ランサムウェア時代の事業防衛

1. はじめに

企業のデジタル化は、業務効率化や新たな価値創出を後押しする一方で、サイバー攻撃の影響をこれまで以上に大きくしている。なかでもランサムウェアは、単なる情報システム部門の課題ではなく、企業全体で向き合うべき重要な経営課題である。被害が発生した場合、システム停止によって受発注や生産、出荷といった収益を支える業務プロセスが寸断され、売上機会の喪失や顧客離反など、経営に直結する損失が発生する。加えて、窃取された情報に関する報告や謝罪などの対応も求められる。さらに近年は、AIの進化と悪用により攻撃の巧妙化と高速化が進み、従来以上に平時の備えが重要となってくる。経営層には、平時から備えを整え、発生時に組織として機能する態勢構築が求められる。

2. 脅威の実像

近年のサイバー攻撃では、ランサムウェアを使用した攻撃、サプライチェーンを狙った攻撃、システムの脆弱性を突いた攻撃による被害が多く発生している。サプライチェーンを狙った攻撃、システムの脆弱性を突いた攻撃がランサムウェア攻撃の発端となることもある。

ランサムウェア攻撃では、データの暗号化に加え、窃取した機密情報を公開すると脅迫する二重恐喝の手口が主流となっている。そのため、被害の範囲はシステム停止にとどまらず、情報漏えい対応や取引先対応へと広がりやすい点に注意が必要である。

また、サプライチェーン攻撃は、取引先や委託先、利用しているソフトウェアの開発会社など、対策が手薄な組織を足掛かりに最終的な標的を狙う攻撃である。自社だけを守っていれば十分とは言えず、取引関係も含めた視点が欠かせない。

加えて、AIの進化は攻撃側にも大きな追い風となっている。自然な日本語によるフィッシングメール、社内外の文体を模倣した偽メッセージ、音声や映像を使ったなりすましなど、従来より見分けにくい攻撃が増えている。攻撃の作成コストが下がり、標的に合わせた精度の高い詐欺や侵入の試みが容易になっている点は、経営層として認識すべき変化である。

3. 被害拡大の要因

ランサムウェア被害が拡大する背景には、いくつかの共通要因がある。第一に、システムの脆弱性対策の不備である。インターネットに接続しているシステムは常に探索されるリスクがあり、対策を怠れば侵入を許す可能性が高まる。第二に、従業員のセキュリティ意識の不足である。フィッシングメールや偽サイトを通じてIDやパスワードなどの認証情報が窃取されれば、攻撃者に侵入の足掛かりを与えることになる。第三に、機器やアカウントの管理不足である。どの端末やアカウントが、どの業務で利用され、どこに権限を持っているのかが整理されていなければ、被害の把握や封じ込めは極めて困難になる。加えて、AIの進化はこの状況をさらに悪化させている。精巧なフィッシングメール、経営層や取引先になりすました指示、内部情報を踏まえた不正な問い合わせなどが増えており、従来の注意喚起や経験則だけでは防ぎきれない局面が増加している。

しかし、本質的な課題は技術や個人の注意力そのものではなく、組織としてのプロセス整備の不十分さにある。ポリシーやルールが定められていたとしても、それが具体的な手順や手続きにまで落とし込まれていなければ、現場で一貫した運用は実現しない。例えば、「インシデント発生時は速やかに対応する」というルールがあっても、発見者が誰に連絡し、情報システム部門・広報・法務・経営層がどの順番で判断し、取引先や顧客への説明をいつ検討するのかが決まっていなければ、初動が遅れる。また、「不要なアカウントは削除する」「権限は最小限にする」と定めていても、退職者や異動者のアカウントをいつ、誰が、どのシステムで確認し、削除・権限変更するのかが決まっていなければ、使われていないアカウントや過剰な権限が残り続ける。

加えて、対応が特定の担当者の経験や判断に依存し、文書化されていない状態では、その人物が不在の際に必要な対応が滞り、初動の遅れや被害の拡大を招きやすくなる。とりわけAIを悪用した攻撃は、文面や問い合わせ内容の自然さが増しているため、曖昧な判断基準や属人的な確認手順のままでは、現場で誤判断が生じやすい。

つまり、被害拡大の背景には、脆弱性管理、認証情報保護、権限管理といった個別論点に先立ち、それらを確実に実行し続けるための運用プロセスが確立されていないという構造的な問題がある。ルールがあっても実行の仕組みが伴わず、監視・検知・報告・判断の流れが標準化されていなければ、不審な兆候を見逃し、対応の遅れが経営リスクへと直結する。したがって、ランサムウェア対策は製品導入や注意喚起だけで完結するものではなく、再現性のある業務プロセスとして整備・文書化し、属人化を排して組織的に運用できる状態を確立することが重要である。

4. 経営主導の体制

企業に求められる対策の出発点は、経営層によるリーダーシップである。セキュリティの重要性を経営層が理解し、率先して対策を推進することで、組織全体の意識向上につながる。ランサムウェア対策を情報システム部門だけに委ねるのではなく、経営課題として位置付けることが重要である。

あわせて、CSIRT（ Computer Security Incident Response Team ）などの体制構築と運用、セキュリティポリシーの策定と周知徹底も欠かせない。インシデント発生時に、誰が、何を、どの順番で判断し対応するのかが定まっていなければ、初動の遅れが被害拡大につながる。ポリシーは作るだけでは不十分で、組織全体に浸透し、現場で守られていることが重要である。ランサムウェアのように短時間で深刻な影響が広がる脅威に対しては、平時の準備の差が、そのまま有事の対応力の差になる。

5. 継続改善の視点

ランサムウェア対策は、一度整備して終わるものではない。最新の情報を収集する体制や仕組みを持ち、自社の業務内容や利用しているシステムに合わせてリスクを分析し、適切な対策を選択・実施していくことが求められる。事業環境やIT環境が変化すれば、狙われやすいポイントも変わる。AIの悪用により、攻撃手法は今後も短期間で変化し続ける。だからこそ、継続的に見直し、改善していく姿勢が重要である。

また、従業員教育、アクセス権限の管理、内部監査の強化といった取り組みも、対策の実効性を高める上で有効である。企業全体でセキュリティ意識を高め、組織的対策と技術的対策を両輪で進めることが、ランサムウェアに強い企業づくりにつながる。

6. おわりに

ランサムウェアは、もはや情報システム部門だけの問題ではない。事業の根幹を止め、売上機会の喪失、取引先対応、信用低下を引き起こす、経営に直結するリスクである。

重要なのは、対策を「導入したか」ではなく、「有事に確実に機能するか」である。ポリシーやルールがあっても、手順や手続きに落とし込まれず、属人化したままでは組織は守れない。経営層に求められるのは、セキュリティをコストではなく事業継続を支える経営基盤と位置付け、平時から実効性あるプロセスと体制を整備し、継続的に改善していくことである。被害の大きさを分けるのは、有事の対応力ではなく、その前にどこまで備えていたかである。

自社の備えに不安がある場合は、まず現状を客観的に把握し、どこに優先課題があるのかを整理することが第一歩である。そのためには外部のサービスも活用し、自社に必要な改善の方向性を明確にしていく進め方も有効である。

執筆者

合同会社デロイト トーマツ
フォレンジック & クライシスマネジメントサービス　
マネジャー　澤村 知範