サイバー攻撃とは、インターネットなどを通じて会社のパソコン、サーバー、機器へ不正に入り、情報を盗む、データを暗号化する、仕事を止めるなどの害を与える行為です。
今日やることは1つです。社外から社内へ入れる機器を書き出し、機種と最後に更新した日を確かめてください。VPN機器やリモート接続の入口が分かれば、残りの見直しの順番も決めやすくなります。
大企業の話で終わらないのはなぜ？
被害の数字を見ると、規模で線を引けないことが分かります。警察庁の2026年上半期の資料では、ランサムウェアの被害報告は123件でした。統計を取り始めた2020年下半期以降、半期で最多です。
同じ資料で、被害企業・団体等の約6割は中小企業でした。業種別では製造業が約3割を占めます。
被害に遭った組織へのアンケートでは、復旧に総額1,000万円以上かかった組織が全体の6割でした。1か月未満で復旧できた組織は5割弱にとどまります。
理由の1つは入り方にあります。警察庁は、インターネットに露出した箇所から遠隔操作で侵入する手口が多くを占めると説明しています。未修正の弱点や漏れたID・パスワードが使われます。
私たちはここを「会社の大きさより、入れる場所があるかどうかが問われる」と読んでいます。社名を知られていない会社でも、更新していない機器を外に出していれば無関係とは言えません。
もう1つが取引のつながりです。IPAの情報セキュリティ10大脅威 2026の組織編では、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃でした。
IPAの発表は、取引先を含むサプライチェーン全体に深刻な影響を及ぼした事例があったことに触れています。自社の停止は、自社だけの問題で済まない場合があります。
中小企業が最初に見直す5つの点
細かな対策を並べる前に、次の5点で現状をつかみます。上から順に進めれば、専任の担当者がいなくても手を付けられます。
1. 外から入れる機器
VPN機器、リモートデスクトップ、保守用の接続を書き出します。警察庁のアンケートでは、ランサムウェアの侵入経路はVPN機器が約5割でした。
見る点は、使っているか、更新されているか、メーカーの保守が続いているかの3つです。使っていない入口は閉じます。保守会社が管理している機器は、誰が更新するのかを確認してください。
2. IDとパスワード
漏れたID・パスワードを使われると、入口の更新だけでは足りません。IPAの中小企業向けガイドライン第4.0版は、VPNや重要なシステムに強固なパスワードを求めています。可能な場合は多段階認証、多要素認証、パスキーなどの利用も挙げています。
退職者のアカウントが残っていないかも、同時に見ます。
3. バックアップと戻す確認
警察庁は、攻撃者が社内を調べる段階で重要データやバックアップを探すと説明しています。常につないだままの保存先は、同じ被害に巻き込まれるおそれがあります。
同じガイドラインは、バックアップの装置や媒体をバックアップ時だけパソコンへ接続すること、データを戻せるか定期的に確認することを挙げています。取っているだけでは、戻せるかどうかは分かりません。製品を選ぶ段階では、法人向けバックアップの比較で保存先と世代管理の違いを確かめます。
4. 外部サービスのアカウント
IPAは2026年10月9日の注意喚起で、クラウドやVPNなど利用中の外部サービスの洗い出しを求めました。部署単位の利用まで含めて把握し、作った覚えのないアカウントや、無効にしたはずのアカウントが動いていないかを確認する内容です。
この注意喚起は、大量の情報を持つ事業者を特に意識しています。それでも、部署ごとに契約したサービスを会社が把握していない状態は、規模を問わず起こります。
5. 異常時の連絡先と判断する人
夜間や休日に画面がおかしくなったとき、誰に連絡し、誰が止める判断をするのかを紙1枚に書きます。社内の責任者、保守会社、取引先の窓口を並べます。
IPAの相談窓口には、不正アクセスの被害を受けた、またはその可能性がある企業向けの窓口があります。初動の助言や、専門業者の一覧の紹介が受けられます。連絡先に足しておくと、慌てずに済みます。
5点を見直す順番
- 入口の機器を確かめ、IDを固める
- 戻せるバックアップを用意する
- 外部サービスの棚卸しをする
- 異常時の連絡先と判断者を決める
製造業なら何を先に考える？
製造業では、情報の漏えいと同じくらい、止まったときの段取りが問題になります。
たとえば、取引先から図面を預かり、生産管理システムで工程を組む部品メーカーの場合を考えます。ファイルサーバーと生産管理が使えなくなると、図面の版が確かめられず、納期の回答もできません。預かった図面が外へ出たおそれがあれば、取引先への連絡も必要です。
そこで、紙で動かせる工程と、システムがないと出荷できない工程を分けておきます。図面や生産計画のバックアップがどこにあるかも、この段階で確認します。工場の設備の話は専門的になりますが、最初はこの整理だけでも、優先して守るデータが見えてきます。
被害が疑われたら誰に相談する？
慌てる場面なので、相談先は平時に決めておきます。第一の連絡先は、契約している保守会社や監視サービスです。そこで判断がつかないときの公的な窓口として、先に挙げたIPAの窓口があります。
警察への相談も、選択肢に入れてください。警察庁は、風評被害や早期復旧への支障への懸念、届け出るべきか分からないといった理由で、被害者が通報や相談をためらう傾向があると説明しています。同じ資料では、通報や相談が捜査の端緒になるとも述べています。
自社で判断に迷うのは珍しいことではありません。連絡するかどうかの基準と、誰が連絡するのかを紙の連絡先に一緒に書いておくと、当日の迷いが減ります。
委託先が絡む場合は、契約も確認します。IPAのガイドラインは、委託先でも少なくとも自社と同等の対策が行われるよう、契約書に責任や実施すべき対策を明記して合意する必要があると説明しています。
取引先から対策を聞かれたらどうする？
IPAの2024年度の実態調査では、4,191社のうち、発注元からセキュリティの要請を受けた経験がある企業は1割強でした。要請を受けた企業のうち、専門の部署や担当者がある企業の59.8％は、対策の実施が取引につながったと答えています。
対策は守りの費用として語られがちですが、取引の場で説明する材料にもなります。
説明の土台には、IPAの自社診断の25項目が使えます。実施している、一部実施している、していない、を項目ごとに残せるためです。
国の制度では、SCS評価制度の準備が進んでいます。★3は26件、★4は43件の要求項目があり、★3は専門家の確認付き自己評価、★4は第三者評価です。IPAの案内では、2027年3月の受付開始に向けて整備を進めるとしています。
自社だけで判断できない場合は、セキュリティ診断・コンサルティングの比較で、診断の範囲と報告の中身を比べると話が進みます。端末の守りを固めるなら、法人向けエンドポイントセキュリティの比較で、監視の有無や管理のしかたを確かめられます。
次に読むもの
入口の考え方はマルウェアの入口別の整理、予算の配分は予算別に決める中小企業のセキュリティ対策に分けました。社長の責任についてはサイバーセキュリティと会社の責任で扱っています。全体の地図はセキュリティの基本に置いています。
