--- title: "買収した会社のセキュリティの水準を、どうそろえるか｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/pmi-security-baseline/ description: "買収した会社のセキュリティの水準は、現状を確かめ、インターネットに面した機器や管理者のアカウントなど急ぐ対策を先に打ち、ネットワークをつなぐ前に条件を確かめ、グループの最低限の基準に段階を分けて寄せていく順に進めます。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # 買収した会社のセキュリティの水準を、どうそろえるか 買収した会社のセキュリティの水準は、現状を確かめ、インターネットに面した機器や管理者のアカウントなど急ぐ対策を先に打ち、ネットワークをつなぐ前に条件を確かめ、グループの最低限の基準に段階を分けて寄せていく順に進めます。 2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） 経営とDX（MANAGEMENT）のコラム ## この記事の要点 - 買収した会社は、グループ全体への入り口にもなりうるため、統合の作業より先にセキュリティの現状を確かめます - インターネットに面した機器の更新、管理者のアカウントと多要素認証、バックアップは、統合を待たずに手当てします - ネットワークをつなぐのは、確かめる条件を満たしてからにし、つなぐときも必要な通信だけを許します 買収した会社のセキュリティの水準は、現状を確かめる、急ぐ対策を先に打つ、ネットワークをつなぐ前に条件を確かめる、グループの最低限の基準に段階を分けて寄せる、の順に進めます。規程や仕組みをいきなり親会社と同じにするより、事故の入り口になりやすいところから手当てするほうが、限られた時間と予算で守りを固めやすくなります。 ## なぜ、買収した会社のセキュリティを先に確かめるのか 買収した会社のセキュリティを先に確かめるのは、その会社の弱いところが、グループ全体への入り口になりうるためです。M&Aの後は、両社のネットワークやアカウントをつなぎ、データをやり取りする場面が増えます。そのときに、買収した会社の側に古い機器や管理されていないアカウントが残っていると、そこから侵入され、親会社にまで被害が広がるおそれがあります。 経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」は、経営者が認識する3原則の1つに、自社だけでなく、国内外の拠点、ビジネスパートナーや委託先など、サプライチェーン全体にわたる対策への目配りが必要であることを挙げています。重要10項目の指示9でも、ビジネスパートナーや委託先などを含めたサプライチェーン全体の状況の把握と対策を求め、付録の確認の項目には、グループ企業との取引や連携でのリスクへの対策の状況を把握していることが含まれています。 出典：[サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA、2023年3月）](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf) ## 現状は、何を確かめればよいのか 現状の確認では、事故の入り口になりやすいところと、事故が起きたときの備えを中心に確かめます。M&Aの前のITデューデリジェンスで分かっていることがあれば、その結果から始め、分かっていないところを補います。調査の観点は[ITデューデリジェンスでは何を見るのか](https://www.ameliatechnology.co.jp/blog/it-due-diligence/)で説明しています。 | 確かめるところ | 主に見ること | |---|---| | インターネットに面した機器とサービス | VPN機器、公開しているサーバー、Webサイトの一覧と、更新が当たっているか | | アカウントと権限 | 管理者の権限を持つ人、退職者のアカウント、共有のアカウント、多要素認証の設定 | | 端末 | パソコンとスマートフォンの台数、OSの版、ウイルス対策などの守りの仕組み | | バックアップと復旧 | 何をどこに残しているか、戻せることを確かめたことがあるか | | 記録と見張り | ログを残しているか、誰が見ているか | | 委託先と体制 | システムを動かしている委託先、事故のときの連絡先、過去の事故と対応 | 中小企業の場合、こうした項目を誰も把握していないことも少なくありません。その場合は、IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録にある自社診断のような、公的な確認の道具を使って、まず全体の様子をつかむ方法もあります。使い方は[「中小企業の情報セキュリティ対策ガイドライン」の使い方](https://www.ameliatechnology.co.jp/blog/ipa-smb-security-guideline/)で説明しています。 出典：[中小企業の情報セキュリティ対策ガイドライン（IPA）](https://www.ipa.go.jp/security/guide/sme/about.html) ## 統合を待たずに急ぐ対策は何か 統合を待たずに急ぐのは、インターネットに面した機器の更新、管理者のアカウントの整理と多要素認証、バックアップの確認、事故のときの連絡の決まりの4つです。いずれも、業務のやり方を大きく変えずに進められ、事故の入り口を減らす効き目が大きいと考えられます。 - **インターネットに面した機器の更新**：VPN機器などの更新を当て、サポートの終わった機器は入れ替えの計画を立てます。入り口になりやすい機器の守り方は、[VPN機器の脆弱性とランサムウェア](https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/)で説明しています - **管理者のアカウントの整理と多要素認証**：使っていない管理者のアカウントを止め、残すアカウントには[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)を設定します - **バックアップの確認**：大事なデータのバックアップがあり、戻せることを確かめます。バックアップがネットワークにつながったままの場合は、ランサムウェアで一緒に暗号化されないように置き方を見直します - **事故のときの連絡の決まり**：買収した会社で事故が起きたときに、誰が誰に、どの順で知らせるかを決め、両社で共有します 取引の完了の日（Day1）の前後に進めるアカウントと権限の整理は[Day1に向けたITの準備](https://www.ameliatechnology.co.jp/blog/pmi-day1-it/)で、その後のシステムの統合の進め方は[買収の後のシステム統合（PMI）をどう進めるか](https://www.ameliatechnology.co.jp/blog/pmi-system-integration/)で説明しています。 ## ネットワークをつなぐ前に、何を確かめるのか 両社のネットワークをつなぐのは、確かめる条件を満たしてからにします。つないだ後に問題が見つかると、影響が両社に広がるため、つなぐ前の確かめが、M&Aの後のセキュリティの大事な区切りになります。 確かめる条件の例は、次のとおりです。 1. インターネットに面した機器の更新が当たり、管理者のアカウントに多要素認証が設定されている 2. 端末に守りの仕組みが入り、ウイルスなどに感染していないことを確かめている 3. つなぐ目的と、やり取りする通信の種類が決まっている 条件を満たしていない場合は、つなぐのを待つか、つなぐ範囲を絞ります。つなぐときも、ネットワークの全体をつなぐのではなく、目的に要る通信だけを許し、記録を残します。メールやファイルの共有のように、ネットワークをつながなくてもクラウドのサービスで共有できるものは、そちらを先に使う方法もあります。 両社のネットワークをつなぐ前の判断 - **確かめる条件を満たしている**：ネットワークの全体ではなく、目的に要る通信だけを許してつなぎ、記録を残す - **条件を満たしていない**：つなぐのを待つか、**つなぐ範囲を絞る** - **つながなくても共有できるもの**：メールやファイルの共有は、クラウドのサービスを先に使う方法もある 条件の例：機器の更新と管理者の多要素認証、端末の守りの仕組み、つなぐ目的と通信の種類が決まっていること ## 水準は、どうそろえていけばよいのか 水準をそろえるときは、グループとして最低限守る基準を決め、買収した会社がその基準に段階を分けて近づく計画を立てます。親会社の規程や仕組みをそのまま当てはめると、会社の規模や業務に合わず、運用が続かないことがあるためです。 - **最低限の基準を決める**：多要素認証、更新の当て方、バックアップ、事故の連絡、委託先の管理など、グループのどの会社にも求める項目を決めます - **差を一覧にする**：買収した会社の現状と基準の差を一覧にし、直す順番を決めます - **予算と担い手を決める**：直すための予算と、社内の担当、手伝う外部の会社を決めます - **決まった時期に確かめる**：基準を満たしているかを、決まった時期に確かめ、取締役会や経営の会議に報告します グループのITのリスクを取締役会でどう確かめるかは、[取締役会・監査役が確かめたいITのリスク](https://www.ameliatechnology.co.jp/blog/board-it-risk-oversight/)で説明しています。 ## 当社のご支援 当社は、買収した会社のセキュリティの現状の確認、急ぐ対策の実装、ネットワークをつなぐ前の確かめ、グループの基準づくりと社員の教育を受け持ちます。中身は[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)のページで紹介しています。M&Aの進め方やPMIの全体の計画は、グループ会社のフロレンティナが受け持ちます（[フロレンティナとの連携](https://www.ameliatechnology.co.jp/group/)）。まず自社の状態を確かめたい場合は、[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)（無料）もご利用いただけます。 - PMI - セキュリティ - M&A - グループ会社 ## この記事に出てくる用語 - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [ITデューデリジェンス](https://www.ameliatechnology.co.jp/glossary/it-due-diligence/) - [インターネット](https://www.ameliatechnology.co.jp/glossary/internet/) - [VPN](https://www.ameliatechnology.co.jp/glossary/vpn/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/) - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/) ## 関連する法令・指針（参考情報） - 指針 経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」（Ver 3.0（2023年3月）） 大企業と中小企業（小規模事業者を除く）の経営者を対象に、経営者が認識する必要がある3原則と、担当の幹部（CISO など）に指示すべき重要10項目をまとめたガイドラインです。 [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf) - 指針 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月）） 中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/) - [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/) - [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/) [経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 取り組む順番を決める AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。 [AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) ### M&Aの前後のシステムを整える フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。 [M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「買収した会社のセキュリティの水準を、どうそろえるか｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/pmi-security-baseline/