ランサムウェア対策の公的ガイドラインはどれ？読む順番と使う部分を解説

ランサムウェア対策の公的資料は1本⁠にまとまっていません。中小企業なら、IPAの教訓集と中小企業向けガイドライン第4.0版を軸に、被害時に開く資料を足して読みます。

今日やることは、読む人を3人⁠に分けることです。社長は教訓集の第3章、総務は5分⁠でできる自社診断、担当者は警察庁の対策ページから始めます。全員で全文を読もうとすると、たいてい誰も読み終わりません。

主な公的資料はどれがある？

中小企業が押さえる資料は次の7つです。時点は2026年11月⁠に各ページで確かめたものです。

警察庁の資料は現状をつかむのに向いています。2026年上半期の被害報告は123件で、半期では統計開始以降の最多でした。被害企業の約6割⁠は中小企業、業種では製造業が約3割です。社長に時間を取ってもらうなら、この数字を最初に見せると話が早くなります。

社長はどの順に読む？

社長は、教訓集の第3章だけで最初の判断材料がそろいます。国内の被害組織への聞き取りをもとにした資料で、IPAは副題に「経営者のためのランサムウェア対策ハンドブック⁠」⁠と付けています。

読む順は次のとおりです。

1. 教訓集の第3章（8〜23ページ）⁠。経営判断、体制、事業継続計画、個人情報の把握、社内の意思統一、データ暴露への備えの6項目
2. ガイドライン第4.0版の第1部「経営者編」。IPAの説明資料⁠によると、認識すべき3原則と実行すべき重要7項目⁠が書かれています
3. 10大脅威2026の経営者層向けの対策。インシデント対応体制の整備、サイバー保険の検討、予算の確保、身代金要求に対する姿勢を決めておくこと、が並びます

第3章で特に時間をかけたいのは、判断基準を事前に決めておく話です。教訓集には、判断基準がなかったために決定に時間がかかった組織が多かったと書かれています。読み終えたら、ネットワークを切る判断を誰がするか、公表を誰が決めるかを1行ずつ決めてください。

総務はどこを使う？

総務には、読むより記入する資料が向いています。ガイドライン第4.0⁠版⁠の付録がそのまま使えます。

• 付録3「5分⁠でできる！情報セキュリティ自社診断⁠」⁠。25の設問で現状の問題点を確かめます
• 情報セキュリティ6か条（解説編）⁠。2026年9月30日⁠に公開されました。第4.0版で「バックアップを取ろう！」⁠が加わり、5か条から6か条になっています
• 付録6「資産管理台帳」⁠。個人情報を含むデータの所在を整理するときの土台になります
• 付録8「セキュリティインシデント対応の手引き⁠」⁠。全8ページで、説明資料には相談窓口と報告先も載っています

台帳を急ぐ理由は、教訓集の第3章にあります。流出や暗号化されたデータの中身を後から特定するのは、フォレンジック調査（機器やログを詳しく調べること）⁠をしても難しいことが多いからです。

警察庁のページは「被害を想定した備え」⁠の節を読みます。サイバー攻撃を想定した事業継続計画、バックアップ、ログ、訓練の4点⁠が短くまとまっています。社内で配るなら、1枚⁠の連絡表の作り方⁠と組み合わせると使いやすくなります。

情シス兼任の担当者はどう読む？

担当者は、攻撃の流れと自社の設定を照らし合わせながら読みます。順番は次のとおりです。

1. 警察庁のページ。VPN機器の更新、認証情報の管理、権限の最小化など、最初に点検する所が分かります
2. 教訓集の第4章（24〜36ページ）⁠。バックアップとログ、基本対策、EDRと定期ログ監査、調査の限界、外部の専門会社との関係の5項目
3. 10大脅威2026の解説書。バックアップの改ざん耐性、クリーンビルド（汚染のない環境からの作り直し）⁠の手順、復旧訓練まで挙げています

第4章で見落としやすいのは、バックアップの安全性は侵入開始時期が分からないと判断できない、という点です。バックアップとログを同時に点検する理由がここにあります。EDRの限界はEDRで止まる段階と残る弱い所⁠で詳しく扱います。

海外の枠組みも見ておきたい場合は、教訓集の末尾がNIST IR 8374 Rev.1を紹介しています。国内の資料を一通り使ってからで足ります。

被害に遭ったときに開く資料は？

被害時に初めて探すのでは間に合いません。次の2つ⁠を印刷して、連絡表と一緒に保管します。社内のファイルサーバーだけに置くと、暗号化されたときに読めなくなるからです。

JPCERT/CCのFAQは、被害範囲を把握して最小化する、侵入経路を塞ぐ、要求に応じずバックアップから復旧する、という3つ⁠の方針を示しています。相談先の一覧も載っています。

警察庁のページは、感染機器をネットワークから隔離し、電源は落とさないよう案内しています。通報した場合の公表や復旧作業への影響についての質問にも答えています。

外部の会社へ頼むときは、復旧業者を選ぶ前の質問⁠を先に確かめてください。

工場の設備はどの資料を見る？

ここは製造業が間違えやすい所です。IPAの説明資料は、工場設備や制御システム等の分野を中小企業向けガイドラインの対象外としています。

たとえば、事務所のパソコンと生産管理サーバーに加えて、成形機につながる制御用パソコンがある工場の場合です。事務所側と生産管理サーバーはガイドラインで進められます。制御用パソコンに監視ソフトを入れるかどうかは別の話で、IPAの侵入検知製品等の導入手引書（2023年6月）⁠が⁠、既存のアプリの不具合や通信の遅れが起きる可能性を挙げています。

一方、生産管理の停止は事務系の資料で考えておけます。教訓集は製造業の例として、生産管理システムが止まると在庫があっても納品できない事態を挙げています。工場長にも第3章の事業継続の節（15〜16ページ）⁠を読んでもらうと、手作業でどこまで出荷できるかの話に進めます。

取引先から対策を求められたら？

取引先の要請に備えるなら、ガイドライン第4.0版が入口になります。IPAのSCS評価制度の関連ページ⁠によると、第4.0版はサプライチェーン強化に向けたセキュリティ対策評価制度の基本的な考え方を取り込んでいます。付録5の規程サンプルも、★3と★4の要求事項に対応する形で見直されました。

同じページは、SECURITY ACTIONの自己宣言を★3と★4の準備段階として案内しています。規程を一から書かず、付録のサンプルを自社の実態に合わせて直すと進めやすくなります。

読んだあとに決めることは？

資料を読み終えた時点で、次の4つ⁠が決まっていれば十分です。

• 社長：止める判断と公表の判断を誰がするか
• 総務：個人情報を含むデータの台帳を、いつまでに誰が作るか
• 担当者：VPN機器、バックアップ、ログのどれから点検するか
• 全員：被害時の資料と連絡表をどこに保管するか

社内で進めきれない部分は、外部の力を借りる選択もあります。体制づくりや点検の支援はセキュリティコンサルとCSIRT支援の比較⁠、データの守り方は法人向けバックアップの比較、端末の監視はEDRの製品比較⁠で確かめられます。ほかの対策はランサムウェア対策のカテゴリ⁠にまとめています。