ファイルが開けなくなって気づいたときには、攻撃はもう最終段階に入っています。そこから決めることは、復旧の順番、業務を止めるかどうか、外に公表するかどうか。どれも、その場で考えて間に合うものではありません。この記事は、対策ソフトの話ではなく、止まる前に決めておく中身の話です。
IPAが、被害に遭った組織に聞き取りをして冊子にしました
独立行政法人 情報処理推進機構（IPA）が2026年9月8日に公開したランサムウェア被害から学ぶ教訓集（副題は 経営者のためのランサムウェア対策ハンドブック）は、机上で書かれたものではありません。IPAの届出窓口が国内の複数の被害組織に聞き取りをして、そのときに何が起きて、何をしたのかを振り返ってもらった内容から組み立てられています。2026年9月10日に ver.1.1 へ更新されています。
同じIPAの情報セキュリティ10大脅威 2026では、ランサム攻撃による被害が組織向けの1位で、11年連続11回目の選出です。順位が動かないということは、手口が古びていないということです。
いまの攻撃は、暗号化だけで終わりません
教訓集の冒頭は、いま主流になっている侵入型の攻撃について、暗号化と、持ち出した情報をたてにした脅迫が重なる形だと説明しています。つまり、バックアップから戻せても、話が終わらないということです。データは戻る。しかし、抜かれたものは戻りません。
そして、暗号化に気づいた時点では攻撃者の活動はすでに終盤にあり、組織の側に時間の余裕はない、と書かれています。調べる・戻す・仕事を続けるかどうかを決める・外に知らせる。これらを同時に、しかも短い時間で判断することになります。教訓集は、事前の準備が無ければこれは極めて難しい、という言い方をしています。
教訓は、経営側と現場側に分けて整理されています
この冊子で私が良いと思ったのは、経営者が決めることと、現場が手を動かすことを、はじめから分けている点です。目次の見出しだけを並べても、何を先に決めるべきかが見えてきます。
| 経営・リスク管理編 | インシデント対処編 |
|---|---|
| 経営者による迅速な経営判断と明確な関与 | バックアップとログの整合性確保 |
| インシデント対応体制の整備 | 基本的な対策の徹底 |
| 事業継続計画への反映 | EDR導入と定期ログ監査 |
| 個人情報を含むデータの現状把握 | 漏えいなしの証明は困難 |
| 経営者主導の意思統一 | セキュリティベンダーとの関係構築 |
| 窃取されたデータの暴露への備え | ― |
左の列に、ソフトや機器の名前がほとんど出てこないことに気づかれたでしょうか。経営側の教訓は、買う話ではなく、決める話です。誰が号令をかけるか。どこまで止めるか。どのデータをどれだけ持っているかを、そもそも把握しているか。
いちばん重いのは「漏れていない」と言えないことです
現場側の教訓に、漏えいなしの証明は困難、という項目があります。ここは、経営の判断に直結します。
事故のあと、患者さんや取引先から必ず聞かれるのは、うちの情報は漏れたのか、という一点です。ところが「漏れていない」と言い切るのは、技術的にとても難しい。記録が残っていなければ、何が持ち出されたかを確かめる手段そのものがありません。だから、あとから調べられる記録を、ふだんから残しているかどうかが効いてきます。事故が起きてから足せるものではありません。
これは、医療機関にとって特に重い話です。患者さんの情報は、戻せば済むという種類のものではないからです。
小さな組織が、今週できること
専任の担当者がいない前提で書きます。以下は、教訓集の見出しを、人手の少ない組織向けに当社が読み替えたものです。冊子にこの順で書いてあるわけではありません。
- バックアップから、実際に1つ戻してみる。取れていることと、戻せることは別です。戻したことが一度も無いなら、それはまだバックアップだと確かめられていません
- 止まったときに誰へ連絡するかを、紙に書いて貼る。院長・システムの委託先・保険会社・顧問。パソコンの中に置くと、そのパソコンが開かないときに読めません
- どんな個人情報を、どこに、どれだけ持っているかを書き出す。教訓集も、経営側の項目としてデータの現状把握を挙げています。持っているものが分からないと、漏れた範囲も答えられません
- 止めてよい業務と、止められない業務に線を引く。全部を同時に戻すことはできません。順番を決めるのは、技術ではなく経営の仕事です
4つとも、お金はほとんどかかりません。かかるのは時間と、決める覚悟だけです。そして、この4つが決まっていない組織に、高い道具を入れても効きません。
なお、当社はセキュリティ製品を扱っていません。この記事は、IPAが公開した資料を読んで、自分たちの備えを見直すために整理したものです。具体的な設計や機器の選定は、その分野の専門の方にご相談ください。
参考にした情報源
- 独立行政法人 情報処理推進機構（IPA）ランサムウェア被害から学ぶ教訓集（公開日 2026年9月8日／2026年9月10日 ver.1.1 へ更新）── 作られ方、攻撃の特性、教訓の見出し。本体はPDFです
- 独立行政法人 情報処理推進機構（IPA）プレス発表 情報セキュリティ10大脅威 2026 を決定 ── 組織向けの順位と、連続選出の回数
院長の事務を、ひとつの画面に
発注・経理・勤怠・日報・レセプトの返戻・分院の数字を、ひとつの画面にまとめた歯科医院向けWebアプリ「事務長AI」を、当社で開発・運営しています。医院のIT・システム全体のご相談は、DX・ITソリューションのページにまとめています。
