サイバー攻撃対策の全体像　防ぐ・気づく・戻すで足りない所を探す方法

サイバー攻撃対策は、今ある対策を「防ぐ」「気づく」「戻す」⁠の3つ⁠の箱に入れ、空いた箱から手を打つと決めやすくなります。防ぐ対策だけを足し続けると、入られたあとに打つ手が残りません。

今日やることは、紙に3列⁠の表を書き、社内で動いている対策を入れることです。ウイルス対策ソフト、VPN機器、バックアップ、メールの設定を担当者に聞いて並べます。分からないものは「分からない」⁠と書いておきます。それも大事な結果です。

この記事の3つ⁠の箱は、製品を選ぶ前に穴を探すための、私たちの整理です。全体の流れはサイバー攻撃の基本と最新動向のカテゴリ⁠にまとめています。

なぜ防ぐ対策だけでは足りないのか？

警察庁は令和7年⁠の報告書で、手口が日々変わるサイバー攻撃を完全に防ぐことは困難だとして、攻撃を想定した体制づくりを進めています。入られる前提の備えが要る、ということです。

足元の数字も見ておきます。令和8年上半期の報告書から、ランサムウェアの部分だけ抜き出しました。

同じ報告書は、攻撃者が侵入後に内部を探り、重要なデータやバックアップを物色してから暗号化すると説明しています。入り口を閉じる話だけでなく、中で動かれている間に気づけるか、バックアップが無事かまで問われます。

IPAの情報セキュリティ10大脅威 2026でも、組織向けの1位⁠はランサム攻撃による被害で、11年連続の選出です。3位には「AIの利用をめぐるサイバーリスク⁠」⁠が初めて入りました。

3つ⁠の箱の考え方は、米国NISTのサイバーセキュリティフレームワーク2.0⁠の6つ⁠の機能を、社内で話しやすい形に縮めたものです。識別と防御を「防ぐ」⁠、検知を「気づく」⁠、対応と復旧を「戻す」⁠に寄せました。残る統治は社長の仕事で、サイバーセキュリティ経営ガイドラインの社長向けの要点⁠で扱います。

3つ⁠の箱には何が入るのか？

箱ごとに、問いを1つ決めると迷いません。

1つ⁠の製品が2つ⁠の箱にまたがることはあります。そのときは両方に書き、箱ごとに誰が担当するかを横に添えます。

箱に入れてよいのはどんな状態か？

製品が入っているだけでは、箱に入れません。 動いていて、誰かが結果を受け取っている状態までを確かめます。3つ⁠の箱で、見る点が違います。

防ぐ箱は、更新の抜けを見ます。IPAの2024年度の中小企業調査では、不正アクセスされた企業の約5割⁠が脆弱性を突かれ、他社経由の侵入も約2割ありました。VPN機器や委託先がつなぐ経路を、台帳に載せているかを確かめます。

気づく箱は、通知を受ける人を見ます。IPAのランサムウェア被害から学ぶ教訓集には、暗号化を検知した通知は出ていたのに、週末の深夜でタイムリーに受け取れなかった例が載っています。同じ資料は、従来型のウイルス対策ソフトだけでは攻撃者の活動を十分に検知できない場合があるとも述べています。正規のツールを悪用されることもあるので、定期的なログの確認を挙げています。

戻す箱は、復元の確認を見ます。IPAのセキュリティインシデント対応の手引きは、バックアップ装置をパソコンに常時接続していると、バックアップも暗号化される場合があると注意しています。バックアップ時だけ接続するか、1つ⁠は社外に置くこと、復元できるか定期的に確かめることも挙げています。

空いた箱にはどう手を打つのか？

順番は、箱の数ではなく、止まると困る業務で決めます。受注や出荷が何日止まると資金繰りや納期に響くかを社長が示すと、担当者は優先を付けられます。

防ぐ箱が空なら、お金をかける前に基本を埋めます。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、従来の5か条に「バックアップを取ろう!」⁠を足した情報セキュリティ6か条を示しています。付録の「5分⁠でできる！情報セキュリティ自社診断」⁠も⁠、今の状態を知る最初の材料になります。

気づく箱が空なら、端末の動きを見る製品と、それを見る人をセットで考えます。EDRの製品比較で調べ方や対応の範囲の違いを確かめられます。ログを多くの機器から集めて分析したい段階なら、SIEMの製品比較が次の材料です。見る人を社内に置けないなら、サイバーセキュリティお助け隊サービス⁠の基準が参考になります。相談窓口、異常の監視、初動対応、簡易サイバー保険を1つ⁠にまとめた民間のサービスを対象にしています。

戻す箱が空なら、最初にバックアップの置き方を変え、一度は実際に戻してみます。製品を入れ替えるなら業務データのバックアップの比較で、世代の残し方や切り離しの方法を見ます。

業務継続計画も同じ箱に入ります。警察庁の令和7年⁠の報告書では、サイバー攻撃を想定した計画を策定済みの被害組織は約18%でした。計画は1枚からで構いません。誰が判断するか、どの業務から戻すか、手作業でどこまで回せるかを書きます。

社内で判断しきれないときは、サイバーセキュリティ会社に相談する前に決めておくこと⁠を整理してから声をかけると話が早く進みます。

製造業の工場ではどう考えるのか？

たとえば、生産管理サーバーと図面のファイルサーバーを持つ部品メーカーの場合で考えてみます。

防ぐ箱には、事務所のパソコンだけでなく、更新の止まった検査用パソコンや、保守会社がつなぐ遠隔接続の経路も書きます。すぐ直せないなら「直せない」⁠と書き、ネットワークを分けられないかを次の課題に回します。

気づく箱では、工場の中の機器を誰が見ているかを確かめます。事務所側にEDRがあっても、工場側に同じものを入れられるとは限らないからです。保守会社に、何を記録できるかを聞くところから始めます。

戻す箱では、システムの復元と業務の戻し方を分けます。教訓集には、バックアップから戻したあと、失われた期間のデータを補正する手作業が大きな負担になった組織の話があります。受注や出荷の記録を何日分まで手で入れ直せるかは、現場に聞かないと分かりません。

取引先への影響も箱の外に置けません。IPAの調査では、インシデントで取引先に影響があった企業は約7割でした。教訓集には、メールやEDIの再開にあたり、取引先からEDRやSOCの導入を強く求められた組織が複数あったとも書かれています。

被害額の数字はどう読めばいいか？

IPAの2024年度調査で、中小企業のインシデントの被害額は平均73万円⁠、復旧までの期間は平均5.8日でした。警察庁のランサムウェアの数字とは差があります。前者はインシデント全体、後者はランサムウェア被害に遭った組織のアンケートで、対象が違います。

どちらか一方で予算を決めず、「自社の業務が何日止まるといくら失うか⁠」⁠に置き換えて考えます。数字が出せれば、箱を埋める費用が高いか安いかを社内で話せます。

3つ⁠の箱は一度書いて終わりではありません。機器を入れ替えたとき、委託先が変わったとき、年に一度の見直しのときに書き直します。パソコンの様子がおかしいと言われたときの動きは、マルウェア感染を社内のパソコンで確かめる方法⁠に分けて書きました。