【ランサムウェア対策とセキュリティ基礎】非エンジニアでも対策を企画できる！強化法・SCS評価制度対応（企画書ひな形付き）

ランサムウェアがマルウェアの一種であり、データの窃取や暗号化によって被害者に甚大な影響を与えることを理解します。また、攻撃者がデータの復元と引き換えに身代金を要求し、支払い後もデータの復旧が保証されないリスクを確認します。さらに、ランサムウェアの脅迫方法や、被害者に対して支払い期限や方法が具体的に提示される手口を学びます。

受講者はランサムウェア攻撃のプロセスを段階的に理解し、ネットワークへの侵入からデータの暗号化、身代金の要求に至るまでの一連の流れを把握できます。また、なぜランサムウェアが攻撃者に選ばれるのかを、収益の大きさ、身元の特定されにくさ、攻撃の始めやすさの3点から学びます。

受講者はランサムウェアが成功する背景を理解し、具体的には、古いシステムの使用やバックアップ不足、認証の弱さなどがランサムウェア攻撃を成功させる要因であることを学びます。また、ランサムウェア攻撃によって発生する影響として、身代金の支払いや復旧費用といった直接的な金銭的損失、さらにはデータ漏えいによる信用失墜や業務停止による経済的損失がどれほど重大であるかも把握できます。最後にこのセクションを総括します。

受講者は、ランサムウェアの世界的・国内的な被害状況と、セキュリティ上の脅威としての位置づけを理解できます。世界の被害は、2つの情報源から把握します。攻撃グループのリークサイトへの掲載組織数と、被害組織への大規模な調査です。国内の状況は、警察庁の統計から読み解きます。件数の水準だけでなく、被害組織の規模や、復旧にかかる費用と期間まで含めて、被害の全体像を捉えます。あわせて、IPAの「情報セキュリティ10大脅威」で、数ある脅威の中でのランサムウェアの位置づけを確認します。これにより、受講者はランサムウェアの現状を正しく捉え、実効的な対策を講じる重要性を学びます。

補足：IPA「情報セキュリティ10大脅威」の順位は、前の年に社会的影響が大きかった脅威の順です。危険度や、対策すべき優先順位を示すものではありません（IPA の解説書より）。どの対策を優先するかは、自社の環境に合わせて決めてください。

名古屋港と大阪府医療機関の事例を通して、ランサムウェア攻撃が組織に与える影響と、実際の対応を学びます。名古屋港の事例では、全ターミナルの作業が停止しました。警察やシステム保守会社と連携し、バックアップからの復元で復旧しています。大阪府医療機関の事例では、電子カルテの停止で診療が大きく制限され、診療機能が完全に戻るまで73日かかりました。2つの事例から、重要なインフラや、生命を預かる医療機関であっても被害に遭うこと、そして事前の備えが対応力を左右することを学びます。

直近の2つの被害事例を学びます。どちらも警察庁の資料に公式事例として掲載されたものです。飲料メーカー大手の事例では、ネットワーク機器を経由した侵入により、受注・出荷が停止し、大規模な個人情報漏えいのおそれが公表されました。通販大手の事例では、盗まれた認証情報が不正に使用されました。2つの事例を並べ、公表された侵入経路の違いを確認し、機器の管理と認証情報の管理という2つの備えの大切さを学びます。最後に、世界と国内の被害状況を振り返り、このセクションを総括します。

受講者は、ランサムウェアの進化と変遷を学び、攻撃者の手法がどのように発展してきたかを理解します。1989年のAIDSトロイの木馬から始まり、2005年のGpCodeで暗号方式が強化、2013年のCryptLockerでは、BitCoinが支払い手段として使われるようになりました。2017年のWannaCryは、世界中で大規模な経済損失を引き起こし、2019年のRyukでは特定のターゲットを狙う高額な攻撃が行われました。このように、受講者はランサムウェアの脅威がどのように進化してきたか、そしてその影響を理解し、現代的な対策に役立つ前提知識を得ることができます。

現代のランサムウェア攻撃は、複数の脅迫手段を組み合わせて行われます。データの暗号化に加えて、盗んだ情報の公開、DDoS攻撃、関係者への連絡といった圧力が重ねられ、二重脅迫、さらには四重脅迫と呼ばれる形に発展しています。暗号化をせず、盗んだデータの公開だけで脅す手口も現れています。また、攻撃者は不特定多数をばらまきで狙うのではなく、特定の組織に狙いを定めて侵入してきます。受講者は、多重脅迫と標的型攻撃という現代の攻撃の骨格を理解し、対策を考える土台を作ります。

攻撃者は、標的の組織を直接狙うだけでなく、セキュリティ対策が手薄な取引先や委託先、使っている製品やサービスなど、つながりの中の弱いところを突いてきます。サプライチェーン攻撃です。攻撃された1社が活動を停止すると、取引先の事業まで波及する現象も起きています。また、身代金の支払いには主にビットコインが使われます。攻撃者は受け取った後に別の暗号資産へ交換するなどして、追跡を断とうとします。さらに、RaaSモデルの普及により、技術のない攻撃者でも攻撃を実行できる環境が整っています。受講者は、現代のランサムウェアを支える地下の経済圏の仕組みを理解し、対策に役立てます。

受講者は、ランサムウェア名は単なる攻撃手法やマルウェアの種類ではなく、ブランドとして機能していることを確認します。開発者にとっては、社会一般やアフィリエイト（攻撃者）から高い評価を得ることが重要であり、多くの攻撃集団は解散・分裂後に再結成され、名前を変えます（リブランド）。ブランドの代表的な例として、LockBit、Akira、Qilinを取り上げ、摘発と復活、新旧の交代といった最新の動向とあわせて解説します。最後にセクションを総括します。

攻撃手法を学ぶことで、攻撃者の視点を得ることができ、彼らの意図や行動を先読みすることで攻撃を防ぐ戦略を立てることを可能にします。また、攻撃は複数のステップを経て行われるため、その各ステップに対して多層的な防御策を講じることで、効果的な防御が可能になります。さらに、攻撃発生時には迅速なインシデント対応が求められまずが、迅速かつ的確な対処が可能となります。詳細なステップの解説に進む前に、攻撃の全体像を概観しておきます。

初期侵入は、ランサムウェア攻撃の最初のステップです。警察庁の調査では、VPN機器とリモートデスクトップ（RDP）が侵入経路の大半を占めます。脆弱性、漏えいした認証情報、弱いパスワード、設定の不備がどう悪用されるかを、不審メールの経路とあわせて解説します。

受講者は、ランサムウェア攻撃者はシステムに侵入した後、セキュリティソフトを無効化しようとすることを学習します。単純なタスクマネジャーなどの方法ではセキュリティソフトを停止できませんが、攻撃者は標準的な管理ツールを悪用して正当な操作に見せかけたり、マルウェアをファイルとして保存せず、メモリ上で直接実行したりすることで検出を回避します。

また、攻撃者の踏み台端末は、C2サーバと呼ばれる外部の攻撃者のサーバから指示を受けて行動することを学びます。この踏み台端末にバックドアを仕込み、侵入経路が閉ざされないよう接続を維持し、社内ネットワーク内の通信が容易に拒絶されないようにします。

「権限昇格、内部探索、横展開」に関して、以下のような内容を解説します。

• 権限昇格: 攻撃者はまず弱い権限のアカウントで侵入しますが、より強力な権限のアカウントを取得しようとします。これを段階的に試み、ネットワーク内で重要なリソースへ到達しようとします。

• 内部探索: 侵入後、攻撃者はネットワークの構造やセキュリティ設定を理解するために情報を収集します。IPアドレス、OS、開放されているサービスの情報を集め、より重要なリソース（バックアップサーバ、認証サーバ）を発見します。

• 横展開: 権限を拡大した後、攻撃者はリモートアクセスツールなどを使って他の端末にも侵入を試みます。これにより、ランサムウェア実行などの影響範囲を広げられるようにします。

受講者は、攻撃者の最終段階のプロセスを学習します。攻撃者により重要なデータがクラウドストレージに転送されます。さらに、重要なファイルが暗号化されることで、データ復号が困難になり、業務継続に深刻な影響を与えます。最後に、身代金の要求が「ランサムノート」として表示され、交渉がチャットツールやメッセージアプリを通じて行われます。最後にこのセクションを総括します。

セクション６で学ぶことを概観します。このセクションは次の4つのパートと構成されています。

1つ目のパートでは、セキュリティ対策はセキュリティ担当者だけでなく、経営者やサプライチェーンに関わる企業も含め、全員で取り組むべきであることを学びます。

2つ目のパートでは、自社のセキュリティ状態を整理することが、防御策を取るための前提条件であることを学びます。

3つ目のパートでは、技術的な対策について説明されます。技術者でなくても、ランサムウェアに対抗するための基本的な技術的対策を知っておくことが重要です。

4つ目のパートでは、組織的な対策を学び、ランサムウェア対策の総合的な理解を深めていきます。

サプライチェーンの弱点が狙われる

大手企業や親会社のネットワークは堅牢な対策が整っている一方、子会社や取引先のネットワークが攻撃の侵入口になりやすいという現実を理解します。これにより、自社だけでなくサプライチェーン全体を守るための包括的なセキュリティ対策の重要性を認識します。

経営者のリーダシップ

経営者のリーダシップがサイバーセキュリティ強化に不可欠であること、特に経営資源をセキュリティに投資し、事業継続計画（IT-BCP）を整備する必要性を学びます。また、セキュリティリスクを適切に評価し、その対策を外部に示す透明性の重要性も理解します。

社員の意識がカギ

人間が最大のセキュリティーホールであり、フィッシングメールを介したランサムウェアの侵入リスクを社員一人ひとりが認識することの重要性を学びます。社員全員がセキュリティの一部を担っている意識が求められることを理解します。

具体的な防御策を講じる前に、「自社の状態を知る」ことが、敵の攻撃を防ぐための前提のステップであることを学びます。

また、情報資産管理台帳の整理がすべてのセキュリティ対策の基盤であることを学習します。この台帳の整備を通じて、どのような資産を企業が保有しているかを把握し、適切な管理を行うことができます。具体的には、パソコンやモバイル機器、サーバ、ネットワーク機器といったハードウェア資産、OSや業務アプリケーションといったソフトウェア、さらに、業務データやクラウド契約などのその他の資産も管理対象として含めるべきことを確認します。

「侵入口の洗い出し」、「ネットワーク図の作成」、「アカウント管理」について、効果的なランサムウェア対策の実施方法を学びます。

侵入口の洗い出しでは、インターネットに直接接続されるVPN装置やRDPなどのリモートアクセスツールが優先的に狙われやすいため、これらの監視と保護が必須です。

次に、セキュリティ対策向けにネットワーク構成図を作成し、ネットワークの範囲や重要資産、侵入口を明確にして可視化します。

最後に、アカウント管理として、不正に窃取されたアカウントを悪用されないため、全てのアカウントリストを管理し、各アカウントのアクセス権限や使用状況を把握することが重要です。

対策は技術的なものと組織的なものと大きく2つに分かれます。ここでは技術的な対策から解説していきます。企画部門や総務部門の方も、どんな対策が必要なのか、その考え方を知っておくことは、対策全体を理解する上で不可欠となります。

「外部接続機器の脆弱性対応」において、重要な対策は、VPN機器などの脆弱性を狙った初期侵入を防ぐことを学びます。多くの攻撃者は、これらの脆弱性を悪用してネットワークに侵入します。そこで、IT資産ごとにバージョン情報を管理し、脆弱性情報を収集してパッチマネジメントを実施することが必須です。また、保守会社や子会社にも対応を徹底させることで、全体のセキュリティレベルを向上させます。

アクセス制限では、指定された端末からのみVPN装置への接続を許可することで不正アクセスを防止します。また、公開されていないサービスに必要なポートを閉じて不要な通信経路を遮断します。さらに、ログイン試行回数に制限を設けることで、ブルートフォース攻撃による不正アクセスを防ぎます。

認証強化では、知識要素（パスワード）、所有要素（デバイス）、生体要素（指紋など）を組み合わせた多要素認証を実施し、攻撃者の侵入や権限の不正な昇格を防ぎます。パスワードは、大文字・小文字、数字、記号を含む複雑なものにし、例えば10文字以上を推奨します。さらに、パスワードの使い回しを避けることで、セキュリティを一層強化します。

ランサムウェア攻撃では、攻撃者はバックアップデータさえも暗号化の対象とするため、ネットワーク上のバックアップだけでは不十分です。オフラインやオフサイトにバックアップを取ることが重要で、「３－２－１ルール」に基づく多層的な対策が有効です。また、書き換え不可能なイミュータブルバックアップを採用することで、データの安全性が向上します。さらに、定期的にバックアップからの復旧シミュレーションを実施し、実際のインシデント発生時に迅速かつ確実に復旧できるか確認することが必要です。

ネットワークのセグメント化は、ランサムウェア攻撃に対する効果的な防御手段です。ネットワークをいくつかのセグメントに分割することで、攻撃者が初期侵入後に他の機器へ横展開するのを防ぎます。特に重要なサーバや機器は、通常のネットワークとは別のセグメントに配置し、アクセス制限を厳格にすることで、攻撃者がこれらのリソースに簡単にアクセスできないようにすることができます。

「最小権限の法則」は、ランサムウェア対策において重要なセキュリティ原則の一つです。タスクを実行するために必要な最小限の権限のみをユーザーに付与することで、攻撃者が侵入した場合でも、被害を最小限に抑えることができます。平常業務では、管理者権限を使用せず、強力な権限を持つアカウントの情報はブラウザに保存しないように運用することが推奨されます。

ランサムウェアに対する組織的対策について９つのポイントを概観します。まず情報セキュリティポリシーの策定が必要です。このポリシーは、組織全体で遵守すべきセキュリティ基準を明文化し、定期的に見直すことが求められます。また、平時の管理体制を整えつつ、専門チーム（CSIRTなど）の編成により、迅速なインシデント対応が可能になります。この他、予算や人材確保、サプライチェーンのセキュリティ対策、社員教育、外部監視委託などを含めた組織全体での対応が必要なことに触れます。

組織は情報セキュリティポリシーの策定し全体的な方針を定めます。まず、基本方針では、組織が情報セキュリティにどのように取り組むのかを社内外に表明します。これは、顧客や従業員に対し信頼を醸成するための公開文書です。次に、対策基準は、具体的にどのようなセキュリティ対策を内部で実施するのかを規定するものです。最後に、実施手順では、実際にどのようにセキュリティ対策を実行するのかを詳細に示した手順書です。この3つの要素を策定することが、サイバーリスクに対する適切な管理とインシデント対応の基盤となります。

管理体制の構築においては、平時から情報セキュリティを推進する体制を確立し、組織全体でセキュリティ意識を高めることが重要です。内部統制の観点から、各部門の責任と役割を明確にし、セキュリティ対策の実施状況を監査する仕組みを導入することで、対策が有効に機能しているかを継続的に確認します。また、インシデント発生時に迅速に対応できる体制を確保するため、CISO（最高情報セキュリティ責任者）をヘッドとし、CSIRT（サイバーセキュリティインシデント対応チーム）を中心とした実行体制を構築します。さらに、SOC（セキュリティオペレーションセンター）との連携を強化し、リアルタイムでの監視と分析を行うことで、迅速なインシデント対応を可能にします。このような体制の整備により、組織全体でサイバー攻撃に対する強靭な防御体制を構築できます。

受講者はランサムウェアを含むサイバーリスクを組織のリスク管理プロセスに取り込む方法を学びます。まず、企業が直面するリスク項目を洗い出し、分析や評価します。その後、リスクの大きさに基づいて優先順位を設定し、対策を実施することが求められます。

受講者は効果的なランサムウェア対策のためには、十分な予算と専門知識を持つ人材の確保が不可欠であることを学びます。事前対策やインシデント対応には、技術的な専門スキルを持つ人材が必要であり、これらの人材の育成や採用には投資が求められます。また、セキュリティツールの導入と維持費用、24時間365日の監視体制を維持するためのコストも無視できません。さらに、緊急時には外部ベンダーへの委託費用など、一時的な支出も必要です。これらのリソースの確保が、対策の効果を大きく左右します。

セキュリティツールの導入は、計画的に実施することが求められます。セキュリティ製品は多岐にわたるため、どの製品を選び、どの順序で導入するかが重要です。ガイドラインに沿って現状を把握し、目標に向けて対策を進めることで、効果的なセキュリティ体制を築くことができます。また、ガイドラインに沿った対策は、取引先や海外拠点とのセキュリティルールの共通言語として機能し、ステークホルダーに対してはセキュリティ対策を実施していることを示す客観的根拠となります。

ランサムウェア対策において、NISTサイバーセキュリティフレームワーク（NIST CSF）は、組織がサイバー攻撃から資産を守るための体系的なアプローチを提供します。CSFは、「特定」「防御」「検知」「対応」「復旧」の5つの主要な機能（※）から構成され、それぞれの機能がセキュリティ強化の重要な役割を果たします。これにより、受講者はCSFによるセキュリティ対策の概要を理解し、実践的な対策に結び付けます。CSFは国際的に通用するガイドラインであり、さまざまな組織での活用が期待されています。

※CSF 2.0では統治（ガバナンス）を加えた6機能構成。本講義は理解しやすさを優先した簡略図です

補足：最新版のCSF 2.0 の機能は「統治（GOVERN）」を含む6つで、順番に進めるものではなく、並行して取り組むものです。また、ティアは組織のリスク管理の厳格さを表す段階で、常に最上位を目指すものではありません。リスクや費用対効果に応じて選びます。

EDR（Endpoint Detection & Response）は、PCなどの端末（エンドポイント）を保護するためのセキュリティ製品です。その強みは、サーバにイベントログを送信して分析させ、不審な挙動や異常な動きをリアルタイムで監視しできることにあります。これにより、侵入や感染の兆候を早期に察知し、感染が疑われる端末をすぐに動作停止やネットワークからの遮断を行い、被害の拡大を防止します。このように、EDRはエンドポイントを中心に、インシデントに対する迅速な対応を可能にします。

サプライチェーン全体でセキュリティ対策を最適化することは、ランサムウェアの脅威に対する重要な防御策です。自社だけでなく、取引先や委託先、さらには国内外の拠点まで、すべての関係者が連携してセキュリティを強化する必要があります。そのため、契約書で責任範囲を明確化し、共有する情報の機密性に応じた対策を講じることが重要です。委託先の選定時には、技術力やISMS取得、サイバー保険の加入状況を考慮し、全体として相互に協力しながらセキュリティ対応力を高める姿勢が求められます。

教育訓練は、全社員のITリテラシーを向上させることで、組織全体のセキュリティレベルを引き上げ、ランサムウェア攻撃からの防御力を強化する重要な対策です。一般社員向けの教育訓練では、特にパスワードの管理方法やフィッシングメールの見分け方、セキュリティアップデートの重要性について理解を深めてもらいます。これにより、セキュリティ担当者だけでなく、全社員がサイバー攻撃に対して意識を高く持ち、日常業務の中で安全な行動を取ることができるようになります。

外部委託によるセキュリティ監視の導入は、自社内で24時間365日体制のセキュリティ運用が難しい企業にとって効果的な手段です。特に、SOCを自前で持つには、専門知識を持つ人材の確保や多額の運用コストが必要なため、中小企業では実現が困難です。外部委託を利用することで、セキュリティツールを専門的に扱うベンダーや、複数のベンダー製品に対応できる専業の事業者に監視を委託し、インシデント対応の迅速化と高品質なセキュリティ体制を実現できます。

サイバー保険は、企業がサイバーリスクに直面した際に発生する損害を補償するための保険です。具体的には、損害賠償費用、訴訟費用、インシデント対応費用などが含まれます。サイバー保険は大きく分けて、一般的なサイバーリスクに対応するものと、個人情報漏えいに対応する二種類があります。保険を活用することで、サイバー攻撃による経済的な負担を軽減できますが、保険がカバーする範囲と自社の責任範囲を明確にしておくことが重要です。また、身代金は基本的に補償対象外となります。

最後にこのセクションを総括します。

このセクションの全体像を概観します。このセクションは、「初動対応」と「対応・復旧」の２つのパートで構成されています。具体的には、インシデントの検知からトリアージ、対応体制の構築、専門機関への相談、外部機関への報告・公表、そして被害の拡大防止、原因の特定と対処、証拠保全、復旧作業、最終報、再発防止策に至るまで、各ステップの流れを詳細な解説の前に把握します。

受講者は、どのような経路でインシデントにつながるイベントが認知されるかを学びます。一つ目として、セキュリティツール（SIEMやEDR）によって、不審な振る舞いや不正侵入の検知される場合、2つ目として、社内での暗号化されたファイルやランサムノートの発見され通報がある場合です。外部から通報を受けることもあります。

また、内部通報窓口の事前設定と周知の重要性、外部通報窓口の適切な公開手順についての知識も習得します。

受講者はトリアージの概念を理解します。アラート分析や発見者へのヒアリングを通じて、インシデントの全容を正確に把握し、誤検知や軽微な事象を適切に判断し無駄なリソース消費を避けます。最終的には、緊急度と重要度に基づいてインシデントの優先順位を決定し、全組織的な対応が必要なケースと個別対応で済むケースを区別できるようにします。

受講者は、インシデント発生時に経営層が迅速に、CISO主導のもとCSIRTを中心とする社内対応体制を構築する重要性を理解します。ステークホルダーへの適切な情報共有や、社内外のコミュニケーションを可能とする体制を確立します。また、対応計画の策定と進捗管理、想定問答集の作成がカギになることを学びます。

ランサムウェア攻撃の高度な手法に対し、自社だけで対応することは困難であり、専門機関へ早期に相談することの重要性を学びます。攻撃の技術情報やランサムノートの内容などを収集し、迅速に専門家へ提供することで、攻撃の種類や侵入経路を特定しやすくなります。また、外部専門機関による被害調査の重要性やその利点を理解します。

外部機関への報告は、法令や告示に基づくものと自発的に行うものの2種類があり、それぞれのポイントを学びます。法令や告示に基づく報告や公表には、警察、IPA、所管省庁、個人情報保護委員会あてに行うものがあることを確認します。加えて、自発的に行う報告や公表については、取引先への報告の重要性、一般社会への公表タイミングの判断基準、さらには公表内容の具体例について学びます。報告に使う書式（国の共通様式）と、平時の準備は、セクション8で扱います。

※動画では、個人情報保護委員会への確報の期限を「30日以内」とお話ししています。ただし、ランサムウェアなど不正アクセスによる漏えいは「60日以内」です（個人情報保護法施行規則第8条）。

被害の拡大防止を行うことで、インシデント初期段階で被害の最小化を図ることを学びます。データ窃取・暗号化の前後によって対応が異なり、それぞれの場合の対応について解説します。データ窃取・暗号化前の場合は、機器のネットワークからの切り離し、侵害されたアカウントの変更、他拠点ネットワークのアクセス制御などを行います。

他方、データ窃取・暗号化後の場合、バックアップデータを保全することを最優先に行います。

原因の特定と対処では、まず疑わしい侵入経路を推定し、その経路に対して対策を施すという過程を経ます。ただし、このとき再侵入による攻撃を受ける可能性に留意し、状況の観察を怠らないことが重要です。

侵入経路推定にあたっては、侵害が深刻でログが利用できないときは、典型的な侵入経路（VPN等）からアプローチし、侵害範囲が限定的なときは、その侵害痕跡からアプローチします。

侵入経路への対処については、主にパスワードの変更、多要素認証の導入、設定不備の修正、脆弱性への対応などを実施します。

このレクチャーでは、証拠保全の重要性を学びます。侵害の原因の究明、訴訟されたときの証拠、サイバー保険の請求、犯罪捜査への対応など幅広く利用されます。侵害痕跡は消失しやすいので、慎重に専門機関と相談しつつ進めることが推奨されます。

復旧作業については、再侵入に備えて侵害経路への対処をしっかり行ったこと、証拠保全を行ったことを確認の上、進めます。実際のところ、システムの復旧には時間がかかることが多いので、事業継続計画を発動し、手作業などによる事業継続を検討します。

暗号化されたファイルは、復号鍵無しでは復号することが難しいので、バックアップからの復旧を目指します。

復旧後は、再侵入されたり、未だに攻撃者が侵入中である場合に備えて、動作ログの分析などを行って監視を継続します。

身代金の支払いは、リスクが多様にあり推奨されません。ただし、最終的にどうするかは経営判断となります。※2026年9月時点でも、日本に身代金の支払いを禁じる法律はありません。政府も参加する国際的な指針（CRI「ランサムウェア・インシデント発生時の組織向けガイダンス」）では、支払いを避けるよう強く勧めています。

第１報ではインシデントの状態がはっきりしていないことが多いので、第２報以降、調査の進展に応じて追加情報を公表します。最終報では、被害者への補償、再発防止策、法的措置、今後の問い合わせなどを伝え、透明性と信頼を確保するよう努めます。

インシデントから復旧後は、報告書として整理し、経営層やステークホルダーに報告します。また、再発防止策として、セキュリティポリシーの見直し、セキュリティ予算と人員の確保、社員教育などを、得られた教訓をもとに実施してきます。

最後にこのセクションを総括します。

「国の新しい制度を、ランサムウェア対策の企画にどう組み込むのか」を学ぶセクションの導入です。社会機能が止まってしまった被害事例を背景に、サイバー対処能力強化法が、基幹インフラ事業者に何を義務づけたのかを確認します。

自社が、強化法の対象事業者なのか、その取引先なのか、どちらでもないのかを確認します。そのうえで、国が企業に求めていることを「平時に対策の水準を示す」「有事に決まった形で報告する」の2つに整理します。このセクションで扱わない論点にも触れます。

取引先の対策状況を共通の物差しで見える化する「SCS評価制度」を取り上げます。星3と星4の違い、取引先の振り分け方、発注する側の責任を確認し、企画書に入れる項目をまとめます。

VPN装置やルータなど、インターネットとの境界にある機器を取り上げます。SCS評価制度の星4では、こうした機器に重大な脆弱性が残っていないかを、実際に検査します。あわせて、機器のラベル制度「JC-STAR」の背景と現在の使われ方を確認し、機器を選ぶ基準を企画書に入れます。

省庁ごとに違っていた報告の書式を統一した「共通様式」を取り上げます。ランサムウェア事案の様式に何を書くのか、分からない項目はどう扱うのかを確認します。

共通様式に書かれている、感染時の留意事項を確認します。そのうえで、報告先と期限の一覧づくり、様式の事前記入、委託先との契約内容の確認など、平時にやっておくことをまとめます。

コース全体を1枚の図で振り返り、学んだことを1冊の企画書にまとめるためのひな形を紹介します。ひな形と記入例（架空の会社）は、このレクチャーのリソース欄からダウンロードできます。

最初の3か月で手を付けることと、変わり続ける攻撃や制度に、年に1回どこを確かめて備えるかをお話しします。