サイバー被害で業務が止まると、いくらかかる？中小企業・医療・介護事業者のための負担の見積もり方【Day2】

「サイバー対策が必要なのは分かる。でも、限られた予算で何を優先したらいいのだろう」

そう迷ったときは、対策製品の価格を比べる前に、普段のシステムが使えなくなると、誰の仕事が増え、どのサービスに影響が出るかを考えてみましょう。

たとえば、訪問介護事業所で予定表が見られなくなれば、当日の訪問先を確認し、職員に割り振り直し、必要に応じて利用者や家族へ連絡します。システムが戻った後も、紙に残した記録を照合し、入力する仕事が残ります。費用がかかるのは、システムを直すときだけではありません。

Day1では、中小企業でもサイバー被害が起きていることと、報道・公表・報告の違いを確認しました。Day2では、公的な集計を読み解きながら、業務が止まったときの負担を自社の数字で見積もります。

• 警察庁が把握した2025年のランサムウェア被害226件のうち、中小企業は143件でした。この数字は企業規模ごとの被害確率を表すものではありません。
• 業務停止の影響は、復旧費だけでなく、失われる利益、職員の追加作業、入金の遅れに分けると見積もりやすくなります。
• 医療・介護では、患者や利用者の安全に関わる業務を優先します。金額に換算しにくい影響も、判断から外さないことが大切です。
• 最初の予算は、自社で最も困る停止場面と、今の備えで対応できない部分が分かってから配分しましょう。

この記事で考えたい問い：「半日、翌日、数日と停止が長引いたとき、どの業務から続けられなくなり、どこに備えるとその影響を小さくできますか？」

1．警察庁の被害件数から分かること、分からないこと

警察庁が公表した2025年（令和7年）の集計では、ランサムウェアの被害報告は226件でした。ランサムウェアは、データを使えない状態にするなどして金銭を要求する不正プログラムです。

この集計から分かるのは、中小企業でも実際に被害が報告されていることです。自社と同じ規模や業種の事業者がニュースに出ていなくても、それを安全の根拠にはできません。

一方、報告件数には、警察が把握していない被害や、ランサムウェア以外のサイバーインシデントは含まれません。また、規模ごとの企業数や報告される割合が異なるため、「143件と64件だから、中小企業は大企業の約2倍被害に遭いやすい」とは言えません。この内訳だけで、診療所や介護事業所ごとの発生率を求めることもできません。

ニュースの件数、警察が把握した被害報告、自社が被害に遭う確率は、それぞれ意味が違います。経営判断には、この集計を「自社でも起こりうる」と考える材料にし、影響の大きさは自社の業務から見積もるのが実用的です。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」

2．止まるのはシステム。影響を受けるのは、患者・利用者と現場の仕事

「電子カルテが止まる」「クラウドが使えない」といった言い方だけでは、どの程度困るのか分かりません。その仕組みを使って、現場が普段どんな仕事をしているかまで確認しましょう。

同じ「半日の停止」でも、予約が少ない時間帯と、外来の開始直後や訪問が集中する時間帯では、影響は違います。請求業務も、締切まで余裕がある日と、提出日当日では判断が変わります。

特に医療・介護では、金額を計算する前に、安全に続けられる業務の範囲を考えることが大切です。必要な情報が確認できないまま、普段どおりの対応を続ける前提で見積もらないようにしましょう。

3．負担を「失われる利益」「追加費用」「入金の遅れ」に分ける

失われる利益：後日に振り替えられない仕事はどのくらいか

業務が止まったとき、予定していた売上がすべてなくなるとは限りません。後日対応できる分と、取り戻せない分を分けます。

取り戻せない分は、見込んでいた売上から、実施しなかったことで発生せずに済む材料費などを差し引くと、失われる利益の目安を出せます。振り替えができても、そのために残業や追加の連絡が発生するなら、その負担は別に見積もります。

追加費用：復旧費と、現場のやり直しにかかる時間を数える

保守会社や専門事業者への調査・復旧費のほか、職員による電話連絡、手作業での記録、復旧後の入力・照合なども考えます。まずは、追加作業をする人数 × 一人あたりの時間で、どの程度の手間がかかるかを見積もりましょう。

その時間が残業代や応援要員の費用になるのか、勤務時間内の別の仕事を後ろへずらすことになるのかも分けて考えます。後者は現金の追加支出がなくても、現場の余裕を削ります。

入金の遅れ：利益への影響とは別に、資金繰りを確認する

請求が遅れても、後で請求できるなら、その額が直ちに売上の損失になるわけではありません。ただ、入金を待つ間も、給与や家賃などの支払日は来ます。

「いくらの入金が、どの程度遅れそうか」「その間の支払いを手元資金でまかなえるか」を確認しましょう。遅れる入金額をそのまま損失額に足さず、資金繰りへの影響として別に扱うのがポイントです。

4．仮の例：訪問予定と介護記録が半日見られなかったら

ある小規模の訪問介護事業所で、朝から半日、クラウドの訪問予定表と介護記録を開けなくなったと仮定します。次の数字は計算方法を示すための例で、実際の事例や業界平均ではありません。

• 管理者と事務担当者の2人が、予定の確認や電話連絡にそれぞれ1時間半を使う。
• 復旧後、職員3人が紙の記録の照合と入力にそれぞれ30分を使う。
• 一部の訪問を振り替える必要があり、振り替え可能な分と対応できない分は、利用者ごとに確認する。

この例では、予定の確認・連絡に3人時、復旧後の照合・入力に1.5人時、合わせて4.5人時（延べ4時間半）の追加作業が発生します。仮にこの全時間について、事業所が1時間あたり2,000円の追加負担をした場合、追加の人件費は9,000円です。勤務時間内で対応した場合は、同じ金額の現金が追加で出ていくとは限りません。

この金額には、外部の調査費や、振り替えられなかった業務の影響は含めていません。また、利用者の安全への影響は、金額の大小で判断するものではありません。

この例から考えたいのは、「半日ならいくら損をするか」という答えより、どんな備えがあれば、混乱や追加作業を減らせるかです。たとえば、当日の予定を安全に確認できる別の手段があり、連絡の担当も決まっていれば、予定を確認するところから全員でやり直す必要は減ります。

5．限られた予算で、何を先にするか

予算を決めるときは、「サイバー対策を全部やるといくらか」より、「いま一番困る場面に対して、どの対策が役立つか」と問い直してみましょう。

対策の費用は、導入費だけではありません。毎月の利用料、職員への説明、訓練、保守契約の範囲外でかかる費用まで見ると、続けられるかを判断しやすくなります。

また、発生確率が分からない段階で、正確な投資効果を出そうとする必要はありません。まずは、「代替手順が使えるようになる」「復元できる範囲が分かる」「追加作業が減る」など、予算を使った後に何を確認できればよいかを決めておきましょう。

参考：警察庁「ランサムウェア被害防止対策」

6．介護のBCPとSCS評価制度に、どうつなげるか

自然災害や感染症を想定した介護のBCPがあるなら、まず「建物と電気は使えるが、業務システムだけが止まった」と仮定して読み直します。優先するサービス、使える代替手段、判断する人、復旧後に記録を戻す担当が分からなければ、そこが見直しの候補です。

また、システムを外部に委託している場合は、「相手が何をしてくれるか」と「自社が何をするか」を分けましょう。たとえば、保守会社がシステムの復旧を担当していても、訪問の優先順位や家族への連絡は、通常、現場で決める必要があります。契約先に連絡できる時間帯、復旧支援の範囲、追加費用が発生する条件も確かめておくと、停止時の負担を見積もりやすくなります。

IPAのSCS評価制度は、取引先を含む事業者のつながり全体で、セキュリティ対策の水準を高めるための制度です。評価の取得を検討するかどうかにかかわらず、対策の担当者、委託先との役割分担、停止時の備えを説明できるようにしておくことは、日々の管理や取引先との確認に役立ちます。評価取得の要否は、制度の公式情報と個別の取引条件を確認してください。

参考：厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」およびサイバー攻撃を想定したBCP策定の資料、IPA「SCS評価制度」

よくある質問

Q1．うちは職員が少ないので、被害額も小さいと考えてよいですか？

職員の人数だけでは判断できません。少人数だと、予定の組み直しや連絡に一人が取られるだけで、普段の仕事を回しにくくなる場合があります。売上だけでなく、代わりに動ける人がいるかも確認しましょう。

Q2．復旧に何日かかるか分からないと、見積もりはできませんか？

半日、翌日まで、数日というように、停止時間を変えた仮の場面で考えられます。それぞれで「続けられる業務」と「続けられなくなる業務」を確認すると、復旧時間が読めなくても、先に備えるべきところが見えてきます。

Q3．クラウドを使っていれば、復旧費は委託先が負担してくれますか？

契約内容や停止の原因によって異なります。サービス自体の復旧、事業所の端末やデータの調査、復旧後の入力作業は、同じ範囲に含まれるとは限りません。誰が何を担当し、どこから別料金になるかを契約先に確認してください。

Q4．被害が小さそうなら、行政や取引先への報告を後回しにできますか？

見積もった損失の金額で、報告の要否や時期は決まりません。個人データの漏えい等やそのおそれ、医療機関等に適用される連絡手順、取引先との契約などに照らして、必要な連絡を別に判断します。公表するかどうかの判断とも分けてください。

参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」、厚生労働省「医療分野のサイバーセキュリティ対策について」

まとめ＋要約

警察庁の集計は、中小企業にもサイバー被害が起きていることを示しています。自社の対策を決めるときは、その件数をそのまま被害確率と考えず、自社の業務が止まったら、誰にどんな影響が出るかを具体的に確認しましょう。

• 業務停止の負担は、失われる利益、職員の追加作業や復旧費、入金の遅れに分けて考える。
• 医療・介護では、安全に続けられる業務の範囲を先に確認する。
• 停止する時間帯や、半日・翌日・数日といった長さを変えて考える。
• 予算を使う前に、何が改善すれば対策が役に立ったと言えるかを決める。

今日できる一歩は、止まると困る業務を一つ選び、「半日止まったら、誰にどんな追加作業が発生するか」を、実際に担当している職員と書き出すことです。その中で、安全やサービス継続に一番影響する部分から見直してください。

次回予告｜Day3：サイバー対策は何から始める？自社でできることと外部に頼ること

次回は、連絡体制の見直し、ログインの保護、バックアップの復元確認など、最初に取り組める対策を比べます。少人数の診療所や介護事業所を想定し、自社で進められることと、保守会社や専門家と一緒に進めた方がよいことを整理します。

対策の優先順位に迷ったら

「保守会社から提案は受けたけれど、どこから予算をつけるべきか分からない」「介護のBCPはあるが、システム停止を想定していない」という方は、止まると困る業務と、今の備えを整理するところからご相談ください。

主な業務システム、現在のBCP、保守契約の担当範囲が分かると、現場で先に見直せることと、専門事業者に確認することを切り分けやすくなります。最初の相談では、患者や利用者の氏名、診療記録などを用意する必要はありません。

※公的資料と制度の記載は2026年11月6日時点の公表情報に基づきます。記事内の費用計算は説明のための仮の例です。