EDR、入れただけじゃダメ？ IPAのランサム教訓集が経営者に刺さる理由：半径300メートルのIT

ランサムウェア被害の多くは「基本的な対策ができていない」ことに起因する――。IPAが2026年9月に公開した経営者向けの教訓集は、被害組織へのヒアリングから得た知見をまとめた資料です。“対策済み”のつもりの組織にこそ潜む「わずかな隙」とは何でしょうか。

[宮田健，ITmedia]

　先日、ITmediaエグゼクティブのオフラインラウンドテーブルイベントをお手伝いしました。テーマはセキュリティとAIで、経営層やCIO（最高情報責任者）、CISO（最高情報セキュリティ責任者）、セキュリティ担当の責任者など、まさにセキュリティを考える中核となるような、普段は私がなかなかお話を聞けない方たちが集まり、短い時間ですがディスカッションに私も参加いたしました。

　名前を聞けば誰もが知るような組織の、セキュリティやガバナンスを考えている人たちの話を聞くと、私が思っていた以上に進んだ考え方をしていたり、既にPoCどころか成功事例を持っていたりと、日本においてもセキュリティを真剣に考える経営層が多いことが分かります。もちろん、その裏にはなかなか表には出せない失敗もあると思います。そういった痛みを既に経験し、課題を乗り越えたからこそ手に入った「教訓」を基に、"セキュリティ道"を走り続ける姿を垣間見た気がしました。

　そのような最先端を走る組織と、“そうではない”組織の二極化が進んでいるようにも思えます。さすがに「ウチは重要な情報を持っていないから狙われないよ」という方は少なくなっていると思いますが、セキュリティを考え始めた、既に考え実行しているという方も、さらにその先へ進もうと走って初めて現状維持ができるというのが、現代のセキュリティです。

　そこで、つい先日発表された、ランサムウェアに効く「教訓集」を紹介したいと思います。

IPAによる「教訓」を浴びよう

　今回紹介したいのは、情報処理推進機構（IPA）が2026年9月に公開した「ランサムウェア被害から学ぶ教訓集〜経営者のためのランサムウェア対策ハンドブック〜」です。ランサムウェア対策は一通りの資料がそろいつつありますが、今回の資料は「経営者のための」という副題が付いているように、経営層の理解と関与をさらに深めるためのもの。個別のソリューションの紹介ではありません。

IPAのXの投稿）（出典：IPA公式X）

ランサムウェア被害から学ぶ教訓集〜経営者のためのランサムウェア対策ハンドブック〜（出典：IPA）

　本書はランサムウェアの被害組織にヒアリングし、そこから得られた知見を抽出。ランサムウェア事案の全体像、方法論をまとめるのではなく、得られた「教訓」を軸にまとめたものです。教訓は経営、リスク管理編とインシデント対処編に整理されており、その多くが組織を率いる経営層の判断に関わるものとなっています。

　ランサムウェアとは何か……ということはもはや説明不要かと思いますが、経営層の視点で重要なのは、全ての決断に時間の猶予がないということを知ることです。暗号化されてしまいシステムが止まる、データが奪われ身代金を要求されるなど、ランサムウェアの被害が目に見えるようになったタイミングでは既にインシデントの最終段階となります。そこから復旧、対外対応をするため、事件が起きてからの対策ではなく、事件が起きる前にいかに準備ができていたかが問われることになるのです。

経営層に求められる判断が図にまとめられている（出典：「ランサムウェア被害から学ぶ教訓集」p7）

「基本的な対策ができている」という心の隙

　本資料は46ページにまとめられていますので、まずはぜひ、目を通していただければと思います。1つだけピックアップしますと、「ランサムウェアの被害の多くは基本的な対策ができていないことに起因する」と断言した教訓が印象に残りました。

基本的な対策の徹底を（出典：「ランサムウェア被害から学ぶ教訓集」p28）

　経営層的視点（あるいは、現場が経営層に聞かれて答える内容）では、「ウチはセキュリティをやっている」と考えているかもしれません。かつてならばウイルス対策ソフトのインストール、いまならEDR的ツールの導入、そしてバックアップは“やっている”と答える組織がほとんどのはず。でも、この教訓集ではしっかりと「セキュリティ更新プログラムの適用の遅れや一時的な設定変更の放置等、わずかな隙をついて侵入され、さらに内部ネットワークの対策の弱さを突いて侵害が拡大された」と釘を刺しています。

　セキュリティ対策の認識が二分化しているのではないか、と冒頭触れましたが、自社のセキュリティ対策をしっかり認識しているか？　そこに“わずかな隙”があったとしたらどうするか？　という点に考えが及ぶかどうかが、どちらの方向に進めるかの試金石となるのかもしれません。

　基本的な対策こそ、一番難しいものです。基礎ができていると自信を持って言える組織は、逆に隙だらけかもしれません。EDRを入れているから大丈夫、という考え方こそが、攻撃者の狙うものかもしれません。実際に本書では、EDR導入組織がなぜランサムウェアにやられたのかという教訓もまとめられています。

　大変よくまとまっている資料ですので、「教訓だけでも読んでほしい」ではなく「経営者であれば全文くまなく読んでほしい」と思う内容です。教訓部分だけですと、「うんうんその通りだな！」としか感じなくても、その後に続くヒアリング調査に基づく分析を読むと「あれ、もしかして弊社の認識が甘かったのでは……？」と思えるはず。その意味でも、経営層に向けてしっかり刺さる、必読の資料といえるかもしれません。

対策は「お墨付き」だけで終わらせない

　最近では、経済産業省が構築を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）が非常に盛り上がっています。★1〜★5の5段階のうち、★3以上（サプライチェーンを構成する全ての企業が最低限実装すべき基礎的な対策）の取得が求められていくことになるでしょう。

　しかし、このSCS評価制度をクリアしたとしても、状況は劇的に変化しないのではないかという懸念があります。もちろん、この制度をクリアすることで意識は変化しますが、防御力そのものを高めるものになるかというと、少々疑問があります（例えば以前取り上げた脆弱性への対応など）。

• 生成AIの進化で変わる脆弱性対策　CISA新指針と「SCS評価制度」から探るパッチ適用方針：半径300メートルのIT - ITmedia エンタープライズ

　経営層的視点であると、もしかしたら「経産省のSCS評価制度を取るべく進め」という方針で止まっているかもしれません。しかし、より実践的にランサムウェア対策をするのであれば、むしろ経営層のマインドこそが大事であることが、「ランサムウェア被害から学ぶ教訓集」から導き出せるかもしれません。

　経営層にはぜひ、この資料を手に取ることをお勧めします。現場のエンジニアやセキュリティ担当者は、この資料を上層部に届けてください。地に足の着いた“教訓”こそ、組織を守る糧になるはずです。

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。