警察庁への報告では、中小企業にも被害が起きています

警察庁によると、2025年（令和7年）に報告された企業・団体等のランサムウェア被害は226件でした。内訳は、中小企業143件、大企業64件、団体等19件です。

ランサムウェアとは、データを読めなくするなどして、復旧や情報の非公開と引き換えに金銭を要求する手口に使われる不正なプログラムです。

この数字は、警察庁に報告されたランサムウェア被害の件数です。すべてのサイバー被害を集計した数字でも、企業規模ごとの被害の確率を比べた数字でもありません。それでも、中小企業に被害が起きている事実は確認できます。

専任のIT担当者がいない職場では、「トラブルが起きたら、いつもの業者に電話する」という備えから始めることもあるでしょう。その場合は、夜間に誰が連絡するか、業者につながるまで現場がどう動くかまで決めておくと、実際に使える手順になります。

サイバーインシデントとは？「漏えいが確定した事故」より広い言葉です

この記事では、情報やシステムの安全を損なった、またはその疑いがある出来事を、サイバーインシデントと呼びます。実際に攻撃されたかどうかは、初めから分かるとは限りません。

• 職員が偽のログイン画面にIDとパスワードを入力してしまった。
• 共有フォルダのファイルが突然開けなくなり、金銭を要求する画面が出た。
• 身に覚えのないログインや、職員のアカウントからの不審なメール送信が見つかった。
• 委託先から、自社のデータが入ったシステムに不正アクセスの疑いがあると連絡を受けた。

一方、システムが止まっただけで、サイバー攻撃と決めつけることはできません。機器の故障や通信障害でも止まります。現場では、原因を断定するより、「いつ、何が起き、どの業務に影響が出ているか」を伝えられるようにしておきましょう。

ニュースの「報道」、事業者の「公表」、行政などへの「報告」は別です

「ニュースにならない程度なら、報告しなくてもよいのでは？」。ここは、分けて考える必要があります。

すべての事業者に共通する一つの「公表ライン」があるわけではありません。公表や報道がなくても、行政への報告や本人への通知が必要な場合があります。反対に、ウェブサイトにお知らせを載せただけで、必要な報告や通知を済ませたことになるわけでもありません。

たとえば、病歴などの要配慮個人情報を含む個人データの漏えい等が発生した、またはそのおそれがある場合は、報告・本人通知の対象になり得ます。件数が少ないことや、漏えいがまだ確定していないことだけで、報告不要とは判断できません。

医療機関等では、サイバー攻撃を受けた疑いがあるとき、個人情報保護委員会への報告とは別に、厚生労働省のガイドラインに基づく連絡も確認します。介護事業者は、医療機関向けの窓口がそのまま自施設に当てはまると考えず、サービス種別や事案に応じて、指定権者・自治体の事故報告ルールや委託契約も確認しておきましょう。

医療・介護のBCPに「記録が見られない日」は想定されていますか？

BCP（業務継続計画）は、非常時に何を優先して続け、どう復旧するかを決めておく計画です。災害や感染症への備えをまとめている職場なら、まず今ある計画を開いてみましょう。

例えば、訪問介護の出発前に、介護記録システムが使えなくなったとします。訪問先や予定だけでなく、担当者への申し送りや、利用者ごとの注意事項を確認できるでしょうか。診療所なら、予約や電子カルテが見られないときに、何を安全に続けられるかを考える必要があります。

既存のBCPや手順書で、次の4点を確認してみてください。

1. 優先する業務：記録が見られなくても続ける業務と、安全のため責任者の判断を待つ業務は何か。
2. 代わりの手順：承認済みの紙の様式や連絡手段はあるか。誰がどこから取り出せるか。
3. 判断と連絡：管理者が不在でも、誰が代わりに判断し、保守会社や関係先に連絡するか。
4. 復旧後の確認：停止中に作った記録を、誰がシステムに反映し、漏れや重複を確認するか。

紙で対応する場合も、利用者情報を誰が見られるか、どこで保管するかを決めておくことが大切です。普段のシステムが使えないからといって、私用のメールや端末に情報を移す前提にはしないでください。

SCS評価制度は、取引先との関係で知っておきたい制度です

SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。商品やサービスを届けるまでに関わる企業の間で、セキュリティ対策の状況を確認しやすくするための制度です。

IPAは2026年10月28日に、★3・★4の自己評価や第三者評価などに関するガイドを公開しました。

この発表をもって、すべての中小企業や医療・介護事業者に評価取得が一律に義務付けられたと考える必要はありません。ただ、取引先や委託元から対策状況を聞かれたときに、誰が管理しているか、どんな対策をしているか、事故時に誰に連絡するかを説明できるようにしておくことには意味があります。

評価取得を検討する前でも、自社が使っているサービスや委託先、責任者、連絡方法の整理は始められます。

今日の一歩：止まると困るシステムを一つ選びましょう

何から始めればよいか迷ったら、電子カルテ、介護記録、請求、予約、メールなどから、一つだけ選んでください。そして「明日の朝から半日使えないとしたら」と想像して、次の3点を書き出します。

• 最初に困る仕事は何か。
• 職員は、最初に誰へ連絡するか。その人が不在なら誰か。
• 復旧を待つ間、安全に使える代わりの手順はあるか。

例えば、「介護記録が見られないと訪問前の申し送りを確認できない」「管理者が休みの日の連絡先が決まっていない」と書ければ、優先して整えるべきことが見えてきます。高価な製品を比較する前に、自社の仕事がどこで止まり、誰が動くのかを確かめましょう。

よくある質問

Q1．職員が数人しかいない事業所でも備えは必要ですか？

規模に合った備えを考えましょう。少人数の職場なら、責任者の不在時に誰が判断するか、連絡先をどこに置くかなど、短い手順を共有するところから始められます。

Q2．クラウドを使っていれば、システム停止への備えは不要ですか？

クラウドでも、通信障害やアカウントの乗っ取りなどで使えなくなることがあります。提供会社が対応する範囲と、自施設で用意する代替手順を確認しましょう。

Q3．災害・感染症のBCPがあれば、一から作り直す必要がありますか？

まず既存の計画を点検しましょう。連絡体制や優先業務など、活用できる部分はあります。そのうえで、システム停止時の代替手順、専門業者への連絡、復旧後の記録確認など、足りない部分を補います。

まとめ＋要約

• 警察庁への報告から、中小企業でもランサムウェア被害が起きていることが分かります。
• 報道、公表、行政や取引先への報告、本人への通知は、それぞれ判断する基準が異なります。
• 医療・介護では、情報漏えいに加え、記録が使えず診療やケアが止まる場面を想定しましょう。
• SCS評価制度は、取引先との間でセキュリティ対策の状況を確認する際に関係する制度です。
• 最初の一歩は、止まると困るシステムを一つ選び、業務への影響、連絡先、代替手順を確かめることです。

次回は、事故を疑ったときの連絡・報告を整理します

Day2では、「誰に、何を、どの段階で伝えるのか」を取り上げます。個人情報の漏えい等が疑われる場合と、診療や介護サービスに支障が出た場合を例に、確認しておきたい窓口と役割を整理します。

既存のBCPに何を足せばよいか迷っている方へ