サイバーセキュリティ、正しいけれど実行できない10の常識――経営者はどうすればよいのか

はじめに

「OSは最新にしましょう」「パスワードを強くしましょう」「不審なメールは開かないようにしましょう」。どれも間違ってはいない。ところが、経営者や現場の担当者に「では、今日から完全に実行できますか」と尋ねると、話は簡単ではなくなる。古い設備は更新すると動かなくなる。保守会社が設置した機器は社内で把握していない。予算をかけても、どこまで安全になったのか説明しにくい。サイバーセキュリティの難しさは、正しい答えが分からないことだけではない。答えが分かっていても、会社の仕組みとして実行し続けられないことにある。そこで国内の被害事例と公的資料をもとに、よく耳にする10の常識を点検し、経営者が実際に決めるべきことを考えてみたい。

[現実] 被害は大企業だけの問題ではない

警察庁の統計では、企業・団体等から警察に報告されたランサムウェア被害は2025年に226件、2026年上半期に123件。2026年上半期の123件のうち79件は中小企業で、製造業は37件だった(警察庁・令和7年および令和8年上半期の報告)。ここでいう件数は警察への被害報告件数であり、日本で起きた攻撃の総数ではない。報告されていない被害や、発見されていない侵入は含まれない。侵入口にも変化がある。2025年の警察庁調査で感染経路について回答のあった92件の内訳は、VPN機器が61件、リモートデスクトップが19件、不審なメールや添付ファイルが2件だった。VPNとリモートデスクトップを合わせると80件、**回答事例の約87％**である(警察庁・2025年統計資料)。これは「全被害の87％」という意味ではないし、フィッシング対策が不要という意味でもない。しかし、社員へのメール教育だけでなく、外部から社内に接続できる機器やアカウントの管理を優先課題にする必要があることは読み取れる(警察庁・ランサムウェア被害防止対策)。

[常識1] OSやソフトは常に最新版にする

セキュリティ更新は基本中の基本だ。しかし、工場の工作機械、医療機器、制御装置の中には、更新すると正常動作やメーカー保証に影響するものがある。設備は長く使えても、それを動かすOSのサポートは先に終わる。2021年に被害を受けた徳島県の半田病院では、システムの安定稼働を優先して更新などが実施されていなかった事情が報告されている。更新できない現場を「意識が低い」と片づけても解決しない。重要なのは、更新できない機器を特定し、外部通信の遮断・制限、保守接続の管理、代替・更新計画を組み合わせることだ(半田病院の調査報告に関する資料)。ただし「閉域網だから安全」と思い込んではいけない。大阪急性期・総合医療センターでは、給食事業者側の接続環境を経由して侵入された(同センター調査報告書)。

経営者の問い：更新できない機器は何台あり、外部との接続経路を誰が確認しているか。

[常識2] パスワードは複雑にし、定期的に変更する

「大文字・小文字・数字・記号を必ず混ぜ、90日ごとに変更」という規則は、一見厳格だ。しかし米国NISTのデジタル認証ガイドライン SP 800-63B-4 は、認証サービスの設計・運用者に対し、単独要素のパスワードを原則15文字以上とし、文字種の組合せを強制せず、漏えいの証拠がない限り定期変更を求めないよう規定している。多要素認証の一部として使う場合は最低8文字である(NIST)。

これはすべての日本企業にそのまま法的義務を課す規定ではないが、複雑さの強制より、長さ、使い回し防止、漏えい済みパスワードの排除、そして多要素認証（MFA）を重視する考え方は参考になる。パスワード管理ツールの利用や、可能なサービスでのパスキー導入も現実的だ。外部からアクセスできる管理者・委託先アカウントには、特にMFAを徹底したい。2025年のアスクルの被害後、同社は管理アカウントへのMFA適用などを実施したと公表している(アスクル公式説明)。

経営者の問い：社外からログインできるアカウントで、MFAが未設定のものは何件あるか。

[常識3] ファイアウォールを設置すれば安心

ファイアウォールは通信を制御する大切な仕組みだ。しかし、正規の接続口であるVPNの設定や認証情報が破られれば、攻撃者は「許された入口」から入ってくる。保守会社が設置した古いVPN装置が残っていることもある。2023年7月の名古屋港では、コンテナの搬出入が約3日間止まった。国土交通省は事案を検証し、ネットワークの入口の管理や認証・監視、組織の責任体制を含めて再発防止を議論した。侵入経路については調査上の推定と確定事項を区別する必要がある(国土交通省の検討委員会資料)。

経営者の問い：社外から社内に入れる接続口は全部でいくつあり、誰が管理しているか。

[常識4] ゼロトラストを導入する

ゼロトラストとは特定の製品名ではない。その考え方を端的に表すのが、”Never trust, always verify”（無条件に信頼せず、常に検証する）という言葉である。米国国立標準技術研究所（NIST）も、この表現を用いて解説している(NIST SP 800-207)。高価な仕組みを一度に導入することだけが実践ではない。不要なアカウントの廃止、管理者権限の縮小、MFA、端末管理、アクセス記録の点検も、その思想に沿う。アサヒグループは2025年9月のサイバー攻撃について、2026年2月に、ゼロトラストモデル移行前の一部端末の暗号化・情報窃取を公表した。新しい仕組みへの移行期に残る旧環境も管理対象である(アサヒグループ公式発表)。

経営者の問い：当社は「誰の、どの端末から、何へのアクセス」を何で確認しているか。移行前の環境は残っていないか。

[常識5] セキュリティは専門会社に任せれば安心

専門会社の支援は不可欠だが、委託しただけで責任がなくなるわけではない。大阪急性期・総合医療センターの事案では給食事業者側の接続が問題となり、NTT西日本グループでは派遣された運用保守従事者による長期間の情報持ち出しが明らかになった(大阪の調査報告書 NTT西日本の調査・再発防止策)。委託先の会社名を知っていることと、実際に接続する作業者、権限、操作記録を把握していることは別である。契約には脆弱性通知、接続条件、再委託、作業ログ、契約終了時のアカウント停止などを盛り込み、実際の運用を確認したい。

経営者の問い：社外で管理者権限を持つ人を、氏名と接続方法まで把握しているか。

[常識6] 優秀なセキュリティ人材を採用する

もちろん専門家は必要だ。ただし、一人の優秀な技術者に会社全体を守らせるのは無理がある。現場の担当者が危険な機器を見つけても、更新予算、業務停止の判断、委託契約の変更を自分だけで決められるわけではない。必要なのは「何が危険か」を技術者が説明し、「事業にどう影響するか」を管理職が整理し、「実施・延期・リスク受容」を経営者が決裁する流れだ。外部専門家も、この仕組みの中に組み込む(経済産業省・サイバーセキュリティ経営ガイドライン)。

経営者の問い：技術者が重大なリスクを報告したとき、誰がいつまでに判断するか。

[常識7] CISOを置けば安全になる

CISOは情報セキュリティを統括する責任者だが、肩書だけでは機能しない。予算がない、社長に直接報告できない、危険なシステムを止められない――これでは責任だけが集中してしまう。大企業なら専任者を置く方法がある。一方、中小企業では、社長・担当役員が最終判断、社内担当者が日常管理、外部専門家が助言・点検という「チーム型CISO」の発想が現実的だろう。重要なのは組織図上の名称ではなく、報告経路と決裁権限である(経済産業省のガイドライン)。

経営者の問い：緊急時に接続を遮断し、復旧費用を支出する決定権は誰にあるか。

[常識8] 定期的に脆弱性診断をすれば安心

診断はある時点の弱点を発見する手段であり、診断書そのものが会社を守るわけではない。見つかった脆弱性をいつ誰が修正するのか、修正できない場合にどう隔離するのか、再確認したのか。そこまでを一つの管理と考えたい。さらに、侵入を完全に防げないことを前提に、バックアップからの復元訓練が欠かせない。警察庁も、バックアップが暗号化される被害と、サイバー攻撃を想定したBCPの必要性を指摘している(警察庁・被害防止対策)。

経営者の問い：前回の診断で未修正の項目は何件あるか。バックアップから最後に復元を試したのはいつか。

[常識9] 自社のシステムを守れば十分

今は攻撃を受けていない企業も、取引先や委託先が止まれば事業を続けられない。2022年には部品メーカーの小島プレス工業で起きたシステム障害を受け、トヨタの国内全14工場28ラインが1日停止した。2024年には情報処理委託先のイセトーがランサムウェア被害を受け、委託元から預かっていた情報が流出した(トヨタ公式発表 イセトー公式発表)。IPAの2024年度調査でも、サイバーインシデントに遭った中小企業の約7割が「取引先の事業に影響を与えた」と回答している。これはアンケート回答に基づく結果であり、全企業にその割合を当てはめることはできない(IPA調査)。経済産業省は、サプライチェーン全体の対策水準を可視化する「SCS評価制度」の構築を進めている。2026年10月現在、★3・★4について2026年度末頃の申請受付開始を目指す段階であり、評価取得を直ちに法的な取引義務とみなすのは誤りである(経済産業省・制度案内)。

経営者の問い：最大の取引先や物流委託先が1週間止まったら、代替手段はあるか。

[常識10] セキュリティには十分な予算をかける

「十分」とはいくらだろう。予算を増やすこと自体は目的ではない。IPA調査では、中小企業の約6割が過去3期に対策投資をしていないと回答している。少額でも有効な取り組みから始める余地は大きい(IPA調査)。まず守るべき業務と情報を選び、「止まったら何日、誰に、どの程度影響するか」を考える。そのうえで、既存機能のMFA有効化、不要アカウントの削除、接続口の棚卸し、バックアップ試験を優先する。新しい監視サービスや設備更新は、その後に残るリスクに応じて選ぶ。

経営者の問い：対策しないと決めたリスクは何か。その判断を誰が記録したか。

[攻撃者] 高度な国家攻撃だけを警戒すればよいのか

報道では国家を背景とする攻撃集団が注目される。日本でも、警察庁などが北朝鮮を背景とするTraderTraitorによるDMM Bitcoinへの攻撃を特定した例がある(警察庁・金融庁などの注意喚起)。しかし、一般企業が直面する脅威は国家による諜報だけではない。金銭目的の犯罪集団が攻撃手段をサービスとして提供し、侵入、情報窃取、恐喝を分業する。重要なのは、攻撃者の国籍を推測することより、自社の弱点が誰にでも利用され得ることを理解することだ(警察庁の手口解説)。なお、攻撃に使われたIPアドレスの所在国と、攻撃者の国籍・国家関与は同じではない。国別の統計を読むときには、この点にも注意したい。

[短期課題] まず3〜6か月で取り組む5つのこと

1. 入口の棚卸し：VPN、リモートデスクトップ、保守回線、外部公開機器を一覧にし、不要な接続を止める。
2. 認証と権限の点検：管理者・委託先を含めてMFAを設定し、退職・契約終了アカウントを削除する。
3. 復旧の確認：バックアップを攻撃から保護し、実際に業務データを戻して所要時間を測る。
4. 委託先の可視化：接続口、作業者、権限、脆弱性通知と事故連絡先を確認する。
5. 緊急判断を1枚に：誰が報告を受け、誰が遮断・停止を決め、誰に連絡するかを決めて机上訓練する。

[中長期課題] 1〜5年をかけて変える5つのこと

1. 経営体制：CISOの名称より、社長への直接報告、予算執行、停止判断の権限を整える。
2. 設備の寿命管理：長寿命の工場・医療設備と短いソフトのサポート期間を、更新契約や分離設計で両立させる。
3. 止まっても続ける仕組み：サイバー版BCP、代替調達、紙・手作業による運用、復旧の優先順位を設計する。
4. 人材と外部支援：社内の知識を属人化させず、経営判断を助ける専門家との連携を常設する。
5. サプライチェーン全体：重要取引先の依存度を把握し、契約・点検・代替手段を継続的に見直す。

[まとめ] 技術の問題を、経営判断につなぐ

セキュリティ対策には、絶対に安全という到達点はない。完璧を目指して何も進まないことも危険だし、専門家や製品に任せて安心することも危険である。今回の事例から私が最も重要だと考えたのは、技術者が発見した危険を、経営者が判断できる形に変える仕組みである。「脆弱性があります」だけでは、経営者は何を決めるべきか分からない。「この機器を放置すると受注が数日止まる可能性がある。更新には費用がかかるが、接続を一時遮断する選択もある」と説明されれば、経営判断になる。そして、実施するか、延期するか、残るリスクを受け入れるかを記録できる。

もちろん、CISOの権限と実際の被害率の因果関係まで、今回の資料で証明できたわけではない。それでも、国内の被害報告と経済産業省のガイドラインは、技術だけでなく組織運営が重要であることを示唆している。「当社は安全か」よりも、「危険が見つかったとき、誰が、いつ、何を決められるか」。経営者が最初に問い直すべきなのは、そこではないだろうか。

[参考資料・検証用リンク]

一次資料・公的資料を優先して掲載した。公開日と実際の被害発生日は異なる場合がある。

1. 警察庁：サイバー空間をめぐる脅威の情勢等（2025年版・2026年上半期版と統計データ・正誤表）
2. 警察庁：ランサムウェア被害防止対策（手口・侵入経路・BCP）
3. 大阪急性期・総合医療センター：インシデント調査報告書・概要（2023年3月28日、PDF）
4. NIST：SP 800-63B-4（パスワードの要件、2025年）
5. アスクル：サイバーセキュリティに関する公式説明（2026年8月4日更新）
6. 国土交通省：名古屋港事案の検討委員会と報告書（2023～2024年）
7. NIST：SP 800-207 Zero Trust Architecture（2020年）
8. アサヒグループHD：サイバー攻撃の再発防止とガバナンス強化（2026年2月18日）
9. NTT西日本：情報不正持ち出し調査・再発防止策（2024年2月29日）
10. 経済産業省・IPA：サイバーセキュリティ経営ガイドラインVer.3.0（2023年）
11. IPA：2024年度中小企業等実態調査・速報（2025年2月14日）
12. 経済産業省：SCS評価制度の構築状況（2026年3月以降）
13. 警察庁・NISC・金融庁：TraderTraitorへの注意喚起（2024年12月24日、PDF）
14. トヨタ：国内工場の稼働再開に関する発表（2022年3月1日）
15. イセトー：不正アクセスによる個人情報漏えいの調査結果（2024年10月4日）
16. 半田病院の有識者会議報告を紹介した記事（2022年6月28日、二次資料。原典照合推奨）

注記：調査資料の読み方

• VPNの「約87％」は2025年の感染経路に関する有効回答92件を母数としており、年間被害226件を母数としていない。
• IPA調査の平均被害額73万円は、ランサムウェアだけではなくサイバーインシデント全般の回答値なので、本文のランサムウェア統計と混同しない。
• アスクルとアサヒの個人情報の漏えい・漏えいのおそれの範囲は、初回公表後にも追加・修正されている。本文では更新前の件数を引用していない。
• CISO設置と被害発生の因果関係は本資料群からは立証できない。本文の組織提案は、事例と指針を踏まえた筆者の考察である。