ランサムウェア発生直後、経営者は何を判断すべきか？初動対応7つの決断

ランサムウェアによる攻撃を受け、社内のシステムが突然使えなくなった。

取引先からの問い合わせが相次ぎ、従業員は業務を続けてよいのか分からない。情報システム担当者は復旧作業に追われ、何が起きているのか十分な説明もできない。

そのような状況で、経営者は何を判断すべきでしょうか。

「専門的なことは分からないから、システム担当者に任せる」

そう考える経営者もいるかもしれません。

しかし、実際のランサムウェア被害では、システムを止めるか、どの業務を継続するか、取引先にどう説明するか、復旧にどこまで費用をかけるかといった、技術者だけでは決められない問題が次々と発生します。

このとき経営者が判断を先送りすると、現場は動きたくても動けなくなります。

ランサムウェアが発生した直後、経営者が判断すべきことは、大きく分けて次の7つです。

1. 被害拡大を防ぐために、どこまでシステムを停止するか

2. 誰が指揮を執り、誰に何を任せるか

3. どの業務を継続し、何を一時停止するか

4. 原因調査とシステム復旧をどの順番で進めるか

5. 情報漏えいの可能性をどう扱い、誰に報告するか

6. 攻撃者からの身代金要求にどう対応するか

7. 復旧費用、外部専門家、対外説明をどう判断するか

重要なのは、経営者自身が技術的な作業を行うことではありません。

適切に担当者が速やかに動けるよう、必要な権限と判断基準を示すことです。

今回は、IPAが2026年9月に公開した「ランサムウェア被害から学ぶ教訓集」を中心に、実際の被害事例から得られた教訓と最新の攻撃動向を踏まえ、経営者が発生直後に判断すべき事項を具体的に解説します。

関連記事

・ランサムウェア対策｜経営者が確認すべき6つのこと【IPA事例に学ぶ】

・ランサムウェア攻撃の手口とは？侵入経路と企業の対策【2026年版】

・ランサムウェアで事業を止めないためのサイバーBCPとは？企業が今決めておくべき7つのこと

・情報漏えいで「原因不明」は通用するのか？フォレンジック調査の必要性と初動対応【2026年版】

2026年もランサムウェア被害は深刻化している

警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年上半期のランサムウェア被害報告件数は123件に達しました。半期としては、2020年下半期の集計開始以来最多となっています。

このうち中小企業の被害は79件で、全体の約6割を占めています。

もはや、大企業だけが警戒すればよい問題ではありません。

また、現在のランサムウェア攻撃は、単純にパソコンをウイルスに感染させるものばかりではありません。

攻撃者はVPN機器の脆弱性や漏えいした認証情報などを利用して組織内に侵入し、内部ネットワークを探索します。そして、管理者権限を奪い、重要情報を持ち出し、バックアップを妨害した後にデータを暗号化することがあります。

さらに、暗号化を行わず、盗み出した情報の公開を材料として金銭を要求する攻撃も確認されています。

つまり、企業が異変に気づいたときには、すでに攻撃が相当程度進行している可能性があるのです。

IPAが2026年9月に公開し、10月16日に更新した「ランサムウェア被害から学ぶ教訓集」でも、暗号化が発覚した段階では攻撃者の活動が最終段階に達していることが多く、被害組織には時間的な猶予がないと説明されています。

同資料では、被害組織へのヒアリング結果として、経営層と情報システム部門の間で認識共有が難しかったことや、重要な判断基準がなく意思決定に時間を要したことなどが指摘されています。

これらは、高度なセキュリティ製品の導入だけでは解決できない問題です。

判断① 被害拡大を防ぐために、どこまでシステムを停止するか

ランサムウェア感染が疑われる場合、まず必要になるのは被害の拡大を防ぐことです。

侵害された端末やサーバをネットワークから切り離し、状況によってはインターネット接続や拠点間通信も遮断する必要があります。

しかし、ここで問題になるのが、システム停止による業務への影響です。

例えば、製造業であれば生産管理システム、医療機関であれば電子カルテや検査システム、物流業であれば受発注や出荷管理システムが停止するかもしれません。

実際の現場では、次のような迷いが生じます。

「感染しているのは一部のパソコンなのに、全社のネットワークを止めてよいのか」

「今システムを停止すると、今日の出荷ができなくなる」

「サーバを止めることで、別のシステムに障害が発生しないか」

これらの判断をすべて情報システム担当者に委ねるのは適切ではありません。

技術的に必要な隔離と、それによって発生する業務への影響は分けて考える必要があります。

経営者が判断すべきなのは、被害拡大防止のために必要な業務停止を認め、その影響を組織として引き受けることです。

一方で、明らかに侵害されている端末の切り離しまで経営者の承認待ちにしていては、対応が遅れるおそれがあります。

そのため、緊急時に担当者が実施できる隔離措置の範囲をあらかじめ決めておき、広範囲の業務停止など重大な判断について経営者が速やかに決裁できる体制が必要です。

なお、原因調査に必要な証拠を失う可能性があるため、感染が疑われる端末を無条件に初期化したり、再起動したりすることは避けるべきです。電源操作を含む具体的な対応は、被害拡大防止と証拠保全の両面から判断する必要があります。

判断② 誰が指揮を執り、誰に何を任せるか

ランサムウェア被害が発生すると、情報システム担当者に問い合わせが集中します。

システムが使えない従業員への対応、取引先からの問い合わせ、経営層への説明、復旧作業、セキュリティ業者との調整。

これらが同時に発生することも珍しくありません。

特に、情報システム担当者が1人しかいない企業や、兼任担当者しかいない中小企業では深刻な問題です。

本来は侵害状況の確認や被害拡大防止に集中すべき担当者が、電話対応や状況説明に追われ、重要な作業を進められなくなる可能性があります。

IPAの教訓集でも、こうした情報システム部門への負荷集中が問題として取り上げられています。

ここで必要になるのが、経営者による指揮命令系統の明確化です。

例えば、次のように役割を分けます。

小規模な組織では、すべての担当を別々に配置できないかもしれません。

それでも、誰が最終決定し、誰が対外的な説明を行い、誰が技術的な対処に集中するのかは決めておく必要があります。

また、社内ネットワークやメールが使えなくなることも想定し、電話など代替連絡手段を確保しておくことが重要です。

経営者が対策本部を設置しただけでは意味がありません。

現場が判断待ちで止まらないよう、必要な権限を与えるところまでが経営者の役割です。

判断③ どの業務を継続し、何を一時停止するか

ランサムウェア被害では、必ずしもすべての業務が同時に停止するとは限りません。

ある部署では業務を継続できても、別の部署ではシステムが使用できず、業務そのものが止まってしまう場合があります。

このとき経営者が考えなければならないのは、すべてのシステムを一刻も早く元に戻すことだけではありません。

限られた人員と設備で、どの事業を優先的に継続するかという判断です。

例えば、受発注システムが停止した企業であれば、電話や手作業で一部の注文を受け付ける方法が考えられます。

製造業であれば、生産設備が安全に稼働できる範囲を確認し、一部製品の生産だけを継続する選択肢もあります。

医療機関では、患者の安全を最優先としながら、紙による記録、検査の制限、診療体制の縮小などを検討する必要があります。

ただし、代替手段を使えば必ず業務を継続できるわけではありません。

情報の正確性が確保できないまま業務を続けることで、誤出荷や誤請求、医療事故など別の問題を引き起こす可能性もあります。

そのため、経営者は事業部門や現場責任者と協議し、次の点を確認する必要があります。

• 絶対に停止できない業務は何か

• 一定期間であれば停止できる業務は何か

• システムを使わずに継続できる業務は何か

• 継続することで新たなリスクが生じる業務はないか

• 顧客や取引先にどの程度の影響が発生するか

特に重要なのは、「業務の優先順位」と「システム復旧の優先順位」は必ずしも一致しないという点です。

重要度の高い業務でも、安全な代替手段があれば当面は継続できるかもしれません。一方、一見すると重要度が低そうなシステムが、他のシステムを復旧するために必要な場合もあります。

こうした依存関係を把握したうえで、何を継続し、何を止めるかを判断する必要があります。

判断④ 原因調査とシステム復旧をどの順番で進めるか

システムが停止すると、経営者としては一刻も早い復旧を求めたくなるでしょう。

しかし、ランサムウェア被害では、復旧を急ぐことが必ずしも正しいとは限りません。

攻撃者がどこから侵入したのか。

どのアカウントが悪用されたのか。

ほかの端末やサーバにも侵害が及んでいないか。

こうした点を確認せずにシステムを元に戻すと、攻撃者が残した侵入経路から再び被害を受ける可能性があります。

また、バックアップが取得されていても、それが安全に復元できるデータとは限りません。

攻撃者が侵入した後のバックアップには、不正な設定や攻撃者が残したプログラムが含まれている可能性があります。バックアップ自体が暗号化されたり、破壊されたりすることもあります。

JPCERT/CCも、侵入型ランサムウェア攻撃への対応において、被害の最小化、侵入経路の封鎖、バックアップからの復旧という方針を示しています。

経営者として判断すべきなのは、復旧の速度だけを優先しないことです。

侵入経路への対処、安全な復旧環境の確保、バックアップの確認、業務再開時のリスク評価といった作業に必要な時間を認めなければなりません。

さらに、デジタルフォレンジックによる証拠保全や侵害調査も重要です。

フォレンジックとは、端末やサーバ、通信ログなどに残された電子的な証拠を収集・分析し、何が起きたのかを調査することです。

原因が分からないまま復旧してしまえば、再発防止策を適切に検討することも難しくなります。

必要な証拠を保全し、調査と復旧を並行して進められる体制を整えることが重要です。

判断⑤ 情報漏えいの可能性をどう扱い、誰に報告するか

近年のランサムウェア攻撃で、経営者が特に慎重に判断しなければならないのが情報漏えいへの対応です。

現在の攻撃では、データが暗号化される前に、顧客情報や取引先情報、従業員情報などが持ち出される場合があります。

そのため、システムが復旧したとしても、情報漏えいの問題が解決したことにはなりません。

一方で、攻撃者から「情報を盗んだ」と脅迫された場合でも、その主張が事実とは限りません。

ここで避けなければならないのが、十分な調査をせずに「情報漏えいはありません」と断言することです。

IPAの教訓集でも、情報漏えいがなかったことを証明するのは極めて困難であると指摘されています。

経営者は、調査によって確認できた事実と、まだ確認できていない事項を区別して説明する必要があります。

個人情報保護委員会への報告はいつ必要になるのか

個人情報保護法では、一定の要件に該当する個人データの漏えい等が発生した場合、または発生したおそれがある場合、個人情報保護委員会等への報告や本人への通知が義務付けられています。

報告対象となる事態を知った場合、速報は原則として速やかに行う必要があり、その目安は概ね3～5日以内です。

また、確報は原則30日以内、不正目的による漏えい等のおそれがある場合などは60日以内とされています。

ただし、すべてのセキュリティ事故で同じ報告義務が発生するわけではありません。扱っている情報の種類や事案の状況によって、報告先や必要な対応は異なります。

個人情報以外についても、業界固有の規制や取引先との契約に基づく報告義務が生じる場合があります。

経営者は法務担当者や専門家と連携し、必要な報告を適切な時期に行えるよう判断する必要があります。

調査が完全に終了するまで、すべての報告を先送りにすることは適切ではありません。

判断⑥ 攻撃者からの身代金要求にどう対応するか

ランサムウェア攻撃では、攻撃者から金銭の支払いを要求されることがあります。

「支払えばデータを元に戻す」

「支払わなければ顧客情報を公開する」

「期限までに回答しなければ要求額を引き上げる」

こうした要求を受ければ、経営者が強い心理的な圧力を感じることは想像に難くありません。

しかし、身代金を支払ったからといって、すべてのデータが復旧する保証はありません。

盗まれた情報が削除される保証もありません。

さらに、攻撃者が侵入に利用した経路や、組織内に残した不正なプログラムが解消されるわけでもありません。

JPCERT/CCは、身代金の支払いを選択するべきではないという考えを明確に示しています。

IPAの教訓集でも、被害組織へのヒアリングでは、経営層が早期に身代金を支払わないという方針を決めていたことが示されています。

経営者は攻撃者の要求に安易に応じず、警察や外部専門家に相談しながら対応する必要があります。

また、従業員やシステム担当者が独自に攻撃者と連絡を取ることも避けるべきです。

脅迫文や要求内容は、調査に必要な証拠として適切に保全します。

攻撃者からの要求には、組織として統一された方針で対応することが重要です。

判断⑦ 復旧費用、外部専門家、対外説明をどう判断するか

最後に、経営者が判断しなければならないのが、復旧に必要な経営資源の確保と対外的な説明です。

ランサムウェア被害では、通常のシステム障害とは異なる費用が発生します。

侵害調査、フォレンジック、システムの再構築、データの復元、代替業務の実施、取引先への対応などです。

その間も、人件費や設備費などの固定費は発生します。

被害が長期化すれば、売上の減少や取引先からの信用低下につながる可能性もあります。

こうした状況で、経営者が復旧費用の承認を先送りすると、必要な外部専門家への依頼が遅れることがあります。

特に中小企業では、社内だけで高度な侵害調査を実施することは困難です。

経営者は、自社で対応できる範囲を冷静に見極め、必要であれば速やかに外部の専門家へ支援を依頼する判断が求められます。

対外説明は「すべて判明してから」では遅い場合がある

もう一つ重要なのが、顧客や取引先への説明です。

例えば、システム停止によって商品の納品ができないにもかかわらず、取引先に何も説明しなければどうなるでしょうか。

取引先は、納品されるのか、いつ復旧するのか、注文情報は安全なのかといった不安を抱えます。

さらに、SNSや報道などを通じて被害の情報が先に広まれば、企業の説明姿勢そのものが問われる可能性があります。

もちろん、事実が確認できていない段階で推測を公表することも適切ではありません。

重要なのは、確認できた事実、現在調査中の事項、業務への影響、次回の情報更新予定を整理して伝えることです。

対外説明の対象や内容、時期については、契約上・法令上の義務も踏まえて判断する必要があります。

経営者には、被害を隠すことではなく、関係者に必要な情報を誠実に伝える責任があります。

ランサムウェア発生から24時間、経営者はどう動くべきか

ここまで7つの判断について説明しました。

では、実際に被害が発生した場合、どのような順番で対応を進めればよいのでしょうか。

以下は、経営者と各部門の役割を整理した初動対応の一例です。

なお、時間区分は説明のための目安であり、公的機関が定めた一律の対応期限ではありません。被害の状況によっては、複数の作業を同時に実施する必要があります。

重要なのは、この表の時間どおりにすべてを終わらせることではありません。

必要な判断を誰が行うかが明確になっていることです。

また、初動24時間で原因調査やシステム復旧が完了するとは限りません。被害の規模や調査結果によっては、数週間以上の対応が必要になることもあります。

そのため、発生直後の対応だけではなく、長期化した場合の事業継続についても考えておく必要があります。

経営者が最初に確認すべき5つの質問

ここまでの内容を踏まえ、経営者には、セキュリティ担当者や現場責任者に次の5つを確認することをおすすめします。

1. 現在、何が起きていて、どこまで被害が確認されているか

2. 被害拡大を防ぐために、今すぐ停止・隔離すべきものは何か

3. どの業務に影響があり、代替手段はあるか

4. 情報漏えいや他の組織への影響が疑われるか

5. 現場が対応を進めるために、経営者のどの判断が必要か

この5つを確認するだけでも、経営者が把握すべき情報と、担当者へ委ねるべき技術的な対応を整理しやすくなります。

ただし、ここで気をつけたいのは、担当者に何度も同じ説明を求めないことです。

緊急時には状況が刻々と変化します。

報告する時刻と報告事項を決め、技術担当者が必要な作業に集中できる環境を確保することも重要です。

ランサムウェア対策で本当に問われるのは、発生前の準備

ここまで読んで、次のように感じた経営者もいるのではないでしょうか。

「これだけのことを、被害が発生した直後に判断できるだろうか」

実際、その場ですべてを適切に判断することは簡単ではありません。

自社の重要業務が何なのか、どのシステムがどの業務に関係しているのか、復旧にどれくらいの時間が必要なのか。

こうした情報を日頃から把握していなければ、緊急時の判断は難しくなります。

また、対応手順書が存在していても、経営者がその内容を理解していなかったり、実際に訓練をしていなかったりすれば、十分に機能しない可能性があります。

そこで重要になるのが、サイバーBCPと机上訓練です。

サイバーBCPとは、サイバー攻撃によってシステムや業務が停止した場合に、重要な業務をどのように継続し、どの順番で復旧するかを定めた事業継続計画です。

ただし、計画書を作成すること自体が目的になってはいけません。

経営者がどの段階で判断するのか。

担当者にどこまで権限を与えるのか。

システムが使えないとき、現場はどのように業務を継続するのか。

これらを実際のシナリオに沿って確認し、問題点を見つけて改善することが必要です。

特に中小企業では、限られた人員で対応しなければなりません。

大企業と同じ規模の対策本部や専門部署を整備するのではなく、自社の組織規模に合った、実際に動ける体制を作ることが重要です。

よくある質問

Q. ランサムウェアが発生したら、社長は最初に何をすればよいですか？

被害の拡大防止を最優先とする方針を示し、緊急対応の責任者と連絡体制を明確にしてください。侵害された機器の隔離など緊急性の高い技術的措置は担当者に実施させ、経営者は業務停止や事業継続に関する重要事項を速やかに判断します。

Q. バックアップがあれば、すぐにシステムを復旧しても問題ありませんか？

いいえ。バックアップが安全であることや、攻撃者の侵入経路が適切に封じられていることを確認する必要があります。原因調査を行わずに復旧すると、再び侵害を受ける可能性があります。

Q. 情報漏えいが確認されていなければ、報告や公表は不要ですか？

必ずしもそうではありません。個人情報保護法では、一定の要件に該当する漏えい等のおそれがある場合にも報告義務が発生します。また、法令だけでなく、取引先との契約によって報告が必要となる場合もあります。

Q. サイバーBCPは中小企業にも必要ですか？

必要です。特に、情報システム担当者が少ない中小企業ほど、経営者の判断基準、役割分担、緊急連絡先、代替業務、復旧優先順位を事前に決めておくことが重要です。大規模な計画書である必要はなく、実際に使えることが最優先です。

最後に：サイバー攻撃への備えは、経営者が果たすべき責任

ランサムウェアの被害を完全に防ぐことは、現実的には容易ではありません。

攻撃手法は変化し、企業のネットワークやシステムも日々変わり続けています。

そのため、ウイルス対策ソフトやファイアウォールなどの導入だけで、すべての問題が解決するわけではありません。

もちろん、技術的な対策は欠かせません。

しかし、それらが適切に管理され、従業員が必要な行動を理解し、緊急時には経営者が迷わず判断できる状態になっていなければ、対策の効果は十分に発揮されません。

サイバーセキュリティは、単に製品を導入するための費用ではなく、組織を守るために果たすべき責任です。

経営者がすべての技術を理解する必要はありません。

ただし、自社の業務がどのようなシステムに依存しているのか、何が停止するとどのような影響があるのか、そして被害が発生したときに自分が何を決断しなければならないのかは、理解しておく必要があります。

本当に問われるのは、ランサムウェアの存在を知っているかどうかではありません。

明日、自社のシステムが使えなくなったとき、組織として適切に行動できるかどうかです。

サイバーBCP・インシデント対応体制の整備を支援しています

株式会社クロイツでは、医療機関や中小企業を対象に、サイバーBCPの策定・改定、インシデント対応体制の整備、机上訓練などを支援しています。

技術的なセキュリティ対策だけでなく、攻撃者の視点を踏まえた侵入リスクの確認や、従業員の行動、組織の運用体制まで含めて支援することを重視しています。

「BCPはあるが、実際に使えるか分からない」

「経営者とシステム担当者の役割が決まっていない」

「ランサムウェアが発生した場合の対応を一度確認したい」

そのような場合は、まず現在の体制を確認するところから始めることをおすすめします。

サイバーBCP策定・机上訓練支援サービス

https://kreuz-corp.co.jp/cyber-bcp-support/

参考資料・出典

本記事は、2026年10月20日時点で公開されている以下の公的情報を参考に作成しています。

1. IPA「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」Ver.1.2（2026年10月16日更新）

   https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html

2. 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月公表）

   https://www.npa.go.jp/publications/statistics/cybersecurity/

3. JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」（2026年6月18日更新）

   https://www.jpcert.or.jp/magazine/security/ransom-faq.html

4. 個人情報保護委員会「漏えい等の対応とお役立ち資料」

   https://www.ppc.go.jp/personalinfo/legal/leakAction/

5. 経済産業省「サイバーセキュリティ経営ガイドライン Ver.3.0」

   https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide3.0.pdf