情報漏えいが止まらない今、中小企業は「内製」のほうが堅いと思う理由
僕らの仕事は、開発だけではありません。
ルーターの調子が悪い。ネットワークがつながらない。このメール、開いて大丈夫か。セキュリティはこれで足りているのか。現場で起きるITのことは、ほぼ全部相談に乗っています。心配するのも仕事のうちです。
その立場から、最近の情報漏えいについて、僕なりの考えを書いておきます。
この記事は、動画でもお話ししています
情報漏えいが止まらない
ここのところ、情報漏えいのニュースが本当にすごいペースで続いています。
最近では、カーシェアの「タイムズカー」で約660万件の会員情報が漏れ、運転免許証の画像も約160万件流出しました。集団訴訟の呼びかけには、1日で2000人以上が参加を希望したそうです。
ネットショップの仕組みを貸している、Eストアーの「ショップサーブ」も不正アクセスを受けました。2026年5月から8月までの約2か月半、サーバーの上で不正なプログラムが動き続け、公表された件数は約885万件。氏名や住所、カード番号の一部に加えて、お店側の管理画面やFTPのログイン情報まで含まれていました。ショップサーブを使っていたお店が、次々にお詫びを出しています。
どういう経路で入られたのかは、公表されないことが多いです。公表すれば、別の攻撃者が同じ手を使うからです。
ただ、いろいろ調べると、情報漏えいの多くには「人」が関わっていると言われています。僕も、そうだろうと思います。
破られるのは、壁ではなく人
大きなサービスの会社は、サーバーの守りにものすごくお金をかけています。土台はAWSやAzureといった大手のクラウドで、ここ自体はとても堅い。そこが正面から破られることは、まずありません。
外からの入口をガチガチにしていても、中の人がやられたら終わりです。管理者権限を持っている人が乗っ取られれば、そこから先は何でもできてしまう。
だから狙うとしたら、開発に大勢が関わっている会社の、権限を持っている社員です。権限を持つ人が多いということは、それだけ入口が多いということです。
中小企業は、入口が少ない
僕ら中小企業は、そもそも管理者権限を持っている人が数人です。大きな会社と比べたら、入口の数がまったく違います。
狙う側も、情報をたくさん持っているところを狙います。中小企業が狙われないわけではありません。でも、狙われたとしても、権限を持つ人が少ないので、管理できる。ここは中小企業の有利なところです。
SaaSは、他社の被害に引っ張られる
SaaSを使うのが悪いとは言いません。ただ、怖いのは、自分ではコントロールできないところです。
ショップサーブの件が、まさにそうです。お店は自分では何も間違えていなくても、仕組みを貸している会社が破られれば、自分のお客様の情報が漏れ、お詫びを出すことになる。同じサービスを使っている誰かが狙われれば、自分も巻き込まれます。
どれだけお金をかけて外から守っていても、開発者が何百人もいれば、その中の一人に悪意があっただけで終わりです。それは、使う側からはどうにもできません。
どちらがセキュリティが高いかと言われたら、僕は、関わる人を少なくして、一社だけで使う仕組みのほうだと思います。他に引っ張られない。自分でコントロールできる。
だから、内製がいちばん堅い
今回のような事件を見ても、狙われているのは情報をたくさん持っている大きなサービスです。
中小企業は、自分の会社専用のサーバーに、必要な機能だけを置く。僕は、これがいちばん堅いと確信しました。しかも今はAIがあるので、作るのは速い。内製化の波が来る、というより、内製化がいちばんいいと思っています。
僕なら、こう組む
Webの仕組みなら、僕はこう組みます。
- 入口はCloudflare。その後ろに、一社専用のサーバーを置く
- 管理画面は多要素認証(MFA)。さらにCloudflareをもう1枚かませる
- 管理画面はIPでも制限する。決まった場所からしか開けない
- 開発者は1〜3人。関わる人を増やさない
- プログラムを上げられるのは、その数人だけ。しかも、WireGuardで決まったIPからしか上げられないようにする
- 改ざんを毎日チェックする。手元のプログラムと、サーバーに上がっているプログラムが同じかどうか。データベースの中のHTMLに、変なものが混ざっていないか。これはAIで簡単に作れます
ここまでやれば、90点はいけると思います。
残りの10点は、人です。ここは気をつけるしかありません。
今起きている情報漏えいを見ていると、中小企業は内製がいちばんいい。そして、構造はこういうのがいちばんいい。僕はそう考えています。
現場からは、以上です。
関連するコラム:
自社のサイトやシステムの点検を相談したい方へ。診断結果の読み解きから、 直す順番、制作・保守会社との調整まで伴走します。
無料相談を申し込むまず中身を知りたい方はサイトセキュリティ伴走サポートの内容現場開発プラン（FDE）現場アプリ内製化ブートキャンプ導入事例：システムパック株式会社・豊前市のパン屋「ぱんのこ」
フォワード フィールド テクノロジーズ株式会社 代表取締役。 1996年から業務システムの保守・開発に従事。官公庁・保険・製造業を経て、2007年からコンサルティング会社の開発部門を統括。2026年にFFTを創業。一般社団法人日本生成AI推進協会 技術部長。
著者の経歴・開発実績を見る