編集部
ランサムウェア対策におけるBCP・サイバー保険の考え方
「防ぐ」だけでなく、「止まっても事業を続ける」備えが必要
ランサムウェア対策というと、ウイルス対策ソフト、EDR、バックアップ、多要素認証など、感染を防ぐための技術的対策に目が向きがちです。 もちろん、これらの予防策は重要です。
しかし、どれだけ対策をしていても、サイバー攻撃を100％防ぐことはできません。 だからこそ企業には、 万が一被害が発生しても、事業を止めないための備え が必要です。
その中心になるのが、BCP（事業継続計画）とサイバー保険です。
これは、サイバー攻撃時の事業継続において、バックアップと復旧の重要性が高まっていることを示しています。(情報処理推進機構)
1. BCPとは「止まらない会社」をつくる計画
BCPとは、災害や事故、サイバー攻撃などが発生した場合でも、重要業務を継続・早期復旧するための計画です。
従来のBCPは、地震、火災、台風などの自然災害を想定することが多くありました。しかし、現在はランサムウェアのようなサイバー攻撃も、事業停止を引き起こす重大なリスクです。
ランサムウェアに感染すると、以下のような影響が起こります。
- 受発注システムが使えない
- メールやファイルサーバーが使えない
- 顧客対応ができない
- 請求・支払い処理が止まる
- 生産・出荷指示が出せない
- 従業員が通常業務を進められない
つまり、サイバー攻撃はIT部門だけの問題ではなく、営業、経理、製造、物流、人事、経営判断にまで影響します。 そのため、BCPでは「システムをどう復旧するか」だけでなく、システムが使えない間に、どう業務を続けるかまで決めておく必要があります。
2. サイバー攻撃を想定したBCPで決めておくこと
ランサムウェア対策としてのBCPでは、少なくとも次の項目を決めておくべきです。
重要業務の優先順位
まず、自社にとって止めてはいけない業務を整理します。
たとえば、以下のような業務です。
- 顧客対応
- 受注・出荷
- 生産管理
- 決済・請求
- 医療・介護・インフラ関連業務
- 取引先への連絡
- 従業員の安全確認
すべての業務を同時に復旧することは困難です。 そのため、どの業務を最優先で復旧するかを事前に決めておく必要があります。
重要システムの復旧順位
次に、重要業務を支えるシステムを洗い出します。
- ファイルサーバー
- メール
- 販売管理システム
- 会計システム
- 生産管理システム
- 顧客管理システム
- 勤怠・人事システム
- クラウドサービス
「どのシステムから復旧するか」を決めておかないと、被害発生時に現場ごとの要望が混在し、復旧作業が混乱します。
代替手段
ランサムウェア被害時には、通常使っているシステムが使えない可能性があります。 そのため、代替手段を準備しておくことが重要です。
- 紙やExcelでの受注管理
- 電話・FAXでの顧客対応
- 代替メールアドレス
- 緊急連絡網
- オフラインで確認できる取引先リスト
- 手作業での出荷・請求手順
重要なのは、代替手段を「考えておく」だけでなく、実際に使える状態にしておくことです。
社内外の連絡体制
ランサムウェア被害時には、短時間で多くの関係者と連絡を取る必要があります。
- 経営層
- 情報システム部門
- 法務・コンプライアンス部門
- 広報部門
- 顧客対応部門
- 取引先
- 外部セキュリティ会社
- 保険会社
- 警察・専門機関
JPCERT/CCは、侵入型ランサムウェア被害時には、状況把握、社内連絡、問い合わせ対応、広報、外部組織との連携担当者の確保など、対応体制の検討が必要だと説明しています。(JP-CERT)
復旧目標
BCPでは、復旧の目標を決めておくことも重要です。 たとえば、次のような考え方です。
- どの業務を何時間以内に再開するか
- どのデータをどの時点まで戻すか
- 何日停止すると重大な影響が出るか
- 顧客へ何時間以内に連絡するか
この目標がないと、復旧作業の優先順位を判断できません。
3. BCPは「作るだけ」では意味がない
BCPは、文書を作成して終わりではありません。 実際の被害発生時に使えなければ意味がないため、定期的な見直しと訓練が必要です。
特にランサムウェアでは、次のような想定で訓練することが有効です。
- メールが使えない
- ファイルサーバーが使えない
- 顧客管理システムが使えない
- バックアップから復元が必要
- 取引先への説明が必要
- 個人情報漏えいの可能性がある
- 報道・問い合わせ対応が発生する
訓練では、実際に全システムを停止する必要はありません。 まずは机上演習として、「この状況なら誰が何を判断するか」を確認するだけでも効果があります。 BCPで重要なのは、完璧な計画を作ることではなく、被害時に迷わず動ける状態を作ることです。
4. サイバー保険は「被害後の資金面と専門支援」を補う仕組み
サイバー保険は、サイバー攻撃や情報漏えいなどによって発生する費用や損害を補償する保険です。
日本損害保険協会は、サイバー事故で発生する費用として、大きく以下の3つを挙げています。
- 事故対応費用
- 損害賠償費用
- 利益損害・営業継続費用
また、サイバー保険に加入することで、事前対策としてのセキュリティ診断や、事故発生後の専門事業者紹介などのサポートを得られる商品もあるとしています。(損保ジャパン)
つまり、サイバー保険は単に「お金を補償するもの」ではありません。 被害発生時に、調査、復旧、法務、広報、顧客対応を進めるための支援策として考えるべきです。
5. サイバー保険でカバーされる主な費用
サイバー保険の補償内容は、保険会社やプランによって異なります。 ただし、一般的には以下のような費用が対象になります。
事故対応費用
- フォレンジック調査費用
- 原因調査費用
- 復旧作業費用
- コールセンター設置費用
- 顧客・本人通知費用
- 弁護士相談費用
- 広報対応費用
損害賠償費用
- 顧客や取引先からの損害賠償
- 情報漏えいに伴う賠償責任
- 他社業務を妨害した場合の賠償
- 訴訟費用
利益損害・営業継続費用
システム停止による売上減少 営業継続のための追加費用 代替手段の利用費用 復旧期間中の追加人件費
6. サイバー保険は「対策の代わり」ではない
重要なのは、サイバー保険に入ればランサムウェア対策が不要になるわけではない、という点です。 保険は、あくまで被害発生後の費用負担を軽減する仕組みです。 感染そのものを防いだり、業務停止を自動的に解消したりするものではありません。
また、保険会社によっては、加入時や更新時に次のようなセキュリティ状況を確認されることがあります。
- 多要素認証の有無
- バックアップ体制
- EDRやランサムウェア対策ソフトの導入状況
- 脆弱性管理
- インシデント対応体制
- 個人情報の取扱状況
- 過去の事故歴
日本損害保険協会も、保険料は年間売上高、業種、セキュリティ状況により決まると説明しています。(損保ジャパン)
つまり、基本対策が不十分な企業ほど、保険料が高くなったり、十分な補償を受けにくくなったりする可能性があります。 サイバー保険は、セキュリティ対策の代替ではなく、BCPを補完する資金面の備えとして位置づけるべきです。
7. BCPとサイバー保険はセットで考える
BCPとサイバー保険は、役割が異なります。 BCPは、被害発生時に事業を継続・復旧するための行動計画です。 サイバー保険は、被害発生時に必要となる費用や賠償リスクを補う仕組みです。
つまり、 BCP：どう動くかを決める サイバー保険：必要な費用と専門支援を補う という関係です。 どちらか一方だけでは不十分です。 BCPがなければ、保険があっても初動対応が混乱します。
一方で、保険がなければ、BCPに沿って対応するための調査費用、復旧費用、法務費用、顧客対応費用が大きな負担になります。 だからこそ、ランサムウェア対策では、BCPとサイバー保険を組み合わせて考えることが重要です。
8. 企業が今すぐ確認すべきポイント
BCPとサイバー保険について、まず確認すべきポイントは次のとおりです。
BCPの確認ポイント
1. サイバー攻撃を想定したBCPがあるか 2. 重要業務と重要システムを洗い出しているか 3. 復旧優先順位を決めているか 4. バックアップから復元できるかテストしているか 5. システム停止時の代替手段があるか 6. 社内外の緊急連絡先をオフラインで確認できるか 7. 経営層を含めた意思決定体制があるか 8. 年1回以上、訓練や見直しをしているか
サイバー保険の確認ポイント
- サイバー保険に加入しているか
- ランサムウェア被害が補償対象か
- 事故対応費用が補償されるか
- 事業中断による利益損害が補償されるか
- 損害賠償費用が補償されるか
- 専門事業者の紹介・初動支援があるか
- 補償限度額は十分か
- 免責事項・対象外条件を確認しているか
特に、サイバー保険では「加入しているつもりでも、事業中断やランサムウェアが十分に補償されない」というケースがあります。補償範囲は必ず確認しておくべきです。
まとめ：BCPと保険は「最後の守り」
ランサムウェア対策は、感染を防ぐための技術対策だけでは不十分です。 万が一被害が発生した場合に、
- どの業務を優先して守るのか
- どのシステムから復旧するのか
- 代替手段でどう業務を続けるのか
- 誰が経営判断するのか
- 顧客や取引先へどう説明するのか
- 必要な費用をどう確保するのか
まで決めておく必要があります。
BCPは、被害時に事業を止めないための計画です。 サイバー保険は、被害時の費用負担と専門支援を補う仕組みです。 この2つを組み合わせることで、企業はランサムウェア被害に対して、より現実的な備えを持つことができます。
ランサムウェア対策で重要なのは、 「感染しない会社」だけを目指すのではなく、感染しても事業を継続できる会社をつくることです。
