1. なぜ「初動」がその後を左右するのか

ランサムウェアの被害は、「気づいた瞬間」で止まるわけではありません。攻撃者は、侵入してからしばらくのあいだ、社内を探り、広がり、バックアップの場所まで確認したうえで、一気に暗号化やデータの持ち出しを行います。つまり、「おかしい」と気づいてからの数時間〜数日の動き方によって、その後の被害の広がり方が変わります。

初動でやるべきことは、大きく分けて次の3つです。

• 被害の拡大をできるだけ抑えること
• あとから調査・復旧に使える証拠や情報を残すこと
• 社内外の関係者と適切に連携し、混乱を最小限にすること

これらは、すべて現場任せにするには荷が重く、経営も含めた組織全体の準備が必要です。だからこそ、平常時に「初動の流れ」を決めておくことが、最も費用対効果の高い対策のひとつになります。

2. ランサムウェア被害時の初動対応ステップ

ここでは、被害が疑われたときに踏むべき基本的なステップを、できるだけシンプルに整理します。実際には、システム構成や契約状況によって変わる部分もありますが、「たたき台」として社内で議論する際の材料にしていただければと思います。

ステップ0：異変に気づいたら、すぐ「報告」

まず重要なのは、「怪しい」と感じた人が、一人で抱え込まないことです。

• 見慣れない警告画面や身代金要求のメッセージが出た
• ファイル名が一斉に変わり、開けなくなった
• パソコンやサーバーの動きが急に重くなり、不自然な動作が続く

こうした兆候があれば、「自分の勘違いかもしれない」と思っても、すぐに社内で決めた窓口へ報告してもらうようにします。Day4で作った「連絡先リスト」がここで生きてきます。

ステップ1：ネットワークから切り離す（ただし電源はむやみに切らない）

被害が疑われる端末やサーバーは、まずネットワークから切り離します。

• LANケーブルを抜く
• Wi-Fiをオフにする
• VPN接続を切断する

これにより、ほかの端末への感染拡大を抑えることが期待できます。一方で、証拠となるデータやログが失われないよう、電源をすぐに切るかどうかは慎重に判断する必要があります。可能であれば、外部の専門家や警察に相談したうえで対応するのが望ましいです。

ステップ2：画面や状況を記録する

次に、後から状況を再現できるように、情報を残します。

• エラーメッセージや身代金要求画面のスクリーンショットを保存する
• いつ、どの端末で、どのような症状に気づいたかをメモに残す
• 不審なメールやファイルの有無、開いたタイミングなどを整理する

こうした記録は、原因調査や警察・専門家への相談時に役立ちます。「とりあえず全部消してしまう」「証拠になりそうなものを削除する」のは避けましょう。

ステップ3：社内のインシデント対応体制を動かす

報告を受けた窓口は、状況に応じて、次のようなメンバーを招集します。

• 情報システム担当（社内・外部ベンダー）
• 総務・人事（社内連絡や就業面の調整）
• 経営層（代表者または担当役員）

ここで大切なのは、「情報を一か所に集めること」と、「勝手な動きを増やさないこと」です。誰かが善意で勝手に復旧作業を始めてしまうと、証拠が失われたり、被害が広がったりする可能性があります。

ステップ4：外部への相談・連絡

社内で一定程度状況を把握したら、できるだけ早く外部にも相談します。

• 警察（サイバー犯罪相談窓口など）
• システムを管理している外部ベンダーやセキュリティ会社
• サイバー保険に加入している場合は、保険会社の窓口

これらの窓口は、技術的な助言だけでなく、今後の対応や必要な手続きに関するアドバイスもしてくれます。被害の程度によっては、個人情報保護や取引先への連絡など、法令や契約上の義務が発生することもあるため、早めの相談が重要です。

ステップ5：一時的な業務継続の方針を決める

初動の段階では、「通常通りの業務に戻す」ことよりも、「最低限の業務をどう続けるか」を決めることが先です。Day3の教訓と、Day4で作成したBCP（業務継続計画）の内容を踏まえ、次のような観点で判断します。

• 一時的に紙や手作業で対応できる業務はどれか
• 安全が確認できるまで、停止せざるを得ない業務はどれか
• 顧客や取引先への連絡が必要な範囲とタイミング

この段階の判断には、経営の関与が不可欠です。ここから先が、「経営の意思決定」の領域になります。

3. 身代金要求への向き合い方と判断のポイント

ランサムウェアの多くは、「お金を払えばデータを元に戻す」「支払わないとデータを公開する」といった形で、暗号資産などによる支払いを求めてきます。ここで大事なのは、「支払えば必ず解決する」と考えないことです。

身代金を支払うことのリスク

• データが必ず元に戻る保証はない
• コピーされたデータが、別のタイミングで再度悪用される可能性がある
• 「支払う会社」としてリスト化され、将来の攻撃対象になるおそれがある
• 犯罪行為に資金を提供することになり、法的・倫理的な問題が生じる可能性がある

こうした理由から、多くの公的機関や専門家は、原則として身代金を支払わない方向を推奨しています。ただし、実際の現場では、業種や人命への影響など、非常に難しい判断が必要になる場合もあります。

判断するときのポイント（一般的な観点）

具体的な判断は、法務・専門家への相談を前提にしつつ、少なくとも次のような観点を整理しておくことが、経営として重要です。

• 人命や安全に直結するサービスかどうか
• 公共性の高いサービスかどうか
• 法令やガイドラインで、身代金支払いに関する制約がないか
• 保険契約など、既存の契約で定められている対応方針
• 支払いの有無にかかわらず、復旧までの期間や業務への影響

いずれにしても、「そのときになってから一から考える」のではなく、平常時に「判断軸」と「相談先」を決めておくことが、冷静な対応につながります。

4. 経営の役割：意思決定ブリーフの事前準備

ランサムウェア被害が発生したとき、経営者のもとには多くの情報と意見が一気に集まります。その場で一から整理しようとすると、どうしても「声の大きい意見」に引きずられたり、「目の前の不便さ」だけで判断してしまったりしがちです。

そこでおすすめしたいのが、「意思決定ブリーフ（Decision Brief）」のひな形を事前に用意しておくことです。以下は、その一例です。

意思決定ブリーフ（たたき台）

# Decision Brief（取締役会共有用）
- テーマ：
  - 中小企業に対するランサムウェア被害時の対応方針と今後の備え
- 推奨アクション：
  - 初動対応の基本方針を確認し、90日で基本対策を完了させる
- 主要根拠（3点）：
  - 被害が中小企業にも広く及んでおり、「うちには関係ない」とは言えない状況であること
  - 侵入経路の多くが、VPN機器・弱いパスワード・バックアップ不備など基本対策で減らせるものであること
  - 被害時の業務停止・信用低下・復旧コストが、事業継続に大きな影響を与える可能性が高いこと
- 財務影響（概算式／前提）：
  - 〔予防コスト〕
    - 社内人件費 + 機器更新費 + 外部専門家費用
  - 〔被害コスト（想定）〕
    - 日次売上 × 停止日数 + 復旧費用 + 顧客対応コスト
- リスクと対策：
  - リスク：基本対策を先送りし、被害時に長期停止・信用失墜に至る
  - 対策：90日計画とRACIで責任を明確化し、取締役会で進捗をモニタリングする
- タイムライン（四半期）：
  - Q1：初動方針と基本10対策の完了
  - Q2：BCPの整備と訓練の実施
  - Q3：外部専門家との連携強化と見直し
  - Q4：総括と次年度に向けた改善計画
- 担当／RACI：
  - R（実行責任）：情報システム担当責任者
  - A（最終責任）：代表取締役
  - C（相談）：主要部門長、外部専門家
  - I（報告）：全従業員
- 測定KPI：
  - 基本10対策の実施率
  - 定期バックアップ成功率
  - 年1回以上の訓練実施
- 代替案と棄却理由：
  - 案：最小限の対策にとどめ、被害時には保険で対応する
  - 理由：保険でカバーできない信用・人材への影響が大きく、長期的な事業継続リスクが高いため
- 次の一手（NBA）：
  - 次回取締役会で、本ブリーフに基づき「初動方針」「90日計画」「責任者」を正式決定する

実際の被害時には、このブリーフの「テーマ」「推奨アクション」「主要根拠」「財務影響」「リスクと対策」などに、具体的な状況を上書きして使います。あらかじめ枠組みが用意されていれば、限られた時間の中でも整理された議論がしやすくなります。

5. 復旧後に必ずやるべき振り返り

システムがある程度復旧し、日常の業務に戻りつつあるタイミングで、「もう終わったこと」として流してしまうと、同じような被害が繰り返されるリスクが残ります。復旧後には、少なくとも次の3つの観点で振り返りを行うことをおすすめします。

（1）技術的な振り返り

• どこから侵入され、どのような経路で広がったのか
• どの対策は有効に機能し、どこに抜けがあったのか
• 今後、設定や構成をどう変えるべきか

（2）組織・コミュニケーションの振り返り

• 報告や連絡はスムーズに行われたか
• 意思決定は、適切なタイミングとメンバーで行われたか
• 現場と経営のあいだで、認識のズレはなかったか

（3）社外との関係の振り返り

• 取引先や顧客への説明は、過不足なく行えたか
• 必要な法令やガイドラインに沿った対応ができたか
• 今回の経験を踏まえて、今後の契約や約款、説明文などを見直す必要がないか

振り返りの内容は、「悪かった点の追及」ではなく、「次に備えるための材料」として扱うことが大切です。誰かを責める場になると、次のインシデントで本当の情報が上がってこなくなり、かえってリスクが高まってしまいます。