IPA、経営者向けランサムウェア対策ハンドブック公開国内被害組織のヒアリングから11の教訓|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月09日更新日時: 2026年09月09日

独立行政法人情報処理推進機構（IPA）は2026年9月8日、「ランサムウェア被害から学ぶ教訓集～経営者のためのランサムウェア対策ハンドブック～」を公開しました。

本ハンドブックは、国内でランサムウェア被害を受けた複数の組織へのヒアリング調査をもとに、被害発生時に実際に生じた課題や判断の難しさを整理したものです。経営・リスク管理向けに6項目、インシデント対処向けに5項目、計11の教訓をまとめています。

IPAが強調しているのは、ランサムウェア対策を情報システム部門だけの技術課題として扱わないことです。暗号化が発覚した時点では攻撃者の活動が最終段階まで進んでいるケースがあり、復旧、業務継続、顧客・取引先対応、公表、法令対応、脅迫への対応などを短期間に並行して判断しなければなりません。

また、被害組織へのヒアリングでは、一般的なセキュリティ対策を導入していた組織でも、更新の遅れや一時的な設定変更の放置、内部ネットワークの弱い設定など「わずかな隙」から侵入・侵害拡大を許したケースが確認されています。

IPA「経営者のためのランサムウェア対策ハンドブック」のサマリー

IPAは2026年9月8日、国内のランサムウェア被害組織へのヒアリングをもとにした47ページの教訓集を公開しました。
対象読者は、経営者、経営企画・総務・法務・広報などのリスク管理部門、情報システム・セキュリティ部門です。
教訓は「経営・リスク管理」6項目と「インシデント対処」5項目の計11項目に整理されています。
IPAは、暗号化を認識した時点では攻撃が最終段階まで進んでいる場合があり、発覚後の時間的猶予が少ないと説明しています。
経営側には、重要システム停止、公表、業務継続、脅迫への対応などを短時間で判断できる基準・意思決定プロセスの事前整備を求めています。
ランサムウェア対応を情報システム部門へ集中させると、復旧作業に支障が出る可能性があり、法務、広報、営業、総務などを含む全社的な役割分担が必要としています。
BCPでは自然災害だけでなく、サイバー攻撃による大規模システム停止を前提に、手作業・代替システムを含む業務継続を検討します。
漏えい・暗号化されたデータを事後に特定するのはフォレンジック調査でも困難なため、個人情報を含むデータ台帳を平時から整備するよう求めています。
バックアップが存在しても、侵入後に取得されたバックアップは汚染されている可能性があります。安全な復元時点を判断するには侵入開始時期を追えるログが必要です。
従来型アンチウイルスだけでは検知が難しい攻撃があり、EDRの導入に加え、アラートへ対応する監視体制と定期的なログ分析が必要としています。
顧客や取引先に「情報漏えいがなかった」と完全に証明することは極めて困難であり、判明した事実と調査状況を必要な範囲で説明する考え方を示しています。
身代金を支払ってもデータの復旧や暴露停止は保証されず、IPAが紹介する国内外の公的方針でも金銭支払いを避ける方向が示されています。

区分	IPAが整理した教訓
経営・リスク管理	経営者による迅速な経営判断と明確な関与
経営・リスク管理	インシデント対応体制の整備
経営・リスク管理	事業継続計画（BCP）への反映
経営・リスク管理	個人情報を含むデータの現状把握
経営・リスク管理	経営者主導の意思統一
経営・リスク管理	窃取されたデータの暴露への備え
インシデント対処	バックアップとログの整合性確保
インシデント対処	基本的な対策の徹底
インシデント対処	EDR導入と定期ログ監査
インシデント対処	「漏えいなし」の証明は困難
インシデント対処	セキュリティベンダーとの関係構築

IPAが国内のランサムウェア被害組織へヒアリング

今回の教訓集は、一般的なランサムウェア対策を体系化したガイドラインとは性格が異なります。

IPAのコンピュータウイルス・不正アクセス届出窓口が、国内で実際にランサムウェア被害を受けた複数組織へヒアリングし、被害当時に何が起き、どのような判断・対応を行い、後から何を教訓として認識したかを抽出しました。

調査は野村総合研究所の協力を得て実施され、教訓集の作成では八雲法律事務所の山岡裕明弁護士が監修・加筆しています。

IPA自身も、本資料はランサムウェア事案対処の包括的・体系的な方法論を示すものではなく、被害組織の経験とIPAによる選定・分析をもとにした教訓集だと説明しています。

そのため、11項目をそのままチェックリストとして満たせば被害を防げるという性質の資料ではありません。

一方、実際の被害現場で発生した「準備していたつもりでも対応できなかったこと」を確認できる点が、この資料の特徴です。

関連記事：ランサムウェアとは感染経路や被害事例・対策を解説

ランサムウェアは「暗号化を見つけてから」では時間が足りない

IPAは、ランサムウェア事案の特性として、暗号化が発覚した時点で攻撃者の活動が最終段階まで進んでいる可能性を挙げています。

侵入型ランサムウェアでは、攻撃者が組織内へ侵入した後、内部ネットワークを探索し、権限を拡大し、バックアップを特定し、データを持ち出した上で暗号化へ進む場合があります。

被害組織が暗号化を認識した段階では、すでに次の対応を同時に迫られます。

侵害範囲の調査
ネットワークの切断・封じ込め
安全な復旧方法の判断
業務継続
顧客・取引先への説明
関係機関への届出
個人情報漏えい等への対応
公表判断
メディア対応
脅迫への対応

IPAのヒアリングでは、こうした対応が情報システム部門へ集中した組織もありました。

警察への相談、個人情報保護委員会への報告、取引先説明、攻撃経路調査、復旧方針、復旧作業、再発防止策まで情報システム部門が抱え、復旧支援ベンダーから業務分担を求められても、事前の取り決めがないため他部門へ仕事を移せなかった事例が紹介されています。

教訓1　経営者が短時間で判断できる基準を事前に決める

最初の教訓は、経営者による迅速な意思決定です。

ランサムウェア発覚後には、通常のシステム運用では行わない判断が必要になります。

たとえば、

インターネット接続を遮断するか
重要システムを停止するか
一部拠点をネットワークから切り離すか
どの業務を停止するか
いつ外部公表するか
顧客・取引先へ何を説明するか
どの時点のバックアップへ戻すか

といった判断です。

IPAのヒアリングでは、経営者と情報システム部門で事態やリスクの認識共有が難しかった組織や、判断基準・意思決定プロセスがなく、重要事項の決定に時間を要した組織がありました。

特にシステム停止では、システム間の依存関係が把握されていないことが判断を難しくした例もあります。

平時に決めるべきなのは「ランサムウェアに感染したらサーバーを止める」といった単純な手順ではなく、誰が、どの情報をもとに、どの範囲まで停止を判断できるのかという意思決定の条件です。

教訓2　情報システム部門だけに対応を集中させない

IPAは、ランサムウェアをITインシデントとして情報システム部門だけに担当させる運用を問題として挙げています。

事案発生後には技術対応以外にも、次の業務があります。

対応	主な担当候補
侵害調査・復旧	情報システム、セキュリティ
個人情報・法令対応	法務、個人情報保護担当
警察・関係機関対応	CSIRT、総務、法務
顧客・取引先説明	営業、事業部門、広報
外部公表	広報、経営、法務
BCP	事業部門、経営企画
従業員への指示	人事、総務、経営
経営判断	経営層

対応中に情報システム部門へ問い合わせや苦情が殺到し、復旧担当者の作業が滞ることもあります。

IPAのヒアリングでは、経営層が情報システム部門への直接問い合わせを抑制した組織や、課題管理表で依頼を一元化した組織もありました。

ランサムウェア対応体制では、CSIRTの有無よりも、発生時に各部門へ仕事を割り振れる権限と手順があるかを確認します。

教訓3　BCPに「サイバー攻撃によるシステム停止」を入れる

災害対応のBCPがあっても、ランサムウェアにそのまま適用できるとは限りません。

IPAのヒアリングでは、BCPを策定していたものの、サイバー攻撃を想定していなかった組織が確認されています。

サイバー攻撃による停止では、システムそのものが使えないだけでなく、「安全性を確認できないため使ってはいけない」状態が続くことがあります。

製造業で生産管理システムが停止すれば、在庫が存在していても出荷・納品処理ができない場合があります。

また、過去にシステム化される前の手作業を経験した従業員が業務継続を支えた事例も紹介されています。

DXが進むほど、システムがない状態で業務を継続する方法を知る人が減る可能性があります。

BCPでは次を確認できます。

基幹システムが全面停止した場合に継続する業務
手作業へ切り替えられる業務
紙・表計算・代替SaaSなどの利用方法
復旧優先順位
データをロールバックした場合の補正方法
顧客・取引先との代替連絡手段
ネットワーク遮断時の拠点間連絡

関連記事：サイバー攻撃やランサムウェア被害時の社内・社外対応の流れ

教訓4　漏えいデータを「被害後に調べれば分かる」と考えない

IPAが経営・リスク管理側の教訓として挙げたのが、個人情報を含むデータの現状把握です。

ランサムウェア事案では、ファイルサーバーやデータベースへ攻撃者がアクセスしている可能性があります。

しかし、攻撃後に「どのファイルが持ち出されたか」「暗号化された領域にどの個人情報があったか」を完全に特定できるとは限りません。

IPAは、フォレンジック調査を行っても流出・暗号化されたデータの内容特定が困難な場合が多いとして、平時からデータ台帳を整備するよう求めています。

台帳では少なくとも次を確認できる状態が必要です。

どのシステムにデータがあるか
どの部門が管理しているか
個人情報が含まれるか
要配慮個人情報が含まれるか
対象人数
保存期間
アクセス権限
バックアップ先

データの所在が分からなければ、個人情報保護委員会への報告や本人通知の判断でも調査負荷が増えます。

教訓5　経営者が情報発信と権限委譲を行う

ランサムウェア事案では、復旧担当者だけでなく全従業員の業務にも影響します。

IPAのヒアリングでは、事態を「自分事」として捉えられない従業員がいる一方、経営者が自ら情報発信し、協力を求めたケースがありました。

別の事例では、現場責任者へ権限を委譲し、その責任者の指示に従うよう組織内へ周知することで、意思決定を高速化しています。

取引先への説明でも、営業、情報システム、経営層など複数の窓口から異なる説明が出ると混乱します。

事案発生後は、次を一本化しておく必要があります。

社内向け状況説明
従業員への作業指示
取引先への説明
顧客への説明
メディア対応
公表内容

教訓6　身代金を払っても復旧・暴露停止は保証されない

IPAのヒアリングでは、ほぼすべての対象組織で、経営層が早い段階で「身代金を支払わない」と判断していました。

理由として、支払っても暗号化データの復旧や窃取データの暴露停止が保証されないこと、支払い後も脅迫が続く可能性があることが挙げられています。

IPAは、Counter Ransomware Initiative（CRI）、警察庁、経済産業省などが示している方針も紹介しています。

CRIのガイダンスでは金銭支払いを避けることが強く推奨され、盗まれたデータを削除するという犯罪者側の約束を信用しないよう注意を促しています。

またIPAは、事案収束後もデータがダークウェブへ公開される可能性を踏まえ、一定期間の監視・調査を検討するよう説明しています。

身代金を支払うかどうかを攻撃発生後に初めて経営会議で考えるのではなく、法務、サイバー保険、制裁規制、警察相談を含めた基本方針を平時に整理しておく方が判断時間を短縮できます。

教訓7　バックアップと「侵入時期を追えるログ」をセットで考える

バックアップがあることと、安全に復旧できることは同じではありません。

IPAは、侵入開始後に取得されたバックアップについて、攻撃者による変更や不正な設定を含む「汚染」の可能性を考慮する必要があると説明しています。

安全な復元ポイントを決めるには「攻撃者がいつ侵入したか」を把握する必要があります。

そのため、

バックアップをネットワークから分離・保護する
バックアップの保持期間を確保する
VPN、認証、Active Directory、EDRなどのログを保存する
ログから侵入開始時期を追える状態にする
復旧テストを行う

といった対策を組み合わせます。

また、バックアップを数日前へ戻せば技術的には復旧できても、その間の受注、出荷、在庫、会計などのデータを手作業で補正しなければならない場合があります。

IPAはこれを「システム目線と業務目線の違い」として紹介しています。

バックアップのRPOだけでなく、ロールバックしたデータを業務部門がどの程度補正できるかもBCPの確認対象です。

教訓8　「基本対策をしている」組織でもわずかな隙から侵害された

IPAのヒアリング対象では、すべての組織で一般的なセキュリティ対策が行われ、運用体制も整備されていました。

それでも被害が発生しています。

確認された要因としてIPAは、

セキュリティ更新プログラムの適用の遅れ
一時的な設定変更を元に戻していない
既知の脆弱性
安易なパスワード
アップデートされていないNAS
管理者アカウントによる日常運用
内部ネットワークを安全とみなした簡易設定
Active Directoryの侵害

などを挙げています。

対策の「導入有無」ではなく、日々の運用で設定・更新・権限が維持できているかを見る必要があります。

IPAは内部ネットワークも安全ではないことを前提に、セグメント分割や権限管理を進める考え方を示しています。

教訓9　EDRは導入だけでなく監視体制とログ監査まで必要

IPAは、従来型のウイルス対策ソフトだけでは攻撃者の活動を十分に検知できない場合があるとして、EDRなどの導入を挙げています。

一方、ここでも「EDRを入れればよい」とはしていません。

必要としているのは、

EDRなどで攻撃者の挙動を記録する
アラートへ迅速に対応できる監視体制を作る
定期的にログを確認・分析する

という運用です。

近年の侵入型ランサムウェアでは、OS標準ツールや正規ツールを悪用するLiving Off The Land（LOTL）手法も利用されます。

こうした攻撃では、既知マルウェアのファイル検知だけではなく、端末上の挙動や一連の活動を調査できるログが必要です。

EDRの導入・運用を確認する場合は、EDR製品一覧・比較・選び方・導入運用情報も参考になります。

教訓10　「情報漏えいはなかった」と完全に証明するのは困難

ランサムウェア被害後、顧客や取引先から「情報漏えいがなかったことを証明してほしい」と求められるケースがあります。

IPAは、これを極めて困難としています。

ヒアリング対象のほぼすべての組織でフォレンジック調査が行われ、調査結果をもとに取引先へ説明していました。

しかし、フォレンジック調査でも攻撃者の活動をすべて把握できるとは限りません。

ログの保存期間が短い、攻撃者がログを削除した、監視していない通信経路があったといった場合、データ持ち出しの有無を完全に確認できない可能性があります。

この場合、企業は「漏えいなし」と断定するより、

調査で確認できた事実
調査した範囲
確認できていない事項
現在の監視状況
今後の追加調査

を必要な相手へ段階的に説明することになります。

情報漏えいの有無を公表する際にも、「確認されていない」と「存在しないことを証明した」は分ける必要があります。

教訓11　インシデント後に初めてベンダーを探さない

最後の教訓は、セキュリティベンダーとの関係構築です。

ランサムウェア発生後には、

フォレンジック調査
マルウェア解析
ログ調査
復旧支援
攻撃経路分析
ダークウェブ調査
インシデントハンドリング
再発防止策
顧客・取引先への説明支援

など、複数の専門性が必要になります。

しかし、すべてのセキュリティベンダーが同じ対応範囲を持つわけではありません。

IPAは、平時から必要な役割と対応範囲を整理し、適切なベンダーとの関係を構築するよう案内しています。

企業側では、緊急連絡先を登録するだけでなく、

24時間連絡できるか
初動までのSLA
フォレンジック対象
クラウド・SaaSの調査可否
OT・海外拠点への対応
ダークウェブ調査
法務・広報支援
調査結果の報告形式

まで事前に確認しておくと、発生後の調達・契約時間を短縮できます。

情報システム・経営層が平時に確認したい項目

IPAの11の教訓を企業の確認項目へ落とすと、次のように整理できます。

確認領域	平時に確認する内容
経営判断	システム停止、公表、復旧優先順位の決裁者・基準
全社体制	情シス、法務、広報、営業、総務、経営の役割分担
BCP	全面IT停止時の手作業・代替業務
データ管理	個人情報・重要情報の所在と台帳
権限委譲	緊急時に現場が実行できる範囲
脅迫対応	身代金要求への基本方針、警察・法務との連携
バックアップ	オフライン／改ざん耐性、復旧テスト、保持期間
ログ	侵入開始時期を追跡できる保存期間と対象
基本対策	パッチ、MFA、特権ID、AD、NAS、セグメント
EDR	配備率、アラート監視、ログ分析、隔離手順
漏えい調査	「確認できない」を含む対外説明の基準
外部支援	IR・フォレンジック・ダークウェブ調査の契約先

ランサムウェア対策では、暗号化を防止する技術だけでなく、「侵害された後にどこまで事業を継続できるか」「確認できない事実をどう説明するか」まで準備対象になります。

IPAハンドブックから見える企業側の3つの優先課題

47ページの内容を企業の実務へ置き換えると、優先順位は大きく3つに整理できます。

1．情報システム部門へ集中しない対応体制

ランサムウェアは技術インシデントであると同時に、事業継続、法務、対外説明を伴う経営インシデントです。

発生後に担当部署を決めるのではなく、平時に役割分担と権限を決めます。

2．「復旧できるバックアップ」ではなく「安全な復旧時点」を特定できる状態

バックアップ本数だけでは復旧可能性を判断できません。

侵入開始時期を確認できるログ、バックアップの改ざん耐性、リストア試験、ロールバック後の業務補正まで一つの復旧設計として確認します。

3．漏えいの有無を判断するためのデータ・ログ管理

「漏えいがあったか」を調べるためには、攻撃前からログとデータ台帳が必要です。

攻撃後にフォレンジックを依頼すればすべて分かる、という前提ではなく、調査可能性そのものを平時から設計する必要があります。

IPAが今回の教訓集を「経営者のためのランサムウェア対策ハンドブック」とした背景には、この3領域を情報システム部門だけでは整備できないという被害組織の経験があります。

関連記事：ランサムウェアの国内・海外事例まとめ

IPA、経営者向けランサムウェア対策ハンドブック公開　国内被害組織のヒアリングから11の教訓