仕事関係 — コンセプト記事
— ランサムウェアの6段階と、部門ごとの守り —
セキュリティを専門としない立場で、社内の取り組みを取りまとめる人に向けた記事です。 答えを先に言うと、攻撃は一度に起きるのではなく、段階を踏んで進みます。セキュリティ部門は「守り方」に、事業部門は「何が大事か」に責任を持ちます。
この記事を読むとできること
想定している使い方
情報セキュリティ委員会の事務局や、法務・総務などの担当者が、委員会や部門長に攻撃の全体像を説明するときの下敷きにすることを想定しています。 技術の細部ではなく、「どこで気づけるか」「誰が何を受け持つか」を中心に書きました。
読む目安：約9分 ・ 仕事関係のコンセプト記事 ・ 図5枚
サイバー攻撃というと、ある日突然すべてのシステムが止まる場面を思い浮かべがちです。実際には、攻撃者は入口を探し、中に入り、権限を広げ、データを持ち出し、復旧の手段を壊してから、最後にシステムを止めます。侵入から暗号化までには、数日から数週間の間がある事例が多く報告されています。
この流れを知っておくと、守りの考え方が変わります。入口を固めることは大切ですが、入口だけに頼ると、一度破られたときに中は素通りになります。段階ごとに守りを重ねておけば、途中のどこかで気づき、被害を小さいうちに止められます。セキュリティを専門としない人にとっても、「どの段階を誰が受け持つか」を決めるための共通の地図になります。
図1 入口だけを守る場合と、段階ごとに重ねる場合
図の見方：上の段は、入口の守りだけに頼る場合です。一度破られると中は素通りになり、気づいたときには暗号化とデータの持ち出しが済んでいます。下の段は、入口・権限・監視・バックアップと、段階ごとに守りを重ねた場合です。途中の段階で気づけるので、被害を小さいうちに止められます。
ランサムウェア（データを暗号化して使えなくし、元に戻す代わりに身代金を求める攻撃）は、企業の被害の中でもっとも大きいものの1つです。最近は、暗号化する前にデータを盗み出し、「払わなければ公開する」と二重に脅す手口が主流になっています。下の図は、その進み方を上から順に並べたものです。
図2 ランサムウェアの6つの段階と、各段階の守り
図の見方：上から順に、下調べ、侵入、乗っ取りの拡大、データの持ち出し、バックアップの破壊、暗号化と脅迫と進みます。各段階の下の行が、その段階の守りです。色を濃くした「乗っ取りの拡大」と「データの持ち出し」は、監視していれば気づける可能性が高い段階です。ここで気づければ、持ち出しや全社の停止を防げる見込みが大きくなります。
下調べでは、攻撃者はインターネットに公開された VPN 機器（社外から社内のネットワークに入るための装置）やリモート接続の入口を、道具を使って自動で探します。従業員の名前やメールアドレスも集めます。
侵入の経路は、更新されていない機器の弱点、盗まれた ID（システムに入るときの利用者の名前）とパスワード、偽のメール、そしてセキュリティの甘い委託先や子会社です。警察庁が毎年公表しているサイバー空間をめぐる脅威の情勢でも、ランサムウェアの侵入の経路は、VPN 機器とリモートデスクトップ（離れた場所から画面ごと操作する仕組み）が多くを占めています。
乗っ取りの拡大では、社内で管理者の権限を奪い、全社の端末やサーバーを操作できる状態にします。管理者の権限を奪われると、全社を奪われたのと同じです。データの持ち出しでは、顧客の情報や技術の情報を外部へ送ります。この2つの段階は、ふだんと違う通信や操作が起きるので、監視していれば気づける可能性がもっとも高い段階です。
バックアップの破壊では、復旧できないように、バックアップを先に消すか暗号化します。社内のネットワークにつながったままのバックアップは、ここで一緒に壊されます。最後の暗号化と脅迫でシステムが止まり、ここで初めて被害に気づく会社も少なくありません。
ランサムウェアのほかに、ビジネスメール詐欺もよく起きます。取引先や経営者を装ったメールで、「振込先の口座が変わった」と指示し、偽の口座へ送金させる手口です。メールの乗っ取りから始まることが多く、本物のやり取りの途中に割り込んでくるので、文面だけでは見分けにくくなっています。
図3 ビジネスメール詐欺の進み方と、止め方
図の見方：上の2段が、ビジネスメール詐欺の進み方です。攻撃者は乗っ取ったメールで本物のやり取りを読み、途中に「振込先が変わった」と割り込みます。そこから先が2通りに分かれます。文面だけで判断すると、本物らしく見えるので偽の口座へ送金してしまいます。いちばん下の段のように、メールに書かれた連絡先ではなく以前から知っている電話番号に折り返せば、偽物だと分かって送金を止められます。
内部不正も見落とせません。退職を控えた従業員が、顧客の一覧や技術の資料を個人のクラウド（インターネット上の保管サービス）に持ち出す、といった事例です。外からの攻撃と違い、正規の権限で行われるので、権限の見直しと記録の確認が守りの中心になります。
教育を見直すときの注意：攻撃する側も AI を使うようになり、偽のメールの日本語は自然になってきています。「日本語がおかしいメールは怪しい」という教え方だけでは、見分けられないものが増えています。振込先の変更などは、文面ではなく、以前から知っている電話番号に折り返して確かめるという手順で守ります。
守りは、セキュリティ部門（情報システム部門など、技術の守りを受け持つ部署）だけの仕事ではありません。役割の分け方は、セキュリティ部門は「守り方」に、事業部門は「何が大事か」に責任を持つと考えると分かりやすくなります。何が漏れたら困るか、何が止まったら困るか、何日まで止められるかは、業務を知っている事業部門にしか決められないからです。
図4 事業部門とセキュリティ部門の役割分担
図の見方：上の段は事業部門の受け持ちで、何が大事かを決めます。決めたことを受け取って、中の段のセキュリティ部門が、大事なものから順に守りを重ねます。いちばん下の段は、事業部門の役割が抜けた場合の例です。退職した人の権限を外す申請が出ないと、どれほど入口を固めても、残った正規の ID で入られてしまいます。下の一覧は、この分担を守るものごとに並べたものです。
入口
セキュリティ部門：インターネットに面した機器の一覧と、速やかな更新
事業部門：勝手に外部のサービスや接続の口を作らない
ID と権限
セキュリティ部門：多要素認証（パスワードに加えてスマートフォンでの承認などを求める仕組み）と、管理者権限の絞り込み
事業部門：異動や退職のときに、権限を外す申請を速やかに出す
情報
セキュリティ部門：重要なデータの置き場所と、近づける人の管理
事業部門：自部門の重要な情報がどれかを決める（情報の持ち主として）
業務
セキュリティ部門：優先順位に沿った復旧の計画
事業部門：何日まで止められるかと、止まったときの代わりの手段を決める
人の判断
セキュリティ部門：教育と訓練の仕組み
事業部門：不審なメールを報告する。振込先の変更は電話で確かめる
委託先・取引先
セキュリティ部門：接続の管理
事業部門：データを渡す相手の管理の状態を、法務と一緒に確かめる
工場の設備
セキュリティ部門：事務のネットワークと設備の制御のネットワークを分ける
事業部門：保守業者のリモート接続を、誰が管理しているかを知っておく
復旧の備え
セキュリティ部門：切り離したバックアップと、復元の確認
事業部門：復旧したシステムのデータが正しいかを、業務の目で確かめる
上の各項目の「事業部門」の役割は、どれも特別な技術を必要としません。それでも、ここが抜けるとセキュリティ部門の守りが働きません。たとえば、退職者の権限が残っていれば、どれほど入口を固めても正規の ID で入られます。事業部門の役割を、委員会の場で一度言葉にして確認しておくことをおすすめします。
AI エージェント（指示を受けて、調べる・書く・実行するといった作業を自分で進める AI。Claude Code など）は、少ない専門人材の手を広げる道具として有効です。ただし優先順位は、上の役割分担の基本の守りより後です。 AI を入れても、VPN 機器の更新漏れは防げません。
図5 AI エージェントを守りに使うときの順番
図の見方：いちばん上の段が、先に固める基本の守りです。その上に、中の段のように AI エージェントで専門人材の手を広げます。記録の読み解きや点検、文書づくりには向いていますが、24時間の監視は専門のサービスの領域です。いちばん下の段は、AI そのものが新しい攻撃の入口になるので、使い方のルールで縛っておく、という意味です。詳しくは下の一覧と、そのあとの段落で説明します。
記録や警告の一次的な読み解き、弱点の情報が自社に当てはまるかの確認、設定の点検（セキュリティ部門）
向いている
プログラムの弱点の点検、安全な書き方の徹底（開発部門）
向いている。Claude Code はもともとプログラムを書くための道具
規程や契約のセキュリティ条項の点検、訓練の筋書きや文書の作成、最新の情報の要約（事務局・法務）
向いている
24時間の監視
向いていない。専門の監視サービスや、端末を見張る製品に組み込まれた AI 機能の領域
一方で、AI エージェント自体が新しい攻撃の入口にもなります。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、組織向けの3位に「AI の利用をめぐるサイバーリスク」が初めて入りました。導入する前に、次の3つのリスクを前提にした利用のルールを決めます。
ルールで決めるのは、渡す権限を最小にすること、使ってよいデータの範囲、操作の記録を残すこと、人が承認してから実行させることの4つです。始め方としては、事務局や法務の文書の仕事と、セキュリティ部門の分析の補助で小さく試し、並行して利用のルールを整えるのが現実的です。