上、対象者に利用させる必要があります。助成の対象は中小企業のみです。

  • 休暇制度(不妊治療や女性の健康課題に対応するための特別休暇。多様な目的で利用できるものも可)
  • 短時間勤務制度(1日の所定労働時間を1時間以上短縮する制度。ただし、利用しても1時間当たりの基本給等の水準の引き下げや雇用形態の変更がされないことが条件)
  • 所定外労働制限(残業免除)、時差出勤制度、フレックスタイム制度、在宅勤務等

さらに、本コースの特徴として他コースのような上司面談ではなく、「両立支援担当者」の選任と相談対応体制の整備が申請要件となっています。

3)受け取れる金額はいくら?

不妊治療・女性の健康課題対応(月経)・女性の健康課題対応(更年期)それぞれについて、図表6の額を受け取れます。加算は特にありません。

不妊治療及び女性の健康課題対応両立支援コース

それぞれについて支給要件を満たした場合、最大90万円を受け取れる計算になります。

4)専門家のワンポイントアドバイス

このコースでは、休暇制度や短時間勤務制度を1年に5日以上対象者に利用させる必要がありますが、不妊治療や女性の健康課題対応が目的であることが明確でない場合、利用しても日数にカウントされません。

例えば、休暇制度を設ける場合、女性社員が利用しやすいよう「ファミリーサポート休暇」などの名称にすることがあります。ただし、助成金の受給を考えるのであれば、「休暇申請書などの際に利用目的を記載する欄を作ること」などを検討する必要があるかもしれません。ただ、その場合、労務担当者が男性だと申請しにくい女性社員もいるでしょう。制度の運用をスムーズにするためにも、「両立支援担当者」を男女混合の少人数チームで構成するなどの配慮も検討しましょう(両立支援担当者の選任は、本コースの要件でもあります)。

以上(2026年5月更新)
(監修 社会保険労務士 柴田充輝)

pj00739
画像:Gemini

【管理会計】部門や支店が増えた場合に役立つ「貢献利益」による業績評価

1 質問:部門ごとの利益を把握していますか?

店舗販売部門、外商部門、卸売部門の3つの部門を持つA社。会社全体の利益はすぐに出てくるものの、部門ごとの利益は売上総利益(売上-売上原価)までしか把握できていません。

創業当初はシンプルだった組織も、事業規模が拡大していくにつれ、さまざまな部門が設置され、営業所なども増えてきます。ここで問題となるのが、部門や営業所ごとの業績が見えにくくなることです。こうした状況に直面した場合における判断の基準をご紹介します。

2 部門などごとに「貢献利益」を算出する

貢献利益とは、限界利益(売上高から変動費を引いた値)から管理可能固定費を引いた値です。管理可能固定費とは、各部門でコントロールできる固定費をいいます。

貢献利益は次のように計算します。

  • 限界利益=売上高-変動費
  • 貢献利益=限界利益-管理可能固定費

貢献利益のイメージ

管理会計では、費用は売上高の増減に合わせて変動する「変動費」と、売上高の増減に関係なく発生する「固定費」とに分けられます。売上高が伸びると変動費は増えますが、固定費は一定です。

例えば小売業の場合、売上原価などは売上高に合わせて増減する変動費になります。一方、人件費や減価償却費、賃借料などが固定費となり、その中には各部門で管理可能(コントロール可能)なものと管理不能(コントロール不能)なものがあります。

各部門で決裁権のある費用は管理可能固定費となります。例えば、消耗品費、会議費、交際費などについて、各部門や支店での判断が可能ならばコントロール可能な固定費となります。

部門や支店の要請で人員補充が行われる場合、人件費も管理可能固定費とします。一方、支店、営業所、工場などの開設に伴う賃借料や減価償却費、支払利息のように経営者の経営判断によるものは、各部門にとっては管理不能固定費とします。

3 事例を用いた「貢献利益」の計算例

1)事例前提条件

A社には、店販部門、外商部門、卸売部門の3つの販売部門があります。また、自社ビルを保有し、その中にこの3部門が設置されています。

A社の部門別売上高と費用

店舗販売部門は、自社ビル内の店舗で小売販売をしています。店販部門の売上高は10億円です。商品の値入率は55%(原価率45%)です。管理可能固定費は、人件費1億4400万円(480万円×30人)とします。

外商部門は、会員顧客(年間に一定金額以上を購入する優良顧客)向けに訪問販売と通信販売を行っています。掛率(小売価格に対する販売価格の割合)は90%です。管理可能固定費は、人件費7200万円(480万円×15人)、車両費・物流費4200万円(営業車7台分の減価償却費・管理費・燃料費700万円+代金引換を含む小口配送費用3500万円)とします(便宜上、配送費用は管理可能固定費に含めています)。

卸売部門は、百貨店等の大規模小売店や専門店に対して商品を卸売りしています。掛率は65%です。管理可能固定費は、人件費7200万円(480万円×15人)と交通費・物流費2700万円(営業交通費200万円+商品配送費用2500万円)とします。商品配送費用は、売上高に応じて変動する性質の費用ですが、ここでは管理可能固定費としています。

2)店販部門の貢献利益

店販部門の売上高は10億円、商品の値入率が55%なので、売上原価と限界利益は次のように算出することができます。

  • 売上原価=売上高10億円×売上原価率45%=4億5000万円
  • 限界利益=売上高10億円-売上原価4億5000万円=5億5000万円

店販部門の管理可能固定費は、人件費1億4400万円なので、貢献利益は次のように算出することができます。

  • 貢献利益=限界利益5億5000万円-管理可能固定費1億4400万円=4億600万円
  • 従業員1人当たり貢献利益=貢献利益4億600万円/従業員数30人=1353万3300円

3)外商部門の貢献利益

外商部門の売上高は6億円、店販部門の販売価格に対して掛率90%で販売しているので、売上原価と限界利益は次のように算出することができます。

  • 売上原価=売上高6億円/90%×売上原価率45%≒3億円
  • 限界利益=売上高6億円-売上原価3億円=3億円

外商部門の管理可能固定費は、人件費7200万円と車両費・物流費4200万円なので、貢献利益は次のように算出することができます。

  • 貢献利益=限界利益3億円-管理可能固定費1億1400万円=1億8600万円
  • 従業員1人当たり貢献利益=貢献利益1億8600万円/従業員数15人=1240万円

4)卸売部門の貢献利益

卸売部門の売上高は10億円、店販部門の販売価格に対して掛率65%で販売しているので、売上原価と限界利益は次のように算出することができます。

  • 売上原価=売上高10億円/65%×売上原価率45%=6億9200万円
  • 限界利益=売上高10億円-売上原価6億9200万円=3億800万円

卸売部門の管理可能固定費は、人件費7200万円と交通費・物流費2700万円なので、貢献利益は次のように算出することができます。

  • 貢献利益=限界利益3億800万円-管理可能固定費9900万円=2億900万円
  • 従業員1人当たり貢献利益=貢献利益2億900万円/従業員数15人≒1393万3300円

5)各部門の比較

A社の部門別貢献利益を一覧で示すと次の通りです。

A社の部門別貢献利益

3部門で貢献利益が最も大きいのが店販部門で、他2部門を大きく上回っています。次いで卸売部門、外商部門となっています。

店販部門は、売上高が大きく限界利益率が高いことが特徴です。卸売部門は、限界利益率は低いものの、それを売上高でカバーしている状況です。

従業員1人当たり貢献利益では、卸売部門が最も大きく、次いで店販部門、外商部門という結果になっています。

実際には、部門別に時系列で比較し、各事業部門の貢献利益の増減を比較評価するのが効果的な方法です。

4 貢献利益を運用する際の注意点

1)目に見えないもう1つの貢献利益

部門別の貢献利益によって、部門や支店ごとの業績が把握できます。活用方法はさまざまで、例えば賞与の査定に差をつけることもできます。

ただし、慎重に運用しなければなりません。なぜなら、各部門は独立した組織であるようでいて他部門から少なからず影響を受けているものであり、各部門からのアシストについても考慮する必要があります。

各部門の貢献利益を比較する場合、他部門からの好影響(創業からの貢献度合いやブランド価値など)も考えなければなりません。これを考えずに、部門別貢献利益を他部門との比較のために用いると、部門間にあつれきが生じる危険があります。

2)適正な売上管理や労務管理が大前提

管理可能固定費というのは、各部門でコントロールが可能な費用です。部門別業績評価をする場合、各部門の売上管理や労務管理等が適正に行われていることが不可欠です。

例えば、各部門に未払いの残業代があるなどの場合が問題です。もし、部門内でサービス残業が常習化しているような場合、それを管理可能固定費に加味すると貢献利益は異なってきます。また、評価基準を利益に重きを置きすぎたときに生じる売上の粉飾もあります。不正へのきっかけとならないためにも、社員教育の徹底や管理体制の整備も同時に行っていきましょう。

5 練習問題

1.(問題1)

A事業部の売上高は5000万円(変動費率55%)、管理可能固定費は1500万円です。A事業部の貢献利益はいくらですか?

(問題1の回答)

A事業部の限界利益は、売上高の5000万円から変動費の2750万円を引いた2250万円となります。貢献利益は限界利益から、管理可能固定費を引いた利益なので750万円(2250万円-1500万円)となります。

問題1の答え:750万円

2.(問題2)

A事業部に係る費用項目は次の通りです。A事業部の管理可能固定費はいくらですか?

接待交際費180万円、福利厚生費30万円、器具備品の減価償却費80万円、

オフィス賃借料850万円、光熱費100万円、広告宣伝費130万円、旅費交通費200万円、

A事業部の役員給与1000万円、A事業部の従業員給与8640万円

(問題2の回答)

管理可能固定費とは、A事業部がコントロールできる費用です。上記の中では、接待交際費、福利厚生費、光熱費、広告宣伝費、旅費交通費、A事業部の従業員給与となります。なお、役員給与は株主総会(役員個人の給与額については取締役会または代表取締役)の決議事項であるため、管理不能固定費に該当します。

問題2の答え:9280万円

以上(2026年4月更新)
(監修 税理士法人AKJパートナーズ 公認会計士 仁田順哉)

pj35047
画像:photo-ac

【朝礼】意見される人になろう

【ポイント】

  • 周囲の人は、「この人にもっと能力を発揮してもらいたい」と考え、意見を言う
  • 意見されるには、周囲の人が意見を言いやすい環境づくりが必要
  • 立場にかかわらず、意見してくれた人には感謝の気持ちを伝える

今朝は、いつも周囲の人から「意見される人」についてお話ししようと思います。周囲の人からいつも意見される人と聞くと、おっちょこちょいで、いつも失敗ばかりしている人や、思慮が足りず周囲から注意される人といった、マイナスの印象を与える人を思い浮かべるかもしれません。一方で、周囲の人は、「この人にもっと能力を発揮してもらいたい」「意見する価値がある人だ」と考え、意見を言います。周囲の人の意見には、自分だけではなかなか気づくことのなかったたくさんのアイデアや視点が含まれています。意見される人は、こうした意見をうまく自分の仕事に反映し、成果を得ているはずです。

豊臣秀吉と竹中半兵衛、本田宗一郎と藤沢武夫といったように、偉人や名経営者と呼ばれる人の隣には名参謀がいます。偉人や名経営者と呼ばれる人も自分だけの能力ではなく、自分に意見してくれる人材、参謀に恵まれたからこそ、十分な力を発揮することができたといえるでしょう。

それでは、周囲の人からいつでも意見される人であるには、どうすればよいのでしょうか。私は「日ごろから相手と意思疎通を図っておく」「いかなる場合も人の話に耳を傾ける」といった、周囲の人が意見を言いやすい環境づくりが必要だと思います。例えば、部下から上司に対して意見があったとしても、忙しそうにしていて話を聞いてもらえる様子がなかったり、以前に意見したときに全く取りあってもらえなかったとすれば、その部下は上司に意見を言うことはないでしょう。

従って、部下を持つ上司は、常日ごろから部下に声をかけたり、意見を求めたりすることが大切です。そして、立場にかかわらず、意見してくれた人には、感謝の気持ちを伝えましょう。時には、耳の痛い意見や、意に沿わない意見もあるかもしれません。しかし、そうした意見を言ってくれる人こそ、あなたのことを真剣に考えてくれている場合が多いものです。

一般的に、担当する仕事量が増えて忙しくなったり、役職が上がって部下の人数が増えたりするといった状況になると、人から意見されにくくなります。どのような状況にあっても、周囲の人から意見される人であるよう、周囲の人が意見を言いやすい環境づくりを忘れないように心がけ、人の意見をうまく取り入れて、自らの糧としていきましょう。

              

以上(2026年4月作成)

pj16518
画像:Mariko Mitsuda

「DDoS攻撃」の防御策と踏み台にされないための対策とは

1 IoT機器などが乗っ取られて、攻撃の踏み台に!

「DDoS攻撃」(Distributed Denial of Service attack; 分散型サービス妨害攻撃)は、

サーバーやネットワークなどに意図的に過剰な負荷をかけることで、正常なサービスを提供できなくするサイバー攻撃

です。「ディードス」と読みます。

攻撃者は、何らかの方法で乗っ取った複数の機器で構成されるネットワーク(ボットネット)を踏み台として、特定のサーバーやネットワークに対して大量のアクセスを一斉に仕掛けて高負荷状態にさせる、もしくは回線帯域を占有してサービスを利用できなくします。

IPA(情報処理推進機構)が毎年公表する「情報セキュリティ10大脅威」では、「DDoS攻撃(分散型サービス妨害攻撃)」が、組織向け脅威として取り上げられており、2026年には第9位にランクインしています。

情報セキュリティ10大脅威

「DDoS攻撃」は、ルーターやネットワークカメラなどのIoT機器を狙う「Mirai」と呼ばれるウイルス(IoTマルウェア)や、その亜種に感染したボットネットを踏み台とするのが主流でしたが、足元では「Mirai」とは異なるIoTマルウェアの感染も拡大しているといいます。

大規模な「DDoS攻撃」を受けると、ウェブサイトの停止、業務の中断といった深刻な被害が生じます。中小企業も対策を怠ると攻撃の踏み台にされてしまう恐れがあります。

この記事では、「DDoS攻撃」の防御策と、攻撃の踏み台にされないための対策を紹介します。

2 「DDoS攻撃」の防御策

1)海外に割り当てられたIPアドレスからの通信の遮断

攻撃元となるIPアドレスの多くは、海外に割り当てられたIPアドレスです。例えば、サービス対象者が国内に限られるウェブサイトを運営している場合、海外に割り当てられたIPアドレスからのアクセスを制限(ジオブロック)することで、被害を抑えられます。

2)DDoS攻撃の影響を排除または軽減するための専用の対策装置やサービスの導入

WAF(ウェブアプリケーションファイアウォール)、IDS/IPS(不正侵入検知システム/不正侵入防止システム)、UTM(統合脅威管理)、DDoS攻撃対策専用アプライアンス製品等を導入し、DDoS攻撃を防ぐため必要な設定を行います。

3)コンテンツデリバリーネットワーク(CDN)サービスの利用

CDNは、独自に構築したキャッシュサーバーやそれにひも付くネットワークを利用して、ウェブサイトのコンテンツを配信するサービスです。元々、ウェブサイトのレスポンス向上を目的として利用されてきましたが、「DDoS攻撃」に対しても、CDNが攻撃トラフィックを分散処理することで、オリジンサーバーへの負荷軽減が期待できます。オリジンサーバーへの直接アクセスを防ぐため、オリジンサーバーのIPアドレスを隠蔽する必要があります。

4)その他各種DDoS攻撃対策の利用

インターネットサービスプロバイダーや、WAF/CDNを提供するクラウドサービス事業者が別途提供する、DDoS対策機能を利用することも有用です。

5)サーバー装置、端末及び通信回線装置、通信回線の冗長化

代替のサーバー装置などに切り替える対策です。この場合、DDoS攻撃の検知、代替サーバー装置などへの切り替えが許容される時間内に行えるようにする必要があります。

6)サーバー等の設定の見直し

代替のサーバー装置などについて、パケットフィルタリング機能、3way handshake時のタイムアウト短縮、各種Flood攻撃への防御、アプリケーションゲートウェイ機能がある場合は、有効にしましょう。

3 攻撃の踏み台にされないための対策

1)オープンリゾルバー対策

オープンリゾルバー(Open Resolver)とは、外部の不特定のIPアドレスからの、再帰的な問い合わせを許可しているDNSサーバーのことです。DNSサーバーの設定不備によるものだけでなく、ブロードバンドルーターなどのネットワーク機器に組み込まれているリゾルバーが、意図せずインターネットからアクセス可能になっているケースもあります。

JPCERTコーディネーションセンターが運用する「オープンリゾルバー確認サイト」に、ウェブブラウザでアクセスすると、自身の利用する環境がオープンリゾルバーとして機能していないか、適切な設定や対策が施されているかを確認できます。設定されているDNSサーバーやブロードバンドルーターが、オープンリゾルバーと判定されたときは、設定を見直しましょう。

■JPCERTコーディネーションセンター「オープンリゾルバー確認サイト」■
https://www.openresolver.jp/

2)セキュリティパッチの適用

サーバーやネットワーク機器の脆弱性を放置すると、攻撃者にマルウェアを仕掛けられ、DDoS攻撃の踏み台として悪用される恐れがあります。

OS、ミドルウェア、アプリケーションの定期的なアップデートが欠かせません。ベンダーからセキュリティパッチがリリースされたら、速やかに適用し、脆弱性が含まれるプログラムや設定を更新・修正しましょう。

3)フィルタリングの設定

正常な通信パケットでは、ヘッダー部分にあるIPアドレスは送信者のアドレスになっています。このIPアドレスを書き換えた詐称パケットで相手先に接続を試みるのが、「IPスプーフィング」と呼ばれる手法です。

ルーターやファイアウォールにおいて、送信元IPアドレスが詐称されているパケットをフィルタリングすることが求められます。

4 参考

■みんなで守る、IoT。NOTICE■
https://notice.go.jp/
■情報通信研究機構 サイバーセキュリティ研究所「NICTER Atlas」■
https://www.nicter.jp/atlas

以上(2026年4月作成)

pj60383
画像:DAIN-Adobe Stock

【書籍ダイジェスト】『となりの陰謀論』

本書は、陰謀論の存在感が増す社会において、なぜこうした考え方が生まれ、広がり、力を持つようになってきたのかを考察している。
陰謀論とは、世の中の問題について、不確かな根拠のもとに「誰かの陰謀である」と決めつける考え方を指す。昔からあり、誰もがそうした考え方をする素質を持っているものだという。しかし、インターネットの出現によって陰謀論の世界は激変し、アクセスも容易になった。陰謀論は無視するのではなく、政治がそれらとどう関わっていくのかに目をこらしていく必要があるようだ。

書籍ダイジェストは、こちらからお読みいただけます。pdf

中小企業が「標的型攻撃」の踏み台にならないための多層防御とは

1 油断大敵! あなたの会社もサイバー攻撃のターゲットに

「標的型攻撃」は、

特定の企業や組織をターゲットとして、機密情報や知的財産、アカウント情報(ID、パスワード)などを窃取しようとするサイバー攻撃

です。中国や北朝鮮といった国家を背景とする犯行グループの関与が疑われる事案も後を絶ちません。

IPA(情報処理推進機構)が毎年公表する「情報セキュリティ10大脅威」では、「機密情報を狙った標的型攻撃」が、初選出の2016年から11年連続で組織向け脅威として取り上げられており、2026年には第5位にランクインしています。

情報セキュリティ10大脅威

「うちは中小企業で、狙われるような機密情報もないし、関係ないだろう」と、仮にあなたがそう考えているのであれば、その認識は甘いと言わざるを得ません。

なぜなら、第1位の「ランサム攻撃による被害」、第2位の「サプライチェーンや委託先を狙った攻撃」などの端緒は、標的型攻撃メールなどによる侵入のことも多く、大企業に対する攻撃の踏み台として、「取引先である中小企業」が標的にされることもあるからです。巧妙な標的型攻撃を100%防ぐことは不可能です。

この記事では、標的型攻撃の主な手法を知った上で、ネットワークに侵入されることを前提とした「多層防御」の考え方について解説します。

2 標的型攻撃の主な手法

1)標的型攻撃メール

標的型攻撃の侵入経路として多く使われるのは、今なお、電子メールです。この「標的型攻撃メール」の手法は、簡単に言うと、

添付ファイル(Word、Excel、PDF、Zipなど)の開封や本文中のURLリンクのクリックを促すことで、マルウェアに感染させるもの

ですが、メール受信者の心理的な隙を突くために、手口が非常に巧妙化しています。

例えば、実在の取引先、上司や同僚、公的機関(税務署・保健所など)になりすましたり、採用応募や問い合わせをかたったりした、不審なメールを受信したことのある人も多いのではないでしょうか。

ここ数年は、AIの技術がすさまじい速度で発展しており、「不自然な日本語に気を付ける」といった、メールを読んだときの違和感による真偽の見極めは、通用しなくなってきています。

2)不正アクセス

攻撃者が何らかの方法でネットワークに不正アクセスし、追加の認証情報の窃取や不正アカウントの作成、バックドアの設置などを行い、「踏み台」として使うものです。

コロナ禍を経てよく見られるのが、テレワークのために設置したVPN機器が初期設定のままだったり、リモートデスクトッププロトコル(RDP)のポートがインターネットに公開されていて、簡単なパスワードだったりするケースです。そうすると、総当たり攻撃(ブルートフォースアタック)によって容易にネットワークに侵入されてしまいます。

3)ウェブサイトの改ざん(水飲み場型攻撃)

ターゲットが信頼している場所(=水飲み場)で待ち伏せする手口です。例えば、業界団体のニュースサイトなど、情報収集の目的でよく閲覧するウェブサイトがあったとします。そのウェブサイトのセキュリティ対策が甘いと、サイトが改ざんされ、マルウェアを仕掛けられて、そのサイトにアクセスするだけで、マルウェアに感染してしまう恐れがあります。

3 多層防御の考え方

情報システムのセキュリティ対策は、旧来、攻撃者による侵入をネットワークの入り口で防ぎ切れるという考えの下で、入り口対策に重きが置かれてきました。しかし、標的型攻撃は、入り口対策だけでは防ぎ切れません。メールフィルタリングやウェブフィルタリング、マルウェア対策ソフトの利用といった基本的な入り口対策に、内部対策、出口対策を重ね、一つの層が破られても別の層で守られるという、「多層防御」の考え方が重要です。

1)入り口対策

自社が管理するネットワーク、システムや端末などと、インターネットなどの外部環境との接続点で、不正な通信が入り込むことを防ぐ対策です。先に述べた基本的なメールフィルタリングやウェブフィルタリング、マルウェア対策ソフトの利用の他に、次のような対策が考えられます。

  • 多要素認証(MFA):VPNやRDP、クラウドサービスへのアクセスには、ID/パスワードだけでなく、MFAを必須とし、不正ログインを防ぎます。
  • パッチ管理:OSやソフトウェア、特にVPN機器などの脆弱性をなくすためのセキュリティパッチを、迅速かつ確実に適用します。

また、「標的型攻撃メール訓練」も有効です。標的型攻撃メールを疑似的に再現したメールを従業員に対して送信し、その開封状況や万が一、引っかかってしまった際の対応策が、会社のルールにのっとってきちんと実施できているか、などを可視化できます。

2)内部対策

入り口対策をすり抜けた不正な通信に対して、内部ネットワーク環境に保存・設置されている機密情報やシステム等に対する、攻撃の予兆などを検知・隔離するものです。次のような対策が考えられます。

  • ふるまい検知:旧来のマルウェア対策ソフトは、パターンファイルにマッチする既知のウイルスを検出するものでした。ふるまい検知は、プログラムの挙動から悪意のあるマルウェアを検出する仕組みで、「不審な動作」をしているかどうかを監視するため、データベースに登録されていない新種のマルウェアにも対応可能です。
  • EDR(Endpoint Detection and Response):PCやサーバーの「エンドポイント」でプログラムの動作などを監視し、その動きによってウイルスの感染を検知し、情報収集・調査や感染PCの遠隔隔離などをすることで、リスクを最小限に抑えるものです。
  • XDR(Extended Detection and Response):EDRの情報に加え、ネットワーク機器やクラウドのログも相関的に分析し、より高度な脅威検知を実現します。

また、アクセス権限の適切な設定も重要です。本来の目的に必要な最低限の権限しか与えない、「最小特権の原則」を守るようにしましょう。

3)出口対策

組織内から重要な情報が外部に送信される段階で、被害を食い止める対策です。次のような対策が考えられます。

  • 社外へのアクセス経路の制限:社内ネットワークとインターネットの間にプロキシサーバーを配置し、通信を仲介することで、有害なコンテンツや不正な宛先への通信を遮断します。
  • WAF(ウェブ Application Firewall)の導入:WAFは、アプリケーションレベルで通信の中身を解析し、特定の条件にマッチする通信を検知・遮断します。

また、万が一、データが流出してしまっても情報にアクセスできないよう「データを暗号化」しておくことや、いつ、何が起きたのか調査し対策を講じるために、サーバーやウェブアプリケーションなどの「ログを記録」しておくことも重要です。

4 対策の定期的な見直しが不可欠

中小企業が「標的型攻撃」の踏み台にならないためには、多層的な防御策を講じることが求められます。「入り口」「内部」「出口」の各所で、それぞれの対策が連携して機能することで、初めて効果を発揮します。

そして、セキュリティを取り巻く環境は常に変化します。新たな脅威に対応するため、定期的に対策を見直し、改善していく継続的な取り組みが不可欠です。

5 参考

■国民のためのサイバーセキュリティサイト「標的型攻撃への対策」■
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/04/
■国民のためのサイバーセキュリティサイト「電子メールとウェブサイトにおける対策」■
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/admin/05/

以上(2026年4月作成)

pj60382
画像:WM-WoodenMannequin–Adobe Stock