事業部門のためのセキュリティ入門 ～サイバー攻撃の実態と、事業を守るための優先順位・対策の考え方～

国内では、大規模なサイバー被害の公表が相次いでいます。2025年秋には大手通販事業者や大手飲料メーカーがランサムウェアの被害を受けて受注や出荷が長期間止まり、2026年9月にはカーシェアサービスで数百万件のアカウント情報が漏えいしました。警察庁によると、2026年上半期のランサムウェア被害の報告は123件で、半期として過去最多です。（出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」）

背景の一つに、AIの普及による攻撃側の変化があります。脆弱性の探索や、だますためのメール文面の作成をAIで効率化できるようになり、攻撃にかかる手間とコストが下がっています。攻撃のコストが下がれば、狙われる企業の範囲も広がります。

一方で、セキュリティは専門用語が多く、経営層や事業部門にとっては「IT部門に任せるもの」になりがちです。本稿では、セキュリティの基本的な考え方を、実際の事例とともに整理します。

なお、本稿は製品の選定や技術的な実装方法を扱うものではありません。経営・事業部門がリスクを理解し、判断するための整理を目的としています。具体的な対策の導入にあたっては、専門ベンダーへの相談を前提としてください。

INDEX

• 第1章：セキュリティで守る3つの要素
• 第2章：リスクを決める資産・脅威・脆弱性
• 第3章：主なサイバー攻撃の型と、AIによる変化
• 第4章：何をどこまで守るかは事業側が決める
• 終章：侵入される前提で、事業側が備えを主導する

第1章：セキュリティで守る3つの要素

情報セキュリティで守るものは、「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」の3要素に整理されます。英語の頭文字から「CIA」とも呼ばれ、情報セキュリティの国際規格（ISO/IEC 27001）でも基本となる考え方です。

要素	意味	損なわれたときに起きること
機密性	許可された人だけが情報を見られること	会員の個人情報や本人確認書類の画像が外部に漏れる（例：カーシェアサービスで数百万件のアカウント情報が漏えい）
完全性	情報が正しく、改ざんされていないこと	Webサイトや取引データが書き換えられ、誤った情報のまま業務や取引が進む（例：ECサイトの決済画面が偽の画面に書き換えられ、利用者が入力したクレジットカード情報が抜き取られる被害が相次いでいる）
可用性	必要なときに情報やシステムを使えること	ランサムウェアで受注・出荷システムが止まる（例：大手通販事業者では、主要サービスの復旧まで数か月）

ニュースでは「情報漏えい」が注目されやすいものの、事業への打撃は漏えいだけではありません。業務が止まる被害（可用性の喪失）は、売上の機会損失や取引先への影響として直接表れます。先の大手通販事業者は、売上の減少とは別に、数十億円の対応費用を特別損失として計上しました。出荷が止まっている間の物流拠点の維持費、システムの調査・復旧費用、出荷できずに期限切れとなった商品の損失、取引先への補償などです。

また、3要素のどれを特に重視すべきかは、事業によって異なります。会員情報を大量に持つサービスでは機密性が、物流やECのように業務の停止がそのまま売上に響く事業では可用性が、優先度の高い要素になります。

第2章：リスクを決める資産・脅威・脆弱性

セキュリティのリスクは、「資産」「脅威」「脆弱性」の3つの組み合わせで決まります。

• 資産：守るべき対象。顧客情報、業務システム、取引データ、企業の信用など
• 脅威：資産に損害を与える要因。攻撃者、ランサムウェア、内部不正、災害など
• 脆弱性：脅威に付け込まれる弱点。修正されていないシステムの欠陥、推測されやすいパスワード、管理されていないアカウントなど

リスク ＝ 資産の価値 × 脅威 × 脆弱性

これは厳密な計算式ではなく、考え方を示したものです。掛け算のため、どれか1つが小さければ、リスク全体も小さくなります。攻撃者の動きは自社では変えられないため、対策は、システムの更新やアカウントの整理で「脆弱性を減らす」か、不要なデータを持たずに「守る資産を絞る」かのどちらかです。

後者は見落とされがちですが、持っていないデータは侵入されても漏れません。先のカーシェアサービスも、事後に本人確認書類の画像を確認後に削除する運用へ変更しています。

第3章：主なサイバー攻撃の型と、AIによる変化

大企業でも、事故の6割超は外部からの攻撃

情報漏えいというと誤送信や紛失を想像しがちですが、大企業でも原因の中心は外部からの攻撃です。東京商工リサーチの調査では、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件でした。

原因	件数	構成比
ウイルス感染・不正アクセス	116	64.4%
誤表示・誤送信	37	20.5%
紛失・誤廃棄	18	10.0%
不正持ち出し・盗難	7	3.8%

漏えいした人数は合計3,063万人分で、前年（2024年）の約2倍です。

ランサムウェアでも大企業は対象外ではありません。冒頭で触れた2026年上半期の被害123件のうち、大企業は31件（約25%）でした。

また、IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」の組織編では、上位が次のとおりです。

1. ランサム攻撃による被害
2. サプライチェーンや委託先を狙った攻撃
3. AIの利用をめぐるサイバーリスク（今回初めて選出）
4. システムの脆弱性を悪用した攻撃

（出典：IPA「情報セキュリティ10大脅威 2026」）

主な攻撃の型

攻撃の型	概要	主な侵入口
ランサムウェア	データを暗号化して業務を止め、復旧と引き換えに金銭を要求する。近年は、暗号化する前にデータを盗み出し、「身代金を支払わなければ盗んだデータをインターネット上に公開する」とも脅す手口（二重恐喝）が主流	VPN機器、リモートデスクトップ
不正アクセスによる情報窃取	システムの欠陥や盗んだID・パスワードで侵入し、情報を持ち出す	Webシステムの脆弱性、漏えいした認証情報
委託先などを経由する攻撃	対策の弱い委託先や関連組織から侵入し、本来の標的に到達する	委託先のアカウント、他組織のサーバ
フィッシング	実在の企業や人物を装ったメールなどで、ID・パスワードの入力や不正なプログラムの実行を促す	メール、SMS

公表された事例では、カーシェアサービスはWebシステムの脆弱性、大手通販事業者は業務委託先の管理者アカウントが侵入口でした。また、ある国立大学は、先に不正アクセスを受けた別の機関のサーバを経由して侵入されています。

VPN機器から侵入される仕組み

ランサムウェアの侵入経路は、約5割がVPN機器です（警察庁、2026年上半期）。VPN機器は、社外から社内ネットワークに安全に接続するための装置で、テレワークの普及とともに多くの企業が導入しました。ただし、従業員がどこからでも接続できるよう、インターネットに常に公開されています。つまり、攻撃者も接続を試みられる社内への入口です。

侵入の方法は、主に2つです。

• 機器の脆弱性を突く：メーカーが修正版を公開しても、更新されていない機器は、ログインの仕組みそのものをすり抜けられます。VPN機器の多くは、接続してきた相手に製品名やバージョンが分かる応答を返します。そのため攻撃者は、脆弱性が公表されると、インターネット全体を自動で調べて、該当する機器を使っている企業を一斉に探し出します。特定の企業を狙ってから入口を探すのではなく、穴のある入口から順に攻撃されるということです。
• 正規のID・パスワードで入る：推測しやすいパスワード、退職者や委託先の使われていないアカウント、他のサービスから漏れたパスワードの使い回しが狙われます。多要素認証がなければ、IDとパスワードだけでログインできてしまいます。

侵入した後は、一般的に次の流れで被害が広がります。

1. 社内ネットワークに入り、サーバの管理者権限を奪う
2. 他のサーバへ範囲を広げ、バックアップを削除・暗号化する（被害企業が自力で復旧できないようにするため）
3. 業務データを盗み出したうえで暗号化し、復旧と公開停止と引き換えに身代金を要求する

大手飲料メーカーの事例でも、グループ内の拠点にあるネットワーク機器を経由して侵入され、その後、社内で管理者権限を奪われたと公表されています。入口を通れば内側を広く動ける構造のため、1台の機器の弱点が全社の業務停止につながります。

AIによって攻撃が安く速くなっている

攻撃側もAIを使い始めています。影響は主に3つです。

• 脆弱性の探索と悪用の効率化：公開された脆弱性情報から攻撃手順を組み立てる作業や、修正版が適用されていない機器を見つけて攻撃する作業をAIで効率化できます。脆弱性の公表から悪用までの時間が短くなれば、更新の遅れがそのまま被害につながります。
• だます文面の質の向上：以前は不自然な日本語で見分けられたフィッシングメールも、AIで自然な文面を大量に作れるようになりました。
• 攻撃される対象の拡大：業務に導入したAIツールやAIエージェント自体が、社内データへの新たな入口になります。

（関連記事：『AI活用と情報漏洩のリスク｜生成AI時代に見直したい3つの入口』）。

警察庁の観測でも、脆弱性を探す不審なアクセスは2026年上半期に前年比50.7%増えています。攻撃の手間が下がれば、規模や知名度にかかわらず、弱点のある企業から狙われます。

第4章：何をどこまで守るかは事業側が決める

IT部門は「どう守るか」を担い、事業側は「何をどこまで守るか」を決めます。予算と人員には限りがあり、すべてを最高水準で守ることはできないため、優先順位を付ける必要があります。優先順位は、漏れたときや止まったときの事業への損害の大きさで決まります。その大きさを把握しているのは、IT部門ではなく事業側です。

たとえば同じ「1日のシステム停止」でも、ECの受注システムと社内の経費精算システムでは、事業への影響がまったく異なります。以下では、事業側が決めることを4つに分けて整理します。

1. 守る対象と水準を決める

業務ごとに、使っている情報やシステムを洗い出し、「漏れたらどうなるか」「止まったらどうなるか」を見積もります。BCP（事業継続計画）の分野では、事業影響度分析（BIA）と呼ばれる手法です。

• 漏れた場合：影響を受ける顧客の数、法的な報告・通知の義務、取引先や顧客からの信用
• 止まった場合：1日あたりの売上への影響、取引先への影響、何日までなら業務を続けられるか

この結果から、業務ごとに第1章の3要素（機密性・完全性・可用性）のどれを優先するか、どの水準まで守るかを決めます。

2. 新しく作るシステム：要件定義で非機能要件に落とす

1で決めた水準は、システムの要件定義で「非機能要件」として具体的な数値やルールに落とします。非機能要件とは、機能そのものではなく、性能や可用性、セキュリティなどシステムの品質に関する要件です。

決めること	内容	例
目標復旧時間（RTO）	停止から何時間以内に復旧させるか	受注システムは24時間以内
目標復旧時点（RPO）	どの時点のデータまで戻せればよいか	前日の夜間バックアップの時点まで
保存するデータの範囲と期間	何を、いつまで持つか	本人確認書類の画像は確認後に削除
アクセス権限	誰が、どのデータや機能に触れられるか	委託先は作業期間中のみ、必要な範囲に限定

これらは後から追加すると費用も期間もかさむため、企画・要件定義の段階で決めることが重要です。

3. すでに動いているシステム：最近の攻撃の傾向に照らして点検する

稼働中のシステムは、作った当時の前提で守られています。攻撃の傾向は変わるため、最近の傾向に照らして穴がないかを点検します。

最近の傾向	点検すること
ランサムウェアの侵入経路の約5割がVPN機器	・外部に公開している機器をすべて把握しているか ・修正版の適用は済んでいるか ・多要素認証を使っているか
委託先を狙った攻撃	・委託先が持つアカウントと権限を把握しているか ・使われていないアカウントが残っていないか ・契約に、セキュリティ要件とインシデント発生時の報告期限が書かれているか ・システムの運用を任せている場合は、停止時に何時間以内に復旧させるかも、SLA（サービス品質の保証水準）として契約で決まっているか
Webシステムの脆弱性を突く攻撃	・脆弱性診断を最後にいつ実施したか ・保有するデータが、当初の想定より増えていないか
AIツールの業務利用の拡大	・業務に入ったAIツールが、どの社内データやシステムにつながっているか ・誰が導入を承認したか

この点検は一度では終わりません。公的機関の統計（警察庁は半期ごと、IPAは毎年）が公表されたときや、同じ業種で被害が公表されたとき、自社で使う製品の脆弱性が公表されたときに、点検を繰り返します。

4. システム以外の要件と訓練を決める

被害を小さくするには、システムの外側のルールや体制も欠かせません。また、バックアップがあっても、攻撃者に先に削除されたり、復元に想定以上の時間がかかったりするため、決めたことが機能するかを実際に試す必要があります。

観点	決めておくこと
業務	システム停止時の代替手順（手作業や紙での受注など）と、その手順で業務を続けられる期間
人	権限の付与・見直し・削除のルール（異動や退職のときを含む）、従業員への教育
委託先	選定時の評価基準、契約上のセキュリティ要件と報告義務、定期的な確認
データ	持たないデータと、消すタイミング
体制	発生時の意思決定者、連絡網、顧客・取引先・当局への公表を判断する基準
訓練	バックアップからの復元テスト（目標復旧時間内に戻せるか）、委託先を含めた復旧訓練（誰が何を判断し、誰に連絡するか）

終章：侵入される前提で、事業側が備えを主導する

• 守るのは機密性・完全性・可用性。リスクを自社で減らすには、脆弱性を減らすか、守る資産を絞る
• 大企業でも事故の6割超は外部からの攻撃。AIによって攻撃の手間とコストが下がっている
• 何をどこまで守るかは事業側が決め、要件定義、稼働中システムの点検、システム以外のルールと訓練に落とし込む

攻撃の手間とコストが下がった今、侵入を完全に防ぐことは難しくなっています。そのため、侵入を防ぐ対策に加えて、侵入される前提で備えておくことが重要です。以下はその例です。

• システム環境：バックアップを本番のネットワークから切り離した場所に保管し、攻撃者に削除・暗号化されないようにしておく
• 発生時の手順：発生時の復旧手順、誰が何を対応するか、止めずに続ける業務とその進め方をインシデントが起きる前に決め、実際に訓練しておく

こうした備えは、情報システム部門に任せきりになりがちです。しかし、どの業務をいつまでに戻すべきか、止まっている間にどう業務を続けるかは、事業側にしか決められません。

インシデントが起きれば、先の大手通販事業者のように、売上の減少とは別に数十億円規模の対応費用が発生し、復旧に数か月を要することもあります。その分、本来は事業の成長に充てるはずだった資金と時間が失われます。発生しないことが最善ですが、リスクを下げる対策と、発生したときに被害を小さく抑える備えの両方が必要です。

技術的な対策は専門ベンダーの領域です。ただし、その前提となる「何を、どの水準で守り、起きたときにどう事業を続けるか」は、事業側が当事者として決める必要があります。

ファーストデジタルでは、業務ごとの影響の洗い出しから非機能要件への落とし込みまで、「何をどこまで守るか」を決める工程を支援しています。

関連サービス：PM／PMO支援