ランサムウェア対策は何から始める？入口・拡大・復旧の順に点検する

ランサムウェア対策は、製品を選ぶ前に、入口を塞ぐ、広がりを止める、戻せるようにするの3段で自社の穴を点検するところから始めます。製品は、見つかった穴に合わせて選びます。

今日やることは、下の点検項目に「はい」「いいえ」「分からない」⁠を付けることです。「分からない」⁠が並んでも問題ありません。その項目に、確かめる担当者と期限を書き足せば、1回目の点検は終わりです。

3段に分けて点検するのはなぜ？

攻撃が段階を踏んで進むからです。警察庁の2026年上半期の資料⁠が示す流れは、外から入る、社内を探索する、データを盗む、暗号化する、の順です。それぞれの段階に、止める機会があります。

入口だけに頼らない理由もはっきりしています。警察庁の対策ページは、攻撃を完全に防ぐのは困難として、被害を想定した備えを求めています。IPAのランサムウェア被害から学ぶ教訓集も、内部のネットワークが安全ではないことを前提にした対策を挙げています。

逆に、製品名から入ると穴が残ることがあります。たとえばEDRを入れても、VPN機器の更新が止まったままなら入口は開いたままです。私たちが点検を先に置くのは、この順番の取り違えを避けるためです。

1段目：入口は塞がれている？

外から社内に入れる場所を減らし、残すものを固める段です。警察庁は、VPN機器を主要な侵入経路として挙げ、更新ファイルが公開されたら速やかに適用するよう求めています。

• 外から社内へ入れる機器とサービスを、一覧にしていますか
• VPN機器やファイアウォールの更新を、誰がいつ確認するか決まっていますか
• サポートが終わった製品が、残っていませんか
• 外から入るときの認証に、多要素認証を使っていますか
• 退職者や使っていないアカウント、初期設定のアカウントを止めていますか
• 運用保守の業者が使う回線を、把握していますか

メールも忘れないでください。感染経路の統計では少数ですが、政府広報オンライン⁠は標的型攻撃メールも依然として多数報告されているとして、注意を促しています。

機器ごとの確かめ方は、VPNとRDPの点検手順⁠に分けて書きました。VPN自体の見直しが必要なら、法人向けVPNの製品比較で管理の手間まで比べます。

2段目：入られても広がらない？

侵入された後に、被害を社内の一部で止める段です。警察庁は、攻撃者が社内を探索して多くのサーバーや端末を狙うため、権限と接続できる範囲を必要最小限にするよう求めています。

• 管理者権限を持つ人を、必要な人だけに絞っていますか
• 共有フォルダは、部署や仕事の必要な範囲に分けていますか
• 工場の機器と事務のパソコンを、同じネットワークに置いていませんか
• 端末やサーバーのログを取り、どこに残るかを把握していますか
• 不審な動きの警告が出たときに、誰が受けるか決まっていますか

製造業なら、図面、NCプログラム、検査記録がどの共有フォルダにあり、誰が読めるかを書き出すと、穴が見えやすくなります。たとえば全社員が全部の図面フォルダを書き換えられる設定なら、1台⁠の乗っ取りがそのまま全部の図面に届きかねません。

検知の仕組みでは、EDRが候補になります。IPAの教訓集は、従来型のウイルス対策ソフトだけでは攻撃者の活動を十分に検知できない場合があるとして、EDRの導入と、警告に素早く対応できる監視体制、定期的なログの確認を挙げています。

警察庁も、セキュリティ製品は導入するだけでなく、最新の状態に保って適切に運用する必要があると書いています。専任の担当者がいない会社では、EDRの製品比較を見るときに、監視を任せられるかどうかを最初に確かめてください。

3段目：本当に元へ戻せる？

3段のうち、持っているつもりで穴が残りやすいのがここです。警察庁の統計データには、2026年上半期のアンケートで次の結果が出ています。

バックアップを取ることと、戻せることは別の話です。攻撃者は内部を探索する段階でバックアップも探します。

IPAのセキュリティインシデント対応の手引きは、適切な方法として次を挙げています。

• 装置や媒体を複数用意し、バックアップのときだけパソコンへ接続する
• または、バックアップしたファイルのうち1つ⁠を社外に保管する
• 定期的に、復元できるかを確認する

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版でも、最初に取り組む項目に「バックアップを取ろう！」⁠が加わり、5か条が6か条になりました。

点検の質問は次のとおりです。

• 止まると困る業務のデータが、どのバックアップに入っているか言えますか
• 同じネットワーク上の機器が壊れても、別に残るコピーがありますか
• 最後に実際に戻してみたのはいつで、どのくらい時間がかかりましたか
• バックアップの管理者のIDは、普段のIDと分けていますか
• ログはいつまで残り、攻撃で消されない場所にも置いていますか

ログを問うのは、戻す時点を決めるためです。IPAの教訓集は、汚染された可能性のあるバックアップは復旧に使えず、侵入の開始時期より前の時点なら安全だと説明しています。そのため、必要なログを残しておくよう求めています。

世代の残し方や社外保管の方式は製品で違います。法人向けバックアップの製品比較で、復元の手順と時間まで確かめてください。

計画があるかも見ます。警察庁の2025年の資料⁠によると、被害組織のうち業務継続計画を作っていた割合は約18％でした。地震などとは調査や復旧、広報の進め方が違うため、サイバー攻撃を想定した計画を別に考える必要があります。被害直後の動きは、感染したときの最初の1時間の手順⁠を下書きに使えます。

点検の結果をどう製品につなげる？

穴が分かったら、その穴を埋める手段を選びます。製品を入れずに済む穴も多くあります。

全体の状況を点数で見たいなら、IPAの5分⁠でできる！情報セキュリティ自社診断⁠が25項目⁠で使えます。国家サイバー統括室が2026年10月9日⁠に公表した資料も、多要素認証、不要なアカウントの無効化、バックアップデータの保護などを挙げていて、点検項目と照らし合わせられます。

ランサムウェアの基本から確かめたい方はランサムウェアとは何かをまとめた記事を、ほかのテーマはランサムウェア対策のカテゴリ⁠をご覧ください。