LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

取引先から「ランサムウェアの対策はどうなっていますか」と聞かれ、守りの製品の名前は挙げられても、それ以上は答えに詰まる。セキュリティの担当者が会社として何をしておけば足りるかを調べ始めるのは、こうした場面が多いのではないでしょうか。

答えを先に示すと、製品を増やす前に、外からつながる機器とアカウントの把握、切り離して保管し戻す試しをしたバックアップ、被害時に判断する人と連絡の順番を平時に決めることが先です。本記事では、防ぐ・気付く・戻すの順番と、平時に決めておく役割を整理します。

備えが無いまま被害を受けると、何が止まるか

ランサムウェアは、パソコンやサーバーのデータを暗号化して使えなくし、元に戻すことと引き換えに金銭を求める不正なプログラムです。最近は、データの暗号化に加えて、盗み出したデータを公開すると脅す「二重脅迫」も確認されています。^*2

悩みごとに、先に読むとよい章を次の表にまとめました。

悩みごとに読む章

悩み	読む章
取引先から対策の状況を聞かれて答えられない	予防から復旧までの備えの順番
どこまで予算をかければ足りるか分からない	費用対効果と優先順位の付け方
被害時に誰が何を決めるか決まっていない	被害時の体制と連絡の流れ

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの1位が「ランサム攻撃による被害」で、2016年から11年連続の選出です。^*1 IPAの教訓集は、被害が組織の規模を問わず多発している状況が続いていると述べています。^*5

備えが無いまま被害を受けると、次のことが同時に起きます。

• 業務：受注や生産管理などのシステムが止まり、手作業で回すことになる
• 取引先：状況の説明と、データが盗まれたかどうかの調査が並行して始まる
• 復旧：戻せるバックアップが無ければ、システムを作り直すことになり長引く
• 判断：システムを止めるか、公表するかを短い時間で決めなければならない

教訓集は、暗号化に気付いた時点で攻撃者の活動は最終段階にあり、組織には時間的な猶予がないと指摘しています。判断基準が無いなどの理由で、決定に時間がかかったとする被害組織も見られたと振り返っています。

国の特設ページで紹介されている注意喚起は、対策を予防・検知・対応・復旧の観点で整理しています。 次の図で、自社の備えがどの段階に偏っているかを見てください。

守りの製品が受け持つのは、主に①と③の段階です。②の戻せるバックアップと④の判断と連絡の体制が空いていると、防ぎきれなかったときに、戻す手段も決める人も無いまま対応を始めることになります。

見落としやすい原因は、外からの入口と戻せないバックアップ

被害の入口になっているのは、社員の端末より先に、外からつながる機器とアカウントです。IPAの解説書が警察庁の統計から引いた感染経路の割合では、2025年はVPN機器（社外から社内のネットワークにつなぐ機器）が66.3％、リモートデスクトップ（離れた場所からパソコンを操作する仕組み）が20.7％で、合わせて87.0％でした。^*2

ランサムウェアの感染経路の割合（2025年。IPAの解説書に掲載の警察庁の統計をもとに作成）

感染経路	割合
VPN機器	66.3％
リモートデスクトップ	20.7％
メール・添付ファイル	2.2％
その他	10.9％

教訓集でも、被害組織は一般的なセキュリティ対策を実施していたものの、更新プログラムの適用の遅れや一時的な設定変更の放置といったわずかな隙をつかれて侵入されたと整理されています。 使わなくなったVPNのアカウントや、試しに開けたままの接続口が、そのまま入口になります。

もう一つの弱点はバックアップです。教訓集は、汚染された可能性があるバックアップはシステムの復旧に使えないとしています。 取っているだけで、実際に戻せるかを試していないバックアップは、いざというときに頼れるか分かりません。

自社の状況を、次の3つで確かめてみてください。

• 外からつながる機器とアカウントの一覧があるか
• バックアップから実際に戻す試しをしたか
• 被害時に最初に連絡する相手と順番が決まっているか

1つでも答えに詰まる項目があれば、守りの製品を増やす前に、その項目から手を付ける余地があります。

備えの優先順位を決める4つの基準

見積もりや提案が複数あるときは、製品の機能を比べる前に、自社の備えを次の4つの基準で点検します。満たしていない基準があれば、そこが先に手を付ける場所です。

備えの優先順位を決める4つの基準

基準	目安	満たしていないときに先にやること
入口の把握	外からつながる機器・アカウントを一覧で言えるか	VPN機器、リモート接続、クラウドの管理画面のアカウントを書き出す
バックアップの戻しやすさ	切り離して保管し、戻す試しをしているか	保管の場所を見直し、戻す試しの日を決める
気付くまでの速さ	異常を誰がどの経路で知るか	不審な動きに気付いた社員が連絡する先を決める
被害時の判断の担い手	止める・知らせる・戻すを誰が決めるか	判断する人と、その人が不在のときの代わりを決める

4つのうち、入口の把握とバックアップの戻しやすさは、製品の購入を伴わずに社内の作業から始められます。気付くまでの速さは、監視の製品や運用の委託と関わるため、残りの2つが整ってから比べると判断しやすくなります。

担当者が備えの順番を決める場面

端末の守りの製品の見積もりと、バックアップの保管の見直し案が同時に手元にあるときの、担当者の判断の流れの一例です。

担当者が備えの順番を決める流れ

段階	担当者が見ること	判断
1. 現状を点検する	4つの基準に、満たしている・いないを付ける	入口の一覧が無く、戻す試しもしていないと分かる
2. 案を基準に当てる	製品の見積もりと保管の見直し案が、どの基準を埋めるか	製品は主に予防と気付く速さを埋め、保管の見直しは戻しやすさを埋める
3. 順番を決める	空いている基準のうち、社内の作業で埋まるもの	入口の一覧づくりと戻す試しを先にし、製品はその後に比べる
4. 上長に説明する	なぜその順番かを、4つの基準の表で示す	一覧づくりと戻す試しの計画を出す

製品を後に回すのは、入れないと決めることではありません。入口の一覧ができれば守る範囲がはっきりし、製品の見積もりもその範囲に合わせて比べられるようになります。

ここまでで、ランサムウェアへの備えは製品の前に入口・バックアップ・体制の順で整えることを見てきました。後半では、備えの順番、被害時の体制、費用対効果、足りるかを決める材料、規程・委託先・契約の確認点を順に確かめられます。

予防から復旧までの備えの順番

入口の整理、戻せるバックアップ、気付く仕組み、被害時の手順の順で整えます。前の段階が整っていないと、後の段階の備えが働きにくいためです。

予防から復旧までの備えの順番（国家サイバー統括室の特設ページに掲載の注意喚起・IPAの資料をもとに作成）

順番	やること	目安
1. 入口の整理	外部からアクセスできる機器は公開の必要性を検討し、更新プログラムを早く当てる。不要な接続口は開けない	機器とアカウントの一覧があり、持ち主が決まっている
2. 戻せるバックアップ	コピーを3つ取り、2種類の媒体に保存し、1つはネットワークからアクセスできない場所に保管する*4	実際に戻せることを確かめている
3. 気付く仕組み	サーバー・ネットワーク機器・パソコンの記録（ログ）の監視を強め、不審な動きを検知する仕組みを使う	異常を誰が知るかが決まっている
4. 被害時の手順	インターネットとの接続を断ち、感染した機器をネットワークから切り離す	手順が紙でも手元にある

社員の側では、安易に添付ファイルを開いたり、リンクをクリックしたりしないことも、IPAの解説書は対策に挙げています。 入口の割合では小さくても、全員が守れる備えです。

バックアップは、取り方より戻し方で差が出ます。教訓集は、バックアップをネットワークから切り離して守ると同時に、侵入された時期を調べられるよう記録を残し、どの時点に戻すかを判断できるようにしておく必要があると整理しています。 戻す試しの進め方は、バックアップは本当に戻せるかで取り上げています。

自動でバックアップを取る仕組みは、被害を免れたバックアップが上書きされて消えるおそれがあると、JPCERT/CCは注意を促しています。 被害時の手順には、バックアップの装置を切り離す手順も入れておきます。

• 入口の一覧は、機器とアカウントの両方を書き、使っていないものは止める
• バックアップは、1つをネットワークから離し、年に一度は戻す試しをする
• 被害時の手順は、切り離す順番とバックアップを守る手順を1枚にまとめる

被害時の体制と連絡の流れ

判断する人、社内外の連絡先、相談先を平時に一枚にまとめます。教訓集は、ITの事故だからと情報システム部門に対応が集中しやすく、公表・取引先・社外の機関への対応まで抱えて復旧に集中できなくなる例を挙げ、全社で役割分担を決めておくことを求めています。

被害時に決めておく役割

役割	受け持つこと
判断する人	システムを止めるか、公表するか、身代金の要求にどう向き合うかを決める
対処の担当	切り離し、被害の範囲の調査、バックアップからの復旧を進める
社外への説明の担当	取引先や顧客への説明を一つの窓口にそろえる
社外の相談先	警察、JPCERT/CC、IPA、緊急対応を行うセキュリティ専門企業

連絡の流れは、次の順で決めておきます。NISCの注意喚起は、社員が長期休暇中やテレワーク中でも、感染の兆候に気付いたら速やかに管理する人へ連絡できること、組織の内外（業務委託先、関係省庁を含む）に速やかに連絡できる体制を確かめることを挙げています。^*4

• 兆候に気付いた社員が、決めた連絡先へすぐ知らせる
• 対処の担当が切り離しを行い、判断する人へ状況を伝える
• 判断する人が、止める範囲と社外への連絡を決める
• 運用の委託先、警察などの相談先、取引先へ、決めた順に連絡する

身代金への姿勢も平時に決めます。IPAの解説書は、経営者層の対策に「身代金要求に対する姿勢を決めておく」ことを挙げています。^*2 教訓集によれば、ほぼすべてのヒアリング対象の組織で、経営層が「身代金は払わない」という決断を早い段階で下していました。^*5

緊急時に頼むセキュリティ専門企業も、事案が起きてから短い期間で見つけるのは容易ではないと教訓集はしています。平時から必要な役割と対応の範囲を把握し、候補との関係をつくっておくことが勧められています。

費用対効果と優先順位の付け方

止まったときの業務の損失と、備えの費用を段階ごとに並べて順番を決めます。IPAの解説書は、被害が取引先も含めて広い範囲に及び、調査や復旧に多くの時間と費用を要すること、業務やサービスの停止による損失が発生することを挙げています。

段階ごとの備えの費用と、避けたい損失の並べ方

段階	備えにかかるもの	備えが無いときに起きること
入口の整理	一覧づくりと設定の見直しの作業時間	外からつながる機器から侵入される
戻せるバックアップ	保管の場所と媒体、戻す試しの作業時間	戻せず、システムを作り直すことになる
気付く仕組み	監視の製品や運用の委託の費用	気付くのが暗号化の後になる
被害時の手順と体制	手順書づくりと訓練の時間	判断が遅れ、対応が一部の担当に集中する

損失の側は、止まると困る業務ごとに書き出します。教訓集は、製造業で生産管理システムが止まると、在庫があっても納品できない事態になる例を挙げています。 何日止まると、どの受注や出荷が滞るかを業務ごとに並べると、金額に直しにくい影響も比べやすくなります。

バックアップから戻した後の手間も損失に入れます。教訓集は、戻したことで生じる巻き戻りのデータを手作業で補正する負担が、現場の疲弊につながった例を挙げています。どの時点まで戻ると業務が耐えられるかを、業務ごとに決めておくと、バックアップを取る間隔も決めやすくなります。

• 損失：止まると困る業務ごとに、止まった日数と滞る受注・出荷を書き出す
• 費用：段階ごとに、作業時間で済むものと購入や委託が要るものに分ける
• 順番：作業時間で済み、損失を大きく減らす段階から並べる

どこまで備えれば足りるかを決める材料

取引先の求める水準と、公的な資料の段階ごとの対策を照らして決めます。自社だけで「足りる」を決めようとすると基準が揺れるため、外にある物差しを2つ使います。

足りるかを決める材料

材料	中身	使い方
取引先の求める水準	取引先からの質問票、契約の条項、取引の条件	聞かれている項目に、今の備えで答えられるかを並べる
予防・検知・対応・復旧の観点	国家サイバー統括室の特設ページに掲載の注意喚起の確認の項目	4つの段階ごとに、できている項目に印を付ける
10大脅威の対策の項目	IPAの解説書の、経営者層とシステムの管理者ごとの対策	立場ごとに、手を付けていない項目を拾う
被害組織からの教訓	IPAの教訓集の、経営・リスク管理とインシデント対処の教訓	平時に決めておくことが抜けていないかを見る

IPAの解説書は、システムの管理者の対策として、不要なポートを閉じて必要なサービスだけに絞ることや、バックアップからの復旧訓練の実施を挙げています。 こうした項目を一つずつ自社に当てると、取引先への答えもそのまま作れます。

10大脅威の順位は危険度の順ではなく、社会的に影響が大きかったと選考会の参加者が判断した脅威の順だと、IPAは説明しています。 1位だから最優先、ではなく、自社の入口とデータに照らして、どこまで備えるかを決めます。

IPAのランサムウェア対策特設ページには、注意喚起や届出の事例、教訓集がまとめて掲載されています。 足りるかを決める材料は、まずここから集めると探す手間が減ります。

• 取引先の質問票に、今の備えで答えられる項目と答えられない項目を分ける
• 4つの段階ごとに、公的な資料の項目へ印を付ける
• 答えられない項目のうち、入口とバックアップに関わるものから手を付ける

規程・委託先・契約で確かめる点

運用の委託先の役割、被害時の報告の取り決め、情報の漏えい時の扱いを確かめます。10大脅威 2026の組織向けでは、2位が「サプライチェーンや委託先を狙った攻撃」で、ランサム攻撃とともに4年連続で1位と2位に選ばれています。^*2

規程・委託先・契約で確かめる点

確認点	確かめる中身
委託先の役割	監視、バックアップ、復旧のうち、どこまでを委託先が受け持つか
被害時の報告	委託先が異常に気付いたとき、誰に、どの経路で知らせるか
記録の保存	侵入の時期を調べられるだけのログを、どこにどれだけ残すか
情報の扱い	個人情報を含むデータの置き場所と、漏えいのおそれがあるときの連絡の取り決め
社内の規程	被害時に判断する人と、現場の責任者に任せる範囲

ログは、侵害の範囲や侵入の経路を調べる出発点です。教訓集は、どこにどのようなシステムのログがあるかを、組織または運用・保守の事業者が把握していることが望ましいとしています。

情報の扱いでは、どのデータがどこにあるかを平時に台帳にしておきます。教訓集は、流出や暗号化されたデータの中身を後から特定するのは、調査を行っても難しいことが多いと述べています。社内の規程には、迅速に動けるよう現場の責任者に判断を任せる範囲も書いておきます。

復旧を頼む業者の選び方にも注意が要ります。IPAの解説書は、業者が被害組織の知らないところで攻撃者に身代金を支払って復旧させた場合、実質的には業者を通じて攻撃者に資金を提供したとみなされるおそれがあると指摘しています。

• 委託契約に、委託先が受け持つ範囲と被害時の報告の経路を書く
• ログの保存の場所と期間を、委託先と合わせて決める
• 個人情報を含むデータの台帳を作り、置き場所を一覧にする

まとめ：入口の一覧から備えを始める

ランサムウェアへの備えは、守りの製品の前に、外からつながる機器とアカウントの把握、切り離して保管し戻す試しをしたバックアップ、被害時に判断する人と連絡の順番を決めることから始めます。そのうえで、取引先の求める水準と公的な資料の段階ごとの対策を照らし、追加の守りの順番を決めます。今日からは、外からつながる機器とアカウントの一覧を作り始めてください。

よくある質問

身代金を払えばデータは戻りますか

支払っても戻る保証は無いため、支払いに頼らず戻せる備えを先に整えます。JPCERT/CCは、暗号化されたファイルが復元される保証がないことなどを理由に、身代金の支払いを選ぶべきではないとしています。戻せるバックアップと被害時の手順を平時に用意しておくことが、支払いに頼らない備えになります。

中小の会社でも狙われますか

組織の規模を問わない脅威として公的機関が注意を促しているため、規模に関わらず備えます。IPAの教訓集は、被害が組織の規模を問わず多発している状況が続いていると述べています。感染経路の多くはVPN機器やリモートデスクトップで、これらを使っていれば規模に関係なく入口になり得ます。

バックアップがあれば十分ですか

切り離して保管し、戻す試しをしていなければ十分とは言えません。汚染された可能性があるバックアップは復旧に使えず、自動で取る仕組みでは被害を免れたバックアップが上書きされるおそれもあります。1つはネットワークから離して保管し、実際に戻せるかを試しておきます。

被害に気付いたら最初に何をしますか

平時に決めた手順に沿って、つながりを断ち、判断する人に知らせます。インターネットとの接続を断ち、感染した機器をネットワークから切り離したうえで、被害を免れたバックアップを守ります。その後、決めた順に委託先や警察などの相談先へ連絡します。

運用を委託先に預けている場合はどうしますか

委託先との役割分担と被害時の報告の取り決めを契約で確かめます。監視・バックアップ・復旧のどこまでを委託先が受け持つか、異常に気付いたときに誰へどの経路で知らせるかを書いておきます。ログを残す場所と期間も、委託先と合わせて決めます。

出典

1. *1　参考：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html）。出典：情報セキュリティ10大脅威 2026［組織］の順位・初選出年・取り扱いを参照（確認日2026年10月30日）（2026年10月確認）
2. *2　参考：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」解説書（組織編）（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）。出典：本書の概要、1位 ランサム攻撃による被害（脅威と影響・対策と対応・身代金の支払いと復旧業者の選定）、8位の表「ランサムウェアの感染経路の割合」を参照（確認日2026年10月30日）（2026年10月確認）
3. *3　参考：国家サイバー統括室「ストップ！ ランサムウェア ランサムウェア特設ページ」（https://www.cyber.go.jp/tokusetsu/stopransomware/index.html）。出典：関係機関における取組（重要インフラ事業者等向け注意喚起ほか）を参照（確認日2026年10月30日）（2026年10月確認）
4. *4　参考：内閣サイバーセキュリティセンター「ランサムウエアによるサイバー攻撃に関する注意喚起」（2021年4月30日）（https://www.cyber.go.jp/pdf/policy/infra/ransomware20210430.pdf）。出典：概要、具体的対応策（予防・検知・対応・復旧）のチェックポイントを参照（確認日2026年10月30日）（2026年10月確認）
5. *5　参考：独立行政法人情報処理推進機構（IPA）「ランサムウェア被害から学ぶ教訓集 ～ 経営者のためのランサムウェア対策ハンドブック ～」（https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html）。出典：1.1 背景、2 ランサムウェア事案の特性、3.1〜3.6、4.1〜4.5（Ver.1.2のPDF）を参照（確認日2026年10月30日）（2026年10月確認）
6. *6　参考：JPCERTコーディネーションセンター「侵入型ランサムウェア攻撃を受けたら読むFAQ」（https://www.jpcert.or.jp/magazine/security/ransom-faq.html）。出典：Q1-1（被害報告/相談）、Q2-1（被害を抑える）、Q3-2-1（身代金の支払い）を参照（確認日2026年10月30日）（2026年10月確認）
7. *7　参考：独立行政法人情報処理推進機構（IPA）「ランサムウェア対策特設ページ」（https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html）。出典：ランサムウェア対策 関連情報（注意喚起情報・届出事例・教訓集）を参照（確認日2026年10月30日）（2026年10月確認）