「漏えいなし」は証明できない。IPAが9月8日に出した11の教訓とデータ台帳の空白

「顧客情報は漏れていません、と取引先に言い切れない」——ランサムウェアのニュースを見るたび、その一文が浮かぶ社長は少なくありません。独立行政法人情報処理推進機構（IPA）は2026年9月8日、国内の被害組織へのヒアリングをもとにした「ランサムウェア被害から学ぶ教訓集」（経営者のためのランサムウェア対策ハンドブック、全47ページ）を公開しました。教訓は経営・リスク管理6項目とインシデント対処5項目の計11。この記事では、禁止や回線遮断より先に、大分の中小企業が書くべきデータ台帳とログの空白を整理します。

—-

IPAが9月8日に出した11の教訓と、中小143件の現実

警察庁のまとめでは、2025年に企業・団体から報告されたランサムウェア被害は226件。そのうち中小企業は143件で、全体の63.3％を占めます。手口が確認できた153件のうち二重恐喝は136件（88.9％）。感染経路の有効回答92件では、VPN機器が61件（66.3％）、リモートデスクトップが19件（20.7％）でした。暗号化だけでなく、データを持ち出して公開すると脅す型が主流です。大分でもトキハグループの被害は別記事で触れましたが、今日の焦点は「うちは百貨店ではない」ではなく、漏えいの有無を事後に証明できない、というIPAの指摘です。

IPAは、暗号化に気づいた時点で攻撃者の活動は最終段階だと説明しています。侵害調査、復旧、業務継続、顧客説明、関係機関への届出、公表、脅迫への対応を、短期間に並行して迫られます。ヒアリングでは、情シスへ問い合わせと復旧が集中し、他部門へ仕事を移せなかった組織がありました。経営層と情シスで事態の認識が共有できず、システム停止の判断基準がなく、決定に時間がかかった例も多い。BCPがあっても、自然災害想定のままでサイバー攻撃による全面停止を入れていなかった組織も確認されています。

11の教訓を、中小企業の現場の言葉に落とすと次のようになります。

項目：経営判断
内容：ネット遮断、重要システムの停止、公表時期、復旧優先の決裁者と基準を平時に決める

項目：全社体制
内容：情シス、法務、広報、営業、総務の役割分担。ひとり情シスに全部を載せない

項目：データ台帳
内容：個人情報・取引先情報の所在、管理部署、人数、保存期間、アクセス権限、バックアップ先

項目：バックアップとログ
内容：オフラインや改ざん耐性のある保管。侵入開始時期を追えるログ。汚染されたバックアップへ戻さない

項目：漏えい説明
内容：「漏えいなし」の断定ではなく、確認できた事実と確認できていない範囲を段階的に伝える

項目：外部支援
内容：フォレンジックや復旧の連絡先を、事案後に初めて探さない

身代金を払っても復旧や暴露停止は保証されない、という整理は以前の記事でも扱いました。今回IPAが被害組織のほぼすべてで、早い段階で「支払わない」と判断していたと紹介している点は、方針そのものより「平時に決めておかないと会議が間に合わない」側の話です。

—-

禁止や回線遮断より先に、中小企業のDXで散らばったデータを可視化する

シャドーAIの整理は別記事でも触れていますが、今日は生成AIの禁止令ではなく、顧客データがどこにあるかの空白です。ランサムウェアでも同じ型が出ます。危ないからネットを切る、クラウドを止める、個人のUSBを禁止する。禁止は分かりやすい。ただしIPAの教訓は、発覚後に「どのファイルが持ち出されたか」をフォレンジック調査しても特定しきれないことが多い、という事実です。ログの保存期間が短い、攻撃者がログを消した、監視していない経路がある。そのとき会社が言えるのは「漏えいを確認していない」までで、「存在しないことを証明した」ではありません。

DXが進むほど、データはサーバ、クラウド、現場の表計算、個人の生成AI履歴、古いNASに散らかります。台帳がなければ、個人情報保護委員会への報告も本人通知も、調査そのものが止まります。2026年9月2日に鳥取県が公表した環境放射線モニタリングのランサム被害では、主監視局が暗号化されても副監視局が引き継ぎ、扱うのが公開目的の測定データだったため個人情報漏えいはないと説明されています。中小企業の顧客名簿や見積、給与データは、公開前提ではありません。副系統と台帳がない会社は、同じ「暗号化」でも説明の土台が違います。

今日やること（3分）：次の□を、部署名とシステムの名前が浮かぶ粒度でチェックしてください。空欄は、EDRの見積より先に埋める項目です。

• 顧客名簿、見積、契約、給与、マイナンバーが、どのサーバ／クラウド／表計算にあるか言える

• 生成AIや個人アカウントに、顧客名・単価・未公開情報が残っていないか確認した

• 個人情報の件数と、管理部署・保存期間・アクセスできる人が紙一枚に書ける

• バックアップはネットワークから切り離せるか、直近90日以内に復元テストをしたか

• VPN・認証・EDRなどのログを、侵入開始時期を追える期間で残しているか

• ネット遮断と対外説明の一文を、情シス以外の誰が担当するか決まっているか

よくある分岐は次の三つです。

1. 禁止先行：外部クラウドと個人USBを止める。隠れ置き場が増え、台帳は空のまま
2. 製品先行：EDRやバックアップ製品を買う。アラートを見る人と、安全な復元時点を判断するログがない
3. 可視化先行：データの所在と権限、バックアップの保管場所、ログの保存期間を先に書く。製品はその空白を埋めるために選ぶ

IPAのヒアリング対象は、一般的な対策と運用体制があった組織でも被害を受けています。更新の遅れ、一時的な設定の放置、古いNAS、管理者アカウントでの日常運用、内部ネットを安全とみなした簡易設定。導入の有無ではなく、日々の権限と更新が維持できているかが分かれ目です。

—-

情シス1人の大分で、壁打ちして決める復旧の線引き

大分の中小企業では、情シスが社長兼務か、外部の保守会社に月次で見てもらう形が多い。47ページのハンドブックを全部実装する必要はありません。先に決めるのは、止まってはいけない業務と、戻してよい時点です。バックアップがあることと、安全に復旧できることは同じではありません。侵入後に取ったバックアップは汚染されている可能性があり、戻す日を決めるには「いつ入られたか」を追えるログが要ります。システムを数日前に戻せても、その間の受注・出荷・会計は手作業で補正します。技術のRPOと、現場が補正できる幅は別物です。

外部ベンダーも、事案後に探すと初動が遅れます。24時間連絡、初動までの目安、クラウド調査の可否、ダークウェブ調査、報告の形式。契約まで結べなくても、候補と役割を紙に書いておくだけで、発覚当日の電話は変わります。株式会社コラボでは、大分の中小企業向けに、データの所在と復旧の優先順位を壁打ちで整理する相談も行っています。ツール名より先に、「漏えいなしと言えないとき、何を説明するか」を一文にする方が、費用対効果は高いです。

AI活用を進める会社ほど、この台帳は急ぐ対象です。許可した法人AIと、許可していない個人アカウントでは、残る履歴の場所が違います。DX補助金でツールを足す前に、足した先に個人情報が乗るかも一行書いてください。乗せるなら、保存期間と誰が消せるかをセットにします。

—-

まとめ：一言で言うと、漏えいの有無は被害後に調べて分かるものではなく、平時の台帳とログでしか語れない

・IPAは2026年9月8日、被害組織ヒアリングから11の教訓を公開した。焦点は製品名より、判断基準・役割・データの所在
・2025年のランサム被害226件のうち中小は143件。二重恐喝が主で、「漏えいなし」の完全証明は困難
・禁止や回線遮断の前に、個人情報の置き場、バックアップ、侵入を追えるログを紙一枚にする

次の一手は、顧客データが乗っているシステム名を三つ書き、バックアップの最終復元日とログの保存期間を隣に添えることです。空欄が二つ以上なら、製品の比較より先に、その空白を壁打ちで埋めてください。

—-
参考：独立行政法人情報処理推進機構「ランサムウェア被害から学ぶ教訓集 ～ 経営者のためのランサムウェア対策ハンドブック ～」、2026年9月8日。警察庁「サイバー空間をめぐる脅威の情勢等について」（2025年のランサムウェア被害226件、中小企業143件）。