金銭要求の7割は事後判断 Gartnerが警告する日本企業のランサムウェア対策不足：基本の対策さえ過半数割れ

高度化するランサムウェア攻撃に対し、国内企業の深刻な実態が明らかになった。身代金支払いに関する明確な規定を持つ企業は3割未満で、大半が極限状態での判断を強いられている。なぜ事前の備えが遅れているのか。

[TechTargetジャパン]

　Gartnerは2026年2月、日本国内の従業員数500人以上の企業に所属するITおよびセキュリティリーダー400人を対象に、ランサムウェア（身代金要求型マルウェア）対策に関する調査を実施した。

　最も導入が進む「バックアップからの復旧」でも、準備している企業は42.7％にとどまる。次いで「ランサムウェア感染時の対処のマニュアル化」が40.3％と、基本的な対策でさえ過半数に達していない。

　さらに深刻な課題として、外部機関との連携や、身代金を要求された際の対応方針が未整備な点が挙げられる。本稿では、調査データから読み解く企業が陥りがちな判断のわなと、有事に備えて構築すべき体制を深掘りする。

有事の対処プロセスにおける「準備不足」

併せて読みたいお薦め記事

ランサムウェア対策の重要性

• “対策不足”で英小売業界が大混乱　ランサムウェア攻撃の犯人は誰？
• なぜ狙われる？　中小企業がランサムウェアの「おいしい標的」に

　インシデント発生時は、内部での対処だけでなく外部のステークホルダーとの連携が被害の拡大を防ぐ鍵になる。しかし調査では、「外部専門家への相談体制、インシデントレスポンス、リテーナーサービスの事前契約」を準備している企業は33.3％にとどまっている。

　「インシデントの利害関係者（外部取引先など）への連絡体制」は26.3％、「インシデント発生時の顧客への公表、公開、連絡体制」は22.0％と低迷している。「ランサムウェアを対象としたサイバー保険への加入」は15.9％と最も低い水準にある。有事の際の対外的な情報開示や金銭的なリスク分散の仕組みが構築できていない企業が多数を占めることが、今回の調査で明確に浮き彫りになった。

身代金要求に対する「方針の曖昧さ」

　ランサムウェア感染時、企業が直面する最大の難局が身代金要求への対応だ。同調査において、身代金要求に対する方針を尋ねた結果は以下の通りとなった（複数を選択した企業が含まれるため、合計は100％にならない）。

• 身代金は支払わない方針で、ルール化している：29.5％
• 身代金は支払わない方針だが、ルール化はしていない：36.5％
• 状況を踏まえて判断する方針で、ルール化している：19.0％
• 状況を踏まえて判断する方針だが、ルール化はしていない：7.5％
• 決めていない／分からない：15.8％

　多くの企業において「身代金は原則として支払わない」という方針は存在するものの、それを具体的なルールとして実運用できている企業は3割に満たない。企業内で合意形成が曖昧なままにとどまっているため、結果として約7割の企業は、インシデント発生後に初めて具体的な判断を下さざるを得ない状況に置かれていることが分かる。

極限状態での判断を避けるための「事前のシミュレーション」

　方針が不明確なままサイバー攻撃を受けた場合、企業は時間的余裕のない極限状態での対処を迫られることになる。Gartnerのディレクター アナリストである鈴木弘之氏は、このような切羽詰まった状況下での意思決定は、企業にとって致命的となる誤った選択をしてしまうリスクを著しく高めると指摘している。

　鈴木氏は、身代金交渉を「必ずしも身代金の支払いを前提としたものではなく、被害状況や情報漏えいの範囲を調査、分析するための時間を確保する手段」として活用できる側面もあると説明する。しかし、攻撃者と直接やりとりすることは極めてリスクが大きいため、企業単独で実施すべきではないと警告する。

　インシデント発生後の場当たり的な初動対処を防ぐためには、インシデントの発生を完全に防ぐことはできないという前提に立った体制の構築が不可欠だ。万が一、交渉や処置が必要いなった場合に備え、専門のベンダーに即座に相談できる体制を平時から整えておくことが求められる。

　これからの事業継続において、サイバーセキュリティは単なる防御システムの導入にとどまらない。経営層を巻き込んだ事前のシミュレーションや机上演習を継続的に実施することが、企業全体の耐性を高める上で重要となる。想定される被害シナリオに基づき、自社の判断基準をあらかじめ明確にしておくことで、有事の際の事業へのダメージを最小化することが可能になるのだ。