ランサムウェア対策｜中小企業の経営者が事故の前に決める6つのこと（IPA教訓集11項目より）

ランサムウェア対策：先に結論と確認日時

ランサムウェア（データを暗号化して身代金を求める攻撃）への備えで、経営者が事故の前に決めておくことは、当社の整理では6つです。①指揮と役割　②復旧の目標　③バックアップとログ　④データの台帳　⑤公表への構え　⑥頼む先。

警察庁によると、令和8年上半期のランサムウェア被害の報告件数は123件で、半期として統計開始以来の最多です。うち中小企業が79件でした（警察庁）。

IPA（情報処理推進機構）が2026年9月に公開した「ランサムウェア被害から学ぶ教訓集」（11項目）などを、2026年11月3日 9時時点で確認しました。

• 理由：IPAは、暗号化に気づいた時点で攻撃は最終段階にあり、対応の時間的猶予が限られると書いています。
• 数字：警察庁のアンケートでは、バックアップの復元結果の有効回答40件のうち29件が復元できませんでした。復旧に1か月以上かかった、または復旧中の組織は、有効回答48件のうち25件です。
• 範囲：事故のあとの報告と初動は、漏えい報告の記事にあります。

状況は変わりえます。最新は各機関のページで読み直してください。

目次

被害の現状：令和8年上半期は123件、中小企業が79件

警察庁は、近年はデータを盗んで「払わなければ公開する」と脅す二重恐喝が、被害の多くを占めると書いています。

• 内訳：中小企業79件、大企業31件、団体等13件です。暗号化せずにデータだけを盗んで脅す手口（ノーウェアランサム）は、別に9件です。
• 入り口：被害組織のアンケート（有効回答36件）で、侵入経路はVPN機器が18件、約5割でした。VPNは、社外から社内へ安全につなぐ仕組みです。

このあとの復旧期間・バックアップ・ログは、アンケートの有効回答（数十件）の集計です。傾向をつかむ材料として読みます。

IPAの教訓集：11項目を、経営者が決める6つに整理する

IPAの教訓集は、国内の被害組織へのヒアリングをもとに、経営・リスク管理編の6項目と、インシデント（事故）対処編の5項目をまとめたものです。IPA自身が、包括的・体系的な方法論を示すものではないと断っています。

当社は、11項目を「経営者が決めること」の目で、次のように6つへ並べ替えました。

決めること①：誰が決め、誰が動くか

IPAの教訓集は、中小規模の組織では「ITインシデントだから情報システム部門で対応」となるケースが見られたと書いています。経営層への報告、届出、取引先対応まで情報システム担当に集まり、肝心の対処に手が回らなくなります。コラムには、警察への相談から取引先への説明、復旧作業までを情報システム部門が抱え、事前の取り決めがなく部署に割り振れなかった例があります。

警察庁の資料が載せる日本損害保険協会の調査（被害にあった企業44社。ランサムウェア限定ではありません）では、「リスク管理の責任者が定まっていなかった」が63.6%でした。経営者が決めることは、次の3つです。

• 最終判断者と代理者：システムを止めるか、取引先へ伝えるか、公表するか。IPAは、判断基準がなく時間がかかった組織が多かったと書いています。社長が不在でも決められるよう、代理者も決めます。
• 技術の指揮を任せる人と範囲：IPAによると、ほぼ全ての組織が、情報システム部門を中心に権限を渡していました。
• 外向きの窓口：同じ取引先に複数の窓口があると、説明が食い違います。IPAは、統制が重要だと語る組織があったと書いています。窓口は1つにします。

担当者が1人や兼任なら、当社の整理は「担当者は復旧に専念し、連絡と判断は経営者と総務が受け持つ」です。事故のあとの連絡先は、漏えい報告の記事にあります。

決めること②：止まったら何日で戻すか

IPAは、システム停止は業務停止に直結するため、停止と復旧の判断に事業部門の関与が必須としています。サイバー攻撃は想定していなくても、自然災害に備えて手作業で業務を続ける手順を整えていた組織は、ランサムウェアにも対応できたとあります。

自然災害やパンデミックへのBCP（事業継続計画。止まったときに事業を続け、戻すための計画）は多くの組織が持つ一方、ITインシデントを想定したものは少なかった、ともあります。警察庁のアンケート（有効回答45件）では、サイバー攻撃を想定したBCPを策定済みが6件、想定しないBCPが18件、BCPなしが21件でした。

IPAの中小企業向けガイドラインは、事業上重要なシステムについて、2つの目標に合わせてバックアップと手順を整え、訓練で確かめるよう書いています。目標復旧時間（RTO）は、いわば「何日で営業を再開するか」です。目標復旧時点（RPO）は、「どの日の帳簿まで戻すか」にあたります。

同じガイドラインの事例（出典はJNSA＝日本ネットワークセキュリティ協会の調査。建設業・従業員20〜999名）は、年2回のリストア訓練（バックアップから戻す訓練）をしていたこともあり、発覚から5日後に基幹システムを再稼働できました。一方、社内の各システムの再開に41日、ファイルの2割強は失われたとあります。

• 止まると困る業務の順番：まず3つ程度に絞ります（当社の整理）。
• システムなしの続け方：紙、電話、手計算など。IPAによると、手作業を支えたのは、システム化以前の経験を持つ従業員でした。経験のある人が働いているうちに、手順を書き残します（当社の整理）。
• RTOとRPOの仮の数字：訓練のたびに直します。

決めること③：バックアップとログを、戻せる状態にする

警察庁の資料によると、攻撃者は暗号化の前に、重要データとバックアップを探します。

バックアップ：取ってあることと、戻せることは別

取得していたのは有効回答50件で44件、復元結果は有効回答40件で29件が復元不可でした。内訳は下の図のとおりです。

たとえるなら、金庫の鍵を金庫の隣に置くようなもので、本体と同じネットワークにつないだままのバックアップは、暗号化や消去の巻き添えになりえます。IPAは、少なくとも侵入開始より前のバックアップは安全で、侵入の時期を調べるためにログの保存が要ると書いています。戻すとデータが巻き戻り（ロールバック）、補正の手作業が増えた組織もあります。

答えられない問いが残れば、それが経営者の決める点です（問いは当社の整理）。

ログ：何を、どれだけ残すか

ログ（機器やサービスの操作・通信の記録）は、建物の入退室記録のようなものです。警察庁のアンケート（有効回答48件）で、全て保全できていたのは10件でした。使えなかった原因は、犯人による削除が最多の15件（28件中）です。

個人情報保護法サイバーセキュリティ連絡会（個人情報保護委員会・警察庁・IPAなど）の資料は、調査に必要なログを少なくとも1年程度保管することが望ましいとしています（法令上許される期間を超える保管の推奨ではありません）。ログはサーバーやネットワーク機器、クラウドサービスにもあるため、保守業者に保管期間と保管先を聞くことから始めます。

入り口の管理：更新と一時的な設定変更

IPAの教訓集では、ヒアリングした全ての組織が一般的な対策を実施していました。それでも、更新の遅れや、一時的な設定変更の放置から侵入され、安易なパスワードや、更新していないNAS（ネットワークにつなぐ共有の保存装置）、管理者アカウントでの運用から広がっています。

IPAのガイドラインが載せる前述の事例では、感染の1か月前にVPN機器の入れ替えを議論し、後継機種を約半年待つと判断した間に感染しました。入れ替えの判断も経営の判断です。

経営者が決めるのは、外から見える機器（VPN機器など）の一覧、更新の担当と期限、一時的な変更を戻したかの確認です。更新は脆弱性まとめの記事、パスワードはパスワード管理の記事にあります。

決めること④：何のデータをどこに持っているか

IPAは、流出・暗号化されたデータの中身は、フォレンジック調査（侵入の原因と被害範囲を調べる詳しい調査）でもあとから特定しにくいとして、データを管理する部署に台帳を整備するよう、経営者が事前に指示することを挙げています。

たとえるなら、台帳は倉庫の在庫表です。連絡会の資料は、VPN装置などのネットワーク機器も台帳に入れ、個人情報の有無を書くよう勧めています。決めることは、データごとの管理者、台帳の項目、見直しの節目です。IPAの中小企業向けガイドラインには、資産管理台帳のサンプル（Excel）が付録にあります。持たないデータは盗まれません。データ最小化の記事も参考になります。

決めること⑤：盗まれたデータの公表に備える

二重恐喝は、たとえるなら、鍵を壊して入り、持ち出した書類を握って脅すようなものです。バックアップは暗号化への備えで、公表への備えは別に要ります（当社の整理）。

• 身代金への姿勢：IPAによると、ヒアリングした組織の殆どすべてで、経営層が「身代金は払わない」と早期に判断していました。払っても回復や公開の中止は保証されず、払うと脅され続けるおそれがある、という理由を挙げた組織が複数ありました。教訓集のコラムは、国際会合の指針が支払いを避けるよう強く勧め、警察庁が活動資金になる懸念を、経済産業省が支払いを厳に慎むべきとしたことを紹介しています。
• 経営者層向けの対策：IPAの10大脅威2026の解説書は、インシデント対応体制の整備、サイバー保険の検討、予算の確保、身代金要求に対する姿勢を決めておくことを挙げています（教訓集が転載）。
• 脅迫文と公開の監視：ランサムノート（脅迫状）は、攻撃者の特定や公開サイトの把握に使えるとIPAは書いています。消さずに残す扱いを決めておきます（当社の整理）。IPAは、収束後も一定期間、ダークウェブ（特殊なソフトでしか入れない匿名のサイト群）を監視・調査することが望ましいとしています。
• 取引先への説明：IPAは、「漏えいがなかったこと」の証明は極めて困難で、判明した事実を必要な範囲で丁寧に報告することになると書いています。誰が何をどの順で伝えるかを決めます。

支払うか否かは経営者の判断です。事故の前に姿勢を決めておくと、要求が届いた日の判断が速くなります。事故のあとの報告は、漏えい報告の記事で扱っています。

決めること⑥：誰に頼むか

IPAは、事案のあとで信頼できるベンダーを短期間で確保するのは容易でないとして、平時に複数の候補と関係を作り、セカンドオピニオンも検討するよう書いています。たとえるなら、かかりつけ医を決めておくようなものです。

ベンダーの役割は、ログ調査やフォレンジック調査から、対策の立案、事案全体の進行管理、公表や取引先への説明の助言まで幅広くあります。教訓集は、調査の範囲の立案は経験豊富なベンダーに頼むのが必須といってよいとしています。

JNSAの一覧は、所属企業の受付時間、対応地域、相談と見積の有償・無償を載せ、初期相談が無料の企業もあるとしています（2026年4月更新）。当社が特定の会社を勧めるものではありません。

EDR（パソコンやサーバーの不審な動きを監視して止める仕組み）は、導入するだけでは足りません。教訓集は、暗号化のアラートが週末の深夜で受け取れなかった例を挙げ、常時対応できる体制を求めています。

24時間の監視が難しいときの選択肢が、IPAのお助け隊サービス（監視・緊急対応・簡易サイバー保険などをまとめた民間サービス）です。IPAのよくある質問は、要請があれば技術者を派遣する体制や、24時間の見守り体制を、サービス基準として挙げています（2025年5月時点の参考情報）。価格は事業者ごとに違い、IPAの一覧表で比べます。委託先の見方は、ベンダー審査の記事にもあります。

最初にやる3つ

1. 止まると困る業務を3つ選び、システムなしの続け方と、戻したい日数を決める（②）。
2. バックアップを1つ選び、実際に戻してみる日を決める（③）。
3. 身代金への姿勢と、公表・取引先連絡の窓口を、A4の1枚に書く（①⑤）。

④の台帳と⑥の頼む先は、そのあとに進めます。

確認できなかったこと

公式の資料で確認できなかった点です。「書かれていない」ことは、「ない」ことではありません。

• 教訓集に、ヒアリングした組織の数・業種・規模は、本文47ページの範囲で見つけられませんでした。
• 日本損害保険協会の調査の実施時期と設問は、警察庁の資料から確認できませんでした。
• お助け隊の個別価格、補助金の条件、サイバー保険の補償範囲は、確認していません。

「6つ」は当社の整理で、IPAが示すものではありません。

よくある質問

従業員が数人の会社でも、決めることはありますか。

IPAは、被害が組織の規模を問わず多発していると書いています。②復旧の目標、④データの台帳、⑤公表への構えは、人数に関係なく経営者が決めます。担当者が1人や兼任なら、担当者は復旧に専念し、連絡と判断は経営者と総務が受け持ちます。

バックアップがあれば、身代金の問題は解決しますか。

バックアップは暗号化への備えで、データを盗んで公開すると脅す手口には効きません。公表への備えは別に決めます。

サイバー保険には入ったほうがよいですか。

IPAの10大脅威2026の解説書は、経営者層の対策に「サイバー保険の検討」を挙げています。補償の範囲は商品ごとに違うため、保険会社や代理店に確認します。

IT担当がいません。保守業者に任せていれば足りますか。

任せる範囲を決めます。更新の担当と期限、ログの保管期間、事故のときの連絡経路を、保守業者に確認します。

事故が起きた場合は、何から始めますか。

この記事は事故の前の備えです。報告の期限と最初の動きは、当社の漏えい報告の記事にあります。警察庁は、早期に警察や関係機関へ通報・相談するよう呼びかけています。

まとめ

経営者が事故の前に決めるのは、指揮と役割、復旧の目標、バックアップとログ、台帳、公表への構え、頼む先の6つです。まず復旧の目標を決め、バックアップを1つ戻してみます。

参照元・出典

• IPA：ランサムウェア被害から学ぶ教訓集、中小企業の情報セキュリティ対策ガイドライン 第4.0版、情報セキュリティ6か条 解説編、10大脅威 2026、お助け隊サービス制度
• 警察庁：令和8年上半期の脅威情勢、個人情報保護法サイバーセキュリティ連絡会：フォレンジック調査の着眼点
• 相談・探す先：IPA 相談窓口、IPA サービスリスト、JNSA 緊急対応企業一覧、警察 サイバー犯罪相談窓口

本記事は 2026年11月3日 9時の確認時点のものです。