ランサムウェア対策の手順と実践ガイド｜中小企業が優先すべき7つの施策【2026年版】

ランサムウェア対策とは、データを暗号化して身代金を要求する攻撃に対し、侵入を防ぐ対策と、被害に遭っても事業を戻せる備えを組み合わせて進める取り組みです。警察庁によると、令和7年の被害報告は226件で、被害企業の約6割を中小企業が占め、侵入経路ではVPN機器が6割以上でした。大企業だけの問題ではなく、機器の更新、認証の強化、バックアップ、従業員教育といった基本の対策を、優先順位をつけて続けられるかが分かれ目になります。本記事では、中小企業が優先すべき7つの施策を一覧にし、被害の実態、優先順位の決め方、予算別の進め方、90日の実施計画、感染が疑われたときの最初の動きと公的な相談窓口までを手順として解説します。

目次

開く

閉じる

1. ランサムウェア対策とは｜中小企業が先に進める7つの施策一覧
2. ランサムウェア被害の実態｜狙われる企業・侵入経路・復旧が進まない理由
3. ランサムウェア対策の優先順位はどう決めるか
4. 予算別の実践ステップ｜低予算から本格対応まで
5. 90日で基本を固める実施スケジュール
6. 施策実施でよくある失敗パターン
7. 施策の効果を確認する方法｜訓練・診断
8. 感染が疑われたときの最初の動きと、使える公的資料・相談窓口
9. 継続的な対策のための体制づくり
10. よくある質問(FAQ)
11. まとめ
12. 参考文献

ランサムウェア対策とは｜中小企業が先に進める7つの施策一覧

ランサムウェア対策は、侵入口をふさぐ、データを取り戻せるようにする、人の行動を変える、の3方向を優先度順に進めると迷いません。

警察庁の令和7年の情勢では、侵入経路はVPN機器が6割以上を占め、攻撃者は未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備を突いて入り込むとされています。そのため、ネットワークの入口にある機器とログインの仕組みを最初に固めるのが合理的です。コストの目安は「費用がほぼかからない」「少額」「継続費用が発生」の3段階で示します。

優先度	施策	具体的な内容	コストの目安
1	VPN機器・OSの更新	VPN機器やルーターのファームウェア、パソコンのOS、業務ソフトを最新にし、自動更新を有効にする	費用がほぼかからない
2	認証の強化	初期パスワードの変更、使い回しの禁止、VPNとクラウドの管理者アカウントへの多要素認証の導入	費用がほぼかからない
3	切り離したバックアップ	重要データの複数世代を、ネットワークから切り離した場所に保管し、復元できるか試す	少額
4	不要な入口を閉じる	インターネットに直接公開しているリモートデスクトップを止め、使っていない機器やアカウントを削除する	費用がほぼかからない
5	従業員教育	不審なメール、添付ファイル、偽のログイン画面への対応を、全員が定期的に学ぶ	少額から継続費用
6	検知の仕組み	ウイルス対策ソフトの状態を確認し、必要に応じて端末の不審な動きを検知する製品や監視サービスを検討する	継続費用が発生
7	対応手順の準備	感染に気づいたときの連絡先、切り離しの方法、相談窓口を1枚にまとめて共有する	費用がほぼかからない

優先度1、2、4、7は設定や文書の見直しが中心のため、その日のうちに着手できます。一方で優先度5の従業員教育は、内容の準備、全員への配信、未受講者への催促、記録の保管と手間が続くため、後回しになりがちです。ただ、機器を固めても、不審なメールで認証情報を入力してしまえば侵入を許します。教育だけは早めに仕組みにして動かし始めると、7施策を最後まで回し切れます。教育の仕組みを整える選択肢として、情報セキュリティの内容を含む3つのeラーニングを、役割の違いで並べます。

受講管理を仕組みに任せたい場合の一例が、OneCompliance(ワンコンプライアンス)です。コンプライアンス研修に特化したeラーニングで、商品ページには、情報セキュリティ(リスク、外部からの攻撃、人の不注意や不正、リスクを最小化する対策)のほか、個人情報保護法、下請法、著作権などのコースが掲載されています。ダッシュボードと自動リマインダーにより、受講状況の把握と受講の促進ができ、管理担当者の負担を減らせるとされています。注意したい点は、費用が受講人数に応じた課金体系で、詳細は問い合わせで確認する必要があることです。ランサムウェアに特化したコースかどうかは商品ページに記載がないため、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内に法務専任担当や教育専任担当がおらず、社内のみでの実施が困難

出典: 株式会社プリメディカ(OneCompliance導入事例の「導入の背景・課題感」) https://onecompliance.jp/

ランサムウェア被害の実態｜狙われる企業・侵入経路・復旧が進まない理由

警察庁によると、令和7年のランサムウェア被害報告は226件で、被害企業の約6割は中小企業でした。侵入経路はVPN機器が6割以上で、復旧にも時間と費用がかかっています。

IPAの「情報セキュリティ10大脅威 2026」では、組織向けの脅威の1位が「ランサム攻撃による被害」で、2016年の初選出から11年連続で選ばれています。被害が続く背景には、攻撃者の裾野の広がりがあります。警察庁は、開発・運営グループが攻撃の実行者に攻撃環境を提供し、見返りに身代金の一部を受け取るRaaSという仕組みにより、高度な専門知識がない者でも攻撃を実行できるようになっていると説明しています。出典は警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」とIPA「情報セキュリティ10大脅威 2026」です(確認日2026年10月16日)。

ランサムウェアに狙われる日本企業は、規模も業種も選ばない

警察庁の令和7年の統計では、被害を受けた企業・団体を規模別に見ると、前年と同様に中小企業が約6割を占めました。業種別では製造業が約4割で、卸売・小売業、サービス業、情報通信業が続きますが、さまざまな業種で被害が確認されています。つまり、「うちは狙われるほど大きくない」「製造業ではないから関係ない」という考え方は、統計の上では当てはまりません。

項目	警察庁の令和7年の統計	本記事の施策との対応
被害報告件数	226件(依然として高水準)	全施策の前提
被害企業の規模	中小企業が約6割	本記事の7施策すべて
被害企業の業種	製造業が約4割。卸売・小売業、サービス業、情報通信業が続く	業種を問わず優先度1から4
侵入経路	VPN機器が6割以上	優先度1(更新)、2(認証)、4(入口を閉じる)
復旧に要した費用	総額1,000万円以上が5割超	優先度3(バックアップ)、7(対応手順)
復旧に要した期間	1か月未満は5割強	優先度3(復元テスト)、7(対応手順)
サイバー攻撃を想定したBCP	策定済みは約18%	優先度7(対応手順の準備)

侵入経路は「インターネットに露出した機器」と「ログインの弱さ」

警察庁によると、近年は標的型攻撃メールの添付ファイルによる感染は少なくなり、インターネットに露出した箇所から攻撃者が遠隔操作で内部に入り込む手口が多くを占めています。攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備を悪用してネットワークに侵入し、管理者権限の奪取やセキュリティの無効化を試みながら、重要データやバックアップを探します。データを外部に持ち出したうえで暗号化を実行し、復旧を妨害するためバックアップも一緒に暗号化される場合が多いとされています。さらに、データを盗んで「支払わなければ公開する」と脅す二重恐喝が被害の多くを占めています。攻撃の詳しい流れと最近の傾向は、ランサムウェア対策7ステップ｜3-2-1バックアップと感染時の初動対応を解説の記事で整理しています。

この流れから、対策の優先順位が見えてきます。入口をふさぐ(更新・認証・不要な入口の削除)、侵入されても被害を広げない(権限の絞り込み・検知)、バックアップを切り離しておく、の3点です。本記事の7施策は、この順に並べています。

復旧が進まないのは、バックアップと手順が「あるだけ」になっているため

「ランサムウェアで復旧しない」と言われる場面には、いくつかの共通点があります。警察庁は、バックアップデータも暗号化されてしまう事例が多数確認されていること、日頃の運用面の課題でバックアップからの復旧がうまくいかない事例があることを挙げています。また、ログが残っていなければ侵入経路や侵害範囲の調査が難しくなります。

• バックアップが常時つながった場所にあり、本体と一緒に暗号化される
• 取得はしていても復元を試したことがなく、いざという時に戻せない
• 感染時の連絡先や判断者が決まっておらず、初動が遅れる(サイバー攻撃を想定したBCPの策定済みは約18%)
• ログを取っておらず、原因と範囲の調査に時間がかかる

これらはいずれも、平時の準備で減らせます。バックアップはなるべくこまめに取得してネットワークから切り離して保存し、被害を想定した訓練で復旧手順を確認しておくことが、警察庁の示す備えです。

ランサムウェア対策の優先順位はどう決めるか

優先順位は「攻撃者がよく使う入口か」「やられたときの損害が大きいか」「すぐ実行できるか」の3つの物差しで決めます。この3つがそろう施策ほど先に実施します。

上位記事の多くは、バックアップ、多要素認証、パッチ適用の3つを最優先に挙げています。ただし、バックアップを1位に置く資料と、侵入防止の更新や認証を1位に置く資料があり、順番は少しずつ異なります。どちらが正しいというより、自社の状況によって答えが変わるためです。本記事では、前章の統計を踏まえ、次の考え方で順番を判断することをおすすめします。

• VPN機器やリモートデスクトップを外部に公開している会社は、更新と認証の強化を最優先にする(侵入経路でVPN機器が6割以上を占めるため)
• 社内にデータを保管するサーバーやNASがあり、止まると業務が続けられない会社は、切り離したバックアップを同時に進める
• クラウドサービス中心でVPNを使っていない会社は、クラウドの管理者アカウントの多要素認証と、メール経由の侵入を防ぐ教育の比重を上げる(SaaS側の被害範囲と確認項目は、SaaSのランサムウェア対策とは？被害範囲・初動対応・確認項目を解説で解説しています)

つまり、最初にやるべきことは個々の施策ではなく「自社の入口と守るべきデータの洗い出し」です。インターネットにつながっている機器、外部から使っているサービス、止まると困るデータを一覧にするだけで、7施策のどれを先にすべきかが自然に見えてきます。IPAの「中小企業の情報セキュリティ対策ガイドライン」は2026年3月に第4.0版が公開され、最初に取り組む「情報セキュリティ6か条」にバックアップが加わりました。付録の「5分でできる！情報セキュリティ自社診断」を使うと、現状の弱点を短時間で把握できます。

「全部やる」より「上から順に終わらせる」

対策の項目を一度に全部進めようとすると、どれも中途半端になり、結局どれも効かない状態が生まれます。優先度1を確実に終えてから2に進む、という順番を守る方が、守りの穴を確実に減らせます。特に兼任の担当者が1人で進める場合は、1週間で1施策を終える程度のペースを目安にしましょう。

予算別の実践ステップ｜低予算から本格対応まで

予算は「費用をかけない設定の見直し」「少額の投資」「継続費用のかかる外部サービス」の3段階で考えます。下の段階を終えないまま上の段階に投資しても、効果は十分に出ません。

段階	主な実施内容	向いている会社
段階1：費用をかけない	自動更新の有効化、初期パスワードの変更、多要素認証の設定、不要なアカウントと公開設定の削除、OS標準のウイルス対策機能の確認	すべての会社。最初に必ず終える
段階2：少額の投資	バックアップ用の外付け記憶媒体やクラウドバックアップ、従業員向けのeラーニング、古くなったVPN機器の買い替え	社内に重要データを保管している会社、従業員が10名を超える会社
段階3：継続費用のかかる外部サービス	端末の不審な動きを検知する製品、24時間の監視サービス、UTM、サイバー保険、専門家による診断	情報システム担当がいない会社、取引先からセキュリティ水準を求められている会社

段階1：費用をかけずにできること

段階1は、多くの場合、機器や管理画面の設定を変えるだけで実施できます。まずVPN機器とルーターの管理画面を開き、ファームウェアが最新かを確かめます。メーカーのサポートが終了している機器は更新が提供されないため、段階2での買い替え対象としてメモしておきます。次に、VPN、メール、クラウドストレージなど外部から使うサービスの管理者アカウントから順に多要素認証を設定します。警察庁は、アカウントに割り当てる権限や、アクセス可能とする範囲を必要最小限にすることも、被害の拡大を防ぐ対策として挙げています。退職者のアカウントや、使っていない共有アカウントの削除もこの段階で行います。

段階2：少額の投資で効果が大きいこと

段階2の中心はバックアップと教育です。バックアップは、データのコピーを複数持ち、少なくとも1つはネットワークから切り離して保管するのが基本です。常時つながったままのNASやファイル共有だけでは、ランサムウェアにまとめて暗号化されるおそれがあります。外付けの記憶媒体を使う場合は、バックアップを取る時だけ接続し、終わったら外す運用にします。教育は、全員が同じ内容を学べて受講記録が残る形を選ぶと、取引先から対策状況を聞かれたときの説明材料にもなります。

段階3：外部の力を借りる判断

情報システムの専任者がいない会社では、段階3の監視サービスや専門家の支援が現実的な選択肢になります。警察庁は、ウイルス対策ソフトやEDR製品、ネットワーク監視製品などのセキュリティ製品について、導入するだけでなく最新の状態に保ち適切に運用することが重要だとしています。「何も信頼せず、多要素認証や最小限の権限で都度確認する」というゼロトラストの考え方も、段階1の認証強化と権限の見直しの延長にあります。ただし、段階1と2を終えていない状態で高価な製品を入れても、更新されていないVPN機器から侵入されれば意味がありません。外部サービスを検討するのは、段階1と2の実施状況を一覧にして説明できる状態になってからにしましょう。

3サービスの役割を比較表で見る

90日で基本を固める実施スケジュール

兼任の担当者でも無理なく進めるには、90日を3つの期間に分け、期間ごとに終える施策を決めておく方法が有効です。期限を決めることで、日々の業務に押されて対策が止まるのを防げます。

期間	終える施策	完了の目安
1日目から30日目	機器とサービスの一覧化、VPN機器とOSの更新、管理者アカウントの多要素認証、不要な入口の削除	一覧表がそろい、外部から使う管理者アカウントすべてに多要素認証が設定されている
31日目から60日目	切り離したバックアップの運用開始、復元テスト、従業員教育の開始	重要データを1つ実際に復元でき、全員が最初の研修を受講している
61日目から90日目	対応手順の作成と共有、検知の仕組みの見直し、次年度の計画づくり	連絡先と切り離し方法が1枚にまとまり、経営者と共有されている

各期間の終わりには、経営者と15分程度でよいので進み具合を確認する場を設けましょう。担当者だけで抱え込むと、予算や業務停止をともなう判断が止まりやすくなります。経営者が関与していること自体が、社内で対策を優先してもらうための後ろ盾になります。

誰が何を担当するかを決める

中小企業では、施策ごとに担当を分けておくと進めやすくなります。機器の更新やアカウント管理は社内のIT担当か保守業者、バックアップの確認は各部署のデータを把握している人、教育の受講管理は総務や人事、対応手順の承認は経営者、というように役割を決めます。外部の保守業者に任せている場合は、契約の範囲にファームウェアの更新が含まれているかを確認しておくことが大切です。「業者がやってくれているはず」という思い込みが、更新漏れの原因になることがあります。

31日目からの教育は「自社のルールを教材にできるか」で選ぶ

90日の中で最も手間が読みにくいのが、31日目から始める従業員教育です。不審なメールの見分け方といった一般的な内容に加えて、自社の連絡先、報告先、パスワードの扱い、使っているクラウドサービスの設定ルールまで教材にできると、研修が「自分の会社の話」になり、行動が変わりやすくなります。不審なメールへの具体的な備えは、迷惑メール対策の完全ガイド｜受信・送信・法務まで実務手順を解説の記事にも実務手順をまとめています。

自社の資料や動画を研修コースにしたい場合の一例が、Smart Boardingです。研修・OJT・eラーニングを1つのシステムで進められ、自社の資料や動画と用意されたコンテンツを組み合わせた研修コースを作れるほか、LMS機能で進捗や理解度を確認し、小テストの作成・配信やユーザー別のリマインド配信もできると商品ページで紹介されています。注意したい点は、自社の教育内容を学習プログラムにする際に一定の手間がかかり、担当者との打ち合わせが必要なことです。情報セキュリティ専用のコースがあるかは商品ページに記載がないため、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内で様々な研修を実施してきましたが、全社員の参加が難しかったり、研修のデータ把握・管理が複雑になること課題でした。

出典: パナソニックホームズ北九州株式会社(Smart Boarding導入事例) https://smartboarding.net/example/1834/

ここまでの手順を、自社の今の状況に当てはめて確かめてみてください。

施策実施でよくある失敗パターン

失敗の多くは、施策を「導入した」ことで安心し、実際に機能しているかを確かめていないことから起こります。代表的なつまずきと改善策を整理します。

よくある失敗	何が問題か	改善策
高価な製品を先に買う	更新されていないVPN機器など、基本の穴が残ったままになる	段階1の設定見直しを終えてから投資を判断する
バックアップを取っているだけ	常時接続のため一緒に暗号化される、または復元できないことに後から気づく	切り離して保管し、定期的に実際の復元を試す
多要素認証を一部だけ設定	設定していない管理者アカウントやVPNが入口として残る	一覧表で外部から使うアカウントをすべて確認する
研修が入社時の1回だけ	新しい手口を知らないまま、だましのメールに反応してしまう	年1回以上くり返し、受講状況を記録する
感染時の連絡先が決まっていない	初動が遅れ、警察や専門家への相談も後回しになる	連絡先と判断者を1枚にまとめ、経営者と共有する
担当者1人に任せきり	異動や退職で対策が止まり、手順も引き継がれない	役割を分け、手順を文書にして経営者と共有する

この中でも、研修を一度きりで終える失敗は気づきにくいものです。攻撃メールの文面は年々自然になり、取引先や社内の人物を装ったものも増えています。最初の説明会で学んだ知識だけでは、新しい手口に対応しきれません。くり返せる研修にするうえでの壁は、催促と記録の手間です。受講状況の管理と催促を仕組みに任せると、担当者の手間を増やさずに全員の意識を保てます。

施策の効果を確認する方法｜訓練・診断

施策の効果は、「設定の状態を点検する」「人の反応を訓練で確かめる」「復旧できるかを試す」の3つの方法で確認します。実施したかどうかではなく、機能しているかどうかを見ることが目的です。

確認の方法	確かめること	頻度の目安
設定の点検	機器の更新状況、多要素認証の設定漏れ、不要なアカウントの有無	月1回
標的型メール訓練	訓練メールを開いた人、リンクを押した人、報告した人の割合	年1回から2回
復元テスト	バックアップから実際にデータを戻せるか、どのくらい時間がかかるか	四半期に1回
自社診断・外部診断	IPAの自社診断の点数の変化、専門家から見た弱点	年1回

標的型メール訓練では、リンクを押した人の割合だけでなく「不審だと気づいて報告した人の割合」も記録しましょう。押してしまう人をゼロにするのは難しくても、すぐに報告してもらえれば被害の広がりを抑えられます。報告した人を評価する雰囲気をつくることも、訓練の大事な目的です。警察庁は、被害を想定した訓練で、関係者との連絡、警察への通報・相談、広報対応、バックアップによる復旧手順を確認しておくことを推奨しています。

研修の効果は、受講したかどうかではなく、理解できているかで確かめます。確認テストの結果を集計して、正答率の低い設問を教材の見直しにつなげる方法です。確認テストで理解度を確かめたい場合の一例が、SAKU-SAKU Testingです。CBTの技術を生かしたeラーニングで、既存の問題と自社で作る問題を組み合わせたテスト(選択式、穴埋め、並び替え、記述式)を配信でき、受講状況やデータ分析がダッシュボードでグラフ表示されると商品ページで紹介されています。ラインナップにはコンプライアンス、ハラスメント、情報セキュリティなどが含まれます。注意したい点は、AIによるリモート監視などの機能や、事務局運営・カスタマーデスクの利用が有償オプションであることと、日本国内仕様で海外での利用はサポート対象外であることです。料金はプランによって異なるため、資料や公式サイトで確認してください。

コンテンツの質の向上はもちろん、受講者への事前リマインドによる受講率向上や、受講状況・結果を容易に把握できるようになったことで、次の施策への展開が容易になった。

出典: メディカル・データ・ビジョン株式会社(SAKU-SAKU Testing導入事例) https://www.e-coms.co.jp/jirei/jirei29

自社診断の結果は、数値として記録しておくと前年との比較ができます。IPAの「SECURITY ACTION」は、中小企業が自ら対策に取り組むことを宣言する制度で、取り組み状況に応じて一つ星、二つ星を宣言できます。IPAのお知らせには、自治体の補助金の採択審査で加点対象になった例が掲載されており、対策を進める目標として活用できます。

3サービスの役割を比較表で見る

感染が疑われたときの最初の動きと、使える公的資料・相談窓口

感染が疑われたら、端末をネットワークから切り離し、電源は落とさず、警察などに相談します。身代金の支払いは、警察が推奨していません。

最初の動きは「隔離する・電源を落とさない・相談する」

警察庁は、被害が疑われたとき・確認されたときの対応として、次の順を示しています。詳しい手順と社内の連絡のとり方はランサムウェア対策7ステップ｜3-2-1バックアップと感染時の初動対応を解説の記事で解説しているため、ここでは優先度7の「1枚の手順書」に載せる最小限の内容に絞ります。

1. 感染したパソコンなどのLANケーブルを抜く、無線をオフにするなどして、ネットワークから隔離する。調査に必要なログが消えるおそれがあるため、電源は落とさない
2. 最寄りの警察署またはサイバー犯罪相談窓口に通報・相談する。初動対応の支援や復号ツールの案内が受けられる場合がある
3. 侵入経路や侵害範囲を調査し、再発防止につなげる

ランサムウェアの身代金を払ったらどうなるか

警察は、要求された金銭を支払うことについて、「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」と被害者に説明しています。警察庁は、警察に被害を届け出ていなくても使える復号ツール(Phobos/8Baseにより暗号化されたファイル向け、令和7年7月公表)も広報しています。国際的なNo More Ransomでは、暗号化されたデータの復号ツールが提供されていますが、JC3の解説のとおり、復号ツールで必ず復元できるとは限らないため、事前の備えが前提になります。

対応手順書は「1枚」にまとめ、訓練で確かめる

「ランサムウェア対応の手順書」というと大部のものを想像しがちですが、中小企業では、判断に迷わない1枚から始めるのが現実的です。連絡先と判断者、切り離す機器の名前と方法、電源を落とさない注意、バックアップの保管場所と復元の担当、警察や専門機関の相談先を書き、経営者と共有します。作った手順書は、被害を想定した訓練で動かしてみて初めて役に立つかが分かります。

相談先と、読んでおきたい公的資料

窓口・資料	使い方
IPA ランサムウェア対策特設ページ	対策の考え方、被害の教訓、解説動画などへの入口。経営者向けの資料も掲載されている
IPA 中小企業の情報セキュリティ対策ガイドライン	第4.0版。経営者編と実践編、5分でできる自社診断、基本方針や規程のひな形が付録にある
IPA SECURITY ACTION	一つ星、二つ星の自己宣言。対策の取り組み状況を社内外に示す目標になる
警察庁 ランサムウェア被害防止対策	被害防止、備え、被害時の対応、よくある質問(通報の疑問への回答)を掲載
警察庁 サイバー事案に関する相談窓口	都道府県警察の連絡先や、サイバー事案の通報・相談のオンライン受付への入口
JPCERT/CC インシデント対応依頼・相談	被害が疑われるときの相談・情報提供の窓口

継続的な対策のための体制づくり

ランサムウェア対策は、90日で基本を固めたら終わりではありません。年間の予定に組み込み、担当が変わっても続く形にすることで、はじめて効果が保たれます。

年間の予定に組み込む

月1回の設定点検、四半期ごとの復元テスト、年1回以上の研修と訓練、年1回の自社診断を、あらかじめ社内の予定表に入れておきます。決算や繁忙期と重ならない時期を選ぶと実施が止まりにくくなります。新しい機器やクラウドサービスを導入したときは、その都度一覧表を更新し、多要素認証とバックアップの対象に加えることも忘れないようにしましょう。

ルールを文書にし、入社時と異動時に伝える

パスワードの決め方、不審なメールを受け取ったときの報告先、私物端末の扱いなど、全員が守るべきルールは短い文書にまとめます。IPAのガイドラインには、情報セキュリティの基本方針や社内規程のひな形が用意されているため、ゼロから作る必要はありません。文書は入社時の研修で必ず説明し、ルールを変えたときは研修の内容も合わせて更新します。

取引先とのつながりも意識する

IPAのガイドライン第4.0版は、経済産業省と内閣官房国家サイバー統括室が検討を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」の基本的な考え方に沿った内容になっています。自社の対策が、取引先から見える形で求められる流れがあるということです。施策の一覧、研修の受講記録、復元テストの結果を残しておけば、対策状況を聞かれたときにも落ち着いて答えられます。継続的な教育の記録は、自社を守るだけでなく、取引の信頼を支える材料にもなります。

よくある質問(FAQ)

Q1. ランサムウェア対策は何から始めればよいですか？

A. まず、インターネットにつながっている機器と外部から使っているサービスを一覧にします。そのうえで、VPN機器やOSの更新と、管理者アカウントの多要素認証から着手するのがおすすめです。警察庁によると、令和7年の侵入経路はVPN機器が6割以上を占めており、どちらも費用をほぼかけずに始められます。

Q2. ランサムウェアに狙われている日本企業は？

A. 警察庁の令和7年の統計では、被害企業の約6割が中小企業で、業種別では製造業が約4割を占めました。卸売・小売業、サービス業、情報通信業が続き、さまざまな業種で被害が確認されています。企業の規模や業種に関わらず、基本的な対策が必要です。

Q3. ランサムウェアが復旧しない理由は何ですか？

A. 警察庁は、バックアップデータも一緒に暗号化されてしまう事例が多数あることと、日頃の運用面の課題でバックアップからの復旧がうまくいかない事例があることを挙げています。バックアップを切り離して保管し、復元テストで実際に戻せるかを確かめておくことが対策になります。

Q4. ランサムウェアに感染したらどうすればいいですか？

A. 感染したパソコンなどをLANケーブルを抜く、無線をオフにするなどしてネットワークから隔離します。調査に必要なログが消えるおそれがあるため、電源は落とさないでください。そのうえで、最寄りの警察署またはサイバー犯罪相談窓口に通報・相談します。

Q5. ランサムウェアの身代金を払ったらどうなりますか？

A. 警察は、支払いは犯罪グループ等の活動資金となることが懸念され、暗号化されたデータの復号が保証されるわけではないと説明しています。支払うかどうかを含めた被害情報の提供は、捜査への協力として求められています。まずは警察や専門機関に相談しましょう。

Q6. 予算がほとんどなくても対策はできますか？

A. できます。自動更新の有効化、初期パスワードの変更、多要素認証の設定、不要なアカウントの削除などは、設定の見直しだけで実施できます。少額の投資は、切り離したバックアップと従業員教育から検討するとよいでしょう。

まとめ

ランサムウェア対策は、項目を全部並べるより、優先度の高いものから順に確実に終わらせることが大切です。侵入口の更新と認証、切り離したバックアップ、感染時の手順、従業員教育を軸に、予算の段階と90日の計画で進めましょう。まずは次の4つから始めてみてください。

1. インターネットにつながる機器とサービスを一覧にし、VPN機器の更新と多要素認証を確認する
2. 重要データを切り離して保管し、1つのファイルを実際に復元してみる
3. 感染時の連絡先と最初の動きを1枚にまとめ、90日の実施計画と担当を決める
4. 従業員教育をくり返せる仕組みにするため、eラーニングの資料を取り寄せ、受講管理・自社ルールの教材化・確認テストのどれを重視するか比べる

参考文献

• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
• 警察庁「ランサムウェア被害防止対策」 https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
• 警察庁「サイバー事案に関する相談窓口」 https://www.npa.go.jp/bureau/cyber/soudan.html
• IPA「ランサムウェア対策特設ページ」 https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html
• IPA「中小企業の情報セキュリティ対策ガイドライン」 https://www.ipa.go.jp/security/guide/sme/about.html
• IPA「SECURITY ACTION セキュリティ対策自己宣言」 https://www.ipa.go.jp/security/security-action/
• IPA「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
• JPCERT/CC「インシデント対応依頼」 https://www.jpcert.or.jp/form/
• JC3「ランサムウェア対策について」 https://www.jc3.or.jp/threats/topics/article-375.html
• No More Ransom https://www.nomoreransom.org/ja/index.html