「社内のサーバーがランサムウェアに感染したようです。ファイルが開けません」
ある朝、情報システム担当者からこんな報告があったとします。
社内の共有フォルダーにアクセスできない。受注システムも停止している。取引先からは業務の見通しについて問い合わせが入っている。
経営者としては、当然こう考えるでしょう。
「すぐに専門家に調べてもらわなければ」
ところが、ここで問題が起こります。
誰に連絡すればよいのか分からないのです。
普段から付き合いのあるシステム保守会社に連絡してみるものの、ランサムウェアの調査には対応していないと言われる。インターネットで専門業者を探して問い合わせても、まずは状況を確認してから見積もりを作成するという返事。
その間にも、社内では業務を再開できるのか、取引先には何を伝えるのかといった判断を迫られています。
これは決して特殊な状況ではありません。
ランサムウェア被害への対応で重要なのは、専門家を探すことではなく、被害が発生したときに専門家とすぐ連携できる状態を作っておくことです。
もちろん、事前の契約がないまま被害に遭った場合でも、専門家への相談は直ちに行うべきです。
この記事では、なぜ専門家との関係を平時から構築しておく必要があるのか、そして中小企業の経営者が具体的に何を準備すればよいのかを解説します。
2026年、ランサムウェア対策は「侵入を防ぐ」だけでは不十分
IPAが公表した「情報セキュリティ10大脅威 2026」では、「ランサム攻撃による被害」が組織向けの第1位となりました。
これで11年連続の選出です。
さらに2026年9月、IPAは国内のランサムウェア被害組織へのヒアリングを基にした「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」を公開しました。
この資料で特に注目したいのが、「セキュリティベンダーとの関係構築」という項目です。
被害が起きたとき、セキュリティベンダーには技術的な調査だけでなく、対応全体の調整や調査範囲の検討、事業継続を踏まえた助言など、多様な役割が求められます。
IPAの教訓集では、インシデント対応中にベンダーが交代した事例にも触れ、短期間で信頼関係を築くことの難しさを指摘しています。
つまり、専門家との関係構築そのものが、ランサムウェア対策の一部なのです。
最近のランサムウェア攻撃では、データを暗号化するだけでなく、事前に情報を持ち出し、その公開を材料に脅迫する手口も見られます。
また、攻撃者が暗号化を実行した時点では、すでに内部ネットワークを探索し、権限を取得し、バックアップ環境まで調査している可能性があります。
そのような状況で、初めて専門家を探し始めることが、どれほど大きな負担になるでしょうか。
参考：IPA「ランサムウェア被害から学ぶ教訓集」
https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html
被害後に専門家を探すことで生じる5つの問題
1．専門家を探している間にも被害は拡大する可能性がある
ランサムウェア感染が発覚したとき、まず必要なのは被害の拡大を防ぐことです。
しかし、何を止めればよいのか判断できない企業も少なくありません。
感染が疑われる端末だけを隔離するのか。サーバーも停止する必要があるのか。VPNを遮断すべきなのか。クラウドサービスへのアクセスは継続してよいのか。
こうした判断を誤れば、被害をさらに広げたり、重要な業務を不必要に停止させたりするおそれがあります。
専門家を探すこと自体に問題があるわけではありません。
問題なのは、必要な判断を誰もできない時間が発生することです。
事前に専門家と連携していれば、少なくとも初期段階で何を確認し、誰が判断し、何を優先すべきかについて相談できます。
2．復旧を急いだ結果、調査に必要な証拠を失う
被害が発生すると、多くの企業は一刻も早くシステムを復旧させようとします。
もちろん、事業を再開することは重要です。
しかし、原因が分からないまま端末を初期化したり、サーバーを再構築したりすることには注意が必要です。
例えば、調査に必要なログが消失すると、攻撃者がどこから侵入したのか、いつから活動していたのか、どの情報にアクセスしたのかを把握することが難しくなります。
端末の電源を切ったり再起動したりすることで、メモリ上に残っていた調査情報が失われる場合もあります。
一方、感染端末をネットワークにつないだまま放置すれば、被害拡大につながる可能性があります。
だからこそ、隔離と証拠保全の両方を考える必要があります。
フォレンジック調査とは、端末やサーバー、ログなどに残されたデジタル情報を分析し、不正アクセスの経緯や影響範囲を明らかにする調査です。
復旧作業とフォレンジック調査は対立するものではありません。
必要な証拠を保全しながら、安全な復旧を進めるために、両者を調整することが重要です。
技術担当者向けには、こうした調査の考え方を詳しく解説した『詳解 インシデントレスポンス』（オライリー・ジャパン）・『サイバー捜査・デジタルフォレンジック実務ハンドブック』（立花書房）も参考になります。
Amazonで『サイバー捜査・デジタルフォレンジック実務ハンドブック』を探す
3．専門業者ごとの対応範囲が分からない
「セキュリティの専門会社なら、すべて対応してくれる」
そう考えている場合は注意が必要です。
同じセキュリティ会社でも、得意分野は異なります。
脆弱性診断を専門とする会社、マルウェア解析を得意とする会社、デジタルフォレンジックを専門とする会社、監視やインシデント対応全体の支援を行う会社などがあります。
さらに、同じフォレンジック調査でも、対応可能なOSやクラウド環境、調査対象によって違いがあります。
被害後に初めて依頼すると、求めている支援と実際のサービスが一致しない場合があります。
それどころか、複数の業者へ個別に依頼した結果、調査範囲や責任分担が曖昧になることも考えられます。
事前に必要な支援を整理し、対応できる事業者を確認しておくことが重要です。
4．経営判断と技術的な判断が混在する
ランサムウェア被害は、情報システム担当者だけで解決できる問題ではありません。
例えば、主要な業務システムを停止させることで攻撃の拡大を抑えられるとしても、それによって受注、出荷、会計などが停止する場合があります。
このとき、担当者だけで判断してよいのでしょうか。
また、顧客情報の漏えいが疑われる場合、いつ、誰に、どこまで説明するのでしょうか。
これらは技術的な問題であると同時に、経営上の問題です。
専門家は調査結果やリスクに基づく助言を提供できますが、事業停止や再開、対外公表といった最終的な経営判断をすべて代行するわけではありません。
そのため、経営者、情報システム担当者、外部専門家の役割を平時から決めておく必要があります。
5．費用や契約条件を冷静に比較できない
通常であれば、専門会社に見積もりを依頼し、内容や費用を比較したうえで契約できます。
しかし、実際に被害が発生して業務が停止しているとき、十分に比較検討する余裕があるとは限りません。
初動調査にどこまで含まれているのか。詳細なフォレンジック調査は別料金なのか。夜間や休日には対応してもらえるのか。現地対応が必要になった場合はどうなるのか。
こうした条件を確認しないまま依頼すると、予想以上の費用が発生したり、必要な支援を受けられなかったりする可能性があります。
事前に契約条件や料金体系を確認しておくことで、緊急時の混乱を減らすことができます。
経営者が被害前に準備しておくべき7つのこと
では、実際にどのような準備が必要なのでしょうか。
すべての企業が高度なセキュリティ部門を設置する必要はありません。
中小企業の場合は、社内でできることと外部に任せることを整理し、実行できる体制を作ることが現実的です。
1．緊急時に連絡できる専門家を決める
最初に取り組みたいのが、相談先の確保です。
重要なのは、名刺を持っていることや、過去に一度相談したことではありません。
ランサムウェアや不正アクセスが疑われたときに、どのような内容を、どの連絡手段で相談できるのかを確認することです。
可能であれば、主たる相談先に加え、専門性や対応可能時間の異なる予備の相談先も検討しておきましょう。
2．社内の責任者と判断権限を明確にする
緊急時には、技術的な対応だけでなく、組織全体の調整が必要になります。
経営責任者、インシデント対応の統括担当者、システム担当者、各事業部門の責任者などの役割を整理しておきます。
特に重要なのが、システムの停止や外部公表を誰が決定するのかという点です。
経営者と連絡が取れない場合の代理判断者も決めておく必要があります。
また、メールや社内チャットが利用できなくなる可能性も考慮し、電話など別の連絡手段を確保しておくとよいでしょう。
社内の対応体制を整備するうえでは、『今からはじめるインシデントレスポンス ―事例で学ぶ組織を守るCSIRTの作り方』（技術評論社）が参考資料になります。
CSIRTとは、セキュリティインシデントへの対応を調整・実施する組織や機能のことです。中小企業では、必ずしも専任部署ではなく、兼務担当者と外部専門家を組み合わせた体制も考えられます。
Amazonで『今からはじめるインシデントレスポンス』を探す
3．保守会社とセキュリティ専門家の役割を整理する
既存のIT保守会社との関係も重要です。
ただし、通常のシステム保守と、サイバー攻撃を受けた際の専門的な調査は別の業務です。
保守会社にはシステムの構成や日常の運用状況を把握しているという強みがあります。
一方で、侵入経路の特定やフォレンジック調査などは、別の専門家が必要になる場合があります。
両者が協力できるように、役割と連絡経路を整理しておくことが望ましいでしょう。
クラウドサービスを利用している場合も同様です。
サービス提供事業者がどこまで対応し、自社が何を行う必要があるのか、責任分界を確認しておくことが大切です。
4．専門家が調査できる情報を整理する
専門家が依頼を受けても、企業のシステム構成がまったく分からなければ、調査を円滑に進めることはできません。
特に、ネットワーク構成図、サーバー・端末の管理台帳、VPNなどの外部接続点、クラウドサービスの利用状況、システムの管理者、ログの保存場所と保存期間などは、平時から把握しておきたい情報です。
これらの情報をすべて完璧に整備する必要はありません。
まずは重要なシステムから整理し、更新を続けることです。
なお、調査用の情報を準備するといっても、管理者パスワードを一覧表に平文で記載しておくべきではありません。認証情報は安全な方法で管理し、緊急時に必要な権限を付与できる手順を用意しましょう。
5．初動対応と証拠保全のルールを決める
従業員がランサムウェア感染を疑ったとき、最初に何をするのか。
これを決めておくことも重要です。
例えば、異常を発見した従業員が速やかに担当者へ報告すること、感染が疑われる端末を定められた手順でネットワークから隔離すること、画面の状態や発見時刻を記録することなどです。
一方で、自己判断による端末の初期化、ログの削除、安易な再起動や復元作業などは、調査の妨げになる可能性があります。
ただし、すべての状況で同じ操作が適切とは限りません。被害拡大防止の緊急性と証拠保全の必要性を踏まえ、事前に定めた手順や専門家の判断に従うことが基本です。
6．サイバーBCPを整備する
専門家が確保できたとしても、システムが直ちに復旧するとは限りません。
その間、企業はどうやって事業を継続するのでしょうか。
ここで必要になるのがサイバーBCPです。
サイバーBCPとは、サイバー攻撃によるシステム停止などが発生した場合でも、重要な業務を可能な限り継続し、安全な復旧につなげるための事業継続計画です。
例えば、受注システムが停止した場合の代替受付方法、メールが使えない場合の取引先との連絡方法、復旧を優先する業務、手作業に切り替える場合の運用方法などを決めておきます。
バックアップが存在していても、復旧時点の安全性が確認できなければ、すぐに利用できるとは限りません。
だからこそ、データの復元手順だけでなく、復旧までの事業継続について考える必要があります。
BCP全般の基本的な考え方を整理する資料としては、『待ったなし！BCP［事業継続計画］策定と見直しの実務必携』（経団連出版）があります。自然災害なども対象とした書籍ですが、重要業務の継続や代替手段の検討に役立つ考え方を学べます。
サイバー攻撃を想定した具体的なBCPの整備や机上訓練については、弊社の支援サービスでもご相談を承っています。
7．専門家を交えた机上訓練を実施する
連絡先を決め、対応手順を作成したとしても、それだけで十分とはいえません。
実際にインシデントが発生したとき、想定したとおりに対応できるのかを確認する必要があります。
例えば、「月曜日の朝、社内の複数サーバーでランサムウェア感染が確認された」という状況を設定し、対応を検討する机上訓練が考えられます。
経営者は何を判断するのか。システム担当者は何を確認するのか。外部専門家には誰が連絡するのか。事業を停止する場合は誰が決定するのか。
こうした訓練を実施すると、文書を作成しただけでは分からなかった問題が見えてきます。
特に外部専門家が参加すれば、技術的な観点から手順や判断基準を見直すこともできます。
年に一度でも実際に動きを確認し、必要な改善を繰り返すことが重要です。
専門家との契約は必要？費用をかける前に確認したいこと
ここまで読んで、「専門家と常時契約しなければならないのか」と思われた方もいるかもしれません。
必ずしもそうではありません。
企業の規模やシステムの重要性、内部の対応能力によって、必要な支援は異なります。
例えば、定期的なセキュリティ相談を受けながら事前準備を進める方法もありますし、緊急時の対応条件を定めた待機契約を結ぶ方法もあります。
ただし、相談契約と緊急対応契約は同じではありません。
月額料金を支払っているからといって、24時間365日の対応、現地への駆けつけ、フォレンジック調査などがすべて含まれているとは限りません。
契約前には、少なくとも次の事項を確認しておきましょう。
-
緊急連絡の受付時間と連絡方法
-
初回応答の目安と、現地対応の可否
-
初動助言、調査、復旧支援それぞれの対応範囲
-
待機費用と実際の対応費用の区分
-
ログや証拠の取扱い、秘密保持、再委託の条件
-
保守事業者や他の専門会社との連携方法
-
担当者不在時や同時多発的な被害発生時の対応方針
特に注意したいのが、待機費用と調査費用の違いです。
緊急時に相談できる体制を確保するための費用と、実際にフォレンジック調査や復旧作業を行う費用は、別々に設定されている場合があります。
また、サイバー保険に加入している場合は、保険会社が指定する事故対応窓口や事前承認の条件についても確認しておきましょう。
大切なのは、契約しているという安心感ではなく、実際に何をしてもらえるのかを理解しておくことです。
すでに被害が発生している場合はどうすればよい？
ここで一つ、誤解のないようにお伝えしておきたいことがあります。
この記事の「被害後に専門家を探してはいけない」という表現は、被害後に専門家へ依頼してはいけないという意味ではありません。
事前の相談先が決まっていない状態で被害が発生した場合は、速やかに専門家や公的相談窓口に連絡するべきです。
2026年10月、IPAは不正アクセス被害を受けた、またはその可能性がある企業・組織を対象とする特別相談窓口を公開しています。
被害状況の確認、応急処置に関する助言、専門業者に関する情報提供などを受けることができます。
IPA 不正アクセス特別相談窓口（事業者向け）
電話：03-6759-5760
受付：平日9時30分～17時30分（12時～13時を除く）
https://www.ipa.go.jp/security/support/incident-support.html
ただし、こうした公的相談窓口が、個別企業のシステム調査や復旧作業をすべて代行するわけではありません。
また、情報漏えいが疑われる場合には、被害の内容に応じて警察、個人情報保護委員会、関係する行政機関などへの相談・報告も検討する必要があります。
法令上の報告義務や期限については、事案ごとに確認することが重要です。
よくある質問
Q．中小企業にもランサムウェア対応の専門家は必要ですか？
はい。必ずしも専任の専門家を雇用する必要はありませんが、社内で対応できない調査や判断について、外部へ相談できる体制を整えておくことが望ましいでしょう。
特に、情報システム担当者が兼務である企業では、緊急時の技術的な判断や調査を社内だけで完結することが難しい場合があります。
Q．普段のシステム保守会社では対応できませんか？
保守会社の対応範囲によります。
通常の障害対応やシステム復旧に加え、セキュリティインシデント調査まで対応できる事業者もありますが、すべての保守会社がフォレンジック調査やマルウェア解析を提供しているわけではありません。
契約内容を確認し、必要に応じて専門事業者との連携体制を用意することが重要です。
Q．専門家との契約以外に、最低限何を準備すればよいですか？
緊急連絡先、責任者と判断権限、重要システムの情報、初動対応手順、業務継続の代替手段を整理することから始めましょう。
これらが整っていれば、外部専門家へ依頼する際にも必要な情報を伝えやすくなります。
まとめ｜被害が起きる前に、相談できる関係を作る
ランサムウェア対策というと、ファイアウォール、EDR、バックアップなどの技術的な対策に注目が集まりがちです。
もちろん、これらは重要です。
しかし、どれほど優れた製品を導入していても、すべての攻撃を防げるわけではありません。
万が一被害が発生したとき、被害を拡大させないために何をするのか。どの業務を優先するのか。誰に相談し、誰が判断するのか。
これらが決まっていなければ、適切な対応は難しくなります。
セキュリティ対策は、製品を導入して終わるものではありません。
社内の担当者が判断できる環境を整え、必要な場面で専門家の支援を受けられる体制を作り、継続して改善していくことが重要です。
専門家が必要になるのは被害が起きたとき。しかし、専門家との関係を作っておくべきなのは、何も起きていない今なのです。
株式会社クロイツの情報セキュリティ支援
株式会社クロイツでは、中小企業や医療機関を対象に、攻撃者の視点と現場の運用を踏まえた情報セキュリティ支援を行っています。
情報資産の整理、脆弱性管理、インシデント対応体制の整備、サイバーBCPの策定・訓練など、組織の状況に応じて必要な対策を検討します。
特定の製品を導入することを目的とせず、今ある環境や既存の保守事業者との関係も踏まえ、無理なく継続できる対策を重視しています。
「何を準備すればよいのか分からない」
「現在の保守契約だけで十分なのか確認したい」
「万が一の際に相談できる専門家を確保しておきたい」
そのような段階でも構いません。
被害が発生する前に、自社の対応体制を一度確認してみませんか。
参考資料
-
IPA「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」（2026年9月8日公開、10月16日更新）
https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html
-
IPA「情報セキュリティ10大脅威 2026」
-
IPA「不正アクセス対策特設サイト」（2026年10月16日公開、10月26日更新）
https://www.ipa.go.jp/security/support/incident-support.html
-
IPA「中小企業のためのセキュリティインシデント対応の手引き」
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf