ランサム対応が機能しない企業の共通点 危険なボトルネックを解消するには？：「支払うか、支払わないか」では遅い

「身代金は絶対に支払うべきではない」という原則だけではランサムウェア対応で答えが出ないこともあります。では、有事の混乱の中で難しい判断に迫られないために企業は平時に何を決めておくべきでしょうか。ボトルネックとそれを解消するポイントを解説します。

[ガリガリあたま，＠IT]

　前編では、身代金を支払った企業と支払わなかった企業の事例を通じて、「身代金は絶対に支払うべきではない」という原則だけでは答えを出せない局面があることを紹介しました。

　では、企業はランサムウェア被害に遭ったとき、何を基準に、誰が最終判断を下すべきなのでしょうか。

　後編で伝えたいのは、「支払うか、支払わないか」という結論そのものではありません。有事の混乱の中で組織が判断不能に陥らないために、平時からどのような意思決定の仕組みを整えておくべきかです。

ランサムウェア被害を拡大させる「意思決定の渋滞」

　ランサムウェア被害が発覚すると、企業は短時間で数多くの判断を迫られます。ネットワークをどこまで遮断するのか。システムを停止するのかどうか。サービスを継続できるかどうか。警察や監督官庁にはいつ報告するのか。顧客や取引先には何を説明するのか。そして、攻撃者から届いた身代金要求にどう対応するのか。

　しかし被害の初期段階では、判断に必要な情報はほとんどそろっていません。侵入経路は不明で、攻撃者がどこまで権限を取得したのかも分かりません。バックアップが安全かどうか、情報漏えいが発生したのかどうか、自力復旧に何日かかるのかも、すぐには判断できません。

　一方で、情報システム部門には被害状況や復旧見通しの報告が求められます。事業部門は業務継続への影響を確認し、法務・コンプライアンス部門は法令や制裁リスクを整理します。広報部門は公表内容を検討し、財務部門や保険担当部門は費用や保険適用を確認します。

　ここで起こるのは、単なる情報不足ではありません。誰が、何を基準に、いつ最終判断を下すのかが決まっていないことです。危機対応で本当に恐ろしいのは、誤った判断ではありません。誰も決断できず、判断が先送りされることで被害や事業停止が拡大してしまうことです。

会議室で起こる「正しさの衝突」

　ランサムウェア対応の緊急会議では、誰か一人が間違っているとは限りません。

　情報システム部門が「安全性を確認するまで再開できない」と主張するのは当然です。事業部門が「このままでは顧客対応や商品の供給が止まる」と訴えるのも正しいでしょう。法務・コンプライアンス部門が法的リスクを警戒することも、広報部門が不正確な情報の公表を避けようとすることも、それぞれ合理的な判断です。

　問題は、それぞれが「正しい」からこそ結論が出なくなることです。

　情報システム部門は安全性を重視します。事業部門は事業継続を優先します。法務部門は法令順守を、広報部門は企業の信頼維持を重視します。

　判断基準が共有されていなければ、会議は意思決定の場ではなく、各部門が懸念を並べる場になってしまいます。

　しかも、ランサムウェア対応は時間経過によって被害が拡大します。サービス停止が長引けば顧客や取引先への影響は広がります。一方、安全確認が不十分なまま復旧すれば、攻撃者が残した侵入経路によって再び被害に遭う恐れがあります。

　だからこそ必要なのは、全員が納得するまで議論を続けることではありません。不確実な情報しかない状況でも、組織として判断を下せる仕組みなのです。

「身代金は支払わない」だけでは危機を乗り切れない

　身代金を支払わないという原則には十分な理由があります。支払っても復号鍵が提供される保証はなく、窃取された情報が公開されない保証もありません。支払った資金は新たな攻撃を支える可能性があり、相手によっては制裁対象への資金提供に該当する恐れもあります。

　しかし「支払わない」という方針を書面に記載するだけでは危機対応にはなりません。本当に必要なのは、「支払わない」という意思を実行できる状態を平時から整えておくことです。

　例えば、攻撃の影響を受けないバックアップがあるかどうか、復旧には実際に何日かかるのか、その間、代替手段によって重要業務を継続できるかどうか、事業停止はどこまで許容できるのか、といった要素が考えられます。

　こうした前提が整理されていなければ、「支払わない」という方針は経営判断ではなく、単なる希望になってしまいます。

　医療や社会インフラだけではありません。物流や金融決済、製造業のサプライチェーンなど、多くの企業では事業停止が社会全体へ波及する可能性があります。そのような状況だからこそ、代替手段や自力復旧の見込み、法的リスクを整理した上で判断できる体制が必要です。

　重要なのは、例外を認めることではありません。最悪の状況でも組織が判断不能に陥らないことです。

身代金支払いは「IT判断」ではなく「経営判断」

　ここまで見てきたように、身代金支払いはIT部門だけで決められる問題ではありません。

　IT部門は侵害範囲や復旧見込みを評価できます。しかし事業停止をどこまで受け入れるのか、社会的影響をどう考えるのか、法的・規制上のリスクを許容できるかどうかといった判断は、経営の責任です。

　つまり、身代金支払いを含む重大な対応方針は、IT判断ではなく経営判断として扱わなければなりません。そのためには、平時から少なくとも次の役割を明確にしておく必要があります。

• インシデント全体を統括する責任者
• 最終意思決定者（危機対策本部、経営会議、社長、取締役会など）
• IT、事業、法務・コンプライアンス、財務、広報など各部門の役割
• 外部弁護士、警察、フォレンジック事業者、保険会社との連携体制

　誰が最終決定権を持つかを曖昧（あいまい）にしたままでは、有事に組織全体が動けなくなります。

有事の前に決めておきたい6つの論点

　では、企業は平時に何を決めておけばよいのでしょうか。筆者は少なくとも次の6点が必要だと考えます。

誰が最終判断を下すのか

　最初に決めるべきは最終意思決定者です。

　身代金支払いのような重大な判断を、IT部門や担当役員に事実上丸投げしてはいけません。危機対策本部や経営会議、取締役会など、どの会議体が判断するのかを定め、緊急時に招集する条件も明文化しておく必要があります。

　併せて、社長や担当役員と連絡が取れない場合の代行順位も決めておきます。危機は必ずしも平日の勤務時間内に発生するとは限らないからです。

何を基準に判断するのか

　判断基準には、少なくとも人命・安全への影響、社会機能への影響、自力復旧に要する時間、代替運用の可否、情報漏えいの範囲、法的・制裁上のリスク、顧客や株主への説明可能性を含める必要があります。

　ただしこれらを単純に点数化し、合計点だけで結論を出すことは適切ではありません。例えば、人命への重大な影響と法的な支払い禁止リスクは、金銭的損失と同じ尺度では比較できません。判断基準の目的は自動的に答えを出すことではなく、重要な論点の見落としを防ぎ、経営陣が同じ情報を基に議論できる状態を作ることです。

誰からどの情報を集めるのか

　有事には「情報がそろったら判断する」という姿勢では間に合いません。いつまでに、誰が、どの程度の確度で報告するのかを決めておく必要があります。

　例えばIT部門には感染範囲やバックアップの状態、復旧時間の最良・標準・最悪の見込みを求めます。事業部門には停止時間ごとの顧客、売り上げ、取引先、社会機能への影響を報告してもらいます。法務部門には、個人情報保護法などに基づく報告・通知の要否、契約上の義務、制裁や反社会的勢力に関するリスクを整理してもらいます。

　全てを確定情報として報告することは難しいため「確認済みの事実」「合理的な推定」「未確認事項」を分けて示すことも重要です。

支払い以外の選択肢をどう比較するのか

　身代金対応を検討する前に、自力復旧や代替運用の可能性を具体的に評価します。オフラインまたはイミュータブルなバックアップから復旧できるかどうか。安全な代替環境を構築できるかどうか。手作業や紙、電話、別拠点、外部委託などで重要業務を継続できるかどうか。システムを段階的に再開できるかどうか。これらが論点になるでしょう。

　ここで注意したいのは、復旧時間を単一の数字で示さないことです。

　調査が進むにつれて見通しは変わります。「最短2日」といった楽観的な数字だけが経営会議で独り歩きすると、誤った判断につながります。前提条件と不確実性を明示した複数のシナリオとして示すべきです。

どのような承認と記録を残すのか

　危機時には迅速さが求められますが、意思決定の記録を省略してよいわけではありません。どの時点で何が判明していたのか。どの選択肢を検討したのか。警察や弁護士、保険会社、専門事業者からどのような助言を受けたのか。どのリスクを認識した上で、誰が最終判断を承認したのか。これらを時系列で記録します。

　記録は、後日の監査や当局対応のためだけに残すものではありません。対応中に認識の食い違いを防ぎ、次の判断に必要な情報を引き継ぐためにも重要です。

誰に、いつ、何を説明するのか

　ランサムウェア対応では、技術的な復旧と同時に、顧客や取引先、従業員、監督官庁、株主、社会への説明が求められます。公表を急ぎ過ぎれば、誤った情報を発信する可能性があります。一方で公表を遅らせれば、隠蔽（いんぺい）していたとの批判を招くかもしれません。

　そのため「全てが判明するまで公表しない」のではなく、何が判明した段階で第1報を出し、その後、どの頻度で情報を更新するのかを平時から検討しておく必要があります。

　支払いを検討または実施した場合には、その事実をどこまで説明するのかという難しい問題も生じます。企業には、判断の結論だけでなく、人命や事業継続への影響、代替手段の検討、法的確認など、判断に至ったプロセスを説明できる状態が求められます。

「支払わない」と言える企業は、払わずに済む準備をしている

　多くの企業は「当社は身代金を支払わない方針です」と説明します。しかし、その方針を現実のものにしているのは意思の強さではありません。

　例えば企業によっては、ネットワークから隔離されたオフラインバックアップやイミュータブルバックアップを整備し、それを使って本当に復旧できるかどうかを繰り返し訓練しています。特権IDを適切に管理し、ネットワークを分離し、攻撃者がバックアップまで破壊できない構成を用意しています。

　さらに、システムが停止した場合でも、紙や電話、別拠点、外部委託などを使って重要業務を継続する方法まで準備しています。つまり、「支払わない」と言える企業とは、払わなくても事業を継続できる準備を終えている企業なのです。

手順書では見えない欠陥は訓練でしか分からない

　危機時のガバナンスは規定や手順書を整備しただけでは完成しません。

　ランサムウェア被害を想定した机上演習を実施し、「誰が招集するのか」「誰が何時間以内に報告するのか」「情報が不足していても誰が最終判断するのか」を実際に検証する必要があります。

　演習で見つかるのは、連絡先の更新漏れや代行者の未設定、情報共有の遅れ、部門間の認識の違いなど、文書だけでは分からない問題です。

　特に経営層が参加しない演習では、最も重要な意思決定を検証できません。ランサムウェアを経営課題と位置付けるのであれば、その訓練にも経営層が参加すべきです。

最後に問われるのは、経営が「決められる」かどうか

　ランサムウェア対策というと、EDRやバックアップ、ネットワーク分離、ゼロトラストといった技術対策に注目が集まりがちです。もちろん、それらは被害を防ぎ、復旧を早める上で欠かせません。

　しかし有事に企業の命運を左右するのは技術ではなく、最終的な意思決定です。

　自社は何日間停止に耐えられるのか。どの業務を最優先で復旧するのか。バックアップから本当に復旧できるのか。代替運用でどこまで事業を継続できるのか。「支払わない」という原則を貫ける根拠はあるのか。そして、その判断を誰が下し、誰が責任を負うのか。

　これらの問いに平時から答えを用意していなければ、企業は危機の最中で答えを探すことになります。

　ランサムウェアが企業を追い詰めるのは、身代金要求だけではありません。「誰が決めるのか分からない」「何を基準に決めるのか分からない」「判断材料が集まらない」という“決められない状態”こそが、被害を拡大させる最大のリスクです。

　危機時ガバナンスの本質は、平時のうちにその状態をなくしておくことにあるのです。

筆者紹介：ガリガリあたま

大手通信事業者にてネットワークエンジニアとしてキャリアをスタートし、サーバサイドエンジニア、アプリケーションエンジニアとして、インフラからシステム開発まで幅広い領域に従事。エンタメ業界への出向や米国シリコンバレーでの勤務を経験し、メディアビジネスやスタートアップ企業での実務を通じて、技術と事業の両面からIT活用に携わってきた。

システム開発に携わる中で個人情報漏えい事案を経験したことを契機に、システムリスク管理やサイバーセキュリティへの関心を深め、外資系コンサルティングファームにて金融機関向けのリスクアドバイザリーおよびサイバーセキュリティコンサルティング業務に従事。

現在は大手金融機関において、これまでのエンジニアリング、コンサルティング、事業推進の経験を生かし、システムリスク管理およびサイバーセキュリティに関する業務に携わっている。技術・リスク・ビジネスを横断する視点から、実効性のあるセキュリティ対策と組織的なリスク管理の実現を目指している。