ランサムウェア被害を想定した疑似体験ワークショップを通じ、営業停止を受け入れるのか、バックアップから復旧するのか、身代金を支払うのかといった「正解のない判断」が問われる状況が取り上げられた。実際の企業で起きたランサムウェア攻撃事例を基にしたシナリオを使い、参加者が経営層や情報システム部門、現場部門などの立場で意思決定を追体験する形式となっている。
事案の詳細
今回のテーマは、ランサムウェアへの対応を机上の知識ではなく、実際の被害事例に近い疑似体験として学ぶ点にある。被害が発生したという設定の下で、業務を止める判断、バックアップによる復旧の判断、身代金支払いの判断といった複数の選択肢が段階的に提示され、関係者がその都度、意思決定を迫られる構図が示された。
ランサムウェア対応では、判断が一度で終わらないことも特徴となる。初動の隔離・停止判断に続き、バックアップの安全性や検証状況を踏まえて復旧に踏み切るかどうか、身代金要求への対応方針をどう整理するかなど、状況に応じて意思決定の軸が変わり得る。疑似体験は、こうした「連続する判断」とその揺れを含めて、経営と現場が一体となって判断そのものを学ぶ機会として位置付けられている。
また、選択肢のいずれにも負担やリスクが伴う点が、判断を難しくする要因として示される。営業停止は売上や顧客対応に直結し、バックアップ復旧はバックアップの取得・保管・検証状況や復旧に必要な時間・要員の影響を受ける。身代金支払いは、組織としての方針、法令やコンプライアンス上のリスク、反社会的勢力への資金提供になる可能性など、意思決定の重さが伴う。疑似体験は、これらの論点を同時に突き付ける形で進み、単なる技術論ではなく経営判断の訓練として構成されている。
影響と背景
ランサムウェアは、技術的な問題に見えて実際は経営判断の要素が強い。業務の停止、復旧手段の選択、身代金支払いの是非、社内外への説明や調整といった判断は、IT部門だけで完結しにくく、経営層・総務・法務・現場部門を巻き込む。疑似体験という形式は、こうした「全社の判断」を短時間で可視化し、事業継続への影響や意思決定の難しさを関係者間で共有するための手法として扱われている。
背景には、バックアップがあっても安全性の検証が不十分で、復旧に踏み切れないケースが多いことや、身代金を支払っても必ずしもデータが復旧せず、再攻撃のリスクもあるという実態がある。疑似体験では、こうした現実の課題をシナリオに組み込み、「単にバックアップがあるか」「支払うか否か」だけでなく、事前準備の有無や意思決定プロセスの整備が結果に大きく影響することを示している。
対策・今後の展望
疑似体験が示すのは、被害が起きた後に最適解を探すのではなく、平時から意思決定の準備を進める必要性だ。どの選択肢を採るにしても、判断に必要な情報、判断する人、判断の手順が曖昧だと時間だけが失われる。今後は、復旧手段の整備だけでなく、事業継続計画（BCP）やインシデント対応計画と連動した「意思決定を支える体制づくり」が重要になる。
具体的には、バックアップの取得・保管・検証の手順を平時から文書化・検証しておくこと、身代金要求に対する基本方針を経営層と共有しておくこと、復旧時に優先すべき業務・システムのリストを作成しておくことなどが挙げられる。疑似体験はこれらを洗い出すきっかけとなり、「技術対策」と「組織的な判断プロセス」の両方を見直す場として活用されている。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業のMDR（Managed Detection and Response）運用では、侵入の兆候が出ても「誰が止める判断をするか」が決まっておらず初動が遅れる例が多いです。診断の現場でも、バックアップの保管先や復旧手順が担当者の記憶頼みで、実際の復旧テストや検証が未実施のまま運用されているケースが目立ちます。その結果、いざというときにバックアップが使えない、想定した時間内に復旧できないといったリスクが顕在化します。
【観点②：セキュリティ専門家でない人への平易な解説】例えるなら、社内の重要書類が入った金庫に鍵を掛けられ、鍵の在りかも分からなくなるようなものです。つまり「データが使えない」だけでなく、請求・出荷・連絡といった日常業務が止まる可能性がある、ということです。だから、どの業務が止まると困るのか、どこにバックアップがあり、どの環境にどう戻すのか、誰がどの順番で判断するのかという点を、セキュリティ専門家ではない担当者にも分かる言葉で事前に整理しておく必要があります。
【観点③：中小企業が今週中にできること】まず、業務PCやサーバーが使えなくなった想定で「止まると困る業務」と担当者を紙に書き出してください。販売管理や受発注、給与・経理、顧客対応など、事業継続に直結するものを優先的に挙げます。次に、バックアップの有無だけでなく「どこにあり、誰が、どの環境に、どの手順で戻すか」を担当者に確認し、復旧に必要な情報と手順を一枚にまとめておきます。最後に、被害時の決裁者（経営層など）と連絡順を決め、連絡手段（電話・メール・チャットなど）も含めて社内に共有しておきましょう。こうした準備があるだけで、ランサムウェア被害時の混乱と判断の遅れを大きく減らすことができます。
参照: ランサムウェア疑似体験で問われる「正解のない判断」――営業停止か、バックアップで復旧か、身代金を支払うか？ – ITmedia