IPA、ランサムウェア被害組織の生の声から得た“11の教訓”を公開：平時からこれだけはやっておきたい

ランサムウェア攻撃の被害は、全ての企業にいつ起こっても不思議ではない。では、これを事前に防ぐため、あるいは被害後に早期復旧するためには、何に注意すればいいのだろうか。IPAが被害企業へのヒアリングから“11の教訓”を導き出した。

[＠IT] PC用表示関連情報

LINE

Hatena

　独立行政法人情報処理推進機構（IPA）は2026年9月8日、国内の複数のランサムウェア被害組織へのヒアリングを基に、「ランサムウェア被害から学ぶ教訓集」を公開した。被害組織の経験をまとめて11の教訓としている。

　ランサムウェアでは、データの暗号化だけでなく、事前に窃取した情報を材料とする二重脅迫も発生する。そしてデータ暗号化の被害に気が付いた時点で、攻撃者の活動は最終段階に入っている。組織にはその時点から、侵害調査や復旧、業務継続、外部公表などの判断が一気に迫られる。

　こうした難しい状況を踏まえると、被害が顕在化する前の準備が非常に重要だ。「感染を防ぐ」「バックアップから復旧する」などの典型的な対策に加えて、覚えておきたい有効策とは何だろうか。

あなたの企業はいくつ当てはまる？　ランサムウェア被害の教訓“11個”

　IPAは調査結果を「教訓」「ヒアリング調査に基づく分析」「解説」の3部構成でまとめている。対象は経営者だけでなく総務や経営企画、法務、広報、事業部門、情報システム、セキュリティなど、インシデント対応に関わる幅広い担当者だ。

　教訓は「経営・リスク管理編」と「インシデント対処編」に分かれ、計11項目を挙げている。1～6は経営・リスク管理編、7～11はインシデント対処編の教訓となる。

　11項目を見ると、ランサムウェア対策がセキュリティ部門だけの問題ではないことが分かる。経営判断や事業継続、法務・広報対応に加え、ログ、バックアップ、監視、データ管理といった技術面まで、平時の準備が問われる構成だ。

　中でも担当者は「暗号化される前に何が起きているのか」「安全なバックアップをどう判断するのか」「EDRをどう運用するのか」「漏えいしていないことをどう説明するのか」という4つの問題を意識すべきだ。

　ランサムウェア感染後の復旧においてバックアップの有無は非常に重要だ。しかし、ただバックアップがあればいいというわけではない。もしバックアップに汚染の疑いがあれば復旧には使えないため、侵入開始時期を特定するためのログを保存し、安全なバージョンを判断できる必要がある。

　EDRを「導入したから安心」というものでもない。EDRからのアラートを「誰が判断し」「どう対応するのか」まで決まっていなければ、攻撃を止めるのは困難だ。特に深夜や休日に重大なアラートが発生した場合、対応できる人間がいなければ攻撃者の活動を許してしまう。

　この他、IPAが「極めて難しい」と表現するのが、「情報漏えいがなかった事実の証明」だ。フォレンジック調査は攻撃者の活動を全て明らかにできるわけではない。侵入から発覚までの適切なログがなければ、どのデータにアクセスされたのか、何が持ち出されたのかを完全に特定するのは困難だ。

　漏えいした証拠が見つからない場合、企業は顧客や取引先に対して、フォレンジック調査で判明した事実や経過観察の状況を必要な範囲で丁寧に報告すべきだという。そのためにも平時からどのようなログを残すのか、重要データがどこに存在するのかを把握しているかどうかが重要になる。

　IPAはこうした課題を踏まえつつ、セキュリティベンダーとの関係性を構築しておくことの重要性を挙げている。インシデント発生後に初めて事業者を探すようでは遅く、自組織が必要とする支援範囲を平時から把握し、適切な事業者を選定すべきだ。

　今回の教訓集はランサムウェア対策の全てを網羅する体系的な方法論ではない。また、法令や規制についても一般的な参考情報として扱っており、個別事案における法的判断を示すものではない。IPAは、最新の法令や所管官庁、個人情報保護委員会などの公表資料を確認し、必要に応じて専門家に相談するよう求めている。