ランサムウェア対策7ステップ｜3-2-1バックアップと感染時の初動対応を解説

ランサムウェア対策とは、データを暗号化して身代金を要求する不正プログラムの被害を防ぎ、被害を受けても事業を続けられるようにする取り組みのことで、侵入口をふさぐ対策、切り離したバックアップ、従業員教育の3つを組み合わせて進めます。警察庁の統計では、令和7年のランサムウェア被害の報告は226件で、被害企業・団体の約6割を中小企業が占め、被害組織へのアンケートでは侵入経路の6割以上がVPN機器でした。本記事では、対策7ステップ、バックアップ、被害の傾向、感染時の初動、駆除と復号ツール、効果の確かめ方を順に整理します。

目次

開く

閉じる

1. ランサムウェア対策7ステップ一覧と、従業員教育を仕組みにする方法
2. バックアップの3-2-1ルールとは
3. ランサムウェア攻撃の流れと、日本企業の被害の傾向
4. 感染してしまった場合の初動対応
5. 感染後の駆除と復号ツール｜データが戻らないことがある理由
6. ランサムウェア対策でよくある失敗パターン
7. 対策の効果をどう確認するか｜セキュリティ診断・訓練
8. よくある質問(FAQ)
9. まとめ
10. 参考文献

ランサムウェア対策7ステップ一覧と、従業員教育を仕組みにする方法

ランサムウェア対策は、侵入口をふさぐ技術的な対策、データを守る切り離したバックアップ、人の入口を固める従業員教育の3本柱で考えます。特別なツールを買う前に、基本の7ステップを順に固めることが効果的です。

警察庁は、攻撃者が侵入する「隙」を作らないよう基本的な対策を続けることが最も重要だとし、ソフトウェア更新、パスワードの適切な管理、アクセス権限の適切な設定を挙げています。主要な侵入経路であるVPN機器は、特に速やかな対応が必要です。これをふまえ、優先度の高い順に7ステップを整理しました。

ステップ	具体的な対策内容
1. 資産を把握する	VPN機器、ルーター、パソコン、サーバー、クラウドサービスを一覧にし、インターネットに公開している機器を洗い出す
2. 機器とソフトを更新する	OS、業務ソフト、VPN機器などのセキュリティパッチを速やかに適用し、脆弱性を残さない
3. 認証を強化する	初期パスワードや簡単な文字列を避け、使い回さない。多要素認証やIPアドレスによるアクセス制限と組み合わせる
4. 権限を絞る	権限とアクセスできる範囲を必要最小限にする。管理者権限は対象を絞り、退職者や未使用のアカウントを削除する
5. バックアップを取る	こまめに取得し、ネットワークから切り離してオフラインで保存する。複数の世代を残す
6. 検知の仕組みを整える	ウイルス対策ソフトに加え、EDRやネットワーク監視製品で不審な挙動を検知し、ログを取得して残す
7. 従業員を教育する	不審なメール、添付ファイル、偽のログイン画面への対応を全員で学び、被害を想定した訓練も行う

予算と担当の割り当て、90日の進め方は、ランサムウェア対策の手順と実践ガイドで扱っています。本記事は、被害の傾向から感染時の初動、復号ツールまでの全体像を整理します。

従業員教育は「一度の説明会」ではなく研修の仕組みにする

警察庁は、経営者層や担当者だけでなく全ての従業員が正しい知識を身につけて実践する必要があるとし、被害事例や最新の攻撃手口を交えた教育や、不審メールの対応訓練を有効としています。教育の方法には集合研修、標的型メール訓練、eラーニングなどがあり、続けやすいのは、各自の都合で受講でき、受講状況を記録できるeラーニングです。

eラーニングで基礎をそろえ、標的型メール訓練で反応を確かめる組み合わせなら、教育を毎年くり返せます。情報セキュリティの内容を含むeラーニング3つを、役割の違いで整理しました。

教育を、受講の管理まで含めて仕組みにする場合の一例が、OneCompliance(ワンコンプライアンス)です。コンプライアンス研修に特化したeラーニングで、商品ページには、情報セキュリティ(外部からの攻撃、人の不注意や不正、リスクを最小化する対策など)のほか、個人情報保護法、下請法などのコースが掲載されています。コースの割り当てと自動リマインダー、受講状況を確認できるダッシュボードにより、連絡や集計の工数を減らせるとされています。注意したい点は、費用が人数に応じた課金体系で、問い合わせでの確認が必要なことです。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内に法務専任担当や教育専任担当がおらず、社内のみでの実施が困難

出典: 株式会社プリメディカ(OneCompliance導入事例の「導入の背景・課題感」) https://onecompliance.jp/

バックアップの3-2-1ルールとは

3-2-1ルールとは、データを3つ持ち、2種類の媒体に保存し、そのうち1つを別の場所に保管するというバックアップの考え方です。ランサムウェア対策では、さらにネットワークから切り離した保管先を用意し、実際に復元できるかを定期的に試すことが重要です。

数字	意味	実践の例
3	元のデータを含めて3つのコピーを持つ	業務用パソコンやサーバーの本体、社内のNAS、クラウドの3か所
2	2種類以上の異なる媒体に保存する	NASと外付けハードディスク、またはNASとクラウドストレージ
1	1つは別の場所に保管する	事務所の外のクラウド、または別拠点で保管する媒体

注意したいのは、常にネットワークにつながったバックアップは、本体と一緒に暗号化されるおそれがあることです。警察庁は、攻撃者が社内のネットワークを探索して重要データやバックアップを探し、バックアップも一緒に暗号化される場合が多いと説明しており、ランサムウェアによってバックアップデータも暗号化されてしまう事例が多数確認されています。バックアップはこまめに取得し、ネットワークから切り離してオフラインで保存する、取得後に外付けハードディスクを取り外す、複数の世代を残して感染前の時点に戻せるようにする、といった工夫が有効です。

もう1つ大切なのが復元のテストです。警察庁によると、実際の被害では日頃の運用面の課題でバックアップからの復旧がうまくいかない事例も発生しています。バックアップを取っていても、いざ戻そうとすると手順が分からない、必要なデータが対象外だった、という例は少なくありません。個人事業主やフリーランスなら月に1回、ファイルを1つ戻してみる。中小企業なら四半期に1回、主要な業務データの復元にかかる時間を測る。大企業なら事業継続計画の訓練に組み込む、というように、規模に応じて頻度を決めておきましょう。

ランサムウェア攻撃の流れと、日本企業の被害の傾向

ランサムウェア攻撃は、侵入してすぐに暗号化するのではなく、社内で範囲を広げてデータを盗んでから暗号化する、という段階を踏んで進みます。令和7年の警察庁の統計では、被害企業の約6割が中小企業で、業種は製造業が約4割を占めました。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの脅威の1位は「ランサム攻撃による被害」で、11年連続の選出です。IPAは、ランサムウェア対策特設ページで、注意喚起情報のほか、国内の被害組織へのインタビューから共通の教訓をまとめた「経営者のためのランサムウェア対策ハンドブック」などを公開しています。

警察庁の統計から見る、狙われている日本企業

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年のランサムウェアの被害報告件数は226件で、依然として高水準で推移しています。被害企業の規模、業種、被害後の状況を表にまとめました。

項目	警察庁の統計(令和7年)
規模別	被害企業・団体の約6割が中小企業(前年と同様)
業種別	製造業が約4割で最多。続いて卸売・小売業、サービス業、情報通信業が上位だが、様々な業種で被害が確認されている
侵入経路	被害組織へのアンケートで、VPN機器が6割以上を占める
復旧の費用	復旧に総額1,000万円以上を要した組織が全体の5割を超える
復旧の期間	1か月未満で復旧した組織は5割強にとどまる
BCPの策定	サイバー攻撃を想定した業務継続計画(BCP)を策定済みの組織は約18%

特定の業種だけが狙われているわけではありません。警察庁は、ランサムウェア攻撃は基本的に金銭目的で、攻撃者は侵入する「隙」のある標的を探して攻撃を行うと説明しています。つまり、規模や知名度ではなく、更新の遅れた機器や管理の甘い認証情報があるかどうかが、狙われやすさを左右します。

同資料は、令和7年下半期の事案も紹介しています。令和7年9月には、飲料メーカー大手が、グループ内のネットワーク機器を経由してデータセンターのネットワークに侵入され、複数のサーバのデータを暗号化されたと公表しました。製品の受注・出荷が停止したほか、顧客や従業員等の個人情報約191万件が漏えい又はそのおそれがあるとしています。同年10月には、通販大手が、窃取された認証情報で複数のサーバにアクセスされ、受注・出荷に影響が出たほか、個人情報約74万件について漏えいのおそれがあると公表しました。大企業の事案ですが、侵入の入り口が、ネットワーク機器や認証情報という基本的な部分だった点は、中小企業にも共通します。

攻撃の4つの段階と、段階ごとに効く対策

警察庁が示す代表的な流れは、侵入、管理者権限の奪取と内部の探索、データの窃取、暗号化の実行です。どの段階で止めるかを意識すると、7ステップの対策がそれぞれ何を防ぐのかが分かりやすくなります。

段階	攻撃者の動き	主に効く対策
1. 侵入	VPN機器などの修正されていない脆弱性や、漏えいした認証情報、簡易なパスワード、設定不備を使って入り込む	機器とソフトの更新、認証の強化、従業員教育
2. 内部拡大	管理者権限を奪い、セキュリティ機能の無効化を試みながら、社内のほかの端末やサーバーへ広がり、重要データやバックアップを探す	権限の絞り込み、不要なアカウントの削除、検知の仕組み
3. 窃取	重要なデータをクラウドストレージなどへ外部に持ち出す	検知の仕組み、通信の記録
4. 暗号化	データを暗号化し、復旧や公開停止と引き換えに金銭を要求する。バックアップも一緒に暗号化される場合が多く、痕跡を消去する	切り離したバックアップ、初動手順の準備

警察庁は、攻撃の分業化も指摘しています。ランサムウェアを開発するグループが、実行者に攻撃の道具やリークサイトを提供し、身代金の一部を受け取る「RaaS(ランサムウェア・アズ・ア・サービス)」という仕組みです。これにより、高度な技術を持たない者でも攻撃できるようになりました。また、データを暗号化せずに盗むだけで金銭を要求する「ノーウェアランサム」という手口も確認されています。この場合はバックアップがあっても情報漏えいの被害は防げないため、侵入と持ち出しを止める対策、つまり機器の更新や認証の強化、検知の仕組みがより重要になります。

攻撃の途中で気づくために、ログと検知の仕組みを備える

ネットワーク上のランサムウェアの動きを検出するには、侵入から暗号化までの間に不審な挙動を見つける仕組みが必要です。警察庁は、攻撃者の侵入やその前兆を検知して対処するには、ウイルス対策ソフトやEDR製品(Endpoint Detection and Response)、ネットワーク監視製品等のセキュリティ製品を導入することが有効だとしています。侵入されたとしても、ネットワーク内の不審な挙動を検知して遮断できれば、暗号化や情報窃取等の深刻な被害を防げる可能性があります。ただし、導入するだけでなく、最新の状態に保ち、適切に運用することが重要です。

もう1つ欠かせないのが、ネットワーク機器や端末のログの取得です。被害に遭ったときに、侵入経路や侵害範囲を調べる重要な手がかりになるため、警察庁は日頃から各種ログを取得しておくことを勧めています。ログもバックアップと同様に、攻撃者に消されないよう適切に保管します。クラウドサービスを利用している場合の被害範囲や初動の考え方は、SaaSのランサムウェア対策とは？被害範囲・初動対応・契約前の確認項目を解説で扱っています。

感染してしまった場合の初動対応

感染に気づいたら、まず端末をネットワークから切り離し、電源は切らずに状況を記録します。そのうえで社内の責任者に報告し、警察やIPAなどの窓口に相談します。身代金の支払いは、警察庁やIPAも推奨していません。

画面に脅迫文が表示された、ファイルの拡張子が一斉に変わって開けなくなった、といった症状が出たら、次の順で行動します。慌てて電源を落としたり自己流で復旧を試みたりすると、侵入の痕跡であるログ等が失われ、原因調査が難しくなることがあります。

順番	やること	ポイント
1. 切り離す	LANケーブルを抜き、無線LANを切る	電源は切らない。ログ等の侵入の痕跡が消え、調査が難しくなる
2. 記録する	脅迫文の画面をスマートフォンで撮影し、気づいた時刻や操作を書き留める	脅迫文に書かれた連絡先には連絡しない
3. 報告する	社内の責任者、情報システム担当者、委託先のシステム会社に連絡する	連絡先と連絡の順番は、平時に一覧にしておく
4. 相談・届け出る	最寄りの警察署、都道府県警察のサイバー犯罪相談窓口、IPAの相談窓口に連絡する	個人データの漏えいのおそれがあれば、個人情報保護委員会への報告も検討する
5. 範囲を調べ復旧する	被害の範囲と侵入経路を調べ、安全を確認してからバックアップで復元する	侵入口をふさがずに復元すると、再び暗号化されるおそれがある

警察庁によると、最近はデータを暗号化するだけでなく、盗んだデータを公開すると脅す「二重恐喝」が被害の多くを占めています。身代金を払っても復号やデータの削除が保証されるわけではなく、攻撃者の資金源にもなります。取引先や顧客への連絡が必要になる場合もあるため、誰がどの窓口に連絡するかを、あらかじめ文書で決めておくことが大切です。

警察への通報をためらう声もありますが、警察庁は、警察から被害の公表を求めることはなく、被害情報の保秘を徹底するとしています。また、復旧作業や業務継続に最大限配慮し、発生直後はログの保存等のみを依頼して、後から詳しい状況を聞くこともあるそうです。軽微に見える事案でも、犯人につながる手がかりがあるかもしれないため、情報提供が求められています。通報の際には、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図などの提供を依頼されることがあります。警察は、被害組織の状況に応じて、初動対応の助言や復号ツールの案内を行う場合があります。

なお、個人情報の漏えいが疑われる場合の報告義務の有無や、取引先への通知の要否は、個別の事情で判断が変わります。この記事は法的な助言ではありません。個人情報保護委員会の案内や、弁護士などの専門家に確認してください。

ここまでの内容を、自社の状況に当てはめて確かめてみてください。

感染後の駆除と復号ツール｜データが戻らないことがある理由

感染後は、ランサムウェアの駆除、侵入口の調査と修正、バックアップや復号ツールによる復旧の順で進めます。駆除しただけで暗号化されたデータが元に戻るわけではなく、復旧できないことも少なくありません。

端末からランサムウェアを取り除く「駆除」と、暗号化されたデータを元に戻す「復旧」は、別の作業です。駆除はそれ以上の被害拡大や再暗号化を防ぐための作業で、データを戻す手段は、バックアップからの復元か、復号ツールの利用のどちらかになります。

データが復旧しない主な理由

理由	背景	平時の備え
バックアップも暗号化される	攻撃者は内部を探索して重要データやバックアップを探し、バックアップも一緒に暗号化される場合が多い	ネットワークから切り離したオフラインのバックアップを持つ
復元の手順が運用面でうまくいかない	日頃の運用面の課題で、バックアップからの復旧がうまくいかない事例が発生している	復元の訓練を行い、手順と所要時間を確かめる
復号ツールが対応していない	復号ツールが対応するのは一部のランサムウェアだけで、バージョン等の違いで使えないことや、全ファイルを復号できるとは限らないことがある	感染したランサムウェアの種類を特定し、対応する復号ツールがあるかを確認する
侵入口が残ったまま復元する	同じ経路で侵入され、再び被害につながるおそれがある	脆弱性の修正とパスワードの変更を済ませてから復元する
身代金を払っても保証がない	暗号化されたデータの復号が保証されるわけではなく、犯罪グループ等の活動資金になることが懸念される	支払いを前提にせず、バックアップと訓練で備える

駆除から復号ツールの利用までの流れ

復号ツールを使う場合の一般的な流れは、次のとおりです。日本サイバー犯罪対策センター(JC3)の案内と、警察庁の被害防止対策のページに基づいています。

1. ランサムウェアを除去する：暗号化されたデータを復号する前に、ランサムウェアや関連するマルウェアを、市販のウイルス対策ソフトなどで除去します。マルウェアが残ったままでは、復号しても再び暗号化されたり、再感染したりします。VPN機器等の脆弱性が悪用されたと思われる場合は、脆弱性へのパッチ適用も併せて行います
2. 感染したランサムウェアの種類を特定する：ランサムノート(身代金を要求するドキュメント等)や、暗号化されたファイルの拡張子を確認します。復号に必要なツールは、感染したランサムウェアによって異なります
3. 復号ツールが公開されているかを確認する：国際的な取り組みである「No More Ransom」のサイトで、確認した情報に対応する復号ツールが公開されているかを確認します。サイトはhttps://www.nomoreransom.org/ja/index.htmlです
4. 警察庁が開発したツールも検討する：警察庁は、LockBitによって暗号化されたファイルの復号ツール(令和6年2月に広報)と、Phobos/8Baseによって暗号化されたファイルの復号ツール(令和7年7月に広報)を開発しています。Phobos/8Baseのツールは、警察に被害を届け出ていない人でも利用できるとされています
5. 復号できないときはバックアップから戻す：侵入口の脆弱性を修正し、パスワードを変更したうえで、切り離して保管していたバックアップから復元します

復号ツールの使い方や、対応するランサムウェアの条件は、JC3「ランサムウェア対策について」に手順が載っています。ただし、復号ツールで元に戻せるとは限らないため、最初から頼らず、まずは警察に相談してください。復号ツールの案内は、警察への通報時に受けられる場合があります。詳しい公式の説明は、警察庁「ランサムウェア被害防止対策」で確認できます。

ランサムウェア対策でよくある失敗パターン

対策をしているつもりでも、運用の抜けが原因で被害につながる例は少なくありません。よくある失敗を、よくある状態と改善後の状態で整理します。

失敗パターン	Before(よくある状態)	After(改善後)
1. ウイルス対策ソフトだけで安心する	ソフトを入れたことで対策済みと考え、VPN機器の更新を放置している	機器の更新と認証の強化を、ソフトの導入とは別の作業として管理する
2. バックアップが常時接続	NASに自動保存しているが、本体と一緒に暗号化されてしまう	切り離した保管先と複数世代を用意し、復元を試しておく
3. 退職者のアカウントが残る	使われていないVPNアカウントのパスワードが漏れて侵入される	入退社の手続きにアカウント停止を組み込み、定期的に棚卸しする
4. 教育が入社時の1回だけ	手口の変化を知らず、偽のログイン画面にパスワードを入力してしまう	年1回以上の研修と、受講状況の記録を仕組みにする
5. 報告しにくい雰囲気	怪しいメールを開いた従業員が叱責を恐れて黙り、発見が遅れる	早く報告した人を評価し、報告先を1つに決めて周知する

失敗の4と5は、どちらも人と組織の問題です。手口は毎年のように変わるため、一度説明しただけでは知識が古くなります。経営者や管理職も含めて同じ内容を学び、「早く報告することが一番の対策」という共通認識を持っておくと、被害を小さく抑えやすくなります。

感染を見つけた人が、誰にどう報告し、警察にどう相談するかは、会社ごとに決めるものです。連絡先や初動の手順といった自社のルールを、全従業員に同じ内容で伝えたい場合の一例が、Smart Boardingです。研修・OJT・eラーニングを1つのシステムで進められ、自社の資料や動画と用意されたコンテンツを組み合わせた研修コースを作れるほか、LMS機能で各受講者の進捗や理解度を確認でき、小テストも作成できると商品ページで紹介されています。注意したい点は、自社の教育内容を学習プログラムにする際に一定の手間がかかり、担当者との打ち合わせが必要なことです。情報セキュリティ専用のコースがあるかは商品ページに記載がないため、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内で様々な研修を実施してきましたが、全社員の参加が難しかったり、研修のデータ把握・管理が複雑になること課題でした。

出典: パナソニックホームズ北九州株式会社(Smart Boarding導入事例) https://smartboarding.net/example/1834/

対策の効果をどう確認するか｜セキュリティ診断・訓練

対策の効果は、自己診断で抜けを見つけ、外部の脆弱性診断で侵入口を確かめ、訓練で人と手順が動くかを試す、という3つの方法で確認します。一度で終わらせず、年に1回以上くり返すことが大切です。

確認の方法	分かること	目安の頻度
自己診断	IPAのガイドラインにある自社診断シートなどで、基本対策の抜けが分かる	年1回
脆弱性診断	外部に公開している機器やサーバーに、悪用される弱点がないかが分かる	年1回、または機器の入れ替え時
標的型メール訓練	不審なメールを開いた人の割合と、報告までの時間が分かる	年1回から2回
復元・初動訓練	バックアップから戻せるか、連絡の流れが機能するかが分かる	年1回
研修の受講状況	全員が最新の手口を学んだか、未受講者は誰かが分かる	研修の実施ごと

結果は数字で残しておくと、翌年との比較ができます。たとえば訓練メールの開封率や報告率、研修の受講率、復元にかかった時間などです。個人事業主やフリーランスは自己診断と復元テストだけでも十分な第一歩です。従業員のいる会社では、訓練と研修の結果を並べて見ることで、次にどの内容を重点的に学ぶべきかが見えてきます。警察庁も、サイバー攻撃を想定した訓練を行い、関係者との連絡や警察への通報、バックアップによる復旧の手順を確認しておくことを勧めています。

研修の受講状況を一覧で確認し、未受講者への催促も仕組みに任せたい場合は、OneCompliance(ワンコンプライアンス)のように、自動リマインダーとダッシュボードを備えたeラーニングが選択肢になります。

研修のあとに理解度を確かめ、結果を数字で残したい場合の一例が、SAKU-SAKU Testingです。CBTの技術を生かしたテスト機能を備えたeラーニングで、動画やスライドによる学習のあとに確認テストを組み合わせられ、既存問題と自社で作る問題を組み合わせたテストも作成できると商品ページで紹介されています。受講状況や結果はリアルタイムで集計され、テストの統計情報の確認やデータ出力もできます。コンテンツのラインナップには、コンプライアンスやハラスメントと並んで情報セキュリティが含まれます。注意したい点は、事務局運営やカスタマーデスクを利用する場合はオプション扱いとなることと、日本国内仕様で、海外拠点ではサポートが対象外になることです。料金はプランによって異なるため、資料や公式サイトで確認してください。

よくある質問(FAQ)

Q1. ランサムウェアへの対策として有効なものはどれですか？

A. 警察庁は、VPN機器等の更新ファイルやセキュリティパッチの速やかな適用、初期パスワードや簡易な文字列を避ける認証情報の管理と多要素認証、アカウント権限の最小化、ウイルス対策ソフトやEDR等の導入、不審なメールへの警戒、セキュリティ教育を被害防止対策に挙げています。あわせて、サイバー攻撃を想定したBCP、ネットワークから切り離したバックアップ、ログの取得、被害を想定した訓練といった備えも有効です。

Q2. ランサムウェアに狙われている日本企業はどのような会社ですか？

A. 警察庁の令和7年の統計では、ランサムウェア被害の報告は226件で、被害企業・団体の約6割が中小企業でした。業種別では製造業が約4割で最多、続いて卸売・小売業、サービス業、情報通信業が上位ですが、様々な業種で被害が確認されています。規模や業種を問わず、更新の遅れた機器や管理の甘い認証情報がある会社が狙われます。

Q3. ウイルス対策ソフトを入れていれば十分ですか？

A. 十分とはいえません。現在の主な侵入経路はVPN機器の脆弱性や漏えいした認証情報で、ウイルス対策ソフトだけでは防ぎきれない場合があります。機器の更新、認証の強化、バックアップ、従業員教育と組み合わせることが大切です。

Q4. ランサムウェアに感染したらどうすればよいですか？ 身代金は払うべきですか？

A. まず感染した端末を、LANケーブルを抜くなどしてネットワークから隔離し、電源は落とさずに脅迫文の画面などを記録します。そのうえで社内の責任者に報告し、最寄りの警察署やサイバー犯罪相談窓口、IPAの相談窓口に連絡してください。身代金について、警察は犯罪グループ等の活動資金になることが懸念され、復号が保証されるわけではないと説明しており、支払いは推奨されません。

Q5. ランサムウェアで暗号化されたデータが復旧しないのはなぜですか？

A. 主な理由は、バックアップも一緒に暗号化されてしまうこと、復旧の手順が運用面でうまくいかないこと、復号ツールが一部のランサムウェアにしか対応していないことです。侵入口をふさがずに復元すると、再び被害を受けるおそれもあります。ネットワークから切り離したバックアップと、復元の訓練が備えになります。

Q6. 従業員教育はどのように進めればよいですか？

A. 入社時の1回だけで終わらせず、年1回以上くり返すことが大切です。各自の都合で受講でき、受講状況を記録できる情報セキュリティ研修のeラーニングで基礎をそろえ、標的型メール訓練で実際の反応を確かめる方法があります。

まとめ

ランサムウェアは、企業の規模や業種を問わず事業の継続を脅かす脅威です。対策は、機器の更新や認証の強化で侵入口をふさぎ、切り離したバックアップでデータを守り、従業員教育で人の入口を固める、という3本柱で考えます。感染時はネットワークから切り離して記録を残し、身代金は払わずに警察やIPAへ相談しましょう。駆除だけではデータは戻らないため、復元の訓練と復号ツールの確認も平時から進めておくことが大切です。まずは次の4つから始めてみてください。

1. インターネットにつながる機器を洗い出し、VPN機器の更新と多要素認証を確認する
2. バックアップの保管先と世代を見直し、1つのファイルを実際に復元してみる
3. 感染時の連絡先を一覧にし、警察とIPAの相談窓口を全員が見られる場所に置く
4. 従業員教育を年1回以上の研修として計画し、受講の管理まで含めてeラーニングの資料を比べてみる

参考文献

• IPA「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
• IPA「ランサムウェア対策特設ページ」 https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html
• IPA「中小企業の情報セキュリティ対策ガイドライン」 https://www.ipa.go.jp/security/guide/sme/about.html
• 警察庁「ランサムウェア被害防止対策」 https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
• 日本サイバー犯罪対策センター(JC3)「ランサムウェア対策について」 https://www.jc3.or.jp/threats/topics/article-375.html
• No More Ransom「サポート要請」 https://www.nomoreransom.org/ja/index.html