3つの事例で見るランサムウェア感染後の対応――復旧が長引く会社・早く事業を戻せる会社の違いとは

「バックアップは取っているから大丈夫」「EDRを導入したから安心」――こうした認識だけでは、ランサムウェアによる事業停止は防ぎきれない時代です。

ランサムウェアとは、端末やサーバーに保存されたデータを暗号化し、復号と引き換えに身代金を要求するサイバー攻撃です。

ランサムウェア感染のニュースを耳にする機会は多いですが、感染後の被害規模や復旧期間は、一律ではありません。
同じようにサイバー攻撃を受けても、数日で主要業務を再開できる企業もあれば、復旧に数週間から数カ月を要し、現場・顧客・取引先へ長期的な影響を及ぼす企業もあります。

その差を生むのは、一体どこでしょうか？

本記事では、実際の事例を確認しながら、感染後の対応や各事例から分かることを整理し、被害の大きさや復旧の早さを左右する要素について解説します。

事例1：通常診療の再開に約2カ月を要した背景――半田病院のランサムウェア被害から見る復旧の複雑性

被害の概要と復旧までの経緯

つるぎ町立半田病院(以下、半田病院)では、2021年10月31日未明、院内のプリンターから脅迫文が印刷され、その後、電子カルテを含む院内システムが利用できなくなりました。

患者情報の確認や診療記録の入力、医事会計など、通常の業務をシステム上で行えない状態となり、病院の診療や運営に甚大な影響を与えました。

病院は災害対策本部を設置し、被害の拡大を防ぐための対応と、診療を継続するための代替運用を開始しました。
電子カルテが使えない間は、災害時の運用を想定して準備していた紙カルテなどを活用し、診療を一部継続したのです。

復旧にあたっては、感染したシステムの調査・復旧を進める一方、早期に診療環境を取り戻すため、レンタルサーバー上に同じ電子カルテシステムを再構築しました。
その後、診療科や業務の安全性を確認しながら段階的に再開し、2022年1月4日に通常診療を再開しました。攻撃発生から通常診療の再開までには、約2カ月を要しています。

ただし、通常診療の再開後も、システム停止中に紙で作成した診療記録を電子カルテへ入力する作業や、遅れていた診療報酬請求などの処理が残りました。

つまり、システムが復旧した時点では、すべての業務が元へ戻ったわけではなかったのです。

攻撃による業務被害

電子カルテを閲覧できない間、病院では、災害時に使用する予定だった紙カルテを使って診療を行いましたが、紙カルテによる運用は、電子カルテが使える通常時と同じではありませんでした。

診療に必要な情報を確認するため、院内に保存されていた入院時の患者プロファイル、病棟の申し送り資料、各診療科の手術簿などの紙資料が活用され、それだけでは情報が足りない場合には、患者が持参したお薬手帳や母子手帳なども活用しました。
また、医事会計システムも停止していたため、2021年10月から12月までの診療報酬を通常どおり請求できない状況でした。

2022年1月4日に電子カルテが復旧した後は、システム停止中に紙で作成した診療記録を、復旧した電子カルテへ手入力する必要がありましたが、紙カルテは2021年11月から12月までで約5,000冊に及び、その入力と診療報酬請求は、通常診療が再開した後も継続しました。

つまり、システムが復旧して診療を再開できても、停止中に蓄積した記録や処理を元に戻す作業が残ったことになります。

侵入経路

2022年6月7日に半田病院が設置した有識者会議の調査報告書によれば、医療ネットワークにおいては外部との電子メールを使用していないことを根拠として、「メンテナンス等を行う際に接続するVPNのみが侵入経路と考えられる」としています。

また、その裏付けとしてVPNの管理者の資格情報がダークウェブで公開されていることを挙げています。

侵入後は、攻撃者によるActive Directoryサーバーへのログオンが発生するなど、深い層まで侵入したことが明らかになっています。

この事例から分かること

本コラムは、半田病院の対応を単純に評価するためのものではありません。
この事例は、安全と思われているシステムでも攻撃に晒されうること、重要なシステムが停止した場合、システムを復旧させるだけでは、組織の活動がすぐに元へ戻るわけではないことを示しています。

システムが使えない間も、優先すべき業務を継続するために、紙、電話、手作業、代替端末などを組み合わせた対応が必要になります。
また、システムが復旧した後も、停止中に作成した記録や蓄積した情報を整理し、復旧した環境へ戻す作業が残ります。

そのため、平時から次の点を注意することが重要です。

• 外部と接続している面の整理
• 外部接続面の脆弱性確認とパッチの適用
• システムが停止した場合でも、最低限継続しなければならない業務は何か
• 紙、電話、手作業、代替端末など、どの代替手段を使うか
• システムを再開する条件と、再開する順番をどう定めるか
• 停止中に作成した記録やデータを、復旧後にどのように整理・入力するか

つまり、サイバー攻撃対策は、攻撃を防ぐことやバックアップを保存することだけではありません。

システムが使えなくなった場合に重要な業務をどう継続するのか、どの条件を満たせば安全に再開できるのか、そして再開後に残る記録整理や確認作業をどう完了させるのかまで、あらかじめ設計しておく必要があります。

半田病院の事例が示しているのは、システムの復旧と、業務を元の状態に戻すことは別の作業であり、その間をつなぐ代替手段と、復旧後に残る影響まで検討する必要があるという点です。

参考：
つるぎ町立半田病院・有識者会議調査報告書
IT-BCP 中小病院編

事例2：早期にネットワークを遮断しても、事業復旧には時間がかかる――アサヒグループの事例

被害の概要と復旧までの経緯

アサヒグループホールディングス株式会社(以下、アサヒグループ)では、2025年9月29日午前7時ごろ、システム障害が発生し、暗号化されたファイルが確認されました。

午前11時ごろには、被害の拡大を防ぐため、ネットワークの遮断とデータセンターの隔離を実施しました。
リモートアクセスVPN、拠点間ネットワーク、クラウド間の専用通信なども切断され、データセンター内のシステムは攻撃の被害拡大を食い止めるために停止することになりました。

ネットワークを遮断した後は、外部専門家によるフォレンジック調査を行い、どのシステムが影響を受けたのか、攻撃者がどこまで侵入した可能性があるのか確認がすすめられました。

復旧については、バックアップの健全性を確認したうえで、安全性が確認されたデータから復旧を開始しました。サーバーを再構築し、再構築後の健全性を確認したうえで、システムや外部接続も段階的に再開しています。

受注・出荷に関わるシステムは停止を余儀なくされ、アサヒグループは一部の受注・出荷を手作業で継続しました。その後、2025年12月から電子受注システムによる受注を再開し、安全性を確認したシステムから段階的に業務を戻していきました。

配送のリードタイムを含む物流業務全体は、2026年2月までに正常化しました。
一方、出荷可能な商品の品目数はその後も段階的に拡大され、アサヒビールでは、2026年4月7日の出荷をもって出荷再開商品の追加が終了しました。

このため、物流機能の正常化は2026年2月、商品供給面の復旧の区切りは2026年4月と考えると、攻撃発生から商品単位の出荷再開が完了するまでには、約6カ月を要しました。

攻撃による業務被害

システム停止中は、受注と商品出荷に関わるシステムが利用できなくなりました。

受注や出荷の処理は通常のシステムではなく、手作業で対応することとなり、注文内容の確認、在庫の把握、出荷指示、物流事業者との連絡などを個別に処理するため、通常よりも多くの確認作業が必要になります。
また、システムが復旧しても、すぐにすべての商品を通常どおり出荷できたわけではありません。

商品、事業会社、拠点、物流事業者ごとに、安全なデータ連携が可能か、在庫や受注情報に不整合がないかを確認しながら業務復旧を進めたので、出荷対象は段階的に増やしていく方法となりました。

侵入経路

2025年11月27日に開かれた記者会見では、「システム障害発生の約10日前に、グループ内の拠点にあるネットワーク機器を経由してアサヒグループのネットワークに侵入し、主要なデータセンターに入り込んだ」ことが発表されており、再発防止策として「リモートアクセスVPN装置の全面廃止」が掲げられています。

また、「侵入されたアクセス権を認証するサーバーからランサムウェアが一斉に実行された」と語られており、パスワードの脆弱性を突いて管理者権限が奪取されたことも発表しています。

この事例から分かること

本コラムは、アサヒグループの対応を単純に評価するためのものではありません。
この事例は、ネットワークを早期に遮断できたとしても、物流や外部連携を含む事業全体を通常化させるには、複数の工程と関係者間の調整が必要になることを示しています。

そのため、平時から次の点を具体的に決めておくことが重要です。

• 受注、在庫、出荷、配送、請求などに関わるシステムと外部接続先はどこか
• 管理者権限アカウントのパスワード管理、強化
• システムを再接続する順番と、安全確認の条件は何か
• 取引先や物流事業者との連携をどのように再開するか
• システム停止中に、現場作業をどこまで手作業で補えるか
• 商品・拠点・事業会社ごとの復旧優先順位をどう定めるか

つまり、サイバー攻撃対策は、ネットワークを遮断する手順やバックアップを保管することだけではありません。
遮断した後、どの業務を、どの関係者と、どの順番で再開するのかまで設計しておくことが必要です。

アサヒグループの事例が示しているのは、封じ込めに成功しても、物流・外部連携・事業全体の正常化には別の時間と準備が必要になるという点です。

参考：
サイバー攻撃被害の再発防止策とガバナンス体制の強化について
※動画：【ノーカット】サイバー攻撃でアサヒが会見 191万件情報漏えい恐れ

事例3：業務は早期復旧も、インシデント対応は終わらない――ニチレイの事例

被害の概要と復旧までの経緯

株式会社ニチレイ(以下、ニチレイ)では、2026年7月13日にシステム障害が発生しました。その後の調査により、同社のサーバーがサイバー攻撃を受けたことが確認されています。

ニチレイは発生当日に緊急対策本部を設置し、さらなる被害の拡大を防ぐため、グループで使用しているシステムの遮断措置を講じました。

この影響により、ニチレイロジグループ各社の冷蔵倉庫における入出庫業務や、ニチレイフーズの冷凍食品出荷業務に影響が生じたのです。

外部のセキュリティ専門会社と連携し、安全対策と調査を進めながら、7月17日から影響を受けた業務を順次再開しました。

7月22日の続報では、入出庫業務および冷凍食品出荷業務について、全拠点を通常稼働へ移行する予定が示され、7月24日には受発注制限が解除され、影響を受けた業務が通常稼働へ移行したとされています。

発生から影響業務の全面的な再開まで、約11日間です。

攻撃による業務被害

システムの遮断により、冷蔵倉庫の入出庫業務や冷凍食品の出荷業務に影響が生じました。

また、業務再開後もしばらくは受発注制限が設けられており、通常時と同じ条件で、すべての受注・出荷を処理できる状態ではありませんでした。

業務は一度に全面再開するのではなく、安全対策を講じたうえで、対象業務や拠点を順次戻す形で進められたのです。

なお、ニチレイの公式発表では、システム停止中にどのような手作業や代替システムを使って受発注・出荷を処理したのかまでは明らかにされていません。

さらに、業務が通常稼働へ移行した後も対応は終わらず、サイバー攻撃を受けたサーバーの一部に従業員情報が保管されていたために、一部の従業員情報について漏えいの恐れがあることが公表されています。
不正利用の事実は確認されていませんが、外部専門会社による調査、システム強化、監視体制の強化は継続しています。

侵入経路

「RansomHouse」を名乗るハッカー集団がニチレイへの攻撃を主張しており、ニチレイはサイバー攻撃を受けたことを確認していますが、本内容についての調査情報は被害拡大防止のためとして公表しておらず、さまざまな情報は憶測の域を出ません。

この事例から分かること

本コラムは、ニチレイの対応を単純に評価するためのものではありません。
あわせて、公式発表ではランサムウェアによる被害だともされてはおりません。

この事例は、発生当日にシステムを遮断し、外部のセキュリティ専門会社の協力を得ながら段階的に業務を再開できたとしても、業務の復旧と、情報漏えいの調査・再発防止に向けた対応は、必ずしも同じ時点で完了するものではないことを示しています。

そのため、平時から次の点を具体的に決めておくことが重要です。

• サイバー攻撃やシステム障害が発生した際に、どのシステムをどの範囲で遮断するか
• 影響を受けた業務や拠点をどのように特定し、優先順位を付けるか
• 社内の対応部門、経営層、外部の専門会社がどのように連携するか
• 受注、入出庫、出荷などの業務を、どの条件を満たしたうえで段階的に再開するか
• どんなバックアップを取得し、どのように復旧させるか
• 業務再開後のログ・データの調査、情報漏えいへの対応、関係者への説明、監視強化を誰がどのように進めるか

サイバー攻撃対策は、システムを遮断する手順やバックアップを保管することだけではありません。
遮断した後、どの業務を、どの関係者と、どの順番で再開するのかに加え、業務再開後にどのような調査・説明・監視を継続するのかまで設計しておくことが必要です。

ニチレイの事例が示しているのは、早期の封じ込めと段階的な業務復旧によって事業を再開できても、情報保護・原因調査・再発防止には、別の時間と対応が必要になるという点です。

参考：
ニチレイ「当社グループでのシステム障害発生について（第1報）」
ニチレイ「当社グループでのシステム障害発生について（第2報）」
ニチレイ「当社グループでのシステム障害発生について（第3報）」
ニチレイ「当社グループでのシステム障害発生について（第4報）」
ニチレイ「当社グループでのシステム障害発生について（第5報）」
ニチレイ「当社グループでのシステム障害発生について（第6報）」

3つの事例から分かること

半田病院、アサヒグループ、ニチレイの3事例は、いずれもサイバー攻撃によって重要なシステムが利用できなくなり、通常通りの業務遂行が不可能となった事例です。

一方で、復旧において直面した課題は同じではありません。

半田病院では、電子カルテが停止したことで、電子カルテ以外で確認できる診療情報を用いながらどう患者の安全を守るかが課題になりました。
アサヒグループでは、システム停止中の受注・出荷を補いながら、複数の事業会社や物流事業者との連携を段階的に戻す必要がありました。
ニチレイでは、影響を受けた業務を比較的短期間で再開した後も、個人情報の漏えいの恐れに関する調査や監視体制の強化が続いています。

この違いから分かるのは、サイバー攻撃への対応には、単一の「復旧手順」だけでは不十分だということです。

必要になるのは、次の4段階を一体として設計することです。

1. 被害を広げないために、どこを遮断するか
2. システム停止中に、重要業務をどう継続するか
3. 安全性を確認しながら、どの業務から復旧するか
4. 業務再開後も、調査・説明・監視をどう続けるか

したがって、「全面復旧まで何日かかったか」だけで事例を比較するべきではありません。

診療、受注、出荷、入出庫など、自社にとって止められない業務を特定し、システムが使えない場合の代替手段、安全な復旧条件、復旧後に残る調査や説明責任まで、平時から決めておく必要があるのです。

ランサムウェア感染後の被害を分ける、6つのポイント

半田病院、アサヒグループ、ニチレイの事例から分かるのは、サイバー攻撃の被害では、感染や侵入そのものだけでなく、被害発生後にどれだけ早く、安全に事業を立て直せるかが重要だということです。

ランサムウェアなどのサイバー攻撃を受けることを前提に、被害の拡大を抑え、重要な業務を継続・復旧させる力は、近年「サイバーレジリエンス」と呼ばれています。

サイバーレジリエンスは、侵入を防ぐためのセキュリティ対策だけを指す言葉ではありません。異常を検知し、被害を封じ込め、安全な環境を再構築し、優先順位を付けながら事業を通常化させるまでの総合的な対応力を意味します。

では、実際に被害の大きさや復旧の早さを左右するのは、どのようなポイントでしょうか？本コラムでは、そのポイントを6つ取り上げます。

ポイント1：異常を検知して、すぐに切り離せるか

感染の疑いがある端末やサーバーを、ネットワークから速やかに隔離できるかは、被害の拡大を防ぐうえで重要です。

必要に応じて、VPN、拠点間接続、クラウドサービスとの連携なども停止しなければならない場合もあります。
業務への影響を考えると、接続を止める判断は容易ではありませんが、判断が遅れると、攻撃者が別の端末やサーバーへ侵入し、暗号化や情報窃取の範囲が広がる恐れがあります。

平時から、「誰が止める判断を行うのか」「深夜・休日に誰へ連絡し、どのように意思決定するのか」を明確にしておく必要があるでしょう。

ポイント2：ネットワーク内での横展開を防げるか

一つの端末が侵害された場合でも、重要なシステムやバックアップ環境まで被害が広がらなければ、復旧方法の選択肢は大きく残ります。

そのためには、一般端末、重要サーバー、バックアップ環境を同じネットワーク上に置かないことや、利用者・管理者の権限を必要以上に広げないこと、デフォルトパスワードを使用しない、などが重要です。
古いVPN機器や不要な外部公開機器が残っていないか、多要素認証が設定されているか、EDRやログ監視によって不審な挙動を把握できるかも確認が必要です。

侵入を完全に防ぐことは難しくても、攻撃者が組織内を自由に移動できない構成にしておくことが被害の規模を左右するでしょう。

ポイント3：バックアップを「安全に復元」できるか

バックアップは、保存しているだけでは十分とはいえません。

本番環境と同じネットワーク上にあるバックアップは、攻撃者によって削除・暗号化される可能性があります。
もしバックアップデータ自体に不正なプログラムや改ざんされたデータが含まれていると、そのまま復元することはできません。

重要なのは、バックアップが本番ネットワークから分離されていること、書き換え不可能な不変の（イミュータブル）バックアップを取得することに加え、実際に復元できること、復元後に安全に業務利用できるかを確認しておくことです。

復元に必要な手順、権限、媒体、担当者を整理し、定期的に復元テストを行うことが、復旧期間を短縮する土台となるでしょう。

ポイント4：優先順位を決めて復旧できるか

被害後に、すべてのシステムを同時に元へ戻すことは現実的ではありません。

受注、出荷、顧客対応、会計、社内連絡など、自社にとって止まると影響の大きい業務を整理し、どの順番で復旧させるかを平時から決めておく必要があります。

このとき重要になるのが、RTO（Recovery Time Objective：目標復旧時間）とRPO（Recovery Point Objective：目標復旧時点）です。
RTOは「業務やシステムをどの程度の時間内に復旧させる必要があるか」という、業務再開までの時間、RPOは「障害発生時にどの時点までのデータを復元できれば許容できるか」という、どこまで過去のデータを復元させるか、です。

これらは情報システム部門(情シス部門)だけで決めるものではありません。
事業への影響を踏まえ、経営層と現場部門が十分に議論し、合意しておくべき判断です。

ポイント5：システムが止まっても事業を継続できるか

システムの復旧には時間がかかることがあります。
その間も事業を完全に止めずに済むよう、代替手段を準備しておくことが重要です。

紙、電話、CSV、代替端末などを使い、受注、出荷、顧客対応などをどこまで継続できるのかを具体的に検討します。
手作業による運用には、処理量や正確性の面で限界があるので、実際に運用できる手順になっているか、訓練を通じて確認しておく必要があるでしょう。

また、顧客・取引先への連絡テンプレートや、広報、法務、経営、情シス、現場による対策本部の役割分担も欠かせません。

ITインフラを復旧する計画だけでなく、システムが止まっている間に業務をどうつなぐかを考えておくことが重要です。

ポイント6：有事に必要な情報・専門家・意思決定者へ、すぐに到達できるか

ランサムウェア被害では、技術的な対策があっても、必要な情報を関係者にすぐ展開できなければ、復旧作業を始めることができません。

たとえば、どの端末、サーバー、クラウドサービスが存在するのか。どのシステムが、どのネットワーク、ID、バックアップに依存しているのか。重要業務、重要データ、委託先はどれか。
こうした情報が整理されていなければ、被害発生後に影響範囲や復旧の優先順位を判断するまでに時間がかかります。

あわせて、ネットワーク遮断や復旧順序を誰が決めるのか、調査会社、保険会社、ベンダー、法務、広報へどのように連絡するのかも明確にしておく必要があります。
確認すべきログがどこにあり、どの期間まで保存されているかを把握していなければ、原因調査にも支障が出てしまいます。

つまり、有事に備えるとは、セキュリティに関する製品やサービスを導入することだけではありません。
必要な情報、権限を持つ意思決定者、外部の専門家に、迷わず到達できる状態をつくることです。

サイバー攻撃を未然に防ぐことは極めて重要ですが、攻撃を受けても混乱を最小限に抑え、重要な業務を守りながら復旧へ進むための備えも同様に重要です。

被害後の対応を「そのときに考える」状態から、平時に決め、試し、改善する状態へ変えられるかどうかが、復旧の早さと被害の大きさを分けるのです。

ランサムウェア感染後の対応：最初の72時間を目安にやるべきこと・避けるべきこと

ランサムウェア感染が疑われる場面では、最初の目安72時間の判断が、被害の広がりと復旧までの時間を大きく左右する可能性があります。

この章では、感染発覚直後から最初の72時間を「発覚直後」「初動」「事業影響の整理」という3段階に分けて、対応を整理します。この「72時間」は、初動対応を整理するための目安であり、実際の対応は被害範囲や業務の性質、専門家の助言に応じて変わります。

重要なのは、早くシステムを動かすことだけではありません。
被害範囲を広げず、証拠を保全し、安全な環境で事業を再開するために、時系列に沿って対応を進める必要があります。

発覚直後：0～1時間

まず行うべきことは、感染が疑われる端末をネットワークから隔離することです。
LANケーブルを抜く、Wi-Fiを切断するなどして、ほかの端末やサーバー、共有フォルダへの被害拡大を防ぎます。

一方で、電源断や再起動は安易に行わないほうがよい場合があります。メモリ上の情報やログなど、原因調査や被害範囲の確認に必要な証拠が失われる可能性があるためです。
端末の状態や状況に応じた判断が必要となるため、情シス部門や外部の専門家へ速やかに相談します。

同時に、情シスの責任者、経営責任者、インシデント対応の支援先へ連絡します。
被害端末、発覚時刻、画面に表示された内容、ネットワークへの接続状況、直前に行った操作などを記録しておくことも重要です。

初動では、推測で状況を断定するよりも、確認できた事実を残すことが優先されます。

初動：1～24時間

次に、被害がどこまで広がっている可能性があるかを確認します。
感染端末だけでなく、同じネットワークに接続されている端末やサーバー、VPN、共有フォルダ、クラウドサービス、管理者アカウントなども対象になります。

必要に応じてネットワークを遮断し、認証情報を保護します。特に、特権IDや管理者権限を持つアカウントが侵害されていないかは重要なポイントです。
攻撃者が有効な認証情報を取得している場合、表面的には復旧したように見えても、再び侵入される恐れがあるためです。

バックアップについても、すぐに本番環境へ戻すのではなく、まず保護と健全性確認を行います。
攻撃者による削除・暗号化の影響を受けていないか、不正なプログラムや改ざんされたデータが含まれていないかを調査する必要があるでしょう。

この段階で、外部専門機関によるフォレンジック調査の検討を開始し、警察、IPA、個人情報保護委員会などへの相談・報告が必要であるかも確認します。
個人データの漏えいまたは漏えいの恐れがある場合は、法令上の報告対象事態に該当するかを確認し、必要に応じて個人情報保護委員会などへの報告や本人通知を行います。業種によって報告先が異なる場合もあるため、法務や専門家に相談しながら判断します。

情報漏えいの有無や対象情報の内容によって対応が異なるため、早い段階で法務・広報も含めた体制を整えることが重要です。

事業影響の整理：24～72時間

24時間を過ぎると、技術的な調査と並行して、事業への影響を整理します。
どの業務が止まっているのか、受注、出荷、顧客対応、会計、社内連絡などにどの程度の影響が出ているのかを把握し、代替手段を発動します。

すべてのシステムを同時に戻すことは現実的ではありません。
事業への影響が大きい業務から優先順位を付け、どのデータ、どのシステム、どの連携先から復旧させるかを決めます。

また、顧客、取引先、従業員への説明方針もこの段階で検討します。
ただし、調査が終わっていない段階で「情報漏えいはない」「復旧は完了した」と断定することは避けるべきでしょう。
確認できた事実、現在調査中の事項、今後の連絡方針を分けて整理する必要があります。

復旧を始める際も、侵入経路や認証情報、ネットワーク設定などを見直し、再感染を防ぐ対策を実装したうえで段階的に進めましょう。

上記がランサムウェア感染発覚～72時間以内に推奨される対応の流れです。
最初の72時間に必要なのは、復旧を急ぐことではなく、被害を広げず、安全な復旧の土台をつくることです。

平時から連絡先、遮断権限、復旧順序、代替業務の手順を決めておくことは、被害時の混乱を抑え、サイバーレジリエンスを高めることにつながります。

また、推奨される対応がある一方で、初動で避けるべき行動もあります。
被害を急いで収束させようとする判断が、証拠の消失、被害の拡大、再感染、誤った対外発信につながる恐れがあるためです。

避けるべき行動

• 感染端末を「とりあえず」再起動する
• 被害範囲を確認せず、バックアップを本番環境へ戻す
• 現場判断で攻撃者との連絡や身代金交渉を始める
• 情報漏えいの有無を確認しないまま、根拠のない対外発信を行う
• 早期復旧を優先し、侵害された環境を十分な確認なしに再利用する

これらに共通するのは、十分な調査や判断を経ないまま、復旧・交渉・情報発信を急いでしまっていることです。

ランサムウェア被害では、早く動くことよりも、「誰が、どの情報を基に、どの範囲まで判断できる状態にあるか」が、その後の被害と復旧の質を左右します。

そのため、被害を最小化するためには、感染後の対応手順だけでなく、平時から調査・判断・復旧に必要な情報、権限、連絡体制を整えておく必要があります。

「サイバーレジリエンスが高い」体制を構築して、ランサムウェア対策を進めよう

前章で挙げた「避けるべき行動」は、担当者の注意不足だけで起こるものではありません。

有事に必要な情報が見つからない。ネットワークを止める権限を持つ人と連絡が取れない。バックアップはあるものの、どこにあり、誰が、どの手順で復元するのか分からない。
こうした状態下で、現場は限られた情報の中で判断せざるを得ません。

ランサムウェア対策というと、EDRや多要素認証、バックアップといったツール・技術の導入が注目されがちです。これらはもちろん重要な対策です。

しかし、被害を最小化するために必要なのは、技術を導入することだけではありません。

感染が疑われたときに影響範囲を調査できることや、業務への影響を踏まえて、誰が止める・復旧する判断をするか決まっていること。
そして、安全を確認しながら重要な業務を再開できることです。

目指すべきは「攻撃を受けない会社」だけではなく、攻撃を受けた場合にも混乱を抑え、事業を立て直せる会社、つまり「サイバーレジリエンスが高い」会社です。

「サイバーレジリエンスが高い」会社の体制例を対策と備えに分けて挙げました。
以下の項目を、自社で実際に動かせる状態にあるかという観点で確認してみましょう。

技術対策

• VPN、リモートアクセス機器、公開サーバーを棚卸しし、不要なものを停止している
• 利用中の機器・ソフトウェアについて、脆弱性情報を確認し、必要な更新を行う運用がある
• 管理者アカウントやリモートアクセスに多要素認証（MFA）を導入している
• 特権IDを必要最小限にし、誰がどの権限を持つか把握している
• EDRやログ監視により、不審な操作や端末の異常を把握できる
• 一般端末、重要サーバー、バックアップ環境を必要に応じて分離している
• バックアップを、攻撃者から容易に到達・変更・削除されない構成で保管し、世代管理や不変性を確保している
• バックアップから実際に復元する訓練を行っている

特にバックアップは、「取得している」だけでは不十分です。
攻撃を受けた環境から切り離されているか、削除や暗号化の影響を受けにくいか、復元に必要な時間や手順を把握しているかまで確認する必要があるでしょう。

運用・組織対策

• インシデント対応の責任者と、ネットワーク遮断・復旧順序を判断する意思決定者が明確になっている
• 深夜・休日を含めて使える24時間の連絡網がある
• 情シス、経営、法務、広報、現場部門を含む対策本部の役割分担が決まっている
• 調査会社、フォレンジック支援先、保険会社、ベンダーなど、外部関係者の連絡先と依頼方法を確認している
• 自社のリスクに応じた頻度で、机上訓練または復旧訓練を実施している
• 委託先やグループ会社を含め、求めるセキュリティ基準を整理している

被害発生後は、情シス部門だけでは判断できない課題が次々に生じます。
事業を止める判断、取引先への連絡、個人情報や契約上の対応、従業員への周知などは、経営・法務・広報・現場部門が関わる問題です。

そのため、平時から「誰が何を判断するのか」を決め、実際に連絡・協議できる体制をつくっておくことが重要になります。

経営対策

• 重要業務ごとに、RTOとRPOを設定している
• システム停止時に、受注、出荷、顧客対応、会計などをどう代替運用するか明文化している
• 事故発生時の対外コミュニケーション方針を整理している
• 復旧費用だけでなく、事業停止による損失や信用低下の影響も含めてリスクを評価している

例えば、受注や出荷に関わる業務と、数日停止しても直ちに大きな影響が出ない業務では、求められる復旧速度が異なります。
すべてを同じ優先度としてしまうと、かえって復旧の判断が遅れることがあります。

何を優先し、どこまでの停止やデータ損失を許容できるかは、情シス部門だけで決められるものではありません。
事業への影響を理解する経営層・各部門が十分に議論し、合意しておくべき経営判断です。

フォレンジック・初動対応の備え

• IT資産台帳、ネットワーク構成図、システム一覧を最新の状態に保っている
• 各システムが、どのネットワーク、ID、外部サービス、委託先に依存しているか把握している
• ログの取得場所、保管期間、閲覧できる権限者を把握している
• バックアップの対象、保管場所、復元手順、担当者を文書化している
• インシデント初動フローと、経営層を含む連絡網がある
• 外部の調査・フォレンジック支援先について、緊急時の連絡・依頼方法を確認している
• 自社のリスクや業務特性に応じた頻度で、定期的に机上訓練または復旧訓練を実施している

ランサムウェア被害では、発生直後から「どこまで侵害されている可能性があるか」「何を止めるべきか」「何を優先して戻すべきか」を判断しなければなりません。

このとき、資産台帳や構成図、ログの情報が古い、あるいは見つからない状態では、調査そのものを始めるまでに時間がかかります。
外部の専門家に支援を依頼する場合にも、必要な情報を提供できなければ、影響範囲の確認や復旧方針の策定は遅れます。

被害を最小化できる会社は、感染後に初めて調査・判断・復旧の方法を考えてはいません。
平時から必要な情報を更新し、判断する人を決め、復旧手順を試しています。
技術、運用、組織、経営の準備を一体で進めることが、被害時に事業を守り、安全に通常化させるための土台になるのです。

もし、フォレンジックサービスの支援先を持っていない、資産情報が古いまま放置されているといったお悩みや不安がある場合、外部サービスに支援を依頼することも事前の対策になります。

例えばクロス・ヘッドのセキュリティ対策サービスでは、日常の情シス運用を支援しながら資産管理・ドキュメントを整備​​し、有事の際にはフォレンジックサービス提供会社と連携し、状況に応じた支援を行います。

もしご興味がございましたら、お気軽にご連絡ください。

まとめ｜ランサムウェア対策の本質は「復旧できる会社」になること

ランサムウェアをはじめとするサイバー攻撃の侵入経路は多様化し、攻撃者の手口も変化し続けており、完全に防ぎ切ることは容易ではありません。
だからこそ重要なのは、「感染しないこと」だけを目標にするのではなく、万が一の被害を拡大させず、重要な業務を継続し、安全に復旧できる組織をつくることです。

ランサムウェア対策は、EDR、多要素認証、ネットワーク分離、バックアップといった製品や技術を導入すれば終わるものではありません。
感染が疑われた直後をどう乗り切るか、誰がネットワーク遮断を判断するか、どの業務を優先して復旧させるか、システム停止中にどのような代替手段で事業を続けるかまで決めて、実際に動かせる状態にしておく必要があります。

これは、攻撃を受けても事業を立て直す力、すなわちサイバーレジリエンスを高める取り組みです。
経営層に求められるのは、「どの製品を導入するか」だけを情シス部門に委ねることではありません。
停止した場合に、何の業務を、何時間以内に、どの水準まで戻す必要があるのか。そのために、どの情報、権限、体制、費用が必要なのかを、情シス部門や現場と合意しておくことです。

被害発生時に慌てて対応を考えるのではなく、平時から調査・判断・復旧を試す。
そこにこそ、ランサムウェア被害を最小化し、「復旧できる会社」になるための本質があります。

本コラムが「復旧できる会社」への第一歩になれば幸いです。

※本コラムは2026年9月10日時点の情報です。

こちらのページではCSIRT体制構築プロジェクトに関するケーススタディをご紹介しています。
ぜひ、本コラムと併せてご覧ください。

内製とアウトソーシングのメリット・デメリットについて解説しているページはこちらから

『情シスSAMURAI』サービスページはこちらから