ランサムウェアの復旧にかかる時間と費用は？止まる期間の見積もり方

ランサムウェアの復旧にかかる期間は1週間未満から2か月以上まで幅があり、費用も100万円未満から1億円以上まで分かれるので、自社の業務とデータの量で計算して見積もります。

今日やることは、下の式に自社の数字を入れることです。止まると困る業務を3つ選び、それぞれの再開までの日数と、1日止まったときの粗利の減少を書きます。正確でなくて構いません。社内の誰も答えられない欄が、備えの足りない場所です。

実際にはどれくらい止まり、いくらかかった？

警察庁の2026年上半期の統計には、被害組織へのアンケートの結果が載っています。

警察庁の資料は、1か月未満で復旧した組織が5割弱にとどまり、1,000万円以上⁠を要した組織が6割⁠を占めると整理しています。回答した組織だけの数字で、件数も多くありません。相場というより、幅を知るための材料として見てください。

期間と費用には関係が見えます。同じ統計の過去3年分のアンケートから、1,000万円以上⁠の割合を計算すると次のとおりです。

中小企業の平均値と食い違うのはなぜ？

IPAの2024年度の調査では、中小企業のサイバーインシデントの被害額は平均73万円⁠、復旧期間は平均5.8日でした。警察庁の数字とはかなり違います。

理由は対象の違いです。IPAの数字はランサムウェアに限らず、さまざまなインシデントを含みます。警察庁の数字は、ランサムウェアの被害を報告した組織に限られます。ランサムウェアへの備えを考えるなら、平均73万円⁠を前提に置くと、見積もりが軽くなりすぎます。

なぜ暗号化の解除を前提にしないのか？

見積もりは、暗号化されたファイルは戻らないものとして作ります。JPCERT/CCのFAQ⁠によると、暗号化されたファイルは通常、復号が困難です。バックアップがないファイルは復旧が困難という想定で、別の手段による事業継続を検討するのが一般的だとしています。

復号ツールは、あれば助かります。警察庁のページ⁠は「No More Ransom」プロジェクトや、警察庁が開発したツールを案内しています。ただし対応するのは一部の種類で、対応していても全ファイルを戻せるとは限りません。JPCERT/CCは、公開までに被害から数か月かかることもあると書いています。

身代金も計算に入れません。JPCERT/CCは、復元の保証がなく、侵入の原因も残ったままだとして、支払いを選択するべきではないとしています。

停止期間はどう計算する？

1つ⁠の業務が再開するまでの日数は、次の式で見積もります。

それぞれの中身は次のとおりです。

• 安全の確認：被害の範囲を調べ、侵入経路をふさぎます。JPCERT/CCは、復旧の前に侵入経路として考えられる原因をすべて対処するよう求めています。ここが「バックアップがあるのにすぐ戻せない」⁠主⁠な理由です
• 環境の作り直し：サーバーや端末を入れ直します。不正なプログラムや設定が残っていないことの確認も含みます
• データの復元：バックアップから戻します。量と速度で決まります
• 業務の確認：止まっていた間の入力を戻し、数字が合うかを現場で確かめます

データの復元は、計算できます。10TBを毎秒100MB⁠で戻すと、理論上は約28時間です。実際には機器やネットワークの条件で変わるので、戻す試験で測った速度を使います。測ったことがなければ、その行は「不明」⁠のまま残してください。不明と分かること自体が成果です。

作業を同時に進められるかは、人と機器の数で決まります。担当者が1人⁠で外部の支援もなければ、並行はできません。ここは甘く見積もらないほうが実態に合います。

費用はどう計算する？

金額は、次の6つ⁠を足します。

停止の損失は、売上ではなく粗利で計算します。売上で計算すると、作らなかった分の材料費まで損失に含めてしまうからです。粗利の中に通常の給与が含まれるので、追加の人件費には増えた分だけを入れます。

日本損害保険協会のサイバー保険のページには、JNSAの資料をもとにした想定例があります。従業員50名⁠、年間売上10億円⁠の製造業で、委託先がランサムウェア攻撃を受けて顧客情報約1万件⁠が流出した場合、想定損害額は1,050万円⁠とされています。お客様対応の費用800万円⁠が大きな割合を占める例で、実際の被害額を保証するものではありません。暗号化による停止とは別の費用が生じる点が読み取れます。

計算してみるとどうなる？

たとえば、次のような部品メーカーで計算します。実在の会社ではなく、すべて計算のための仮の数字です。

• 年間売上6億円⁠、粗利率30％⁠、年間稼働240日
• 日当たりの粗利＝6億円×30％÷240日＝75万円
• 止まる割合60％（生産管理は止まるが、一部は紙の指示で続ける）
• 日当たりの損失＝75万円×60％＝45万円

調査・復旧費は、自社の見積もりに置き換えてください。追加の人件費、対外対応、賠償はこの表には入れていません。

3つ⁠の筋書きで計算する理由は、経営判断に使うためです。20日⁠で2,400万円なら、運転資金で耐えられるか、保険で何を補うか、という問いになります。止まる割合を60％から30％⁠に下げられれば、停止の損失は半分になります。金額が見えると、紙の手順を用意する価値も説明しやすくなります。

見積もった期間を短くするには？

短くする手は、計算式の項目に対応します。

業務の順番を先に決めます。米国のCISAのガイドは、あらかじめ作った重要資産の一覧に基づいて、復旧の優先順位を付けるよう求めています。製造業なら、出荷の遅れを止める受注、生産指示、出荷の情報から戻す順番が考えられます。図面は取引先から再入手できるかもしれません。

代わりの手段を決めます。JPCERT/CCは、復旧に時間がかかる場合の代替手段による一時復旧にも触れています。生産指示を紙で出す、納品書を手書きにするなど、紙に落とせる作業を確かめておくと、止まる割合を下げられます。警察庁の統計では、影響の回答52件⁠のうち全業務の停止は9件⁠、一部の業務への影響が41件でした。部分的に動かせる余地を作れるかが、損失に響きます。

調査を頼む先を決めます。JNSAの緊急対応企業の一覧には受付時間と対応地域が載り、初期相談が無料の企業もあると書かれています。比べるときはインシデント対応・フォレンジックの比較で、対応範囲と費用の出し方を見ます。

戻せるものを増やします。統計では、復元結果の回答40件⁠のうち戻せたのは11件でした。法人向けバックアップの製品比較を見るときは、保管の分離と戻す速さを、先ほどの式に入れて比べます。

計画に書きます。統計では、回答45件⁠のうちサイバー攻撃を想定した業務継続計画があるのは6件でした。今日の計算を、そのまま計画の素案にできます。社員が異変に気づいて連絡する手順は感染画面と社員が気づく兆候を、対策ソフトで補えない部分は入れても残る穴と足す手順⁠を組み合わせてください。

保険でどこまで補える？

保険は、見積もった金額のどこを補うかで検討します。日本損害保険協会は、サイバー事故では事故調査費用や損害賠償費用、事業の継続の阻害などが生じるとして、保険の情報を案内しています。

補償の範囲や支払いの条件は商品ごとに違います。今日の表を持って、調査費、復旧費、停止の損失、対外対応、賠償のそれぞれが対象になるかを、保険会社か代理店に確かめてください。商品の違いはサイバー保険の比較で見られます。

対策の全体はランサムウェア対策のカテゴリ⁠にまとめています。計算が終わったら、一番大きな金額を生んでいる項目から手を付けてください。