複合機・プリンターのセキュリティ対策はどこまで必要？「コピー機」ではなくサーバーである理由と、初期パスワード・FAX回線・リース返却の落とし穴【中小企業向け】

複合機・プリンターのセキュリティ対策で、最初にやるべきことは3つです。
「管理者パスワードを初期値から変える」「インターネットから直接つながっていないか確かめる」「印刷物を出しっぱなしにしない運用にする」——この3つはいずれも費用ゼロででき、複合機で実際に起きている事故のかなりの部分を塞げます。

そのうえで押さえておきたいのが、いまの複合機は「コピー機」ではなく、ハードディスクを積み、利用者を認証し、ネットワークにつながった1台のサーバーだという事実です。
パソコンと同じように、パスワードを設定し、ファームウェアを更新し、資産台帳に載せ、手放すときにはデータを消す必要があります。
ところが多くの会社で、複合機だけがその輪の外に置かれています。

この記事では、業界団体JBMIA（ビジネス機械・情報システム産業協会）が定める事務機セキュリティガイドライン、IPAが中小企業向けに公開しているひな形、NISTの機器廃棄基準、個人情報保護法のガイドラインといった一次資料をもとに、中小企業が実際にやるべきことを費用ゼロでできるものから順に整理します。

▶ 関連記事：オフィスの物理セキュリティ・入退室管理はどこまで必要？個人情報保護法の物理的安全管理措置とIPAのひな形・費用ゼロでできる対策【中小企業向け】

なぜ複合機が狙われる？──いまの複合機は「コピー機」ではないから

まず、機械そのものが昔とまったく別物になっています。JBMIAは複合機の変化をこう説明しています。

複合機の前身はコピー機・複写機と呼ばれ、主に文書や印刷物などの複写に利用されていました。
しかし、最近の複合機はファクスはもとより、プリンターやスキャナー、またデータを保存するストレージ機能や、認証機能など、多くの機能が搭載されています。
（JBMIA「複合機における主なセキュリティ機能について」より）

項目	昔のコピー機	いまの複合機
主な役割	紙を複写する	印刷・スキャン・FAX・ファイル共有
中にあるもの	ほぼ無し	ハードディスク／SSD、アドレス帳、ジョブ履歴
つながり先	電源だけ	社内LAN、インターネット、電話回線、クラウド
持っている機能	—	Webサーバー機能、ファイルサーバー機能、認証機能、メール送信機能
管理者パスワード	無し	あり（初期値のまま使われがち）
ソフトウェア更新	不要	ファームウェアの更新が必要

つまり複合機は、社内で一番目立つ場所に置かれている、誰も管理していないサーバーです。JBMIAは経営層向けのページで、この点をはっきり書いています。

複合機やプリンターは、PCなどと同様にIT機器です。
そのため、セキュリティ対策の対象とする必要があります。
（中略）PCだけではなく、ネットワークに接続されている機器全てにセキュリティ対策が必要
（JBMIA「経営リスクとセキュリティ」より）

複合機の中には、どんなデータが残っている？

「印刷したら消えている」と思われがちですが、実際には次のようなデータが機械の中に残ります。

残っている場所	中身	外に出たときの影響
ハードディスク／SSD	印刷ジョブ、スキャンした画像、FAXの送受信データ	見積書・図面・名簿がそのまま復元される
ボックス／親展フォルダ	利用者が保存した文書ファイル	ファイルサーバーと同じ規模の漏えい
アドレス帳	取引先のFAX番号、メールアドレス、担当者名	取引先情報の流出、なりすましの材料
ネットワーク設定	共有フォルダのID・パスワード、無線LANの設定	そこから社内サーバーへ入られる
ジョブ履歴・ログ	誰がいつ何を印刷したか	業務内容の推測、内部不正の隠蔽
トナー・ドラム・定着器	印字した内容の痕跡が残ることがある	廃棄した消耗品から情報が読み取られる

最後の1行は意外に思われるかもしれませんが、後述するNISTの基準に明記されている論点です。
紙とデータだけでなく、消耗品まで含めて「情報が残る場所」だと考えてください。

保存フォルダのアクセス権と、ハードディスクの暗号化

複合機のボックス機能（親展フォルダ）は、実質的にファイルサーバーです。
ところがファイルサーバーには細かくアクセス権を設定している会社でも、複合機のボックスは全員が見られる状態のまま、ということが起こります。
JBMIAはこの点をこう書いています。

複合機にはファイルサーバー機能をもつ機種もあります。
この機能を利用するとユーザーは普段使っているファイルサーバーと同様、複合機に保存したデータにアクセスすることができるようになります。
不正なアクセスを防止するために、適正なアクセス権の設定やハードディスクなどの記憶装置の暗号化などを実施しましょう。
（JBMIA「複合機の対策」より）

実務としては次の2つです。どちらも機種が対応していれば、設定するだけで追加費用はかかりません。

• フォルダーを部署や用途で分け、フォルダーごとにパスワードやアクセス権を設定する（JBMIAの事例3は、アクセス権が無かったために一般社員が経営情報を印刷して持ち帰った、というものでした）
• ハードディスクなど記憶装置の暗号化を有効にする（機械から取り外して別のパソコンにつなげても読めなくなるので、返却・廃棄のときの安全度も上がります）

▶ 関連記事：パソコン・スマホを廃棄／リース返却するときのデータ消去は？「初期化しただけ」が危ない理由とNIST基準の3段階・消去証明書の見方【中小企業向け】

実際にどんな事故が起きている？──業界団体が示す8つの事例

JBMIAは、複合機で実際に起きた事故を8つの類型にまとめ、それぞれに「どんな経営リスクにつながるか」を添えて公開しています。
製品カタログではなく、業界団体自身が「こう壊れます」と示している資料なので、社内説明にそのまま使えます。

事例	何が起きたか	経営リスク（JBMIAの分類）
1. 保存文書の盗み見	複合機に保存した文書が、外部からの不正アクセスで盗み見された	知的財産の損失・機会損失
2. 設定の不正変更	初期パスワードのまま使っていて、スキャン先のメールアドレスを書き換えられた	取引停止（機会損失）
3. 機密文書の印刷・持ち去り	アクセス権が無く、一般社員が経営情報を印刷して持ち帰った	信用失墜
4. 出力紙の持ち去り	顧客情報を印刷したままトレイに放置し、第三者に持ち去られた	顧客への賠償（経済的損失）
5. FAXの誤送信	宛先番号を手入力し、別の会社に納品書を送ってしまった	取引停止（機会損失）
6. スキャンデータの誤送信	アドレス帳から誤った宛先を選び、保護なしの機密文書をメール送信した	会社のイメージダウン（信用失墜）
7. ウイルスの踏み台	古いプロトコル（SMB1.0）の脆弱性を突かれ、社内PCに感染が拡大した	業務停止・取引先への賠償責任・取引停止
8. 意図しない出力	用紙切れで出なかった人事資料が、別の人の給紙で出力された	労使トラブル（従業員への影響）

注目すべきは、8件のうち高価な機器を買わないと防げないものが1つも無いことです。
JBMIA自身も「どれも、設置時または運用時に設定できる対策ですので、ぜひ参考にしてください」と書いています。
裏を返せば、これらの事故は「設定していなかったから起きた」ということです。

事例7は特に深刻で、ウイルスが社内PCに広がったうえ取引先にまで拡散し、加害者として賠償責任を追及されたばかりか「セキュリティ意識が低い会社とは取引できない」と取引停止になったという筋書きになっています。
複合機1台の放置が、会社の売上を止めるところまでつながります。

▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策【中小企業向け】

複合機に業界の共通ルールはある？──JBMS-90という事務機のガイドライン

あります。
JBMIAが定める規格「JBMS-90 ネットワーク機能付き事務機セキュリティガイドライン」です。
2021年6月14日に制定され、最新は2023年12月26日改正のVer.2.00（JBMS-90:2023）。
プリンター、スキャナー、ファクス、デジタルコピー機、デジタル複合機を対象に、備えるべきセキュリティ要件を3つに分けて整理しています。

区分	要件	何を求めているか
機能要件	識別認証機能	セキュリティ設定へのアクセスに管理者認証を要求する
機能要件	同上（デフォルトパスワードの変更）	初回利用時に初期パスワードの変更を促す機能を持つ
機能要件	同上（認証失敗時のアクション）	総当たり攻撃を困難にする（回数制限・ロック等）
機能要件	セキュリティ管理機能	設定変更を管理者だけに限定し、返却・廃棄時に初期化できる
機能要件	ファームウェアアップデート機能	バージョン確認・更新・更新前の完全性検証ができる
機能要件	大容量記憶装置データ保護（条件付き）	HDD／SSD内のデータを暗号化または完全消去できる
機能要件	インターネット通信データ保護（条件付き）	暗号通信（TLS等）に対応し、方式とバージョンを明示する
機能要件	PSTNファクスとネットワーク間の分離（条件付き）	FAX回線からネットワークへ中継されない構造にする
保証要件	構成管理	ファームウェアをバージョン管理している
保証要件	運用環境	外部から保護されたネットワーク内で使うようユーザーに促す
保証要件	欠陥修正	脆弱性の問い合わせ窓口と対策ファーム提供体制を持つ
脆弱性評定	脆弱性スキャナーによる検証／未使用ポートのクローズ／デバッグポートのクローズ	出荷前に検証し、使っていない通信の入口を閉じる

ここで大事なのは、この12項目のうち、利用者側でしか担保できないものがあることです。
メーカーがどれだけ機能を積んでも、初期パスワードを変えるのも、ファームウェアを更新するのも、ファイアウォールの内側に置くのも、使う会社の仕事です。
JBMS-90の「運用環境」要件は、メーカーに対して次の一文をユーザーへ伝えるよう求めています。

外部から保護されたネットワーク内で製品を使用すること、又は管理外のアクセスから保護される、制限された環境又は監視された環境に置かれることをユーザーに促さなければならない。
（JBMS-90:2023 5.3 運用環境より）

複合機を買う・借りるとき、何を見れば安全だと分かる？

JBMIAはBMSec（事務機セキュリティプログラム）という登録制度を運営していて、JBMS-90に適合するとメーカーが自己宣言した製品の一覧を公開しています。
次に複合機を入れ替えるとき、候補機種がこのリストに載っているかを見るだけで、基本要件を満たす設計かどうかを確認できます。

公開されているリスト（販売終了品と登録から5年経過した製品はアーカイブへ移動）を実際に数えると、次のような構成でした。

区分	件数	内訳
登録製品の合計	173件	デジタル複合機105件／プリンター68件
申請メーカー	10社	キヤノン、コニカミノルタ、シャープ、セイコーエプソン、ブラザー工業、沖電気工業、リコー、東芝テック、富士フイルムビジネスイノベーション、理想科学工業
適合バージョン	Ver.2.00が44件	Ver.1.00が102件、Ver.1.10が27件

注意したいのは、Ver.2.00（2023年改正版）に適合しているのは173件中44件で、残りは旧版に適合した登録だという点です。
登録があること自体は前進ですが、「いつの版に適合しているか」まで見ておくと、機種選定の精度が上がります。

BMSecは「適合をメーカー自身が宣言し、JBMIAが確認・公開する」制度です。
JBMIAは「本登録制度は、申請者がガイドラインへの適合を自己宣言するものであり、宣言の内容をJBMIAが保証するものではありません」と明記しています。
また、JBMS-90はもともと小規模オフィス向けの基本要件で、規格自身が「監査データの生成、自己テスト機能、鍵材料の保護などの側面は、適切に対処されていません」と断っています。
より高い水準が必要なら、CC認証（ISO/IEC 15408）取得機種を検討してください。

▶ 関連記事：ISMS・Pマーク・SECURITY ACTION・SCS評価制度はどれを取るべき？4制度の違いと費用・期間・有効期限の比較【中小企業向け】

FAX回線は「ファイアウォールの外側」？──電話線からの侵入という盲点

ここが、競合記事でもほとんど触れられていない論点です。
複合機は社内LANと電話回線（PSTN）の両方につながっています。
もし機械の中でこの2つが中継されてしまうと、電話回線から入ってきた通信が、ファイアウォールを通らずに社内ネットワークへ届いてしまいます。

JBMS-90は、この構造を要件として明文で禁じています。

ファクスとネットワークが分離されていない場合は、PSTNファクスモデムを経由して、攻撃者が保護されたネットワーク環境に侵入する可能性があります。
このようなファイアウォール又はその他の外部保護を迂回する不正アクセスによって、データ漏えい及び／又は改ざんされる懸念があります。
（JBMS-90:2023 4.7 PSTNファクスとネットワーク間の分離より）

つまり、「UTMを入れたから入口は守れている」という前提が、複合機の電話線1本で崩れる可能性があるということです。実務的には次の2点を確認してください。

• 使っている機種がJBMS-90の「PSTNファクスとネットワーク間の分離」に対応しているか（メーカーの公開資料に記載があるか）
• FAXを使っていないのに電話線がつながったままになっていないか（使わないなら抜く）

とくに2つ目は費用ゼロです。FAXを廃止したのに回線だけ生きている複合機は珍しくありません。使わない機能は物理的に切る、というのが一番確実な対策になります。

▶ 関連記事：UTM（統合脅威管理）とは？法人向けおすすめ製品の比較と費用相場・クラウド型の選び方【中小企業向け】

自社の複合機は、インターネットから見えていないか？

複合機の事故で最も静かに進行するのが、インターネットから直接アクセスできる状態で置かれていたというパターンです。JBMIAが挙げる事例1は、まさにこれです。

毎月、知財情報（特許出願関連）をスキャンし複合機内に保存していた。
保存期間は半年で、マスターデータは別の場所に保管されている。
この運用を始めてから1年後、問題に気付いた。
その複合機は外部からアクセス可能状態であった。
問題の期間に保存されていた特許を出願したところ他社に先を越され、次期新製品の計画が見直しとなった。
（JBMIA「脅威の事例1」より）

気付いたのは1年後です。
複合機は止まらないので、盗み見られていても業務は何事もなく回り続けます。
これは自分では気付けない類の事故で、だからこそ設置時の確認がすべてになります。

JBMIAが示す原則はシンプルです。

複合機もファイアウォールの中に配置することで、その保護の配下に入れる
複合機のセキュリティ機能を設定しているからといって、複合機をファイアウォールの外に配置することはやめる
（JBMIA「セキュリティ対策とは」より）

確認すべき3点

• 複合機にプライベートIPアドレスが割り当てられているか（グローバルIPが振られていたら要注意。機種によっては、プライベートIPでない場合に警告を表示する機能もあります）
• ルーターで複合機宛のポート転送（ポートフォワーディング）を設定していないか（過去に「外出先から印刷したい」という理由で開けたまま、という例が典型です）
• IPフィルタリングで、社内のIPアドレスからのアクセスだけを許可しているか

3つとも設定の確認だけで、追加費用はかかりません。
複合機が外から見える状態かどうかは、外部公開資産の棚卸し（EASM）を使うと機械的に洗い出せます。
「うちにどれだけインターネット公開資産があるか把握できていない」という状態なら、脆弱性管理サービスの守備範囲です。

▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方｜脆弱性診断（Webアプリ・ペネトレ）とマネージド脆弱性管理の違いを中小企業向けに解説

管理者パスワードは初期値のままではないか？

複合機のWeb管理画面（Web ConfigやリモートUIと呼ばれるもの）には、設定を変更できる管理者パスワードがあります。
ここが工場出荷時のままだと、社内の誰でも、そして場合によっては社外からも、設定を書き換えられます。

JBMIAの事例2は、その結果として起きたことを具体的に書いています。
納品書をスキャンして担当者へ自動メール送信する運用をしていた会社で、管理者パスワードが初期値のままだったため、従業員の設定ミスで送信先アドレスが書き換わり、それに気付かないまま納品書を送り続け、取引会社情報や仕入れ情報が流出して取引停止になったという筋書きです。
攻撃ですらなく、ただの設定ミスでここまで行きます。

JBMS-90も、この点を機能要件として求めています。

管理者の認証に用いるID及び／又はパスワードについて、初めてHCDを利用するときに、あらかじめ設定されている管理者ID及び／又はパスワードの変更を促す機能、又はこれに準ずるものをもたなければならない。
（JBMS-90:2023 4.2.2 デフォルトパスワードの変更より）

今日できること

• 複合機のWeb管理画面にアクセスし、管理者パスワードを初期値から変更する（英数字と記号を混ぜ、辞書に載っている単語は避ける）
• 変更したパスワードは管理者だけが知る状態にし、付箋で機械に貼らない（パスワード管理ツールの共有金庫に入れるのが確実です）
• ネットワーク経由の認証で、総当たり攻撃対策（回数制限やアカウントロック）が使えるなら有効にする
• 使っていない機能（Webサーバー機能、ファイル共有機能、外部からのアクセス）は無効化する

▶ 関連記事：法人向けパスワード管理ツールの比較｜1Password Business等おすすめ製品の選び方・料金相場【中小企業向け】

印刷物の放置はどう防ぐ？──認証印刷と「複合機の置き場所」

複合機の事故で一番よく起きるのが、紙の放置です。
IPAが中小企業向けに無償公開している規程のひな形（情報セキュリティ対策ガイドライン付録5）にも、セキュリティ領域内の注意事項として明記されています。

複合機、プリンタに原稿、印刷物を放置しない。
FAX送信時には誤送信防止のため宛先を複数回確認する。
（IPA「中小企業の情報セキュリティ対策ガイドライン」付録5 情報セキュリティ関連規程（サンプル）第3章 物理的対策より）

見落とされているのは「置き場所」のほう

同じIPAのひな形には、オフィスを重要度で3段階に区分し、それぞれの領域に置いてよい情報機器を示した表があります。複合機がどこに書かれているかを見てください。

領域	該当する場所	設置可能な情報機器（ひな形の記載）
レベル1領域	本社受付・応接スペース・商談室・倉庫	プロジェクター、ホワイトボード
レベル2領域	本社執務室・社長室・書庫・工場・営業所	プロジェクター、ホワイトボード、パソコン、複合機、電話機、LANケーブルハブ、無線LAN中継器
レベル3領域	サーバールーム／鍵付きサーバーラック	サーバー等（利用者を限定し施錠・記録）

複合機はレベル2領域（従業員以外の入室に許可やエスコートが必要な執務室）に置く機器として書かれていて、来客が立ち入るレベル1領域には入っていません。
受付のすぐ横や、来客が通る廊下沿いに複合機を置いている会社は、公的なひな形が想定している配置から外れています。
レイアウトを変えるだけなら費用はかかりません。

認証印刷（セキュアプリント）という現実解

置き場所を変えられない場合の解が、認証印刷です。
印刷を指示しても紙はすぐ出ず、本人が複合機の前でICカードをタッチするかIDを入力したときに初めて出力されます。
JBMIAはこの機能を、事例4（出力紙の持ち去り）と事例8（用紙補給時の意図しない出力）の両方の対策として挙げています。

事例8は、用紙切れで出力されなかった人事異動の資料が、後から別の人が用紙を補給した際に出てきてしまい、内示前の人事情報が漏れて労使トラブルに発展したというものです。
認証印刷にしておけば、指示した本人が機械の前にいるときにしか紙は出ません。

「持ち出された紙」をあとから追えるようにする

認証印刷を入れても、正規の権限で印刷した人が持ち出すこと自体は止められません。そこを補うのが次の2つです。

• 地紋印字（コピーガード）：印刷時に背景へ目立たない模様を埋め込み、その紙をコピーすると「複写」などの文字が浮き出る、あるいは複写自体を止める機能です。持ち出しそのものを防ぐわけではありませんが、「この紙は追跡されている」と分かること自体が抑止になります。
• 印刷ログの取得：誰がいつ何を印刷したかを記録します。複合機側のジョブ履歴に加え、IT資産管理ツールのプリントログを併用すると、パソコン側の操作とひも付けて追えるようになります。

ログは、取っているだけでは意味がありません。
「記録が残っている」と従業員に周知してはじめて抑止として働き、事故が起きたときに証拠として使うには、あらかじめ保存期間と、管理者が書き換えられない状態になっているかを決めておく必要があります。

▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較

▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方【中小企業向け】

FAX誤送信・スキャンtoメールの誤送信はどう防ぐ？

JBMIAの8事例のうち2つ（事例5・6）が誤送信です。攻撃されたわけでもなく、悪意もないのに、取引停止や信用失墜につながるのがこの類型の怖いところです。

この論点は、IPAの「5分でできる！情報セキュリティ自社診断」でも独立した設問になっています。

2-8 電子メール送信：電子メールやFAXの宛先の送信ミスを防ぐ取り組みを実施していますか？
（IPA「5分でできる！情報セキュリティ自社診断」25項目より）

この自社診断はSECURITY ACTION二つ星の要件そのもので、二つ星の自己宣言はデジタル化・AI導入補助金の申請要件にも関わります。
つまりFAXの誤送信対策は、事故防止だけでなく補助金申請の下準備にもなります。

対策	何をするか	費用感
宛先の複数回確認	手入力時に宛先を再表示させる、2回入力しないと送信できない設定にする	機能の有効化のみ（0円）
短縮ダイヤル運用	手入力を禁止し、登録済みの宛先からしか送れないようにする	運用ルールのみ（0円）
スキャン文書のパスワード保護	スキャンtoメールの添付をパスワード付きPDFにする	機種の機能次第（0円〜）
メール側の一時保留・上長承認	送信を数分保留して取り消せるようにする、重要メールは上長承認を必須にする	メールセキュリティ製品（月額）
添付ファイルの自動暗号化・分離配送	添付を自動で暗号化またはURLリンク化して送る	メールセキュリティ製品（月額）

上2つは今日から0円でできます。
複合機側の設定と運用ルールで7〜8割は塞げるので、まずそこから着手してください。
そのうえで、スキャンtoメールを日常的に使っている会社は、メール側で一時保留や上長承認をかけると事故の芽をもう一段潰せます。

▶ 関連記事：法人向けメール暗号化ソフトの比較｜脱PPAP・誤送信対策の方式と選び方・費用相場【中小企業向け】

リース返却・入れ替えのとき、中のデータはどうなる？

ここが、中小企業で最も見落とされている場面です。
複合機の多くはリースで、5〜6年で入れ替わります。
そのたびに、数年分の印刷・スキャン・FAXのデータが入った機械が社外に出ていきます。

「初期化」は何をどこまで消すのか──NISTの基準

米国NISTの機器廃棄基準（SP 800-88）は、サニタイズ（データを消す作業）を3段階に分けています。
複合機を含むオフィス機器について、旧版のRev.1が具体的に記述しています。

段階	オフィス機器（コピー機・プリンター・FAX・複合機）での意味	確実性
Clear	メーカーが用意した「工場出荷時の状態に戻す」操作を実行する	簡易な復元に耐える程度
Purge	研究所レベルの復元技術にも耐える消去。上書き・ブロック消去・暗号化消去など	機種依存（後述）
Destroy	裁断・破砕・粉砕・焼却して、機器として二度と使えなくする	最も確実

Purge：See Destroy. Most office equipment only offers capabilities to Clear (and not Purge) the data contents.（Destroyを参照。ほとんどのオフィス機器は、データ内容をClearする機能しか提供しておらず、Purgeはできない）
（NIST SP 800-88 Rev.1 Table A-4: Equipment Sanitization より）

つまり「複合機の初期化メニューを実行した＝データが復元できなくなった」とは限りません。
NISTは、機器がPurgeに相当する機能を持つのか、それとも単にファイルの管理情報を消しているだけなのかをメーカーに確認せよと明記しています。
リース返却の前に、販売店ではなくメーカーの仕様として確認してください。

消えるのはHDDだけではない

NISTは、Clear／Purgeの後に手作業で確認すべき項目として「保存されたFAX番号やネットワーク設定情報」を挙げています。
JBMS-90も同じ問題を、返却・譲渡・廃棄時の脅威として書いています。

HCDの返却や譲渡、廃棄等で手元を離れた後、攻撃者がHCDのセキュリティ設定情報を読み出し、その情報を基にユーザーのネットワークに不正アクセス（する懸念がある）
（JBMS-90:2023 4.3.2 セキュリティ設定の初期化より）

返却時に残りやすいもの	残ると何が起きるか
ハードディスク／SSD内の文書データ	見積書・図面・名簿がそのまま復元される
アドレス帳（FAX番号・メールアドレス）	取引先一覧が流出し、なりすましの材料になる
共有フォルダの接続ID・パスワード	退去した後の会社のファイルサーバーに入られる
無線LANの接続設定	社内ネットワークへの再侵入の手がかりになる
トナー・ドラム・定着器	印字内容の痕跡が残ることがある

最後のトナー・ドラムについて、NISTは実務的な回避策まで書いています。
機器がまだ動くなら、白紙を1枚、次に全面が黒のページを1枚、最後にもう1枚白紙を印刷するという手順です（カラー機ならシアン・マゼンタ・イエローも同様に1枚ずつ）。
出てきた紙は、機器が扱っていた情報と同じ機密度で扱います。
紙3枚、費用はほぼゼロです。

証明書をもらうところまでが返却

IPAのひな形は、返却・廃棄・譲渡の共通ルールをこう定めています。

システム管理者は、IT基盤で利用した機器を返却、廃棄、譲渡を行う場合は、内部記憶媒体の破壊又は専用ツールによりデータを完全に消去し、情報セキュリティ責任者の承認を得たうえ返却、廃棄、譲渡を行う。
内部記憶媒体の破壊又はデータの完全消去を、外部に委託する場合は、破壊又はデータの完全消去を実行したことの証明書を取得する。
（IPA 付録5 第3章「6.廃棄・返却・譲渡」より）

個人情報保護法のガイドラインも、委託する場合は「委託先が確実に削除又は廃棄したことについて証明書等により確認することも重要である」としています。
リース会社に「消しておきます」と口頭で言われて終わりにせず、消去の方式（何をどう消したか）と証明書を残してください。

ファームウェアは誰が更新している？

複合機にも脆弱性は出ます。しかも「保守契約があるから大丈夫」とは限りません。

直近の例では、2026年8月20日、複数のセイコーエプソン製プリンターおよびスキャナーに、失効したルート証明書が残存している問題が公表されました（JVNVU#91609598／CVE-2026-73542）。
JVNの記述は次のとおりです。

セイコーエプソン株式会社が提供する複数のプリンターおよびスキャナーには、失効したルート証明書が残存しています。
本脆弱性の影響を受ける機器は、広範囲に及びます。
（中略）中間者攻撃（Man-in-the-Middle Attack）が行われた場合、当該製品が送信する通信内容を取得される可能性があります。
（JVNVU#91609598・2026年8月20日公開より）

影響を受ける機種は、報道ベースで266機種とされ、家庭向けインクジェットからA3レーザー複合機、大判プリンターまで含みます。
CVSSv4.0の基本値は6.3で、危険度としては中程度ですが、問題は「自社に対象機種があるかどうかを、誰も調べない」ことのほうです。

この件は、ファームウェアが自動で降ってきて解決するタイプの問題ではありません。
機器の管理画面から1台ずつルート証明書を更新する必要があると報じられています。
つまり「対象機種のリストと、自社の機器一覧を突き合わせる」という作業が最初に必要で、その一覧が無い会社は、対応すべきかどうかすら判断できません。

JBMS-90も、メーカー側に「脆弱性が確認された場合に、対策ファームウェア及び／又は対策ソフトウェアを提供する体制」を求めていますが、提供されたものを当てるのは利用者の仕事です。
年1回でよいので、メーカーのセキュリティ情報ページを見て、自社の機種に該当がないかを確認する担当と時期を決めてください。

▶ 関連記事：Windows Updateを放置していませんか？パッチ管理の重要性

そもそも何台あるか把握できている？──資産台帳に複合機は載っているか

ここまでの対策はすべて、「自社にどんな機器が何台あるか」を把握していないと始まりません。
ところが多くの会社で、資産台帳に載っているのはパソコンとサーバーだけで、複合機・プリンター・ルーターは抜けています。

理由ははっきりしていて、複合機にはIT資産管理ソフトのエージェント（常駐プログラム）を入れられないからです。自動で情報を集められないので、台帳から漏れます。

解決策は単純で、エージェントを入れられない機器を手動で台帳に登録できるツールを使うことです。
たとえばLANSCOPE エンドポイントマネージャーは、自動取得できない項目を任意項目として管理でき、プリンターやルーターなどエージェントがインストールできない機器も最大10,000件まで登録できます。

台帳に書いておく項目	なぜ必要か
設置場所（フロア・部屋）	来客動線の上に置いていないかを確認できる
メーカー・機種名・シリアル番号	脆弱性が公表されたとき、対象かどうかを即座に判断できる
IPアドレス（プライベート／グローバル）	インターネットに直接出ていないかを確認できる
ファームウェアのバージョンと最終更新日	更新の抜けを見つけられる
管理者パスワードの変更有無	初期値のまま残っている機器を炙り出せる
ハードディスクの有無・暗号化の有無	返却・廃棄のときに必要な手順が決まる
リース契約の満了日	返却の何か月前から準備すべきかが分かる

この7項目を1枚の表にまとめるだけで、複合機のセキュリティ対策の8割は「やることが決まった」状態になります。台数が少ない会社なら、表計算ソフト1枚で十分です。

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方【中小企業向け】

法令ではどこまで求められる？──個人情報保護法の物理的安全管理措置

複合機で扱うのは、多くの場合、顧客名簿・請求書・履歴書といった個人データです。
個人情報保護法は、事業者に物理的安全管理措置として4つの義務を課しています。
複合機に当てはめると次のようになります。

法律が求めること	複合機での意味
（1）個人データを取り扱う区域の管理	複合機を、来客が自由に立ち入れない区域に置く。難しければ間仕切りや座席配置で覗き見を防ぐ
（2）機器及び電子媒体等の盗難等の防止	出力紙を放置しない。保管が必要な書類は施錠できるキャビネットに入れる
（3）電子媒体等を持ち運ぶ場合の漏えい等の防止	印刷物を別フロアや別拠点へ運ぶときの扱いを決める（事業所内の移動も対象）
（4）個人データの削除及び機器、電子媒体等の廃棄	複合機を返却・廃棄するとき、復元不可能な手段でデータを消す。委託するなら証明書で確認する

注目すべきは（2）です。
ガイドラインの「中小規模事業者における手法の例示」欄は、この項目だけ「（同左）」＝大企業と同じ内容になっています。
つまり「中小企業だから簡易でよい」が通用しない唯一の項目で、複合機の出力紙の扱いはここに直結します。

逆に（1）の取扱区域については、手法の例示が「間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等」とされていて、電気錠も監視カメラも出てきません。
複合機の向きを変える、パーティションを1枚立てる、それだけでも国が示す手法の例に沿った対策になります。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】

費用をかけずに、今日できることは？

複合機のセキュリティ対策の良いところは、効果の大きい対策のほとんどが設定と運用で、追加費用がかからない点です。次の9つは今日から始められます。

やること	どこで	所要時間の目安
管理者パスワードを初期値から変更する	複合機のWeb管理画面	1台あたり10分
使っていない機能を無効化する（ファイル共有、外部アクセス等）	同上	1台あたり15分
IPフィルタリングで社内IPだけを許可する	同上	1台あたり15分
グローバルIPが振られていないか確認する	同上／ルーター設定	30分
FAXを使っていないなら電話線を抜く	機器の背面	1分
FAXの宛先は短縮ダイヤルからのみ、手入力は禁止にする	運用ルール	その場で決められる
印刷物を出しっぱなしにしないルールを周知する	運用ルール	朝礼1回
複合機の置き場所を来客動線から外す（または向きを変える）	オフィスのレイアウト	30分
機器の一覧表（機種・シリアル・IP・設置場所）を作る	表計算ソフト1枚	1〜2時間

この9つを終えたうえで、まだ埋まらない穴——誰が印刷したかの記録、誤送信の自動ブロック、外部公開の継続監視、従業員の教育——が、ツールで補うべき領域になります。

どの製品で支えられる？

複合機そのものを守る専用製品というものは、ほとんど存在しません。
複合機の弱点は「台帳から漏れている」「誤送信が止められない」「外から見えている」「使う人が知らない」の4つなので、それぞれを既存のツールで塞ぐ形になります。
当社が取り扱う製品で対応する場合の目安は次のとおりです。

項目	LANSCOPE エンドポイントマネージャー	ISM CloudOne	Sophos Cyber Risk Management	クラウドメールセキュリティ	セキュリオ
提供元	エムオーテックス	クオリティソフト	ソフォス	アーデント取扱	LRM
複合機の対策で効くところ	台帳への登録・操作ログ	台帳・脆弱性診断・ログ	外部公開資産の発見と監視	スキャンtoメールの誤送信対策	従業員の教育・訓練
エージェント非対応機器の登録	○（最大10,000件）	○	—（外部から探索）	—	—
主な機能	IT資産管理・操作ログ・記録メディア制御・MDM	IT資産管理・自動脆弱性診断・外部デバイス制御・操作ログ	EASM／IASM・AIによる優先順位付け（VPR）・24/7監視	誤送信対策（一時保留・上長承認）・添付暗号化・分離配送	eラーニング・標的型攻撃メール訓練
初期費用（税別）	30,000円／契約	30,000円	要見積り	要見積り	100,000円
月額（税別）	500円／台（ライトA 300円）	600円／台〜（1〜）	要見積り	100円／人〜（誤送信対策は200円）	18,000円（50名以下・ARライト）
向いている会社	PCと複合機をまとめて台帳管理したい	脆弱性診断まで1つで済ませたい	外に出ている資産を把握できていない	スキャンtoメールを日常的に使う	紙とFAXの事故を人の側で減らしたい
補助金	対象	対象	対象	対象	対象
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

複合機の対策は、まず前章の9つ（費用ゼロ）を終えてからツールを検討してください。
順番を逆にすると、月額を払っているのに管理者パスワードが初期値のまま、という状態になりかねません。

費用はどれくらいかかる？

従業員30名・パソコン30台・複合機2台の会社が、費用ゼロの対策に加えて「台帳と操作ログ」「誤送信対策」「教育」の3つを揃えた場合の目安です（いずれも税別）。

項目	金額の目安
設定と運用（前章の9項目）	0円
LANSCOPE エンドポイントマネージャー（ライトA 300円×30台）	初期30,000円＋年108,000円
複合機2台の台帳登録	0円（任意項目として登録）
クラウドメールセキュリティ 誤送信対策＆審査（200円×最低50アカウント）	年120,000円＋初期費用
セキュリオ ARライト（50名以下）	初期100,000円＋年216,000円
初年度合計	約574,000円（月あたり約48,000円）
2年目以降	年444,000円（月あたり約37,000円）

比較の材料として、事故が起きた後にかかる費用も置いておきます。
当社のマルウェア感染調査サービスは300台までで298,000円、詳細レポートを付けると別途500,000円で、合計798,000円です。

つまり1回の調査費用だけで、上の対策の初年度分をまかなえてしまいます。
しかも調査で分かるのは「何が起きたか」であって、流出した図面や名簿が戻ってくるわけではありません。
取引先に説明する義務も、そのあとに残ります。

▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方【中小企業向け】

補助金は使える？

デジタル化・AI導入補助金2026（旧称：IT導入補助金）を使えば、上のようなITツールの費用を圧縮できます。

枠	補助額	補助率
通常枠	最大450万円	原則1/2（小規模事業者は最大4/5）
セキュリティ対策推進枠	5万円〜150万円	小規模事業者2/3、中小企業1/2
対象になりやすいもの	IT資産管理、メールセキュリティ、教育ツール、セキュリティサービスの利用料（最大2年分）	—
申請の前提	SECURITY ACTION自己宣言ID、GビズID	—

注意点が2つあります。
1つは、複合機本体やリース料といったハードウェア費用は補助対象にならない場合が多いこと。
補助金で賄いやすいのは、IT資産管理・メールセキュリティ・教育といったITツール側です。
もう1つは、交付決定前に発注・契約すると対象外になること。
補助率や要件は年度ごとに変わるため、実際の申請前に最新の公募要領を確認し、必要に応じて専門家にご相談ください。

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ【中小企業向け】

何から始めればいい？──7つの手順

順番	やること	使うもの	費用
1	社内の複合機・プリンターを数えて一覧表を作る（機種・シリアル・設置場所・IP）	表計算ソフト1枚	0円
2	各機のWeb管理画面に入り、管理者パスワードを初期値から変更する	ブラウザ	0円
3	グローバルIPが振られていないか、ポート転送が開いていないかを確認する	ルーターの設定画面	0円
4	使わない機能とFAX回線を切る。IPフィルタリングを設定する	複合機の設定	0円
5	印刷物を放置しないルールと、FAX宛先の短縮ダイヤル運用を決めて周知する	朝礼・社内ルール	0円
6	リース満了日を確認し、返却時のデータ消去手順と証明書取得を契約に織り込む	リース契約書	0円
7	残った穴（記録・誤送信・外部公開の監視・教育）をツールで埋める	IT資産管理・メール・教育ツール	月額

1から6までは費用ゼロで、合計しても半日から1日で終わります。7番だけが予算の話になるので、まずは6番まで進めてから見積もりを取るのが無駄がありません。

▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？中小企業の約7割が「各自の対応」という現実と、優先順位・費用・外部の使い方【中小企業向け】

よくある質問（Q&A）

Q. 社員10名の会社でも、複合機の設定まで必要ですか？

A. 必要です。
むしろ小さい会社ほど、複合機が受付や来客の通り道に置かれていることが多く、印刷物の放置や設定の初期値放置が起きやすくなります。
この記事で挙げた対策のうち、9つは費用ゼロで、1台あたり30分程度で終わります。
10名の会社なら、複合機は1〜2台のはずなので、半日あれば主要な穴は塞げます。

Q. 複合機がウイルスに感染することはありますか？

A. パソコンと同じ形でウイルスに感染することは一般的ではありませんが、「感染しないから安全」ということではありません。
実際に起きているのは、複合機が持つサーバー機能の古い脆弱性を突かれ、そこを足がかりに社内のパソコンへ感染が広がるという経路です。
JBMIAの事例7は、複合機のファイル共有機能で使われていたプロトコルが古く（SMB1.0）、その脆弱性を狙われてウイルスの踏み台にされ、社内PCに感染が拡大して業務が長時間停止した、というものでした。
対策はファームウェアを最新に保つこと、使わない機能とポートを閉じること、そしてファイアウォールの内側に置くことです。

Q. リース契約なので、セキュリティはリース会社が見てくれているのでは？

A. リース会社やメーカーの保守契約は、基本的に「機械が正常に動くこと」を対象にしています。
管理者パスワードを変える、使わない機能を切る、ファイアウォールの内側に置く、印刷物を放置しないといった運用は、契約に含まれていない限り利用者側の責任です。
保守契約書の対象範囲を一度確認し、含まれていない部分を自社でやると割り切るのが現実的です。

Q. 複合機のハードディスクは、返却時にリース会社が消してくれますか？

A. 「消します」と言われることは多いのですが、何をどこまで消すのかは会社と機種によって差があります。
NISTは、機器がPurge（研究所レベルの復元にも耐える消去）に相当する機能を持つのか、単にファイルの管理情報を消しているだけなのかをメーカーに確認せよ、としています。
返却前に、消去の方式と、実施したことの証明書を書面で受け取れるかを確認してください。
個人情報保護法のガイドラインも、委託する場合は証明書等による確認が重要としています。

Q. 管理者パスワードが分かりません。どうすればいいですか？

A. 販売店またはメーカーのサポートに連絡し、管理者パスワードのリセット手順を確認してください。
多くの機種は、操作パネルからの初期化や、サービス担当者による作業でリセットできます。
作業のときに、変更後のパスワードを誰が保管するかまで決めておくのがポイントです。
付箋で機械に貼るのは、初期値のままにしておくのとほとんど変わりません。

Q. 認証印刷を入れると、社員から「面倒」と言われませんか？

A. 最初は言われます。
ただ、認証印刷には「印刷ミスの紙が出なくなる」「他人の資料に埋もれなくなる」という実務上のメリットがあり、慣れると印刷コストも下がります。
ICカードをタッチするだけの方式なら操作は1秒です。
まずは人事・経理など、機密性の高い部署の印刷だけを認証印刷にする、という段階的な導入もできます。

Q. FAXはもう使っていません。それでも電話線の話は関係ありますか？

A. むしろ関係します。
使っていないのに電話線がつながったままの複合機は珍しくなく、その場合は「使わない入口を開けたままにしている」状態です。
JBMS-90は、FAX回線とネットワークが分離されていない機器では、ファイアウォールを迂回した侵入が起こり得ると明記しています。
使わないなら物理的に線を抜く。
1分で終わり、費用もかかりません。

Q. 家庭用のプリンターを事務所で使っています。問題ありますか？

A. 業務で個人データを印刷するなら、法人向けと同じ考え方が必要です。
JBMS-90は小規模オフィス・ホームオフィス向けの基本要件を定めた規格なので、家庭用機でも管理者パスワードの変更、ファームウェアの更新、ファイアウォールの内側での利用は同じように求められます。
むしろ家庭用機のほうが、認証印刷やログ取得の機能が無い分、運用ルールで補う必要があります。
次の入れ替えのときは、BMSecの適合製品リストを見て選ぶことをおすすめします。

Q. 何から相談すればいいですか？

A. まず「自社に複合機・プリンターが何台あって、どこに置かれているか」の一覧をお持ちください。
そこから、設定で塞げる部分と、ツールで補うべき部分を切り分けてご提案します。
当社は補助金の支援事業者でもあるため、ツール側の費用については補助金の活用も含めてご案内できます。

まとめ

複合機・プリンターは、社内で最も目立つ場所に置かれながら、最も管理されていないIT機器です。
ハードディスクを積み、認証機能を持ち、社内LANと電話回線の両方につながった1台のサーバーだと考えてください。
JBMIAが公開している8つの事故事例は、そのどれもが高価な機器ではなく、設置時か運用時の設定で防げるものでした。
最初にやるべきことは3つです。
管理者パスワードを初期値から変えること、インターネットから直接つながっていないか確認すること、印刷物を放置しない運用にすること。
そのうえで、FAX回線を使っていないなら抜く、複合機を来客動線から外す、機器の一覧表を1枚作る。
ここまでは全部で半日から1日、費用はゼロです。
残るのは、誰が印刷したかの記録、誤送信の自動ブロック、外部公開の継続監視、従業員の教育の4つで、ここからがツールの出番になります。
30名規模なら初年度で約574,000円、2年目以降は年444,000円が目安で、補助金でさらに圧縮できます。
事故のあとに調査だけで798,000円かかり得ることを考えれば、先に手を打つほうが確実に安く済みます。
まずは社内を一周して、複合機が何台あって、どこに置かれているかを数えるところから始めてください。

▶ 関連記事：オフィスの物理セキュリティ・入退室管理はどこまで必要？個人情報保護法の物理的安全管理措置とIPAのひな形・費用ゼロでできる対策【中小企業向け】

▶ 関連記事：パソコン・スマホを廃棄／リース返却するときのデータ消去は？「初期化しただけ」が危ない理由とNIST基準の3段階・消去証明書の見方【中小企業向け】

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方【中小企業向け】

▶ 関連記事：情報セキュリティ規程とは？就業規則との違い・無料ひな形（IPA付録5）の使い方と「規程だけでは懲戒できない」理由【中小企業向け】

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件【2026年版】