中小企業のための必須データ暗号化ガイド

中小企業が暗号化を必要とする場所は4つあります。従業員の端末（ Mac の FileVault 、 Windows 11 Pro の BitLocker ）、クラウドストレージ（ Google Workspace CSE 、 Microsoft 365 の保存時暗号化、 BYOC 向けの Cryptomator ）、メール（ Microsoft 365 E3 経由の S/MIME または ProtonMail Business ）、クライアントへのファイル転送（ HexaTransfer 、 Tresorit Send 、 SwissTransfer ）です。10名規模のチームの月額費用は選ぶサービスによって80〜300ドルの範囲です。 CISO は不要です。週末と確認リストがあれば設定できます。

多くの中小企業が見落とす規制上の最低基準

GDPR は EU 居住者のデータを扱うすべての企業に適用されます。企業規模は関係なく、第30条第5項の下で従業員250人未満の組織には報告義務の軽減があるだけです。カリフォルニア州の CCPA と後継の CPRA は、売上2,500万ドル以上、10万件以上の消費者記録、またはデータ販売から収益の50%以上を得る企業に適用されます。 HIPAA はすべての医療提供者に適用されます。従業員数は関係ありません。 PCI DSS 4.0 はクレジットカード番号を扱う瞬間に適用されます。

暗号化はこれらのほとんどで明示的に義務付けられていませんが、最もコストが低いセーフハーバーの仕組みです。 45 CFR 164.402（ HITECH ）の下では、適切に暗号化されて漏洩した ePHI は通知不要です。 GDPR 第34条第3項（a）はデータが暗号化されていた場合の通知要件を免除します。この計算だけでツール費用を正当化できることが多いです。

端末暗号化：無料で必須

FileVault （ macOS ）と BitLocker （ Windows 11 Pro ）は無料で、ほとんどの新しいハードウェアでデフォルトで有効になっています。どちらも AES-XTS-128 または AES-XTS-256 を使います。確認すべきことはすべてのノートパソコンで実際にオンになっているかです：

macOS ：「システム設定」→「プライバシーとセキュリティ」→「FileVault」
Windows ：「設定」→「プライバシーとセキュリティ」→「デバイス暗号化」
Linux ：インストール時に設定される cryptsetup を使った LUKS2

回復鍵はパスワードマネージャーまたは 1Password Teams ボールトに保存してください。スプレッドシートや付箋紙は論外です。顧客の個人情報を含む暗号化されていないノートパソコンが盗まれると、 72時間以内の GDPR 第33条の通知が発生します。最低でも数万円の罰金と信頼の失墜につながります。

クラウドストレージ：プロバイダ暗号化とクライアントサイドの違い

Google Workspace 、 Microsoft 365 、 Dropbox Business はすべて保存時に AES-256 で、転送中は TLS 1.3 でデータを暗号化します。しかし鍵はプロバイダが持っています。令状、不正な従業員、またはプロバイダの侵害があれば平文が露出します。ほとんどの中小企業にとってこのプロバイダ管理の暗号化は十分です。脅威モデルはおそらくランサムウェアと紛失したノートパソコンであり、国家レベルの攻撃者ではありません。

規制対象のデータにはクライアントサイド暗号化にステップアップしてください。 Google Workspace クライアントサイド暗号化（ CSE ）では Thales または Fortanix の KMS を統合して Google が暗号文のみを保存します。 Microsoft は E5 プランで二重鍵暗号化（ DKE ）を提供しています。その価格帯以下では、 Cryptomator （モバイルアプリ約500〜800円、デスクトップ版無料）が任意のクラウドを AES-256-GCM で透過的にラップします。

博士号不要のメール暗号化

中小企業には3つの実用的な選択肢があります：

ProtonMail Business （月額約1,200円/ユーザー）： ProtonMail ユーザー間はデフォルトで E2EE 、外部受信者にはパスワード保護メッセージ、上級者向けに PGP エクスポート対応。
Microsoft 365 メッセージ暗号化（ E3 に含まれる）：外部受信者向けウェブポータルベースの暗号化メール、テナント内では S/MIME 。
Tutanota Business （月額約450円/ユーザー）： EU 拠点、件名と本文の E2EE 、カレンダーと連絡先も含む。

弁護士事務所や会計士との契約レベルのやり取りには ProtonMail または M365 経由の S/MIME で十分です。罠は機密性の高いものに通常の Gmail を使い、 TLS がカバーしてくれると期待することです。 Gmail 自体がすべてのメッセージを読むためそれは成立しません。

クライアントへのファイル転送

メールの添付ファイル制限（ Gmail は25 MB 、 Outlook.com は20 MB ）によって、あらゆる企業が何らかのファイル転送ソリューションを必要とします。コンプライアンスを維持できる選択肢は：

HexaTransfer ：クライアントサイド AES-256-GCM 、1回の転送で最大10 GB 、アカウント不要、7日間で自動削除。無料枠で中小企業のニーズの多くをカバー。
Tresorit Send ： E2EE 、5 GB の無料枠、 Business プラン（月額約2,100円/ユーザー）で無制限。
SwissTransfer ：1転送で50 GB 、任意の E2EE モード、スイスの Infomaniak がホスト。
WeTransfer Pro ：20 GB 、パスワード保護あり、ただしエンドツーエンド暗号化ではなく WeTransfer サーバーがファイルを読める。

HIPAA ワークフローにはプロバイダが業務提携契約（BAA）に署名するかを確認してください。 GDPR に対しては、サーバーの場所を確認してください。第44条は EEA 外への転送を特定の保護措置なしで制限しています。

パスワード管理は暗号化スタックの一部

すべての暗号化ツールは秘密に依存しています。端末パスワード、ボールトのマスター鍵、共有転送パスワードなどです。従業員が Summer2025! をすべてのサービスで使い回していれば、暗号化は見かけ倒しになります。他の何かを導入する前に、 1Password Teams （月額約1,200円/ユーザー）、 Bitwarden Business （月額約900円/ユーザー）、または Dashlane Business （月額約1,200円/ユーザー）を導入してください。3製品ともローカルで AES-256-GCM と PBKDF2 または Argon2id 鍵導出を使います。

最低限管理者アカウント、理想的にはすべてのアカウントに多要素認証（ Microsoft Authenticator 、 1Password 内蔵 TOTP 、またはハードウェア YubiKey 約8,000円）を適用してください。パスワード漏洩＋ MFA なしが中小企業の侵害が実際に起きる原因の80%です。高度な暗号解析ではありません。

現実的な30日間の展開計画

第1週：すべてのノートパソコンを確認し、 FileVault / BitLocker を検証し、誰が何を持っているか文書化する。第2週：パスワードマネージャーを導入し、共有クレデンシャルをスプレッドシートから移行する。第3週：暗号化メールと暗号化ファイル転送ソリューションを選び、チーム全員に両方をトレーニングする。第4週：どの種類のファイルにどのツールを使うかを1ページのデータ取り扱いポリシーにまとめ、ノートパソコンが盗まれたと仮定したテーブルトップ演習を行う。四半期ごとに見直す。

10名チームの予算チートシート

| 層 | 製品 | 月額 | |---|---|---| | 端末 | FileVault / BitLocker | 0円 | | パスワードマネージャー | 1Password Teams | 約12,000円 | | クラウド＋メール | Google Workspace Business Standard | 約21,600円 | | 暗号化メールアドオン | ProtonMail Business（5名の重役向け） | 約6,000円 | | ファイル転送 | HexaTransfer（無料） | 0円 | | MFA ハードウェア | YubiKey 5（一時費用、償却） | 約6,000円 | | 合計 | | 約45,600円 |

ProtonMail を除けば約39,000円を下回ります。インシデント対応コンサルタントの1時間分のコストです。ファイル転送の部分については hexatransfer.comでお試しください — 無料、登録不要、最大10GB。