IDKオリジナル連載 SCS評価制度 連載記事｜第１６回
サプライチェーン・セキュリティ対策評価制度（SCS評価制度）
被害企業が「あれば良かった」と語った備えは、★3にほぼ入っている──IPA「ランサムウェア被害から学ぶ教訓集」をSCS評価基準と対応させて読む
[2026.09.15]
| 【速報】2026年9月8日、IPAが「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」を公開しました。 国内でランサムウェア被害にあった複数の組織への聞き取り調査をもとに、11の教訓をまとめた全47ページの資料です。 この教訓集をSCS★3の評価基準と突き合わせると、被害企業が「あれば良かった」と語った備えの大半が、★3にすでに含まれていることが分かります。「★3は取引先対応のための制度」ではなく「ランサムウェア対応力そのもの」──今回はその対応関係を一つずつ確認します。 |
１．教訓集とは何か──被害企業への聞き取りから生まれた「経営者のハンドブック」
教訓集は、IPAが被害組織へのヒアリング調査(野村総合研究所の協力、八雲法律事務所・山岡裕明弁護士の監修・加筆)をもとに、被害組織の知見・経験を「実践的な対処・対応に関する教訓」として整理したものです。作成の過程で「この脅威に立ち向かうには経営者の明確な関与が不可欠」と確信したため、サブタイトルが「経営者のためのハンドブック」になったと明記されています。
想定読者は経営者、総務・経営企画・法務・広報などの経営・リスク管理部門、そして情報システム部門などのインシデント対処部門。教訓は「経営・リスク管理編」6項目と「インシデント対処編」5項目の計11項目に整理され、それぞれ教訓の要点、ヒアリングに基づく分析、解説の3段構成で書かれています。中小企業の経営者に「なぜセキュリティ対策が経営マターなのか」を説明する材料として、これ以上ない一次資料です。
２．ランサムウェアは「気付いた時が最終段階」──事案の特性
教訓集がまず強調するのは、ランサムウェア事案が通常のITトラブルと決定的に違う点です。攻撃は「偵察→初期侵入→実行→横移動→持ち出し→影響(暗号化)」と数日～数か月かけて進み、被害組織が気付くのは多くの場合、データが暗号化された後。つまり発覚した時点で「インシデントの最終段階」にあり、侵害調査・業務継続の判断・関係機関への届出・公表・取引先への説明・脅迫への対応を、短期間で一気に行うことを余儀なくされます。
もう一つの重要な指摘は、ヒアリング対象の全組織で「一般的なセキュリティ対策は実施され、運用体制も整えられていた」という事実です。それでも、更新プログラム適用の遅れ、一時的な設定変更の放置、安易なパスワード、アップデートしていないNAS、管理者アカウントの運用管理といった「日常の運用に生じたわずかな隙」を突いて侵入され、「内部ネットワークは安全」という前提の弱さを突いて被害が拡大しました。対策を「持っているか」ではなく「続いているか」が分かれ目だった──これは★3が評価基準(81項目)で「ルールを決め、記録し、年1回点検する」ことを繰り返し求めている構造と、そのまま重なります。
さらに、警察・IPA・個人情報保護委員会・取引先への対応が情報システム担当者に集中し、復旧が滞った例も紹介されています。中小企業では「社長か総務の一人」がこの立場になります。だからこそ、平時に決めておくことが重要になります。
３．「経営・リスク管理編」6つの教訓と、★3の対応
ここからが本題です。教訓集の11の教訓を、SCS評価制度の別添「★3・★4要求事項及び評価基準」の項目と対応させました(カッコ内は評価基準番号)。まず経営・リスク管理編の6項目です。
| 教訓(経営・リスク管理編) | ★3の評価基準で求められる「平時の備え」 | ★4でさらに深まる |
| (1) 経営者による迅速な経営判断と明確な関与 | 「業務を止めるか」「身代金は払わない」「誰に公表するか」の判断基準と経営者の役割を平時に決めておく(役員の役割 1-2-1-1、方針 1-3-1-1、有事の役員の役割 6-1-1-3、目標復旧レベル 7-1-1-1) | 経営層への報告と改善指示の記録 1-4-1-2 |
| (2) インシデント対応体制の整備 | 発見報告から最終報告までの手順書、社内外の連絡先と報告ルート、報告様式、年1回の点検(6-1-1-1～6-1-1-5)。取引先との役割分担の取り決め(2-1-4-1) | インシデントのレベル判定 5-2-1-1、5-2-1-2 |
| (3) 事業継続計画(BCP)への反映 | 重要なシステムの目標復旧レベルを決め、システム停止中の手作業の手順を用意する(7-1-1-1) | 目標復旧時点とバックアップの保管 7-1-1-2 |
| (4) 個人情報を含むデータの現状把握 | 重要な情報の一覧(管理者・保管場所・開示先)と、機器・ネットワーク・外部接続先の一覧を整える(3-1-4-1、3-1-4-3、3-1-1、3-1-2、2-1-1-1) | ネットワーク図の作成と点検 3-1-2-3、3-1-2-4 |
| (5) 経営者主導の意思統一 | 方針を全員が見られるようにし、改定時に周知。年1回の教育・訓練と事例の社内共有(1-3-1-2、1-3-1-3、4-2-2-1～3、6-1-1-6) | (★3と同じ) |
| (6) 窃取されたデータの暴露への備え | 「身代金は払わない」を方針と手順に明記(1-3-1-1、6-1-1-1)。何が漏れ得るかは重要な情報の一覧で把握(3-1-4-3) | 重要な情報の暗号化 4-3-1-2 |
教訓集は「流出・暗号化されたデータの内容を後から特定するのは、フォレンジック調査を行っても困難であることが多い」と指摘し、平時の台帳整備を経営者が指示するよう求めています。★3の「重要な情報の一覧」「機器・ネットワークの一覧」は、まさにこの指示に応える成果物です。
４．「インシデント対処編」5つの教訓と、★3の対応
| 教訓(インシデント対処編) | ★3の評価基準で求められる「平時の備え」 | ★4でさらに深まる |
| (7) バックアップとログの整合性確保──汚染されたバックアップは復旧に使えない | 対象・頻度・保管期間を決めてバックアップを取り、重要な情報は遠隔地にも保管。戻すための手順書を用意する(4-3-4-1～4-3-4-3) | ログの取得と6か月保管、認証ログの月次確認 4-4-3-1、4-4-3-3。★4なら「安全な復元時点」の判断材料が残る |
| (8) 基本的な対策の徹底──被害の多くは基本の不徹底に起因 | サポート切れ機器の更新、重要な更新は14日以内(4-4-4-1、4-4-4-2)、パスワードのルールと安全な保管(4-1-5、4-1-6)、多要素認証(4-1-3-2)、管理者IDの最小化と不要IDの削除(4-1-1、4-1-2)、ルーターの設定(4-5-1)、年1回の点検(3-1-1-4) | ネットワークの分離 4-5-1-9、弱点情報の収集と対応記録 3-2-1 |
| (9) EDR導入と定期ログ監査──従来型ウイルス対策だけでは検知できない | 不正な通信を検知・遮断する仕組み、ログとアラートを見て「事故かどうか」を判断する運用、速やかな通知(5-1-1-1～5-1-1-3) | 認証ログの月次確認 4-4-3-3、アラート受信時のレベル判定 5-2-1-2 |
| (10) 「漏えいなし」の証明は困難──フォレンジックでも全ては分からない | 重要な情報の一覧、報告様式、取引先との役割分担を平時に整える(3-1-4-3、6-1-1-5、2-1-4-1) | ログの取得と保管 4-4-3-1 |
| (11) セキュリティベンダーとの関係構築──事故の最中に信頼できる相手は探せない | 社内外の連絡先と報告ルートを平時に定めておく(6-1-1-2) | (★3と同じ) |
注目したいのは教訓(8)です。教訓集は「境界防御に隙を作らず、内部ネットワークが安全ではないことを前提にした対策とその維持を徹底する」と書いています。侵入の入口は既知の脆弱性、拡大の原因は「安易なパスワード」「アップデートしていないNAS」「管理者アカウントの運用管理」──いずれも★3の評価基準が名指しで求めている項目です。★3の81項目のうち約20項目は「一度やって終わり」ではなく「続ける」ことを求める項目であり、被害企業がつまずいた「継続の失敗」を防ぐ仕組みになっています。
一方で正直にお伝えすべき点もあります。教訓(9)のEDRのような「攻撃そのものの検知・遮断」の仕組みは、★3だけでは完結しません。★3が求めるのは検知の仕組みと「誰がいつ事故と判断するか」の運用までで、EDRやSOCといった具体的な検知手段の導入は別途の機器・サービスの領域です。教訓集にも「取引先からメールやEDIを再開するならEDRやSOCを導入するよう強い要望があった」という被害後の実例が紹介されており、検知強化は★3と並行して提案すべきテーマです。
５．「対策の基本」6つも、★3に含まれている
教訓集の参考資料には、IPA「情報セキュリティ10大脅威2026 解説書(組織編)」の「情報セキュリティ対策の基本」(表3)が掲載されています。攻撃の糸口ごとの基本対策6つも、★3の評価基準に対応させると次のようになります。
| 攻撃の糸口 | 対策の基本(IPA) | ★3の評価基準で求められること |
| ソフトウェアの脆弱性 | ソフトウェアの更新 | サポート切れの機器・ソフトを使わない(4-4-4-1)、重要な更新は14日以内(4-4-4-2)、更新ルールと年1回の点検(3-1-1-3、3-1-1-4) |
| マルウェアの利用 | セキュリティソフトの利用 | 全てのPC・サーバに対策ソフト(4-4-5-1)、スキャンの範囲と頻度(4-4-5-2)、定義ファイルの更新(4-4-5-3)、許可していないソフトを入れられない設定(4-4-1-1) |
| パスワード窃取 | パスワードの管理・認証の強化 | 多要素認証(4-1-3-2)、8文字以上(4-1-3-4)、失敗が続いたらロック(4-1-4-1)、初期パスワード変更・使い回し禁止(4-1-5)、安全な保管と漏えい時の手順(4-1-6)、不要なIDの削除(4-1-1-3) |
| 設定不備 | 設定の見直し | ルーターの管理パスワード変更と不要な設定の削除(4-5-1-1～4-5-1-7)、設定変更の申請・承認制(4-4-1-3)、必要最小限の権限(4-1-2-3) |
| データの暗号化 | バックアップの取得 | 対象・頻度・保管期間を決めて取得(4-3-4-1)、重要な情報は遠隔地にも(4-3-4-2)、戻す手順書(4-3-4-3) |
| ソーシャルエンジニアリング | 脅威・手口を知る | 全員に年1回以上の教育・訓練と記録(4-2-2-1～4-2-2-3)、事故事例の社内共有(6-1-1-6)、方針の周知(1-3-1-2、1-3-1-3) |
教訓集で被害企業が語った「管理者アカウントやパスワードがテキストファイルやExcelで普通のファイルと同じ場所に置かれていた」「一時的な設定変更をそのままにしていた」という失敗は、この表の「パスワード窃取」「設定不備」の項目がそのまま防ぎにいく内容です。
６．発覚してからの1か月──備えの差はこう表れる
最後に、教訓集が描く事案対応の実際を、「備えのない会社」と「★3を取得・運用している会社」の対比で整理します。
| 時点 | 備えのない会社 | ★3を取得・運用している会社 |
| 発覚直後 | 「誰に連絡?何から止める?」で右往左往。担当者一人に問い合わせが集中し、初動が遅れる | 手順書どおりにインターネット経路を遮断し、感染機器を切り離す。連絡先リストで警察・IPA・専門家へ即連絡(手順書 6-1-1-1、連絡先 6-1-1-2) |
| 1日以内 | どのデータに個人情報があったか分からず、報告が必要かも判断できない。「払うのか」の議論に時間を使う | 重要な情報の一覧で個人情報の有無と範囲を把握し、個人情報保護委員会への速報に間に合わせる。経営者は決めてあった基準で「払わない・止める」を即決(情報の一覧 3-1-4-3、方針 1-3-1-1) |
| 1週間 | バックアップが安全か分からず戻せない。取引先への説明資料をゼロから作る | 遠隔地のバックアップと「戻す手順書」で復旧に着手。報告様式で取引先に状況を説明(バックアップ 4-3-4-1～3、報告様式 6-1-1-5)。★4ならログで安全な復元時点を判断できる |
| 1か月 | 取引先からEDR・SOCの導入を求められ、後追いで対策。「漏えいの有無」を説明できず信頼回復に時間がかかる | 事例を社内で共有して再発防止、点検記録を残す。「何をどう管理していたか」を示せるので、取引先の信頼回復が早い(事例共有 6-1-1-6、教育 4-2-2-1) |
違いは技術力ではなく、「決めてあるか」「記録があるか」「相談先があるか」です。教訓集はこれを被害企業の実体験として裏づけ、★3はこの状態を制度としてつくります。お客様への★3のご案内が「取引先に求められるから」だけでなく、「被害企業が『あれば良かった』と語った備えが、そのまま入っているから」という説明に変わる──これが今回の教訓集公開の最大の意味だと考えています。
７．販売店として、いまやるべきこと
●教訓集(無料・47ページ)をお客様の経営者に届ける。特に第2章「ランサムウェア事案の特性」と第3章冒頭の教訓一覧は、経営者向け勉強会の教材にそのまま使える
●本記事の対応表を提案資料に組み込み、「★3の評価基準はランサム被害企業の教訓と一対一で対応している」ことを示す
●バックアップ提案(遠隔地保管・復元テスト)とEDR・検知サービスの提案を、教訓(7)(9)を根拠に組み立てる
●「対策を持っているか」ではなく「続いているか」を問う年次点検・記録の運用支援を、サービスメニューの中心に置く
●10月公開予定の「★3・★4 自己評価等ガイド」を待って、自己評価の支援を本格化する準備を整える
| 【関連リンク】 ・IPA「ランサムウェア被害から学ぶ教訓集」：https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html ・教訓集PDF(7.3MB・全47ページ)：https://www.ipa.go.jp/security/todokede/rcu1hd000001ee1f-att/20260910.pdf ・IPA「情報セキュリティ10大脅威2026 解説書(組織編)」(教訓集 参考(1)) ・SCS評価制度 トップページ：https://www.ipa.go.jp/security/scs/index.html |
| 石渡電気では、教訓集を使った経営者向け勉強会や、★3評価基準との対応を踏まえた対策の棚卸しをお手伝いしています。 「うちは何から始めればいいか」のご相談も、お気軽にお寄せください。 |
本記事はIPA「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」(2026年9月8日公開)および「情報セキュリティ10大脅威2026 解説書(組織編)」をもとに作成しています。
★の評価基準番号はSCS評価制度 別添「★3・★4要求事項及び評価基準」に基づき当社が対応させた整理であり、IPAが公式に示した対応関係ではありません。攻撃そのものの検知・遮断(EDR・UTM等)には別途の機器・サービスが必要です。
個人情報保護委員会への報告期限は同委員会の公表資料をご確認ください。
石渡電気が一緒に準備します
石渡電気では、販売店様がSCS評価制度に関する顧客対応力を早期に身につけられるよう、制度情報の提供・勉強会・製品提案サポートを継続的に行っていきます。
制度は動き始めています。「顧客から聞かれてから考える」では遅いかもしれません。今この時期に情報を蓄え、提案の準備を整えた販売店が、これからの競争で先行優位を得ることになります。
ご不明な点・ご相談は石渡電気までお気軽にお問い合わせください。
