ランサムウェア対策は、すべてを一度に完璧にする必要はありません。まずは30日間で、被害に遭いやすい入口を塞ぎ、復旧できる状態を確認し、感染時に迷わない体制を作ることが重要です。
ここでは、専任のセキュリティ担当者がいない中小企業でも着手しやすい順番で整理します。

1週目：現状把握から始める

最初の1週間は、いきなり製品を入れるのではなく、守る対象を見える化します。PC、サーバー、NAS、クラウドサービス、VPN、リモート接続、重要な業務システムを一覧化してください。あわせて、管理者アカウント、退職者アカウント、共有アカウント、保守用アカウントを確認します。使っていないアカウントは停止し、誰が何にアクセスできるかを把握します。

バックアップの状態を確認する

同じく1週目に、バックアップの保存先、保存世代、取得頻度、復元手順を確認します。バックアップがあると思っていても、保存先が本番環境と常時接続されていたり、復元手順が分からなかったりする場合があります。「いつのデータに戻せるか」「誰が戻せるか」「戻すのに何時間かかるか」を確認してください。

2週目：入口対策を行う

2週目は、攻撃者の侵入口になりやすい部分を優先して塞ぎます。OS、業務ソフト、VPN機器、ネットワーク機器、NASの更新状況を確認します。特に、インターネットに公開されているVPNやリモートデスクトップは優先度が高い領域です。RDPを直接公開している場合は、原則として停止または接続制限を検討してください。

多要素認証を重要アカウントから設定する

全社員への一斉導入が難しい場合でも、VPN、クラウド、メール、管理者アカウントから多要素認証を設定します。認証情報が漏れた場合でも、追加の認証があることで侵入リスクを下げられます。

3週目：被害拡大を防ぐ設定にする

3週目は、侵入された後に被害が広がらないようにします。共有フォルダの権限を見直し、全員が全データにアクセスできる状態を避けます。管理者権限を日常業務で使っている場合は、通常業務用アカウントと管理作業用アカウントを分けます。重要サーバーやバックアップ環境には、通常端末から直接アクセスできないようにします。

4週目：復旧と初動を確認する

最後の1週間で、バックアップから実際に復元テストを行います。小さなフォルダやテスト環境からで構いません。復元できること、手順が記録されていること、担当者が実行できることを確認します。あわせて、感染疑い時の連絡先、判断者、外部相談先を1枚にまとめます。

感染疑い時の最初の行動を周知する

現場には、難しい専門知識よりも最初の行動を伝えることが重要です。不審な暗号化や身代金要求画面を見つけた場合は、端末を再起動しない、証拠を消さない、ネットワークから隔離する、すぐに社内窓口へ連絡する、という基本を周知してください。