安全と会社での利用

ひとり情シスが今週やる5つ⁠｜版・バックアップ・アカウント・AIの決まり・連絡先

ひとりで情シスを任されているなら、今週やるのは5つです。 PHPやOSの版を確かめる、バックアップを一度戻してみる、共有アカウントと残ったアカウントを整理して多要素認証を入れる、生成AIの決まりを1枚にする、緊急連絡先の一覧を作る。どれも小さな会社なら半日ほどで進められる大きさに絞りました（当サイトの目安です）。

全部を完璧にする必要はありません。この5つは、IPAの中小企業の情報セキュリティ対策ガイドラインが基本の対策として挙げる「6か条」の考え方とも重なります。Claude Codeは、確認の作業のうち、機械的に数えて並べる部分を、読み取りだけで手伝わせられます。

内容は、2026年10月23日にIPAの中小企業の情報セキュリティ対策ガイドラインと情報セキュリティ6か条の解説編、php.netの対応版の一覧と2026年10月のPHPセキュリティリリース、Node.jsの2026年10月のセキュリティリリース、JPCERT/CCのインシデント報告、IPAの届出と情報セキュリティ安心相談窓口、Claude Codeの権限モードと権限の設定の説明と照らし合わせました。

今週の5つの一覧

所要時間は、小さな会社を想定した当サイトの目安です。公式の数字ではありません。

01 PHPとOSの版を確かめる

2026年10月21日に、PHPとNode.jsが続けて重大な修正を出しました。PHPは、リモートコード実行の脆弱性が2件（CVE-2026-109618とCVE-2026-109619）で、php.netの告知によると、Webの要求を受けるPHPはすべて対象です。mod_phpが最も危険とされています。

修正版は次のとおりです。

PHP 8.1以前には、PHPプロジェクトからの通常の更新がありません。今回は、7.4、8.0、8.1向けに、ソースから組み立てる人のための最小限の修正（バックポート）だけが出ました。8.2は2026年12月31日で、セキュリティの対応も終わります（対応版の一覧）。Node.jsは、v26.12.1、v24.22.1、v22.23.4が修正版です。公式は、サポートが終わった系統は、セキュリティリリースのたびに影響を受けるとしています。

確かめ方

1. サーバーに入れてphp -vを実行します。ただし、これはコマンドラインのPHPの版です。Webを動かしているPHPとは、別の版のことがあります
2. Webの側は、サーバー会社の管理画面でPHPの版の設定を見るか、phpinfo()を一時的に表示します。表示したらすぐに消します
3. 版の数字だけで安心しません。php.netは、LinuxのディストリビューションやLTSの提供元には、事前に修正を渡したと書いています。版の数字が古く見えても、提供元が修正を取り込んでいることがあります。提供元の告知で確かめます
4. レンタルサーバーなら、会社ごとの対応の告知を見ます。更新はサーバー側で、自分では直せないこともあります
5. OSは、提供元がセキュリティの更新を出している版かを、提供元の頁で確かめます。IPAの6か条の最初は「OSやソフトウェアは常に最新の状態にしよう」で、サポートのあるOS、ソフトウェア、ネットワーク機器を使うことも挙げています

今すぐ更新できないときの緩和策も、PHPの告知にあります。ただし告知は、更新だけが完全な対策で、緩和策は「安全にするものではない」と書いています。

PHPの修正の詳しい中身と、Node.jsの修正は、次の記事に書きました。

関連記事安全と会社での利用PHPの脆弱性（CVE-2026-109618・109619）｜自分のPHPのバージョン確認と、いまやること2026年10月21日にPHPの重大な脆弱性2件（CVE-2026-109618、109619）の修正版が公開されました。直った版、8.1以前の扱い、レンタルサーバーとVPSで違う対応、バージョンの調べ方、いまやる順番を公式の情報で整理します。

関連記事安全と会社での利用Node.jsの脆弱性（2026年10月21日のセキュリティリリース）｜バージョンの確認と更新2026年10月21日のNode.jsセキュリティリリース（v26.12.1、v24.22.1、v22.23.4）で直った10件の脆弱性、自分のバージョンの確かめ方、入れ方ごとの更新、Claude Codeを使う人への影響を公式の情報で整理します。

02 一度は戻してみたバックアップにする

取っているだけのバックアップは、戻せるかどうか分かりません。IPAの6か条の解説では、バックアップについて、次の対策例が挙がっています。

• 重要な情報を定期的にバックアップする
• バックアップの装置や媒体は、バックアップのときだけパソコンにつなぐ
• バックアップを安全な場所に保管する
• バックアップしたデータを戻せるか、定期的に確かめる

また、3-2-1ルール（本体を含めて3つ以上のコピー、2種類の媒体、1つは別の場所）が紹介されています。

確かめ方

1. 守る対象を、紙に書き出します（顧客のデータ、会計、メール、Webサイトとデータベース、共有フォルダ）
2. 1つのデータを選び、別の場所へ実際に戻します。ファイル1つで足ります
3. 戻すのにかかった時間と、つまずいた点を記録します
4. 戻す手順を、自分以外が読んで分かる形で書いておきます

当サイトの基準では、「戻せた」と言えるのは、手順を書いた人以外が読んでも戻せるときです。1回できたら、次の確認の日を決めます。

03 共有アカウントと残ったアカウントを整理し、多要素認証を入れる

IPAの6か条の解説には、パスワードと共有の見直しが、それぞれ1つの項目になっています。

• パスワードは、10文字以上にして、使い回さない。可能な場合は、多段階認証、多要素認証、パスキーなどを使う。初期設定のパスワードも見直す
• ウェブサービスやネットワーク接続の機器の共有範囲を限定する。従業員の異動や退職のときは、すぐに設定を変更（削除）する。パソコンを共有せざるを得ない場合は、別のユーザーアカウントを作る

解説は、SMSで送るワンタイムパスワードを狙うフィッシングがあるので、怪しいメールやWebサイトに注意するよう書いています。パスキーは、パスワードやSMSの認証コードを入力しないので、フィッシングによる盗み取りに強い方式だと説明しています。

確かめ方

1. 使っているサービスを全部書き出します（メール、クラウド、会計、ドメイン、サーバー会社、SNS、広告）
2. サービスごとに、使っている人の名前を書きます。1つのアカウントを複数人で使っているものに印を付けます
3. 退職者や、もう使わない業務委託の人のアカウントが残っていれば消します
4. 管理者の権限があるアカウントを、最小限にします（当サイトのすすめです）
5. 多要素認証が使えるサービスは、管理者の権限があるものから順に入れます。メール、ドメイン、サーバー会社、クラウドの管理画面が先です

共有アカウントを今すぐやめられないときは、誰がいつ使ったかを残す方法を決めます。

04 生成AIの決まりを1枚にする

当サイトの考えでは、社員が個人のアカウントで会社の情報を生成AIに入れている状態は、見えにくい穴です。禁止は隠れて使われるだけになりがちなので、使ってよい範囲を決めて配るほうが現実的だと考えます。

1枚に書くのは、次の3つだけで足ります。

• 使ってよいサービスとプラン 個人のアカウントではなく、会社が契約したものにします。プランごとに、学習に使われるか、保存はどうなるかが違います
• 入れてはいけない情報 パスワード、鍵、顧客の個人情報、取引先の秘密など
• 困ったときの連絡先 間違えて入れたときに、誰へ知らせるか

プランごとの違いは、次の記事に公式の説明を日付つきで並べました。

関連記事安全と会社での利用Claudeに学習させない設定とプラン比較｜オプトアウトの手順と保存期間Claudeに会話やコードを学習させない設定を、個人向け（Free、Pro、Max）、Team、Enterprise、API、Claude Codeに分けて説明します。オプトアウトの手順、保存期間、DPA、ChatGPTとの違いを公式の説明で確かめました。

社内の決まりの作り方は、次の記事にあります。

関連記事安全と会社での利用シャドーAIとは？禁止せずに守る、会社の生成AI利用ルール1枚シャドーAIとは何か、禁止がうまくいかない理由、情報の3区分・承認した道具と契約・入れないもの・聞く人を1枚にまとめるルールの雛形。Claude TeamやClaude Codeのデータの扱いも公式の説明で整理します。

決まりが足りているかは、生成AIの社内ルール 自己点検で、15項目をブラウザ内だけで確かめられます。

チームでの決め方と、パイロットの進め方は、次の記事にあります。

関連記事安全と会社での利用Claude Codeのチーム運用｜権限・費用・品質を管理する実践ガイドClaude Codeをチームで運用するための実務設計。利用目的、データ、権限、品質、費用、監査のルールと、2〜4週間の導入手順をチェックリストで解説します。

05 緊急連絡先の一覧を作る

事故が起きたときに、連絡先を探している時間が一番もったいないものです。一覧には、次を入れて、紙にも印刷して、クラウドが使えないときのために手元に置きます。

公的な窓口の中身は、次のとおりです。

• JPCERT/CC インシデント報告は、Webフォーム（form.jpcert.or.jp）かメール（info@jpcert.or.jp）で受け付けます。電話は原則として受け付けていません。初動の支援、改ざんされたサイトへの対応依頼、フィッシングサイトの閉鎖依頼などを受け付けますが、すべての相談に必ず応じられるわけではないと書かれています。犯人の特定や捜査、個別の製品の使い方の相談は対応外です
• IPA 安心相談窓口 情報セキュリティ安心相談窓口は、電話が03-5978-7509で、受付は10時から17時まで（土日祝日と年末年始を除く）です。ウイルスや不正アクセスなど、一般的な技術の相談が対象で、個別の端末やログの調査、他の組織への仲介は対象外とされています
• IPA 届出 届出のページには、コンピュータウイルスと不正アクセスの届出、脆弱性関連情報の届出、標的型サイバー攻撃の特別相談窓口が載っています

事故の対応の手順そのものは、IPAのガイドラインの付録8「中小企業のためのセキュリティインシデント対応の手引き」が手引きになります。

Claude Codeに、読み取りだけで手伝わせる

上の5つのうち、版の確認、アカウントの一覧づくり、連絡先の表づくりには、数えて並べる作業が多く含まれます。ここはClaude Codeに手伝わせられます。ただし、サーバーを直接触らせるのではなく、人間が読んで確かめたスクリプトを、人間が動かします。

進め方

1. 安全のため、読み取りの作業は計画モード（Plan）で始めます。claude --permission-mode planで起動するか、セッション中にShift+Tabで切り替えます。権限モードの説明によると、計画モードでは、ファイルを読み、調べるためのコマンドを動かし、計画を書けますが、承認するまでソースは編集されません
2. 「版の一覧を出す、読み取りだけのスクリプトを書いて」と頼みます
3. スクリプトを、自分で1行ずつ読みます。rm、curl | sh、書き込み、外への送信が入っていないかを見ます
4. 本番のサーバーでは、自分でスクリプトを動かします。結果の文字列だけをClaude Codeに渡して、表にまとめさせます

計画モードでも、設定によっては、読み取りの許可済みの範囲を出るコマンドが承認を聞かれます（自動モードが使える設定では、判定の仕組みが代わりに確かめます）。聞かれたら、中身を読んでから許可します。本番のサーバーの認証情報は、Claude Codeの動くパソコンに置きません。

頼み方の例

次のように、目的と、してほしくないことをはっきり書いて頼みます。

• 「このサーバーの版の棚卸しをします。読み取りだけのシェルスクリプトを書いてください」
• 「出すのは、OSの名前と版、php、node、nginxかapacheの版、cronの一覧です」
• 「ファイルの書き込み、削除、ネットワークへの送信はしないでください」
• 「書いたら、各行が何をするかを説明してください」

出力の例

次のような、読み取りだけのスクリプトです。動かす前に、自分で読んでください。

#!/bin/sh
# Read-only inventory
# Review before running
echo "== os"
cat /etc/os-release 2>/dev/null | head -3
uname -r
echo "== php"
php -v 2>/dev/null | head -1
echo "== node"
node -v 2>/dev/null
echo "== web server"
nginx -v 2>&1 | head -1
apache2 -v 2>/dev/null | head -1
echo "== cron"
crontab -l 2>/dev/null

結果をClaude Codeに貼り、「この版のうち、サポートが終わっているものと、今月の修正版に届いていないものを、公式の頁を調べて表にして」と頼みます。公式の頁を見て答えさせ、答えの出典を必ず開いて確かめます。

任せてはいけないこと

• 本番のサーバーでの更新や再起動
• アカウントの削除、パスワードの変更
• 退職者かどうかの判断（人事の情報で自分が決めます）
• 「戻せた」の判断（自分で戻して確かめます）

Claude Code自体の安全な設定は、次の記事にまとめています。

関連記事安全と会社での利用Claude Codeのセキュリティ設定｜権限・sandbox・法人運用【2026年版】Claude Codeを安全に使うためのpermissions、sandbox、機密ファイル拒否、ネットワーク制御、managed settings、データ保持、監査を公式仕様で解説。

外に頼むかどうかの目安

「情シス 代行」や「情シス アウトソーシング」で探す前に、自分の会社の状態を一覧にしておくと、頼む範囲が決められます。今週の5つが終わっていれば、頼むときに伝える材料もそろいます。頼む先には、次の5つを聞きます（これも当サイトの考えです）。

1. 何を代わりにやってくれて、何がやってくれないか
2. 事故のときの連絡の手段と、返事までの時間
3. 管理者のパスワードや鍵を、誰がどう持つか
4. 作業の記録を、いつ、どんな形で出してくれるか
5. 契約をやめるときに、設定や資料を渡してくれるか

よくある質問

ひとり情シスが最初にやることは何ですか？

PHPやOSの版の確認、戻せるバックアップ、共有アカウントと多要素認証、生成AIの決まり、緊急連絡先の5つから始めます。どれも半日あれば進められる大きさで、IPAの基本の対策の考え方とも重なります。

バックアップは取っていれば十分ですか？

十分ではありません。IPAの解説は、取ったデータを戻せるか、定期的に確かめるよう挙げています。1つのデータを別の場所へ実際に戻し、かかった時間と手順を記録します。

何かあったら、どこへ相談すればよいですか？

IPAの情報セキュリティ安心相談窓口（03-5978-7509、10時から17時、土日祝日と年末年始を除く）が一般的な技術の相談を受け付けます。インシデントの報告は、JPCERT/CCのWebフォームかメールです。電話は原則として受け付けていません。

Claude Codeにサーバーを触らせてよいですか？

直接は勧めません。読み取りだけのスクリプトを書かせ、人間が中身を読んで、自分で動かします。結果の文字列だけを渡して、表にまとめさせます。更新、削除、再起動は人間が行います。

情シスの代行を頼むべきですか？

自社の状態を一覧にしてから決めます。頼む先には、やってくれる範囲、事故のときの連絡、鍵の持ち方、記録の出し方、やめるときの引き渡しを聞きます。