ランサムウェア対策で半数超が事前準備なし、ガートナージャパンの調査

　ガートナージャパンが実施したのは、日本国内の従業員数500人以上の組織を対象に、ランサムウェア対策の実施状況やインシデント発生時の対応方針を尋ねた調査。2026年2月に実施した。

　同調査によると、ランサムウェア感染に備えた対策として最も回答が多かったのは「バックアップからの復旧」で42.7%だった。続いて「ランサムウェア感染時の対応のマニュアル化」が40.3%、「インシデントの公的機関への届け出体制」が34.7%となった（図1）。

図1：ランサムウェア感染に備えた対策

　一方で、いずれの対策も実施率は5割に届かなかった。ランサムウェアによる被害を最小限に抑えるには、感染を前提とした事業継続（BCP：Business Continuity Plan）の観点からも複数のステークホルダーが連携し、事前に対応手順や役割分担を整理しておく必要がある。しかし実際には、多くの企業で十分な準備が整っていない状況が浮き彫りになった。

　Gartnerのディレクター アナリストである鈴木 弘之 氏は「サイバー攻撃は高度化・巧妙化しており、（修正プログラムが提供される前に悪用される）ゼロデイ脆弱性の悪用や、サプライチェーンのリスクを突く攻撃が増えている。被害を完全に防止することは難しく、それゆえランサムウェア対策では、インシデントの発生を前提とした備えや、対応体制の整備が重要になる」と指摘する。

　身代金要求への対応方針についても、準備不足が明らかになった。「身代金の支払いは行わない方針で、ルール化している」と回答した企業は29.5%に留まった（図2）。

図2：ランサムウェア感染時の身代金要求への対応方針

　最も多かったのは「身代金の支払いは行わない方針だが、ルール化していない」の36.5％である。「支払わない」を基本方針としながらも、具体的な判断基準や意思決定プロセスの整備が進まず、曖昧な合意に留まる企業が多い。

　一方「状況を踏まえて判断する方針で、ルール化している」は19.0％、「状況を踏まえて判断する方針だが、ルール化していない」は7.5%、「決めていない／分からない」は15.8％だった。方針が不明確なまま、攻撃発生後に身代金支払いの是非を判断する可能性がある企業が少なくない実態がうかがえる。

　ガートナージャパンは、攻撃者との交渉は必ずしも身代金の支払いを目的とするものではなく、被害状況や情報漏えいの範囲を調査・分析する時間を確保するための手段として考える視点もあると説明する。しかし、事前の方針が定まらないままにインシデント対応に入ると、時間的余裕がない中で重要な経営判断を迫られることになり、誤った選択をしてしまうリスクが高まるとする。

　鈴木氏は「身代金交渉はせずに済むことが最善だが、万が一に備え、平時から専門ベンダーに相談できる体制を整えておくことが重要である。攻撃者と企業が直接交渉することはリスクが高く、避けるべきだ」と指摘する。

　有事の場当たり的な判断を避けるために、鈴木氏は「経営層を含めた継続的な机上演習や事前のシミュレーションが欠かせない」と指摘する。被害を最小限に抑える上ででは「想定される被害のシナリオと対応策を検証することで、自社の判断基準を明確にしておく必要がある」（同）としている。