ランサムウェア対策を経営課題にする判断軸

ランサムウェア対策は技術部門だけで完結させず経営課題として扱うべきだと私は考えています。Qilinの発言とIPAの脅威順位を整理し自社で何を確認し誰が判断するかを考えます。攻撃者の強い言葉をそのまま受け入れるのではなく対策の優先順位を見直す材料にすることが重要です。

ランサムウェア対策で攻撃者の発言をどう読むか

私が投稿で取り上げたのはアサヒグループなどを攻撃したランサムウェア集団QilinがJNNの取材に応じたという話です。Qilinは日本のコンピュータセキュリティ体制を世界でも非常に低い水準だと評し日本企業や政府機関への攻撃が今後増える可能性にも言及しました。

強い危機感を覚える内容ですがここで分けたいのは「攻撃者がそう述べたこと」と「その評価が客観的に証明されたこと」です。今回の材料は日本と他国のセキュリティ水準を同じ基準で比較した調査ではありません。この発言だけで日本が世界のどの位置にあるかを断定することはできません。

一方で発言の出所が攻撃者だからといって自社の確認まで不要になるわけではありません。私が重視したいのは日本への評価に賛成するか反論するかではなく自社の備えを説明できるかという点です。

• 守る対象と優先順位を経営として説明できるか
• 社内で確認できている範囲と未確認の範囲を区別できるか
• 未確認の事項について誰が判断するか決まっているか

これは自社が安全か危険かを即断するための質問ではありません。強い見出しに反応するだけで終わらず具体的な確認につなげるための入口です。

Qilinの規模と日本への見通しを分けて考える

投稿で紹介した情報ではQilinには2025年に1,000件を超える被害が確認されており世界トップクラスのランサムウェア集団とされています。またQilin自身は世界中の300人以上と協力していると述べています。

この数字は脅威の規模を考える材料ですが読み違えないことも大切です。1,000件超という数字を日本国内だけの被害件数として扱うことはできません。300人以上という説明も協力関係についての発言であり日本への攻撃に関わる人数を示したものではありません。

同様に日本企業や政府機関への攻撃が増えるという話は可能性への言及です。増加が確定したとも特定の企業が次に狙われるとも書けません。規模についての情報と将来についての発言を混ぜると材料から言える範囲を超えてしまいます。

私は投稿で国内の情報漏洩やサイバー攻撃が多いという危機感を示しました。ただし今回の材料だけで国内の増加率や業種別の被害状況を説明することはできません。経営の議論では不安の強さと確認できている事実を分けて扱いたいと思います。

例えば社内で共有する際には「投稿で紹介された被害規模」「Qilin自身の発言」「自社ではまだ分からないこと」を別々に整理します。大きな数字をそのまま対策費の根拠にするのではなく自社について確認する理由として使うのが私の考えです。

IPAの脅威順位から対策の範囲を広げる

投稿ではIPAの「情報セキュリティ10大脅威2026」も取り上げました。紹介した上位の脅威は次の通りです。

• 1位：ランサム攻撃
• 2位：サプライチェーン攻撃
• 3位：AIをめぐるサイバーリスク

この並びを見て私が経営の議題に入れたいのは自社内の対策だけで話を閉じないことです。ランサム攻撃への備えを確認すると同時に取引先との関係やAI利用についても確認対象を設けたいと考えています。

ただし上位の脅威だからという理由だけで自社の投資順位が自動的に決まるわけではありません。この順位を自社の被害確率に置き換えることもできません。私は見落としている論点がないかを確認するための入口として使います。

サプライチェーンについては取引先や外部との関係のうちセキュリティ上の確認対象に何を含めるかを決めます。そのうえで自社だけで判断できる事項と相手への確認が必要な事項を分けます。相手に任せているという説明だけで確認を終わらせないためです。

AIについても利用しているかどうかだけで議論を終えず何を確認したうえで利用判断をしているかを整理します。投稿には個別の製品や攻撃手法の説明はありません。そのため特定の製品を危険だと決めつけるのではなく自社の判断に必要な情報を明らかにすることから始めます。

経営課題に変えるための確認手順

この情報を社内で扱うなら私は「注意喚起を共有した」で終わらせず判断が必要な事項まで整理します。進め方としては守る対象から確認範囲と責任者へ順に落とし込むのがよいと考えています。

守る対象を業務の言葉で整理する

最初に「セキュリティを強化する」という大きな目標を自社の業務に引き寄せます。どの業務や情報を優先して守りたいか。そこに支障が出た場合に何を重く見るか。技術的な対応を検討する前に経営としての優先事項を言葉にします。

ここで必要なのはすべてが重要だと並べることではありません。複数の課題が同時に見つかったときに何を先に判断するかを説明できる状態です。優先順位を決められない部分があればその理由も残します。

確認済みと未確認を分ける

次に自社内の対策と取引先に関わる事項とAI利用を分けて確認します。「対応しているはず」と「状況を確認した」を同じ扱いにしないことが判断基準です。

確認できていない事項についてはすぐに安全とも危険とも判定しません。何が分かれば判断できるのかを整理し追加確認の対象にします。分からないことを見える形にするのも経営への報告の一部だと私は考えています。

担当者と経営の判断を切り分ける

最後に確認を進める担当者と優先順位を決める責任者を明確にします。担当者に調査だけでなく経営上の取捨選択まで曖昧に任せないことが大切です。

社内で共有する内容は対象業務と確認状況と未確認事項と必要な判断を結び付けます。そうすれば報告を受ける側も「対策は進んでいるか」という漠然とした問いではなく「この未確認事項をどう扱うか」と具体的に議論できます。

AI時代のランサムウェア対策を考える

私が投稿で経営課題だと強調した背景にはAIによって攻撃側のコストが下がるという問題意識があります。対策を考える際には自社のAI活用だけでなく攻撃する側の条件にも目を向ける必要があると考えています。

ただしこの材料からコストがどれだけ下がるかは分かりません。AIが今回取り上げた攻撃のどこに使われたかも説明できません。AIをめぐるリスクが上位にあることと個別の攻撃でAI利用が確認されたことは別です。

そのため私はAIという言葉だけを理由に特定の対策へ飛びつくのではなく判断の前提を問い直します。以前に決めた優先順位を今も維持するのか。新たに確認すべき事項はないか。対策を保留する場合に誰がその理由を説明するのか。こうした問いを経営の議題として扱いたいと思います。

AI利用を一律に止めるかそのまま進めるかという二択にする必要もありません。今回の情報だけで個別の利用可否は決められないため自社で確認できていることと不足している情報を整理して判断します。

自社で活かすなら判断事項を明確にする

私なら今回の話を自社の確認範囲と優先順位を見直すきっかけにします。ランサム攻撃への備えに加え取引先とAI利用の未確認事項を整理し誰が何を判断するかを明確にします。

攻撃者の評価を繰り返すことより自社について説明できる範囲を増やすこと。その積み重ねとしてランサムウェア対策を経営の議題に位置付けたいと考えています。