サイバー攻撃の被害企業に共通する問題点とは？
〜経営者が見直すべき7つの課題と対策〜
※本記事は一般的な情報提供を目的としています。個別の事故では、被害の状況、適用法令、契約内容に応じた専門的な判断が必要です。
■サイバー攻撃はIT部門だけの問題ではない
企業へのサイバー攻撃が深刻化しています。ランサムウェアによる業務停止、顧客情報の漏えい、取引先への被害拡大など、ひとたび攻撃を受ければ、企業活動そのものが脅かされます。
特に注意したいのは、サイバー攻撃の被害が必ずしも高度な技術的欠陥だけで発生するわけではないことです。更新プログラムの適用漏れ、認証情報の管理不足、委託先への過度な依存、経営陣の関与不足など、日常的な管理上の問題が侵入のきっかけになる場合があります。
経済産業省が2025年に公表した中小企業の実態調査では、約7割の企業で組織的なセキュリティ体制が整備されていないことが明らかになりました。また、過去3年間にサイバー攻撃の被害を受けた中小企業の約7割で、取引先にも影響が及んでいました。
つまり、自社の問題が取引先の事業停止につながる可能性もあるのです。
本記事では、被害企業に共通して見られる構造的な問題を整理し、企業が優先的に取り組むべき対策を解説します。
1．サイバー攻撃の被害企業に共通する7つの問題点
問題点① セキュリティ対策を後回しにしている
企業経営では、売上拡大や設備投資、人材確保など、目に見える成果につながる施策が優先されがちです。一方、セキュリティ対策は、被害が発生するまで効果が見えにくいという特徴があります。
その結果、次のような状態が生まれます。
・古いOSやソフトウェアを使い続けている
・VPN機器やネットワーク機器の更新が遅れている
・セキュリティ対策の予算が十分に確保されていない
・自社のサーバーや公開システムを正確に把握していない
・ セキュリティ担当者が不在、または兼任になっている
IPAの調査では、不正アクセス被害を受けた企業の48.0％が脆弱性を突かれたと回答しています。ID・パスワードをだまし取られたケースも36.8％ありました。
これらは、最新の攻撃技術に対抗する以前に、基本的な対策の徹底が重要であることを示しています。
対策： セキュリティを単なる経費ではなく、事業継続に必要な投資として位置づけます。重要なシステム、外部公開機器、更新期限、管理責任者を一覧化し、定期的に見直しましょう。
問題点② ベンダー任せで、自社のリスクを把握していない
システムの保守やセキュリティ対策を専門業者に委託すること自体は、合理的な選択です。専門人材を確保できない企業にとって、外部の力を活用することは重要です。
しかし、委託することと、責任まで委ねることは違います。
例えば、次のような状況は危険です。
・「保守会社が管理しているから大丈夫」と考えている
・契約に含まれる対策や監視範囲を把握していない
・脆弱性が見つかった際の修正期限が決まっていない
・緊急時に誰が判断するのか明確でない
・ 委託先のアカウントや遠隔接続環境を管理していない
委託先が適切に管理していても、契約の対象外にある機器やサービスが放置されていれば、そこが侵入口になる可能性があります。
また、委託先のアカウントが侵害されれば、複数の顧客企業に被害が広がることも考えられます。
対策： 委託先に任せる業務、委託先が負う責任、自社が判断する事項を明文化します。契約では、監視範囲、脆弱性対応、事故の報告期限、ログの保管、復旧支援、再委託先の管理などを確認しましょう。
重要なのは、ベンダーを疑うことではなく、契約と実際の運用が一致しているかを検証することです。
問題点③ 性善説に依存し、攻撃者の行動を過小評価している
企業の情報システムは、正規の利用者が適切に行動することを前提として設計・運用されている場合があります。
しかし、インターネット上では、攻撃者が正規の利用者になりすましたり、盗んだ認証情報を使ったりすることがあります。
例えば、次のような考え方は危険です。
・ 社員しか使わないシステムだから安全
・ 社内ネットワークに接続できれば信頼できる
・ パスワードを知っている人は本人に違いない
・取引先から届いたメールだから信用できる
実際には、正規アカウントが盗まれれば、攻撃者が正規の利用者と同じ権限で行動する可能性があります。
これは、悪意のある人間だけでなく、誤操作や設定ミスによる事故にも当てはまります。
対策： 「誰を信頼するか」だけでなく、「どの端末から、どの情報に、どの権限でアクセスできるか」を管理します。
具体的には、多要素認証の導入、最小権限の原則、重要データへのアクセス制限、操作ログの監視などが有効です。メールの送信元や添付ファイルについても、表示名だけで判断しない運用を徹底します。
問題点④ 侵入を防ぐことばかり考え、侵入後の対策が不足している
セキュリティ対策というと、ファイアウォールやウイルス対策ソフトの導入を思い浮かべる人が多いでしょう。
しかし、どれほど対策を重ねても、すべての攻撃を完全に防ぐことは困難です。
侵入された後の対応が不十分だと、一部の端末への侵入が、社内ネットワーク全体や基幹システムにまで拡大するおそれがあります。
典型的な問題は次のとおりです。
・侵入の兆候を検知できない
・不審な通信やログインを監視していない
・ 管理者アカウントの権限が過大である
・社内ネットワークが広く接続されている
・バックアップまで同じネットワーク上にある
対策： 侵入防止だけでなく、早期検知と被害の局所化を重視します。
端末やサーバーの監視、ログの収集、管理者権限の分離、ネットワークの分割、異常発生時のアラート設定などを組み合わせましょう。必要に応じてEDRなどの端末監視製品や、外部の監視サービスを活用します。
「侵入されない仕組み」と「侵入されても全社停止に至らない仕組み」の両方が必要です。
問題点⑤ バックアップがあれば復旧できると思い込んでいる
ランサムウェア対策として、バックアップは欠かせません。しかし、バックアップを取得しているだけでは十分ではありません。
攻撃者がバックアップ領域にもアクセスできれば、バックアップデータ自体が暗号化・削除される可能性があります。また、復旧手順が不明確だったり、必要なデータが欠けていたりすれば、業務再開までに長い時間がかかります。
確認すべきなのは、次の項目です。
・ バックアップが定期的に取得されているか
・本番環境とは分離して保管されているか
・バックアップの削除や変更が制限されているか
・実際に復元できるかを検証しているか
・復旧に必要な人員やシステムが確保されているか
対策： 重要なデータは複数の方法で保管し、オフラインまたは変更・削除を制限できるバックアップを確保します。定期的に復元テストを実施し、復旧に必要な時間も計測しましょう。
バックアップの目的は、データを保存することだけではありません。事業を再開できる状態を確保することです。
問題点⑥ 被害発生時の対応体制が決まっていない
サイバー攻撃を受けた際には、技術的な対応だけでなく、経営判断、顧客対応、取引先への連絡、広報、法務対応などが同時に求められます。
ところが、平時に準備していなければ、誰が判断し、誰が外部へ連絡するのかを決めるだけでも時間がかかります。
さらに、復旧を急ぐあまり、証拠となるログを消してしまったり、侵入原因を残したままシステムを再稼働させたりする危険もあります。
対策： サイバー攻撃を想定したインシデント対応計画を作成します。
少なくとも、次の事項を事前に決めておきましょう。
・緊急時の指揮責任者と代行者
・システムの隔離・停止を判断する基準
・外部の専門家や警察への連絡先
・ 顧客・取引先への通知手順
・個人情報保護委員会などへの報告要否の確認手順
・バックアップからの復旧手順
・広報発表や問い合わせ窓口の担当者
計画を文書化するだけでなく、机上訓練や復旧訓練を行い、実際に機能することを確かめる必要があります。
問題点⑦ 被害を自社だけの問題として考えている
サイバー攻撃による被害は、攻撃を受けた企業だけにとどまるとは限りません。
例えば、製造業の部品供給会社がシステム障害を起こせば、取引先の工場が稼働できなくなることがあります。顧客情報が漏えいすれば、顧客本人にも被害が及ぶ可能性があります。
委託先や取引先との接続が増えるほど、自社のセキュリティ管理が他社のリスクにも影響するようになります。
対策： 自社の対策だけでなく、取引先や委託先を含めたリスク管理を行います。
重要な委託先については、セキュリティ対策の実施状況、事故発生時の連絡体制、データの取り扱い、再委託の管理などを確認しましょう。また、自社が被害を受けた場合に取引先の業務をどう継続するかも検討しておくことが重要です。
2．企業が優先的に実施すべき対策
対策を一度にすべて導入するのは難しいかもしれません。そこで、実施の優先順位を整理します。
優先度A：まず着手すべき基本対策
1. OS、ソフトウェア、VPN機器などの更新を徹底する
2. 多要素認証を導入し、重要アカウントを保護する
3. 不要なアカウントや外部公開サービスを停止する
4. 重要データを分離した環境にもバックアップする
5. 緊急連絡網と初動対応手順を整備する
優先度B：被害の拡大を防ぐ対策
1. 重要システムと一般端末のネットワークを分離する
2. ログを収集し、不審なアクセスを監視する
3. 管理者権限を必要最小限にする
4. バックアップの復元テストを行う
5. 取引先や保守ベンダーとの緊急対応手順を確認する
優先度C：経営管理として定着させる対策
1. 経営会議でセキュリティリスクを定期的に確認する
2. 重要な情報資産と業務停止時の影響を把握する
3. セキュリティ投資の予算と責任者を明確にする
4. サイバー攻撃を想定した事業継続計画（BCP）を整備する
5. 定期的に訓練を行い、計画を改善する
高価なセキュリティ製品を導入することだけが対策ではありません。基本設定の見直しやアカウント管理、更新作業の徹底など、比較的低コストで実施できる対策も多くあります。
3．経営者が確認すべき5つの質問
セキュリティ対策の実効性を確認するために、経営者は情報システム担当者や委託先に、次の質問をしてみましょう。
質問1：自社のシステムや情報資産を、すべて把握していますか？
管理対象が分からなければ、対策の漏れを発見できません。
質問2：外部から侵入されるとしたら、どこが入口になりますか？
VPN機器、公開サーバー、遠隔保守用のアカウントなど、具体的な侵入経路を確認します。
質問3：今日、基幹システムが停止したら、何日で業務を再開できますか？
バックアップの有無だけでなく、復旧に必要な時間と手順を確認します。
質問4：委託先が対応できない場合、誰が判断しますか？
自社と委託先の責任分担、緊急時の代替手段、外部専門家への連絡先を確認します。
質問5：被害を受けたことを、どのように検知できますか？
異常なログインや不審な通信を検知する仕組みと、発見後に誰へ通知されるかを確認します。
これらの質問に具体的な回答ができない場合、セキュリティ製品を追加する前に、資産管理や責任分担、復旧手順の整備から着手する価値があります。
4．サイバー攻撃を受けた場合、最初に何をすべきか
どれほど対策を講じても、被害を完全にゼロにすることは困難です。重要なのは、異常を発見した際に被害を拡大させず、適切な手順で復旧することです。
●初動対応の基本
① 速やかに社内の責任者へ報告する
現場の判断だけで対応を進めず、情報セキュリティ責任者と経営者に連絡します。
② 被害拡大を防ぐ
専門家の助言を受けながら、感染端末のネットワーク隔離などを実施します。ただし、証拠保全の観点から、端末の電源を切るなどの操作は慎重に判断してください。
③ 証拠とログを保全する
発生日時、対象システム、表示された警告、通信記録などを整理します。原因調査に必要な情報を不用意に消去しないことが重要です。
④ 専門家や関係機関に相談する
自社で対応できない場合は、保守ベンダーやインシデント対応の専門組織に支援を求めます。犯罪の疑いがある場合は警察への相談も検討します。
⑤ 被害者や関係機関への報告を検討する
個人情報の漏えいなどが疑われる場合は、法令上の報告・本人通知の要否を確認します。取引先や顧客への連絡も、被害の状況に応じて判断します。
⑥ 原因を解消してから復旧する
侵入経路や被害範囲を調査し、必要な修正や認証情報の変更などを行います。原因を残したままシステムを再稼働させると、再侵入されるおそれがあります。
なお、身代金の要求を受けた場合も、慌てて支払いを決めるべきではありません。支払ってもデータが戻る保証はなく、情報が削除される保証もありません。経営陣、専門家、法務担当者などと連携して対応方針を判断しましょう。
5．セキュリティ対策の成否を決めるのは経営判断
サイバー攻撃の被害企業に共通して見られる問題は、単にセキュリティ製品が不足していることだけではありません。
対策の優先順位が低い、ベンダー任せで自社のリスクを把握していない、侵入後の被害拡大を想定していない、緊急時の意思決定や復旧手順が決まっていない。こうした管理上の問題が重なることで、被害が大きくなる可能性があります。
企業が取り組むべきなのは、攻撃を完全に防げるという前提に立つことではありません。
・侵入される可能性を前提に対策する
・侵入されても被害を局所化する
・重要なデータを復元できるようにする
・事業を継続できる体制を整える
・自社と取引先の双方を守る
この5つを経営課題として継続的に実施することが重要です。
サイバーセキュリティは、情報システム部門だけに任せる仕事ではありません。経営者がリスクを理解し、責任者と予算を明確にし、実効性を検証する。その仕組みがあって初めて、企業全体の防御力を高めることができます。
「攻撃されない会社」を目指すだけでなく、「攻撃されても事業を止めない会社」を目指す。これが、これからの企業経営に求められるサイバーセキュリティの考え方です。
参考資料
・IPA「ランサムウェア被害から学ぶ教訓集 ～ 経営者のためのランサムウェア対策ハンドブック ～」
・経済産業省「中小企業の実態判明 サイバー攻撃の7割は取引先へも影響」
・経済産業省「中小企業のためのセキュリティインシデント対応の手引き」
・JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」
コメント