「バックアップは取っています」
ランサムウェア対策について企業の担当者に伺うと、よく聞く言葉です。
もちろんバックアップは重要です。
しかし、実際にランサムウェア攻撃を受けたとき、本当に問題になるのは「データを戻せるか」だけではありません。
基幹システムが利用できない。
社内ネットワークにも接続できない。
メールも使えない。
取引先への連絡方法が分からない。
どこまで侵入されているのか分からない。
バックアップ自体が安全なのか分からない。
情報が持ち出されたのかも分からない。
その状態で経営者は、
「業務を続けるのか」
「どの業務を止めるのか」
「取引先に何を伝えるのか」
「いつ公表するのか」
「いつシステムを復旧させるのか」
といった判断を次々に求められます。
ランサムウェア対策で本当に考えなければならないのは、ここです。
つまり、
「攻撃を受けないための対策」だけではなく、「攻撃を受けても事業を止めないための対策」
が必要になります。
その中心となるのが、サイバーBCPです。
サイバーBCPとは何か
サイバーBCPとは、ランサムウェアや不正アクセスなどのサイバー攻撃によって情報システムが停止した場合でも、重要な事業を継続し、可能な限り早く復旧するための計画です。
一般的なBCPでは、地震、台風、火災、停電などを想定している企業が多いでしょう。
サイバーBCPでは、そこに
「社内の情報システムを信用できない」
という特殊な状況が加わります。
ここが自然災害との大きな違いです。
例えば大地震で本社が利用できなくなっても、クラウドサービスや別拠点のシステムは正常に動いている可能性があります。
ところがサイバー攻撃では、
社内PCが侵害されているかもしれない。
サーバーにも攻撃者が残っているかもしれない。
管理者アカウントが奪われているかもしれない。
VPNの認証情報が漏れているかもしれない。
バックアップまで侵害されているかもしれない。
という状態になります。
不用意にシステムを再接続すれば、攻撃者に再び侵入される可能性もあります。
そのためサイバーBCPでは単純に「システムを復旧する」のではなく、
「安全を確認しながら事業を再開する」
という考え方が必要になります。
ランサムウェアは「システム障害」ではなく「事業継続の問題」
IPAが2026年9月に公開した「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」でも、ランサムウェアへの備えとして、インシデント対応計画と事業継続計画の充実が重要であるとされています。
また、IPAの「情報セキュリティ10大脅威 2026」では、「ランサム攻撃による被害」が組織向け脅威の1位となっています。
重要なのは、ランサムウェアを「IT部門が対応するコンピューターウイルス」と考えないことです。
現在のランサムウェア攻撃では、ネットワーク内部へ侵入した攻撃者が一定期間活動し、
認証情報を窃取する。
管理者権限を取得する。
他の端末やサーバーへ侵入範囲を広げる。
重要な情報を外部へ持ち出す。
バックアップ環境を調査する。
最後にシステムやデータを暗号化する。
といった活動を行うケースがあります。
さらに現在では、暗号化を行わず、窃取した情報の公開を材料に金銭を要求する「ノーウェアランサム」と呼ばれる手口も確認されています。
つまり、画面に身代金要求が表示された時点では、攻撃は始まったばかりではありません。
むしろ攻撃者側から見れば「最後の段階」である可能性があります。
ここから企業側は一気に時間との勝負になります。
「バックアップがあるから大丈夫」が危険な理由
ランサムウェア対策というと、
「バックアップを取っておけば復旧できる」
と思われがちです。
しかし実際には、それほど単純ではありません。
例えばバックアップが存在していても、
バックアップサーバーが同じネットワークに接続されている。
同じ管理者アカウントで操作できる。
バックアップデータも暗号化されている。
いつのバックアップまで安全なのか分からない。
復旧手順を誰も試したことがない。
復旧に必要な設定情報が残っていない。
といった問題が発生する可能性があります。
さらに、
「復旧できる」
ことと、
「事業を継続できる」
ことは別問題です。
例えば基幹システムを復旧できるとしても、その作業に時間が必要であれば、その間の受注、出荷、製造、請求、顧客対応などをどうするのか考えなければなりません。
サイバーBCPでは、
「バックアップから戻せるか」
だけではなく、
「戻るまでの間、会社をどう動かすのか」
まで考える必要があります。
ランサムウェアを想定したサイバーBCPで決めておくべき7つのこと
では、具体的に何を決めればよいのでしょうか。
少なくとも次の7項目は事前に整理しておく必要があります。
1．絶対に止められない業務を決める
最初に行うべきことはシステムの一覧作成ではありません。
「会社として何を止められないのか」を決めることです。
例えば製造業なら、
受注
生産指示
製造
出荷
在庫管理
取引先との連絡
などがあります。
すべてを同時に復旧させることは現実的ではありません。
だからこそ、
最優先で継続する業務
一時的に停止できる業務
数日停止しても影響が限定的な業務
を整理しておきます。
そのうえで、重要業務を支えているシステムを特定します。
「重要なシステムは何か」から考えるのではなく、「重要な業務は何か」から考えることがポイントです。
2．どこまでシステムなしで業務を続けられるか考える
次に考えてほしいのが、
「そのシステムが使えなかったらどうするのか」
です。
例えば、
受注システムが使えない場合は電話と紙で受注する。
在庫管理システムが使えない場合は直近の帳票を利用する。
社内メールが使えない場合は別の連絡手段を利用する。
といった代替手段を決めておきます。
デジタル化が進んだ企業ほど、
「システムが止まった瞬間、何もできない」
という状況になりやすくなります。
DXを進めることと、非常時のアナログな手段を準備しておくことは矛盾しません。
むしろデジタルへの依存度が高くなるほど、代替手段を考えておく必要があります。
3．復旧する順番を決める
ランサムウェア発生後に、
「どのサーバーから復旧しますか？」
と会議を始めていては遅すぎます。
例えば、
認証基盤
ネットワーク
重要業務サーバー
ファイルサーバー
一般利用PC
というように、復旧には依存関係があります。
さらに注意しなければならないのが、
「早く復旧すること」
だけを優先しないことです。
侵入経路や攻撃者の活動状況を確認せずにネットワークを元に戻せば、再侵入や再暗号化につながる可能性があります。
復旧とは、
「電源を入れること」
ではありません。
「安全な状態で事業を再開すること」
です。
4．バックアップを「復旧できる状態」にしておく
バックアップはサイバーBCPの重要な要素です。
ただし、
「バックアップを取っています」
だけでは十分ではありません。
確認したいのは、
どのデータをバックアップしているのか。
どの程度の頻度で取得しているのか。
どこに保存しているのか。
攻撃者から削除・変更できない仕組みになっているか。
管理アカウントは分離されているか。
実際に復元できることを確認しているか。
という点です。
2026年にはIPAの中小企業向け「SECURITY ACTION」でも、ランサムウェア対策やBCPの観点からバックアップの重要性が改めて示されています。
バックアップで最も怖いのは、
「あると思っていたのに戻らない」
ことです。
定期的な復元テストまで行って、初めてバックアップは対策として機能します。
5．誰が判断するのか決める
実際のランサムウェア対応では、技術的な判断だけでは済みません。
例えば、
全社ネットワークを停止するのか。
工場や店舗の業務を停止するのか。
取引先へ連絡するのか。
個人情報保護委員会などへの報告が必要なのか。
警察へ相談するのか。
公表するのか。
外部の専門会社へ調査を依頼するのか。
といった判断が必要になります。
これらの多くは情報システム担当者だけでは決められません。
経営判断です。
そのためサイバーBCPでは、
誰が対策本部を立ち上げるのか。
誰が最終判断を行うのか。
社長が不在なら誰が代行するのか。
情報をどこへ集約するのか。
社外発表を誰が承認するのか。
まで決めておく必要があります。
IPAも2026年の教訓集で、「経営者による迅速な経営判断と明確な関与」を重要な項目として挙げています。
6．外部への連絡先を準備しておく
ランサムウェアが発生してから、
「どこに相談すればいいんだろう」
と検索している余裕はありません。
少なくとも、
システム保守会社
セキュリティ専門会社
クラウド事業者
サイバー保険会社
顧問弁護士
警察
関係行政機関
主要取引先
などについて、連絡先と連絡条件を整理しておくことをおすすめします。
そして重要なのが、
その連絡先を社内ファイルサーバーだけに保存しないことです。
ランサムウェア発生時には、そのファイルサーバー自体が使えない可能性があります。
ネットワークから切り離した状態でも確認できるようにしておく必要があります。
7．机上訓練を行う
サイバーBCPは作っただけでは機能しません。
実際に訓練すると、
「この判断は誰がするのか決まっていない」
「担当者の電話番号が分からない」
「代替業務の方法を現場が知らない」
「バックアップからどの程度で戻るのか分からない」
「取引先への説明文を誰が作るのか分からない」
といった問題が次々に見つかります。
これは失敗ではありません。
むしろ訓練の目的そのものです。
実際のインシデントで問題が見つかるより、訓練で見つかった方がはるかに良いのです。
IPAも、業務停止等からの復旧について、IT部門だけに限定せず、サプライチェーンを含めた実践的な演習の必要性を示しています。
サイバーBCPでよくある「作ったつもり」
企業のBCPを確認していると、
「ランサムウェア発生時はバックアップから復旧する」
とだけ書かれているケースがあります。
しかし、それだけでは実際のインシデントではほとんど判断できません。
例えば、
どの時点のバックアップを使うのか。
バックアップが安全だと誰が判断するのか。
侵入経路を塞ぐ前に復旧してよいのか。
どのシステムから戻すのか。
復旧中の業務をどうするのか。
社内ネットワークをいつ再接続するのか。
この判断が必要になります。
サイバーBCPは文章量が多ければ良いわけではありません。
現場が必要としているのは、数百ページの立派な文書ではなく、
「その瞬間に誰が何をするのか分かる計画」
です。
攻撃者の立場から考えると、サイバーBCPの意味が見えてくる
少し視点を変えて、攻撃者側から考えてみます。
ランサムウェア攻撃で攻撃者が狙っているものは、単純にデータだけではありません。
企業の「止まると困る」という状況そのものが、攻撃者にとって交渉材料になります。
業務を一刻も早く再開したい。
取引先に迷惑をかけたくない。
生産を止められない。
顧客対応を再開したい。
こうした焦りが大きいほど、被害企業は難しい判断を迫られます。
逆に言えば、
重要データが保護されている。
安全なバックアップがある。
代替業務が準備されている。
重要業務の優先順位が決まっている。
意思決定者が決まっている。
外部専門家とすぐ連携できる。
復旧手順を訓練している。
という企業は、攻撃を受けたとしても対応の選択肢を持つことができます。
サイバーBCPとは単なる災害対策ではありません。
攻撃者から経営上の主導権を奪われないための準備でもあるのです。
サイバーBCPは「サイバー攻撃を前提に経営を考える」こと
「ランサムウェアに感染しないようにする」
もちろん重要です。
しかし、100％防ぐことを前提にしたセキュリティ対策には限界があります。
だからこそ、
侵入されるかもしれない。
情報を持ち出されるかもしれない。
システムが停止するかもしれない。
という前提でも考えておく必要があります。
防御策とBCPはどちらか一方ではありません。
侵入される可能性を下げる。
侵入を早く検知する。
侵入されても被害を広げない。
重要データを守る。
システムが停止しても業務を続ける。
安全に復旧する。
ここまでを一つの流れとして考えることが、現在のランサムウェア対策です。
まず経営者に確認してほしい5つの質問
サイバーBCPをまだ策定していない企業であれば、まず次の5つを確認してみてください。
-
明日、基幹システムが全部止まったら会社は何ができますか？
-
その状態が数日続いた場合、最も困る業務は何ですか？
-
システムを使わずにその業務を続ける方法はありますか？
-
バックアップから本当に復元できることを確認していますか？
-
ランサムウェアが発生したとき、誰が最終判断をしますか？
すべて即答できるでしょうか。
答えられない項目があれば、そこがサイバーBCPを考える出発点です。
よくある質問
Q．サイバーBCPと一般的なBCPは何が違うのでしょうか？
一般的なBCPは地震、台風、火災、停電などを想定していることが多いのに対し、サイバーBCPではランサムウェアや不正アクセスによって情報システムやネットワークそのものを信用できなくなる状況を想定します。
復旧だけでなく、侵害調査、ネットワーク隔離、アカウントの再設定、情報漏えい対応なども考える必要があります。
Q．バックアップがあればサイバーBCPは不要ですか？
いいえ。
バックアップはサイバーBCPの一部です。
システムが復旧するまでの業務継続方法、復旧の優先順位、意思決定体制、外部への連絡方法なども事前に決めておく必要があります。
Q．中小企業にもサイバーBCPは必要ですか？
企業規模にかかわらず必要です。
むしろIT担当者やシステムが少ない企業では、一つのシステム停止が事業全体に与える影響が大きくなる場合があります。
最初から大規模なBCPを作る必要はありません。
重要業務の洗い出し、バックアップ、緊急連絡先、意思決定者、代替業務から整理するだけでも大きな第一歩になります。
Q．サイバーBCPを作った後は何をすればよいですか？
机上訓練を行うことをおすすめします。
実際のランサムウェア発生を想定して、経営者、情報システム担当者、各部門がどのように判断するか確認します。
訓練によって見つかった問題をBCPへ反映し、継続的に改善していくことが重要です。
「ランサムウェア対策」から「事業を止めない対策」へ
ランサムウェア対策という言葉から、
EDR
アンチウイルス
VPN
多要素認証
バックアップ
といった技術対策を思い浮かべる方は多いと思います。
もちろん、どれも重要です。
しかし企業経営という視点では、もう一つ先まで考える必要があります。
「それでも突破されたら、会社はどうするのか」
という問いです。
サイバー攻撃を完全に防ぐことだけを目標にするのではなく、
攻撃を受けても重要な事業を継続できる企業にする。
これがサイバーBCPの目的です。
そして、これは情報システム担当者だけで作れるものではありません。
何を優先して守るのか。
どこまで業務停止を許容するのか。
どの段階で事業継続に切り替えるのか。
何を優先して復旧させるのか。
これらを決めるのは経営です。
ランサムウェア対策は、既に単なるIT対策ではなくなっています。
「サイバー攻撃を受けたとき、自社は事業を続けられるのか」
一度、社内で考えてみてはいかがでしょうか。
サイバーBCPの策定・見直しでお困りの場合
「BCPはあるが、サイバー攻撃まで想定できていない」
「ランサムウェア発生時の対応手順が整理できていない」
「バックアップはあるが、本当に復旧できるのか分からない」
「一度、実際の攻撃を想定した訓練をしてみたい」
といったご相談にも対応しています。
サイバーBCPは、最初から完璧なものを作る必要はありません。
現在のシステム構成や業務内容を確認しながら、重要業務、復旧優先順位、代替運用、インシデント発生時の意思決定などを一つずつ整理していくことが重要です。
また、実際のランサムウェア攻撃を想定した机上訓練を行うことで、「文書上は決まっているものの、実際には動けない部分」を確認することもできます。
何から手を付ければよいか分からないという段階でも構いません。
現在の対策状況の確認から、サイバーBCPの策定・見直し、机上訓練まで、お気軽にご相談ください。