年末年始のセキュリティ対策は休暇前3つ・明け4つ｜中小企業のチェックリストとクラウドの設定【2026年版】

年末年始は、会社の人が1週間近くいなくなる時期です。攻撃する側はそこを狙います。
休暇中に侵入されても気づくのは1月4日の朝、という事態を防ぐには、休暇前に3つ、休暇明けに4つの確認をしておけば大半は防げます。

この記事では、IPA（情報処理推進機構）の公式の注意喚起をもとに、中小企業が実際にやる手順を「休暇前・休暇中・休暇明け」のチェックリストにまとめました。
Microsoft 365・Google Workspace・クラウドPBXなど、クラウドを使っている会社ならではの設定も具体的に書いています。

なぜ年末年始はセキュリティ事故が増えるのか？

IPAは2025年12月の注意喚起で、長期休暇はシステム管理者が長く不在になるなど、いつもと違う状況になりやすく、対応の遅れが業務に響くおそれがあると指摘しています。
つまり問題は「攻撃が増えること」より「気づくのが遅れること」です。

休暇中に起きやすいこと	気づくのが遅れると	被害の目安
VPN機器・ルーターの弱点を突いた侵入	休み中ずっと社内を探られ、ランサムウェアの準備をされる	復旧まで数週間・数百万円規模になることも
社員のメールアカウントの乗っ取り	社内外へなりすましメールが送られ続ける	取引先への謝罪・信用低下
請求書の振込先変更をよそおう詐欺メール	年明けの支払処理でそのまま振り込んでしまう	1件で数十万〜数百万円
社用PC・スマホの紛失	回線停止・遠隔ロックが遅れる	個人情報漏えいの報告義務が発生する場合あり
偽のセキュリティ警告（サポート詐欺）	自宅のPCで遠隔操作ソフトを入れてしまう	数万円の請求＋情報流出

IPAは近年の傾向として、インターネットにつながった機器の弱点や設定ミスを突く「ネットワーク貫通型攻撃」が相次いでいると注意しています。
乗っ取られた機器が、本人の知らないうちに他社を攻撃する中継点（踏み台）にされる例もあります。

「長期休暇の時期は、システム管理者が長期間不在になる等、いつもとは違う状況になりがちです。」
出典：IPA「2025年度 年末年始における情報セキュリティに関する注意喚起」

IPA 年末年始の注意喚起（公式） ➡

2026年の年末年始はいつ何をする？日付入りスケジュール

多くの会社は12月29日（火）から1月3日（日）まで休み、1月4日（月）が仕事始めです。下の表は、この日程を前提にした動き方です。自社の休業日に合わせて読み替えてください。

日付（2026〜2027年）	やること	担当と所要時間
12月9日（水）ごろ	Windowsの12月の月例更新が出る（米国時間12月8日）。全PCに当てる	情シス1名・半日
12月21日〜25日	VPN機器・ルーター・UTMのファームウェア確認と更新	情シス1名・1〜2時間
12月25日まで	緊急連絡網を最新にして全員に配る	総務・30分
12月28日（月）最終日	自動応答の設定、使わない機器の電源OFF、持ち出し機器の確認	全員・各10分
12月29日〜1月3日	管理者アラートをスマホで受けられる状態にしておく	当番1〜2名
1月4日（月）朝	更新適用・定義ファイル更新・ログ確認・メール注意の4点	全員・最初の1時間
1月13日（水）ごろ	Windowsの1月の月例更新を当てる（米国時間1月12日）	情シス1名・半日

Windowsの月例更新は、米国時間の毎月第2火曜日に公開され、日本時間では翌日の水曜になります。12月分は休み前に当てられるので、必ず年内に済ませておきます。

休暇前にやることは？3つの確認で大半は防げる

① 緊急連絡網を「今の体制」に直す

IPAが最初に挙げているのが緊急連絡体制の確認です。委託先も含めた連絡網と、担当者の電話番号が今の体制に合っているかを見直します。
異動や退職で、名前の載っている人がもういない連絡網は珍しくありません。

連絡網に入れるもの	具体例	見落とすとどうなるか
社内の判断者	社長・情シス・総務の携帯番号の3名	止める判断ができず、被害が広がる
IT業者・保守会社	保守契約の窓口番号と年末年始の受付時間	休業中で1月4日まで連絡がつかない
回線・電話の会社	回線停止・転送設定の窓口	電話やネットを止められない
相談窓口	IPAの企業組織向け相談窓口など	何から手をつけるか分からない

連絡網は紙1枚にして、スマホの写真でも持てるようにしておきます。社内のファイルサーバーにしかないと、サーバーが止まったときに見られません。

② VPN・ルーター・UTMを最新にする

ネットワーク貫通型攻撃の入口は、テレワーク用のVPN機器やルーター、UTM（ネットワークの出入口でまとめて守る機器）です。
休暇前に、管理画面でファームウェア（機器の中のソフト）が最新か確認し、古ければ更新します。

確認する機器	どこで確認するか	判断のライン
VPN機器	管理画面のバージョン表示とメーカーの更新情報	メーカーが公開した修正が1つでも未適用なら休み前に当てる
ルーター	管理画面の「ファームウェア更新」	サポートが終わった機種は休み明けに入れ替えの見積もりを取る
UTM	管理画面の保守期限とシグネチャ更新日	保守期限が切れていたら守れていないと考える
使っていないVPNアカウント	VPN機器のユーザー一覧	退職者や90日以上使っていないものは休み前に止める

「どの機器が外からつながる状態か分からない」場合は、まず台数と設置場所の一覧を作ることが先です。IPAも、機器構成の把握と日頃のログ監視をすすめています。

③ 使わない機器の電源を切る

休暇中に使わないPC・サーバー・検証用の機器は電源を切ります。電源が入っていない機器は攻撃されません。
ただし、テレワークで社外からつなぐサーバーや、クラウドPBXにつながる機器など、休み中も動かす必要がある機器は一覧にして残します。

クラウドを使っている会社は何を追加で設定する？

Microsoft 365やGoogle Workspaceを使っている会社は、オフィスに機器が少ないぶん、アカウント側の設定が守りの中心になります。休暇前に次の4つを見直します。

設定	なぜ年末年始に必要か	所要時間
多要素認証が全員有効か	パスワードだけだと、休み中の乗っ取りに誰も気づかない	管理画面で一覧確認・15分
管理者アラートの通知先を2人以上に	不審なログインの通知が休暇中の1人にしか届かない	10分
自動応答（不在通知）の範囲	社外にも返すと「この期間は誰も見ていない」と攻撃者に伝わる	各自5分
メールの自動転送の確認	乗っ取られたアカウントに転送設定を仕込まれる例が多い	管理画面で15分

自動応答は「社外には最小限」にする

Outlookの自動応答は、社内向けと社外向けで別の文面を設定できます。Gmailも、返信先を連絡先や組織内に絞れます。
社外向けには「12月29日〜1月3日は休業します。1月4日以降に返信します」程度にとどめ、担当者の携帯番号や代わりの連絡先は書かないようにします。

携帯番号を書いた自動応答は、なりすまし電話の材料になります。どうしても連絡手段を残したい場合は、会社の代表番号を書きます。

休み中の電話はクラウドPBXで受ける

クラウドPBX（インターネット上で動く電話の仕組み）を使っている会社は、休業期間だけ時間外アナウンスを流したり、当番のスマホに転送したりできます。
設定は管理画面から数分で、年明けに戻すのも同じ手順です。オフィスの固定電話だと、留守番電話のメッセージを録り直す手間がかかります。

Microsoft 365（アーデント取扱い） ➡

休暇中に気をつけることは？持ち出しと詐欺の2点

休暇中に社員がやることは多くありません。IPAが挙げているのは、持ち出した機器とデータの厳重な管理です。それに加えて、年末年始に増える詐欺の手口を事前に知らせておきます。

気をつけること	具体的な場面	社内に伝える一言
持ち出したPC・スマホの紛失	帰省先の移動中・飲食店（休暇は約6日間）	「なくしたら、時間に関係なく当番に電話」
偽のセキュリティ警告	自宅PCで「ウイルスに感染」と大きな音が鳴る	「電話しない。画面を閉じる」
会社名をかたる詐欺	休業中に取引先へ「振込先が変わった」と連絡が行く	「振込先変更は必ず電話で確認」
家族との共用PC	家族が入れたアプリから感染	「業務データは会社のPCだけで扱う」

IPAは、法人が年末年始休業などで長期休暇に入る時期を狙って、法人名をかたった詐欺が例年発生していると注意しています。
休業中は自社に確認の電話が来ても出られないため、取引先がだまされやすくなります。

休暇明けにやることは？最初の1時間で4つ

1月4日の朝は、メールを開く前にやることがあります。IPAの対策をそのまま順番に並べると、次の4つです。

順番	やること	なぜ先にやるか
1	OS・ソフトの更新を確認して当てる	休暇中に見つかった弱点を塞いでからネットを使うため
2	セキュリティソフトの定義ファイルを更新する	電源を切っていたPCは、休み中の新しいウイルスを見分けられない
3	持ち出したPC・USBメモリをスキャンする	社内のネットワークにつなぐ前に感染を確かめる
4	たまったメールを開く。不審なものは開かず報告	年明けは「請求書」「年始のご挨拶」を装うメールが増える

管理者は、これに加えてログの確認をします。VPN機器やMicrosoft 365・Google Workspaceの管理画面で、休暇中に見覚えのない国や時間帯からのログインがないかを見ます。

見るログ	見るところ	異常の目安
VPN機器	接続ログ	休暇中に深夜のログインが1件でもある
Microsoft 365	Entra管理センターのサインインログ	国外からのサインイン、短時間の大量失敗
Google Workspace	管理コンソールの監査ログ（ログイン）	不審なログインのアラート、普段使わない端末
メールの転送設定	各ユーザーの転送・受信ルール	休暇中に新しい外部転送が作られている

異常が見つかったら、慌ててPCを初期化せず、まずパスワード変更とネットワークからの切り離しを行い、連絡網の判断者とIT業者に連絡します。証拠が残っていれば、原因と範囲を後から調べられます。

セキュリティ事故の初動対応チェックリスト（c-compe） ➡

年明けに一番お金が動く穴は？振込先変更メールへの備え

年末年始の前後は、支払いと請求のやり取りが集中します。そこを狙うのが、取引先や社長になりすまして振込先の変更を求めるビジネスメール詐欺です。
メールのやり取りの途中から本物そっくりに割り込むため、文面だけでは見抜けません。

社内ルール	具体的な運用	決めておかないとどうなるか
振込先の変更はメールだけで受けない	登録済みの電話番号にこちらから電話して確認	1件の誤送金で数十万〜数百万円
急ぎの送金依頼は2人で確認	社長名の「至急」依頼も経理2名で確認	年明けの忙しさで1人の判断で通る
振込先マスタの変更は記録を残す	変更日・依頼者・確認方法を1行で記録	後から誰がいつ変えたか追えない

ビジネスメール詐欺の手口と対策（c-compe） ➡

自社はどこまでやる？規模別の判断表

全部を完璧にやる必要はありません。会社の状況ごとに、やる範囲を決めます。

自社に当てはまるもの	結論	そう言い切れる理由
社員10名以下・テレワークなし	休暇前3つと休暇明け4つだけで十分	外からつながる機器が少なく、入口が限られる
テレワークでVPNを使っている	VPN機器の更新を最優先にする	ネットワーク貫通型攻撃の入口になりやすい
Microsoft 365・Google Workspaceが中心	多要素認証と通知先2名を先にやる	守りの中心が機器ではなくアカウントだから
情シスが1名だけ	休暇中のアラートはIT業者と分担する	1人に通知が集中すると、休めないか見逃すかのどちらか
取引先との振込が月20件以上	振込先変更の電話確認ルールを年内に決める	詐欺1件の被害がITの対策費を上回る

バックアップは年内に「戻せるか」まで確かめる

ランサムウェアに感染したとき、最後に頼れるのはバックアップです。ただし、取っているつもりで戻せないケースが多くあります。休暇前に、実際に1ファイルを戻してみるのが一番確実な確認です。

確認すること	判断のライン	見落とすとどうなるか
最後にバックアップが取れた日時	前日分まで取れている	数週間前の状態にしか戻せない
社内ネットワークから切り離された保管先	クラウドか外付けディスクで、普段はつながっていない	ランサムウェアにバックアップごと暗号化される
1ファイルを戻せるか	30分以内に戻せる	いざというとき手順が分からない
Microsoft 365・Google Workspaceの中身	ごみ箱の保持期間（例：OneDriveは93日）を超える分を守る仕組みがあるか	消されたメールやファイルが戻らない

クラウドバックアップ（アーデント取扱い） ➡

年末にやると効く「アカウントの棚卸し」

年末は、その年に退職・異動した人のアカウントを見直す良いタイミングです。使っていないアカウントは、パスワードが古いまま放置されやすく、乗っ取りの入口になります。

見直すもの	どこで確認するか	判断のライン
退職者のメールアカウント	Microsoft 365管理センター／Google管理コンソール	退職日から30日以上残っていれば止める
VPN・リモートデスクトップのアカウント	各機器の管理画面	90日以上使っていないものは止める
SaaSの管理者権限	各サービスの管理画面	管理者は2〜3名に絞る
共有アカウントのパスワード	パスワード管理表	退職者が知っているものは年内に変える

退職者のアカウント、ちゃんと削除していますか？（c-compe） ➡

費用をかけずにできること・お金がかかること

対策	費用の目安	補足
緊急連絡網・社内ルール	0円	紙1枚で作れる
多要素認証・アラート通知先	0円	Microsoft 365・Google Workspaceの標準機能
Windows更新・ファームウェア更新	0円（作業時間のみ）	情シス1名で半日〜1日
UTMの導入・入れ替え	月数千円〜数万円	台数と回線速度で変わる
クラウドバックアップ	1人月数百円〜	容量と保持期間で変わる
休暇中の監視を外部に任せる（MDR等）	月数万円〜	情シスが1名の会社向け

お金がかかる対策は、デジタル化・AI導入補助金のセキュリティ対策推進枠などで費用を抑えられる場合があります。ただし、交付決定前に発注したものは対象外です。
年末に慌てて契約せず、年明けに計画を立ててから申請するのが安全です。要件は年度ごとに変わるため、必ず公募要領を確認し、必要に応じて専門家に相談してください。

今日からできる3ステップ

ステップ	やること	所要時間・費用
STEP1	緊急連絡網を最新にして、紙1枚で全員に配る	30分・0円
STEP2	多要素認証が全員有効か、管理画面で一覧を確認する	15分・0円
STEP3	VPN・ルーター・UTMのファームウェアを確認し、古ければ年内に更新する	1〜2時間・0円

この3つだけでも、休暇中の事故の多くは「気づくのが遅れる」から「すぐ止められる」に変わります。自社だけで判断が難しい場合は、お気軽にご相談ください。

IPA 長期休暇における情報セキュリティ対策（公式） ➡

よくある質問

Q. 社員10名ほどの会社でも、年末年始のセキュリティ対策は必要ですか？

A. 必要です。小さな会社ほど情シス担当が1人か不在で、休暇中の異常に誰も気づきません。休暇前の3つと休暇明けの4つだけなら、費用0円・合計2〜3時間で終わります。

Q. 休暇中もサーバーの電源は切ったほうがいいですか？

A. 使わないサーバーは切るのが基本です。ただしテレワークで使うサーバーや電話につながる機器は止められないので、残す機器を一覧にし、休暇中もアラートを受けられる状態にしておきます。

Q. 自動応答（不在通知）は設定しないほうが安全ですか？

A. 設定してかまいません。社外向けは休業期間と返信予定日だけにし、担当者の携帯番号は書かないようにします。社内向けと社外向けの文面を分けて設定するのがおすすめです。

Q. 休暇明けに不審なメールを開いてしまったらどうすればいいですか？

A. PCをネットワークから外し、電源は切らずに管理者へすぐ連絡してください。初期化すると原因が追えなくなります。メールのパスワードも別の端末から変更します。

まとめ

年末年始のセキュリティ事故は、攻撃そのものより「気づくのが遅れること」で被害が大きくなります。
休暇前に緊急連絡網・機器の更新・電源OFFの3つ、休暇明けに更新・定義ファイル・ログ・メール確認の4つをやれば、大半の事故は早く止められます。

クラウドを使っている会社は、多要素認証と管理者アラートの通知先、自動応答の範囲、振込先変更の電話確認を年内に決めておきましょう。
アーデントでは、Microsoft 365・Google Workspace・クラウドPBX・UTMの設定見直しから、補助金を使った対策の導入までご相談を受けています。

お問合せはこちら

法人向けセキュリティソフトの
料金自動一括比較サイトを新しくオープンしました！
　c-compe.com⇒

株式会社アーデントは、デジタル化・AI導入補助金の支援事業者を行っております！

アーデントからデジタル化・AI導入補助金を使ってクラウドツールを導入するメリットは以下の通りです。

メリット①対象ツールを２年間、半額、もしくは１／４で利用可！

メリット②会計、経費精算、請求書処理、受発注ツール導入なら、PCやタブレットの購入も補助が受けられ半額！

メリット③補助期間終了後は、公式価格よりお値引き！

メリット④各種IT活用、DX、保守サポートでより貴社のIT化を促進、生産性を向上します！

【弊社取り扱いクラウドツール】

🔹オフィス・グループウェア: 　Google Workspace※、Microsoft365、desk'nets NEO※
🔹ノーコード業務改善：kintone、Zoho※、楽楽販売、JUST.DB※、サスケworks
🔹コミュニケーション: 　サイボウズオフィス、Garoon、Chatwork、LINE WORKS、zoom
🔹会計・経費管理: 　マネーフォワード、freee、楽楽精算、楽楽明細、楽楽請求、invox
🔹電子契約・文書管理:　 freeeサイン、クラウドサイン、GMOサイン、Adobe Acrobat、box
🔹セキュリティ対策: 　sophos、SentinelOne、ESET、トレンドマイクロ、CloudGate UNO
🔹バックアップ: 　syscloud、Avepoint、veeam
🔹RPA・自動化: 　RoboTANGO、DX-Suite、Yoom※、バクラクシリーズ
🔹勤怠・労務管理: 　勤革時、楽楽勤怠、マネーフォワード
🔹物流・在庫管理: 　ロジザードZERO
🔹教育・マニュアル作成管理:　 iTutor、NotePM、leaf
🔹PBX・電話システム: 　INNOVERAPBX※、MOTTEL※、ZoomPhone※
🔹端末管理：LANSCOPE、clomo、ISM Cloud One
🔹リモートデスクトップ：RemoteOperator在宅
🔹受付ipad：ラクネコ※
🔹タスク管理、その他：Adobe creative cloud、Notta、JOSYS、backlog※
など

※こちらのツールは補助期間終了後の値引不可

また、上記以外のツールも取り扱いできるものが多々ありますので、一度ご相談ください。

デジタル化・AI導入補助金2026の詳細、お問合せはお電話頂くか、以下の記事を御覧ください↓

デジタル化・AI導入補助金お問合せ：03-5468-6097

以下の動画では、採択のポイントや申請にあたっての注意点などを詳しく解説していますので、
あわせてご覧ください！