ランサム被害6割超、情シス不在の中小企業が採るべき現実策

「うちは小さいから狙われない」。その思い込みは、もう通用しません。

ITmediaの報道によると、ランサムウェア被害の6割以上が中小企業に集中しています。大企業ほどのセキュリティ予算は確保できず、専任の情シス部門すらない企業がほとんどだからです。

だからといって、「何もできない」わけではありません。むしろ、経営者がITを専門家任せにせず、自ら対策の優先順位を決めることこそが、最も効果的な防御になります。本記事では、人手の足りない中小企業が採るべき「賢いランサム対策」を、具体的なツールとあわせて解説します。

なぜ中小企業が狙われるのか：「人的リソースの隙」を突かれる構造

攻撃者の視点に立つと、中小企業は「理想的な標的」です。

攻撃者は、セキュリティ対策の手薄な組織を狙います。24時間体制のセキュリティ監視や専任の情シスを備えた大企業は、避けられがちです。攻撃を仕掛けても、すぐに検知・遮断される可能性が高いからです。

一方、中小企業では、IT担当者が総務や経理を兼ねているケースが大半です。パッチの適用やバックアップの確認は後回しになりがちで、攻撃者はその「人的リソースの隙」を突いて侵入してきます。

この構造は、まさに「経営がITを定義しなかった結果」です。セキュリティ対策を「専門家の仕事」と決めつけ、経営者が関わってこなかったツケが、いま回ってきているのです。

本当に足りないのは、予算ではなく優先順位

「セキュリティ予算がない」という声はよく聞きます。しかし本当の問題は、予算そのものではありません。経営者がITリスクを正しく評価し、優先順位を決めていないことにあります。

経営者が決めるべきは、次の3点です。

1. 復旧できないデータはどれか
2. 事業停止を何日まで許容できるか
3. そのリスクにいくら投資するか

この3つを決めないまま、漠然と「セキュリティ対策が必要だ」と考えているから、予算がつかないのです。

たとえば、顧客データや取引先との契約書がすべて失われたら、事業は続けられません。そのリスクを評価し、年間数万円のクラウドバックアップに投資するかどうか。それはまさに経営判断です。

人手不足の情シスでもできる「賢い3つの対策」

では、具体的に何をすればよいのでしょうか。予算ゼロからでも始められる3つの対策を紹介します。

対策1：多要素認証（MFA）を必須にする

最も費用対効果が高いのが、多要素認証の導入です。Microsoft 365やGoogle Workspaceには標準でMFA機能があり、追加費用はほぼかかりません。

ランサムウェア被害の多くは、IDとパスワードの流出から始まります。MFAを必須にしておけば、仮にパスワードが漏れても、第三者のログインを防げます。

ポイントは、経営者自身が率先してMFAを設定し、全社に広げることです。経営者が「面倒だから」とMFAを拒めば、組織全体のセキュリティ意識が下がります。

対策2：3-2-1ルールでバックアップを取る

バックアップで大事なのは、「取っている」ことではなく「復元できる」ことです。ランサムウェアに感染すると、接続中のドライブやNASも暗号化されてしまいます。

そこで勧めたいのが、3-2-1ルールです。

• 原本を含めて3つのコピーを持つ
• 2種類以上の異なるメディアに保存する
• 1つはオフラインまたはクラウドに保管する

現実的な構成としては、たとえば次のようなものです。

• 社内NASに日次でバックアップ
• クラウドストレージ（BackblazeやWasabiなど）に週次でバックアップ
• 重要なデータは外付けHDDに手動でコピーし、オフラインで保管

これらのサービスは月額数千円から使えます。自動化の設定も簡単で、情シス担当者が毎晩確認する必要はありません。

対策3：最小権限の原則を徹底する

多くの中小企業では、社員全員が管理者権限を持っていることがあります。これでは、ランサムウェアに感染したとき、全データが一瞬で暗号化されかねません。

最小権限の原則とは、「業務に必要な最小限の権限だけを与える」という考え方です。たとえば一般社員にはファイルの読み取り権限だけを与え、書き込みや削除は管理者だけに限ります。

この設定は、Microsoft 365の管理画面から数分で変えられます。導入しておけば、万が一感染しても、被害を一部のフォルダにとどめられます。

「情シス不在」を逆手に取る、外部サービスの使い方

専任の情シスがいない中小企業こそ、外部サービスが役に立ちます。

最近は、セキュリティ監視を代行するMSSP（マネージドセキュリティサービスプロバイダ）が増えています。たとえば「GMOサイバーセキュリティ byイエラエ」のように、セキュリティ専門企業が監視サービスを提供しています。

EDR（Endpoint Detection and Response）ツールにも、中小企業向けの廉価版が登場しています。「SentinelOne」や「CrowdStrike Falcon」は、1エンドポイントあたり月額数百円から導入できます。

こうしたサービスを入れるときのポイントは、経営者が「何を守るのか」をはっきりさせてからベンダーと契約することです。漠然と「セキュリティ対策をお願いします」と頼めば、高額な契約を結ばされるおそれがあります。

経営者がITを「定義」することが、最大の防御になる

ランサムウェア対策の本質は、技術的な防御策を積み上げることではありません。経営者がITリスクを正しく評価し、優先順位を決め、必要な投資を行うことです。

中小企業の被害が6割を超えるいま、「ITは専門家に任せる」という態度を続けるのは、事業存続のリスクから目をそらすことにほかなりません。

まずは、本記事で紹介した3つの対策から始めてください。多要素認証の導入、3-2-1ルールでのバックアップ、最小権限の原則。どれも、予算ゼロでも今日から実行できることばかりです。

ITを「経営資源」として定義し直すこと。それが、ランサムウェアから会社を守る唯一の方法です。