ランサムウェア前提BCP・インシデント対応

ランサムウェアを「いつか必ず来る」前提に置いた事業継続（BCP）とインシデント対応の実務を、イミュータブルバックアップ・机上演習（TTX）・初動の意思決定・財務影響と適時開示・侵入経路まで、IPA / NIST / 警察庁の一次情報に沿って整理します。

最終更新:

定義

ランサムウェア前提BCP・インシデント対応とは、ランサムウェア被害を「発生し得る一事象」ではなく「いつか必ず直面する前提」に置き、事業継続計画（BCP）とインシデント対応プロセスを統制として回す実務領域です。具体的には、復旧の前提となるバックアップ（3-2-1 / オフライン・イミュータブル保管）、検知・初動・封じ込め・復旧・再発防止の手順、机上演習（Table Top Exercise: TTX）による意思決定の訓練、事業停止・対応費用・減損・適時開示といった財務影響の経営説明、VPN 機器の脆弱性やサプライチェーン経由の侵入経路への備えを含みます。技術詳細の網羅ではなく、情シス・CISO・経営が回す統制プロセスが主眼です。IPA は「情報セキュリティ10大脅威 2026」で「ランサム攻撃による被害」を組織向け脅威の第 1 位に挙げており、机上演習教材や中小企業向けガイドラインを公開しています。NIST は IR 8286（サイバーリスクと ERM の統合）と SP 800-61（インシデント対応）で組織的なプロセスを規定しています。

要点

  • IPA「情報セキュリティ10大脅威 2026」では「ランサム攻撃による被害」が組織向け脅威の第 1 位（11 年連続 11 回目）、「サプライチェーンや委託先を狙った攻撃」が第 2 位に選出されている。
  • IPA は 2025 年 4 月 15 日に「セキュリティインシデント対応机上演習教材」を公開しており、ランサムウェア感染シナリオでインシデント対応の一連の流れを机上で演習する教材（パワーポイント）と実施マニュアルから構成される。
  • NIST IR 8286 Rev.1 は、サイバーリスクをリスク登録簿（リスクレジスタ）に整理し、リスク選好・残余リスクを経由してエンタープライズ リスク マネジメント（ERM）に接続するプロセスを規定している。
  • NIST SP 800-61 Rev.3 は CSF 2.0 のコミュニティ プロファイルとして、インシデント対応を Govern / Identify / Protect / Detect / Respond / Recover の枠組みで継続的なリスク管理の一部として扱うことを示している。
  • ランサムウェアの「本当のコスト」は身代金だけでなく、売上機会損失・インシデント対応費・システム復旧/強化費・被害者および取引先対応・減損や決算遅延などの会計影響・信用毀損まで含み、確定タイミングが事故直後から翌期以降まで分散する。
  • 警察庁「サイバー空間をめぐる脅威の情勢等」は、ランサムウェアの被害状況や侵入経路（VPN 機器・リモート環境の脆弱性など）に関する統計・事例を年次報告書（『令和7年におけるサイバー空間をめぐる脅威の情勢等』など）で公表している。
  • IPA「中小企業の情報セキュリティ対策ガイドライン」（第 4.0 版）は、対策の考え方と段階的な実現方策を示しており、机上演習の付録教材も提供されている。

ランサムウェア被害の事業インパクト（6 コスト分類）と確定タイミング

コスト分類具体例確定タイミング経営説明での扱い
売上機会損失受注・出荷停止、在庫ロス、需要逸失業務停止中〜復旧後停止日数 × 日次粗利でレンジ試算
インシデント対応費フォレンジック・外部専門家・法務・広報事故直後〜数か月初動で外部費用の上限枠を確保
システム復旧・強化費再構築、設定見直し、追加投資復旧期〜翌期「復旧」と「恒久対策」を分けて計上
被害者・取引先対応通知、問い合わせ対応、補償漏えい確認後〜長期件数 × 単価で試算（漏えい規模に連動）
減損・会計影響ソフト・設備の減損、決算/開示遅延決算期監査法人・経理と早期連携
信用・ブランド毀損取引縮小、株価、採用影響中長期定量化困難な前提として明示

関連記事

セキュリティ

ランサムウェア前提BCPをどう書くか｜IPA机上演習教材を自社用にデチューンする実務

セキュリティ

ランサムウェアの「本当のコスト」は9か月後の決算で確定する｜アサヒ700億円規模の下方修正に学ぶ、情シスが経営に説明すべき事業インパクトと適時開示対応2026

セキュリティ

NIST IR 8286 Rev.1を読む　サイバーリスクを経営判断につなげるために情シス・セキュリティがやること

セキュリティ

また病院がVPN経由でやられたわけだがVPNは悪だね

セキュリティ

ガチのサイバー攻撃が来たら御社は確実に対処できますか

セキュリティ

話題のTrivy問題であのCiscoが持ってかれたということは、既に多くの企業の鍵が持ってかれているかもしれない

よくある質問

ランサムウェア対策の机上演習（TTX）は何から始めればよいですか？
IPA が 2025 年 4 月 15 日に公開した「セキュリティインシデント対応机上演習教材」を出発点にするのが現実的です。これはランサムウェア感染のインシデントシナリオを用いて、検知・初動から報告・公表、復旧・再発防止までの一連の流れを机上で演習する教材（パワーポイント）と実施マニュアルで構成されています。IPA 公式が自由にダウンロードできる形で公開しているため、自社の体制・連絡網・意思決定者に合わせてシナリオを編集し、まず短時間で 1 周回せる形に調整して実施するのが、最初の一歩として推奨されます。
バックアップがあればランサムウェアからは確実に復旧できますか？
バックアップは復旧の前提として不可欠ですが、それだけで確実に復旧できるとは限りません。攻撃者はバックアップ自体の暗号化・削除を狙うため、3-2-1（3 つの複製・2 種類の媒体・1 つはオフサイト）に加えて、オフラインまたはイミュータブル（変更不可）な保管、復元手順の定期的なテスト、復旧の優先順位付けが必要です。NIST SP 800-61 Rev.3 や IPA のガイドラインでも、復旧は事前に計画・演習しておくべきプロセスとして位置付けられており、バックアップの存在と「実際に事業を再開できる復旧能力」は分けて評価する必要があります。
ランサムウェア被害のコストを経営層にどう説明すればよいですか？
身代金の有無だけで語るのではなく、事業インパクトを構造化して説明することが重要です。本ブログでは、売上機会損失・インシデント対応費・システム復旧/強化費・被害者および取引先対応・減損や決算遅延などの会計影響・信用毀損という 6 つのコスト分類に整理し、それぞれ確定タイミングが事故直後から翌期以降まで分散することを示しています。特に減損や決算遅延・適時開示は監査法人・経理との早期連携が必要で、定量化が難しい信用毀損は「定量化困難な前提」として明示するのが実務的です。NIST IR 8286 Rev.1 の考え方を使い、サイバーリスクを事業の言葉に翻訳して経営判断につなげる枠組みが参考になります。
VPN やサプライチェーンが侵入経路として問題になるのはなぜですか？
警察庁「サイバー空間をめぐる脅威の情勢等」や IPA「情報セキュリティ10大脅威 2026」では、VPN 機器・リモート環境の脆弱性や、サプライチェーン・委託先を経由した侵入が主要な侵入経路・脅威として整理されています。VPN 装置は境界に置かれて常時公開され、脆弱性が放置されると初期侵入の入口になりやすく、本ブログでも医療機関の被害事例を踏まえてゼロトラスト アーキテクチャへの移行の必要性を論じています。サプライチェーン経由では、自社が直接攻撃されなくても、取引先や OSS・ツールの侵害を起点に認証情報やデータが流出し得るため、委託先管理と多層防御が前提になります。
NIST IR 8286 と NIST SP 800-61 はどう使い分けますか？
NIST IR 8286 Rev.1 は「サイバーリスクをどう経営（エンタープライズ リスク マネジメント、ERM）につなげるか」を扱う文書で、リスク登録簿・リスク選好・残余リスクを経由して経営判断に接続するプロセスを規定します。一方 NIST SP 800-61 Rev.3 は CSF 2.0 のコミュニティ プロファイルとして、インシデント対応そのものを Govern / Identify / Protect / Detect / Respond / Recover の枠組みで継続的なリスク管理の一部として扱う文書です。両者は競合せず、IR 8286 で「どのリスクをどこまで受容するか」という統制方針を決め、SP 800-61 で「実際にインシデントが起きたときの対応プロセス」を具体化する、という併用が現実的です。

一次情報