「うちは狙われない」という思い込みの危うさと、企業が取るべきサイバーセキュリティーの具体的な行動

1. 「他人事ではない」のに、「うちは狙われない」と言い切れるのでしょうか？
2. 「人」を起点に発生しているセキュリティー事故。大切なのは社員教育
3. シャドーIT～情報システム部門が知らないところで広がっているリスク
4. 猛威を振るうランサムウェアに対する打ち手
5. AI活用が生み出す新たなリスク
6. まとめ：今すぐやるべきこと

1.「他人事ではない」のに、「うちは狙われない」と言い切れるのでしょうか？

改めて述べるまでもなく、企業や組織は常にサイバー攻撃の脅威にさらされています。そして、攻撃の対象には規模や業種の区別はありません。自社がいつ攻撃対象となってもおかしくない、と考えると、サイバー攻撃はもはや他人事ではありません。ただ、各種報道で目の当たりにするのが規模の大きい企業や組織におけるインシデントであるからか、「中小企業はサイバー攻撃の標的にならない」とお考えになる方々がいらっしゃるかもしれません。

「うちは狙われない」「中堅・中小企業はサイバー攻撃の標的にならない」という誤解や思い込みをされている方は、警察庁の「サイバー空間をめぐる脅威の情勢等」に掲載されている「令和７年におけるサイバー空間をめぐる脅威の情勢等について(27.1MB)」をご覧ください。同資料の8ページ（PDFの表紙から15ページ目）には、以下のように書かれています。

警察庁が「サイバーセキュリティー対策が比較的手薄」と評価している中小企業が、サイバー攻撃者に狙われているわけです。また、ランサムウェア被害件数の約３分の２を中小企業が占めています。まずは、「うちは狙われない」という思い込みを捨てていただくべきでしょう。そして、以下の表で、セキュリティーにおける「よくある思い込み」と「現実」をご確認ください。

なお、表中にもある通り、セキュリティーはIT部門まかせにするのではなく、経営層の積極的な関与が不可欠です。なぜならば、セキュリティー投資は経営判断の対象であるべきだからです。

2.「人」を起点に発生しているセキュリティー事故。大切なのは社員教育

導入されているセキュリティー製品やサービスは各社各様であるにせよ、企業や組織はセキュリティー対策を講じています。しかし、対策を講じているにも関わらすセキュリティー事故が後を絶たないのはなぜでしょうか。

様々な調査が様々な数字を挙げているので、まず、個人情報保護委員会の「令和７年度年次報告（令和８年７月７日）」（PDF）のデータを紹介します。報告の43ページ「⑤ 漏えい等元及び漏えい等原因（期間：：令和７年４月１日～令和８年３月31日）」によると、個人情報取扱事業者等において、報告者自身からの漏えい11,040件のうち81.9%を、ヒューマンエラーに該当する誤交付（6,072件）・誤送付（2,889件）・誤廃棄（78件）が占めました。

また、成功したサイバー攻撃の90% 以上（出典元：America’s Cyber Defense Agencyの「Shields Up: Guidance for Families」）がフィッシング攻撃とビジネスメール詐欺（BEC）攻撃によって仕掛けられている、とソフォス社のページで述べられています。

そして、アクロニクス社のサイバー脅威レポート 2025年下期版によると、「すべてのメール脅威の 83% をフィッシングが占めました。」という状況ですので、定期的な標的型攻撃メール訓練などを含む社員教育が重要になってきます。

セキュリティー意識向上トレーニングを提供しているKnowBe4 Japanのリリース「KnowBe4 Japan、2025年度 フィッシングベンチマーキングレポートを公開」で公開されているアジア地域 2025年度版によると、KnowBe4が提供するトレーニングの開始前に模擬フィッシングテストに引っかかった割合のアジア平均は28.6%。90日間のトレーニング実施後は17.9%。そして、トレーニングを１年間実施した時点では5.2%と、効果的なトレーニングを継続的に実施することで持続的な行動変容がもたらされ、サイバーセキュリティー脅威に対する脆弱性を大幅に軽減できることを示しています。

なお、社員教育は、以下の表を参考に、対象別に内容を設計するようにしてください。なぜならば、経営層、管理職、一般社員でリスクと役割が異なるからです。

3.シャドーIT～情報システム部門が知らないところで広がっているリスク

情報システム部門の皆様が対策に取り組んでいても、セキュリティー事故が発生する場合があります。その原因の１つは、部門単位で導入されたIT資産の存在にあります。

「シャドーIT」とも呼ばれる、情報システム部門の皆様が把握していないIT機器（PC、サーバー、ネットワーク機器）、ツール、サービス（クラウドサービス、SaaS）やアカウントの存在が、セキュリティー・リスクを高めているのです。

当然ながら、「見えないものは守れない」ので、シャドーITに対する対策は、資産の棚卸となります。情報システム部門が把握できていない資産をリストアップすることから始まります。

判明している対象から順次に対策を、とお考えになるかもしれませんが、リスクが高い問題から対策を講じる必要があります。そのためにも、棚卸はシステム全体を対象として取り組まれることを推奨します。

4.猛威を振るうランサムウェアに対する打ち手

攻撃手法が高度化しているランサムウェア。「100%の侵入防止」は不可能な状況となっていますが、被害リスクを下げるための打ち手はあります。

先に紹介した警察庁の「令和７年におけるサイバー空間をめぐる脅威の情勢等について」の「ランサムウェアの被害に関する統計④（61ページ）」よると、バックアップを取得しているのは96．2％（53件中51件）です。

ランサムウェア攻撃はデータを人質にとるものなので、取得してあるバックアップからデータを復元できれば身代金を払う必要は無くなります。

ところが、バックアップからの復元が不可であった割合は85.4%(48件中41件)なのです。そして、バックアップから復元できなかった理由の65.7%(35件中23件)が、バックアップも暗号化されてしまっていたためだったのです。

バックアップまでランサムウェア被害に遭ってしまう原因の１つは、バックアップが本番データと同じネットワーク上に存在していたためでしょう。バックアップサーバーそのものが脆弱であったことが原因の場合もあるでしょう。

上述してきた内容を踏まえると、ネットワークから切り離せるメディア（外付けディスクやテープ）や場所（遠隔地）に、取得したバックアップを保存・保管する必要性をご理解いただけると思います。

バックアップには「3-2-1ルール」と呼ばれるルールが存在します。これは、「3つのコピーを保持」、「2種類の異なる媒体に保存」、「1つは遠隔地に保管」のことです。

ただ、最近は、「1つは書き換えや削除ができないイミュータブル（不変）またはエアギャップ（オフライン）で隔離して保管する」と「バックアップからの復元時のエラーが0であることを定期的に検証・確認」を加えた「3-2-1-1-0ルール」も提唱されています。

いずれにしても、以下の表に書かれている内容を参考に、バックアップに対する見直しをしていただく必要性があるでしょう。

なお、警察庁の「令和７年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害に遭った企業や団体で、サイバー攻撃を想定に含む業務継続計画（BCP）を策定済みであったのが6%(50件中3件)となっています。この結果から、バックアップを取得してあってもデータの復元テストをしていない件数が大半であったことが伺えます。

上述してきた内容を踏まえると、「3-2-1-1-0ルール」にある「バックアップからの復元時のエラーが0であることを定期的に検証・確認」の確実な実施が大切であるとご理解いただけるでしょう。

ここまで記述してきた内容は、復旧対策に関するものです。当然ながら、ランサムウェアの侵入経路を絞り込む入口対策も不可欠です。入口対策として、以下の３つをご確認ください。

1. VPN機器の脆弱性管理
   メーカーのパッチ情報を毎月確認し、適用する運用を確立する。
   バージョン管理を台帳化して抜け漏れをなくす。
2. 多要素認証（MFA）の全面導入
   VPN・クラウドサービス・社内システムすべてに適用する。例外を作らないことが重要。
3. 不要な外部公開・サービスの停止
   使っていないRDPポート・公開サーバー・試用で入れたSaaSを棚卸して停止する。

また、内部対策については、以下などが挙げられます。

• EDR（Endpoint Detection and Response）の導入
  エンドポイント（末端機器）での不審な挙動を検知・隔離
• ネットワークのセグメンテーション（分割）
  ネットワークを細かく分割し、あるセグメントが侵害されても、他のセグメントへの影響を最小化
• 最小権限の原則
  業務上必要最小限のアクセス権限のみを従業員やシステムに付与することで、アカウントが乗っ取られた場合に、攻撃者がアクセスできる範囲を制限

ランサムウェアは、攻撃の準備期間中に、システムの管理者権限を取得しようとします。従業員やシステムに付与する権限が最小であれば、下図の「権限昇格」にある管理者権限へのランサムウェアの昇格を阻止できます。

5.AI活用が生み出す新たなリスク

広がるAI活用によって、新たなリスクが生まれています。新たなリスクと企業が講じるべき統制は以下の通りです。

• AIへの機密情報の入力による外部漏洩
• AIが生成する「事実に基づかない情報」を検証せずに業務利用
• 情報システム部門の承認を得ずに、企業として承認していないAIを利用
• AI連携APIやプラグイン経由の不正アクセス
• AIへの悪意のある指示の埋め込みによる学習データの汚染

上述したようなリスクに対して、企業が講じるべき統制は以下の通りです。

• 入力禁止情報を明確化する利用ガイドラインの策定
• 利用可能なAIを明確化し、許可制や台帳管理にする
• AIの出力結果を、人が必ずレビューする運用を徹底
• アクセス権限、ログ、APIキーを一元管理する
• 社内のAI活用情報を定期的に棚卸・監査する

ここで注意していただきたいのは、AIの使用を禁止しているわけではない、ということです。現状を把握し、ルールを作ることから始まり、継続的に見直す運用とすることで、安全なAI活用が実現するのです。

6.まとめ：今すぐやるべきこと

本記事で紹介してきた内容には、予算やスキルがなくても着手可能なアクションが含まれています。まず、以下の3つに取り組んでください。その先に全員参加型のセキュリティー対策が見えてくると思います。

1. IT資産とアカウントの棚卸を始める（シャドーITへの対策）
2. バックアップの復元テストを実施する（ランサムウェアに対する打ち手）
3. AI利用のガイドラインの作成と配布（AI活用が生み出す新たなリスク）

関連リンク

• 日本IBMが実施している「無償セキュリティー・リスク診断」

筆者