2026年7月、ニチレイグループで発生したサイバーインシデントは、冷蔵倉庫の入出庫や冷凍食品の出荷に影響を及ぼし、外食、小売、学校給食など、広い食品サプライチェーンに影響が波及した。
一方で注目されたのが、同社の復旧スピードである。
ニチレイは7月13日にシステム障害を確認すると、同日中にシステムを遮断し、緊急対策本部を設置した。7月15日にはサーバーがサイバー攻撃を受けたことを公表するとともに、17日から業務を順次再開する方針を示した。実際に17日には、受発注を一部制限しながら冷蔵倉庫と食品工場の部分稼働を開始。7月24日には制限を解除し、全拠点で通常稼働に移行している。
この一連の動きは、これからのサイバーセキュリティにおいて、何を「成功」と評価すべきなのかを考えるうえで、重要な示唆を与えている。
株価が反応したのは、攻撃の解決ではなく「長期停止リスクの後退」
サイバー攻撃の影響が広がった7月15日、ニチレイの株価は大きく下落した。しかし翌16日には、17日から業務を順次再開するとの発表を受けて反発し、一時は前日比7.7％高となった。
SMBC日興証券のアナリストも、具体的な影響額の算出は難しいとしながら、「復旧のめどが想定よりも早くたったことには一定の安心感が生じる」と指摘している。株式市場では、早期の業務再開によって、長期停止や業績悪化への過度な懸念が後退したと受け止められた。
ここで注意したいのは、市場が「サイバー攻撃を受けても問題ない」と判断したわけではないという点だ。
評価されたのは、攻撃そのものではなく、攻撃後の事業影響が想定より早く収束する見通しが立ったことである。
冷蔵・冷凍物流は、単なる社内システムではない。倉庫の入出庫や食品の配送が止まれば、取引先の営業や商品供給にも影響が及ぶ。実際、今回の障害ではKFCなど一部の取引先で商品提供や営業に影響が出たが、KFCはニチレイの障害公表から9日後の7月22日に全店舗で通常営業へ戻った。
したがって、投資家が見ていたのは、技術的にサーバーが復旧したかどうかだけではない。
「食品物流という重要事業を、いつ正常な状態に戻せるのか」
「取引先や消費者への影響が、どこまで拡大するのか」
「売上、信用、サプライチェーンへの損失が、長期化するのか」
こうした経営上の不確実性が、早期の復旧見通しによって縮小したことが、株価反発につながったと考えられる。
「守ること」だけでは、セキュリティの価値を説明できない
従来、企業のサイバーセキュリティ対策は、「攻撃を防いだか」「マルウェアを検知したか」「情報漏えいを防止できたか」といった防御側の指標で評価されることが多かった。
もちろん、侵入防止や検知は今後も重要である。しかし、現在のサイバー攻撃を完全に防ぐことは難しい。認証情報の窃取、委託先経由の侵入、ゼロデイ脆弱性、設定不備、内部不正など、侵入経路を完全になくすことは現実的ではない。
そのため、サイバーセキュリティの目的を「侵入を一件も発生させないこと」だけに設定すると、経営として不十分になる。
本来の目的は、サイバー攻撃による事業上の損失を許容可能な範囲に抑えることだ。
つまり、重要なのは次の一連の能力である。
- 異常を早期に検知する
- 影響範囲を迅速に特定する
- 必要な範囲を遮断し、被害拡大を防ぐ
- 重要業務を代替手段で継続する
- 安全性を確認したうえで、優先順位に沿って復旧する
- 顧客や取引先に適切な情報を提供する
今回のニチレイの対応では、発生当日の遮断、緊急対策本部の設置、外部専門会社との連携、段階的な業務再開、全面復旧の見通しの公表が短期間で進められた。原因や被害範囲の調査が継続している段階でも、事業再開に必要な判断と対外発信を並行して進めた点は、インシデント対応と事業継続を一体で考える必要性を示している。
「防御より復旧」ではなく、「防御の目的は事業継続」
今回の事例を見て、「これからは防御よりも復旧が重要だ」と単純化するのは適切ではない。
防御が弱ければ、攻撃者の活動範囲が広がり、復旧に必要な時間も長くなる。認証基盤やバックアップまで侵害されれば、早期復旧は難しい。侵入防止、EDR、ネットワーク監視、ID管理、脆弱性管理といった対策は、復旧時間と被害範囲を小さくするためにも欠かせない。
重要なのは、守ること自体をゴールにしないことだ。
防御、検知、対応、復旧は、それぞれ別の施策ではなく、「重要な事業を止めない」という一つの目的のために連続している。
NISTのCybersecurity Framework 2.0でも、サイバーセキュリティは「Govern」「Identify」「Protect」「Detect」「Respond」「Recover」という機能で構成されている。ランサムウェア対策についても、予防だけでなく、検知、対応、復旧を含めたリスク管理として整理されている。
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」でも、インシデントによる被害に備えた事業継続・復旧体制の整備が、経営者が指示すべき重要項目として位置付けられている。IPAは、業務停止に至った場合に、企業経営への影響を踏まえて「いつまでに復旧すべきか」を特定し、復旧手順や体制を整備するとともに、サプライチェーンを含めた実践的な演習を行うよう求めている。
今回のニチレイの事例は、こうした考え方が制度上の推奨事項にとどまらず、実際の企業価値や市場評価にも直結し始めていることを示したといえる。
企業が見直すべき指標は「製品の導入数」ではない
企業のセキュリティ会議では、導入している製品や検知件数が報告の中心になりがちだ。
しかし、経営者が本当に確認すべきなのは、次のような事業継続に直結する指標である。
重要業務は何時間停止すると経営問題になるのか
業務やシステムごとに、許容できる停止時間は異なる。メールが数時間止まる場合と、受発注、物流、生産、決済が止まる場合では、影響の大きさがまったく違う。
重要業務については、目標復旧時間であるRTOと、どの時点までデータを戻す必要があるかを示すRPOを設定する必要がある。
侵害されたシステムだけを切り離せるか
インシデント発生時に、全社システムを一斉に停止するしかない構成では、攻撃そのものよりも遮断措置による事業影響が大きくなることがある。
ネットワークの分離、ID権限の最小化、端末隔離、クラウドサービス単位でのアクセス制御などにより、影響範囲を限定できる構成が必要になる。
バックアップから本当に戻せるか
バックアップを取得していることと、短時間で業務を復旧できることは同じではない。
バックアップデータが攻撃者から隔離されているか、認証基盤やアプリケーションとの整合性を保った状態で復元できるか、復元後の安全性をどう確認するかまで検証する必要がある。
システムがなくても最低限の業務を続けられるか
受発注、在庫確認、出荷指示などの重要業務について、システム停止時の代替手段を定めておくことも重要だ。
全面的な手作業への切り替えが難しくても、重要顧客や重要商品に限定した縮退運転ができれば、事業への影響を抑えられる。
誰が停止と再開を判断するのか
技術担当者だけでは、物流、生産、販売を止める判断や、一定のリスクを受け入れて業務を再開する判断はできない。
経営、事業部門、法務、広報、IT、セキュリティが参加する意思決定体制を事前に定め、机上演習などを通じて確認しておく必要がある。
サイバーセキュリティは「保険」から「事業運営能力」へ
今回の株価反応から読み取れるのは、市場がサイバー攻撃の有無だけを見ているわけではないということだ。
攻撃によって事業が一時的に停止しても、影響範囲を限定し、短期間で復旧見通しを示し、通常稼働に戻すことができれば、長期的な企業価値の毀損を抑えられる可能性がある。
一方で、復旧時期が見えず、顧客への説明もできず、取引先への影響が拡大すれば、システム障害は信用不安や業績悪化へ発展する。
これは、セキュリティが単なるIT部門の防御施策ではなく、事業運営能力そのものになっていることを意味する。
今後、経営者や投資家が企業に問うべきなのは、「攻撃を受けないと言えるか」ではない。
「攻撃を受けたとき、重要事業をどの程度維持できるのか」
「停止した業務を、何時間、何日で戻せるのか」
「取引先や社会への影響を、どこまで限定できるのか」
という問いである。
ニチレイの対応を手放しで成功と評価する段階ではない
もっとも、現時点で今回の対応を全面的な成功事例と断定することはできない。
ニチレイは原因や影響範囲について調査を継続しており、個人情報が保管されたサーバーも攻撃を受けている。情報流出の有無、攻撃の侵入経路、復旧費用、取引先への補償、売上への影響などについては、今後の調査や開示を待つ必要がある。
また、全拠点が通常稼働へ戻ったことと、攻撃者を完全に排除し、再発リスクを解消したことは同義ではない。
今回、市場が評価したと考えられるのは、セキュリティ対策全体の優秀さではなく、長期的な事業停止を回避し、早期に復旧見通しを示した点である。
この区別は重要だ。
まとめ――企業価値を守るのは「防壁の高さ」だけではない
ニチレイのサイバーインシデントは、サイバー攻撃が大手企業の業務だけでなく、取引先や社会インフラに近いサプライチェーンへ瞬時に波及することを改めて示した。
同時に、迅速な遮断、復旧見通しの提示、段階的な業務再開、通常稼働への移行によって、事業への長期的な懸念を後退させられることも示した。
これからのサイバーセキュリティで重視すべきなのは、「どれほど高い壁をつくったか」だけではない。
侵入を前提として影響範囲を限定し、重要事業を継続し、安全に、そして短期間で復旧できるかどうかである。
今回のニチレイの事例は、サイバーレジリエンスが技術部門の課題ではなく、企業価値を支える経営能力として、市場から評価される時代に入ったことを示唆している。