IPAが「経営者のためのランサムウェア対策ハンドブック」を公開｜11の教訓の中身
IPA（情報処理推進機構）が2026年9月8日、「ランサムウェア被害から学ぶ教訓集 ～ 経営者のためのランサムウェア対策ハンドブック ～」を公開しました。国内で実際に被害に遭った組織へのインタビューをもとに、11の教訓に整理された資料で、想定読者に情報システム部門だけでなく経営者・経営企画・総務・法務・広報が明記されているのが特徴です。
⏱ 忙しい人向け 3行まとめ
- 事実：IPAが2026年9月8日に「ランサムウェア被害から学ぶ教訓集」を公開。経営・リスク管理編6項目＋インシデント対処編5項目の計11の教訓で構成
- 意味：対策の担い手として経営者が名指しされている資料です。専任の情シスがいない中小企業ほど、経営判断そのものが対策の一部になります
- アクション：まずは「誰が判断するか」「バックアップは復旧できる状態か」の2点だけでも自社で確認しておくのが現実的です
発表の事実
IPAが公開したのは、実際の被害組織へのインタビューに基づく教訓集です。IPAの新着情報では2026年9月8日付で「ランサムウェア被害から学ぶ教訓集を公開」と告知されています。
資料は「経営者のためのランサムウェア対策ハンドブック」と位置づけられ、経営者向けの内容とインシデント対応部門向けの内容が分けて整理されています。IPAのページに記載されている11の教訓の内訳は次のとおりです。
| 区分 | 教訓の項目 |
|---|---|
| 経営・リスク管理編（6項目） | 経営者による迅速な経営判断と明確な関与 |
| インシデント対応体制の整備 | |
| 事業継続計画への反映 | |
| 個人情報を含むデータの現状把握 | |
| 経営者主導の意思統一 | |
| 窃取されたデータの暴露への備え | |
| インシデント対処編（5項目） | バックアップとログの整合性確保 |
| 基本的な対策の徹底 | |
| EDR導入と定期ログ監査 | |
| 「漏えいなし」の証明は困難 | |
| セキュリティベンダーとの関係構築 |
資料は無償で公開されており、IPAの該当ページからPDFで入手できます。
中小企業にとっての意味
この資料の要点は、ランサムウェア対策が「情シスの仕事」から「経営の仕事」へ位置づけ直されている点にあります。11項目のうち6項目が経営・リスク管理編に置かれていること自体が、その姿勢を表しているとみられます。
中小企業の現場に引きつけると、次のような読み方ができます。
判断する人が決まっていない問題
「経営者による迅速な経営判断と明確な関与」が最初に来ています。被害時は、業務を止めるか・取引先にいつ伝えるか・支払要求にどう応じるかを短時間で決める必要があります。担当者に判断は委ねられません
「漏えいなし」と言い切れない現実
教訓に「『漏えいなし』の証明は困難」が挙がっています。ログが残っていなければ、被害範囲を否定する材料が手元にない状態になりやすいという意味に読めます
暴露への備えは広報・法務の話
「窃取されたデータの暴露への備え」は技術ではなく説明責任の領域です。取引先への連絡文面や公表の判断は、平時に決めておくほうが動きやすくなります
あわせて意識しておきたいのが、AIの業務利用が広がるなかでの情報の置き場所です。社内文書をクラウドやAIツールに集約する動きは省人化の面では合理的ですが、「どこに何があるか」を会社として把握できていないと、被害時に影響範囲の説明ができません。教訓の「個人情報を含むデータの現状把握」は、AI活用を進める会社にとっても入口の作業になります。
なお、IPAが2026年3月に公表した「情報セキュリティ10大脅威 2026［組織編］」でも、ランサムウェア攻撃は組織向け脅威の上位に挙げられています。今回の教訓集は、その対策側を実例ベースで補足する位置づけとみられます。
今やるべきこと
専任の担当者がいない会社でも、いまの体制のまま確認できることから始めるのが現実的です。
- 判断者を1行で決める：被害が疑われたとき、誰が業務停止と社外連絡を判断するかを紙に書いて共有しておく
- バックアップを「戻せるか」で確認する：取っているかではなく、実際に復旧できるかを一度試す。ネットワークから切り離した保管先があるかもあわせて確認
- データの置き場所を棚卸しする：個人情報・取引先情報がどのフォルダ／クラウド／ツールにあるかを一覧化しておく
- 教訓集を経営会議の資料にする：11項目を自社に当てはめ、できている・できていないだけ印を付けるところから始める
つまずきやすいところ
「うちは狙われるほど大きくない」という前提で後回しになりがちですが、取引先経由で影響が広がる形の被害も報告されています。全部を一度に整えようとせず、判断者とバックアップの2点に絞って手をつけるほうが続きやすい傾向があります。
出典
※本記事は2026年9月9日時点の公開情報にもとづきます。資料の内容・版数は更新されることがあるため、最新は公式サイトで確認してください。