「金曜夜、給食センターの VPN 機器経由で侵入された。気付いた時には電子カルテが全部暗号化され、月曜朝の手術 60 件が全部中止になった。」 2022 年 10 月 31 日、大阪急性期総合医療センター (病床 768 / 高度急性期医療を担う大阪府の基幹病院) が経験した実際の事案です。
復旧まで 電子カルテが約 2 ヶ月停止、新規入院・予約手術の制限、外来診療の縮小、転院対応――公式報告書 (2023-03 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会報告書) は、「侵入経路は委託先 VPN 機器の既知脆弱性」「侵入から検知まで一定期間を要した」「全社的なセキュリティ管理の不備」 を率直に認めました。
ランサムウェアは 「気付いた瞬間に始まる」のではなく、「侵入されてから数週間〜数ヶ月の準備期間を経て発火する」 ものです。IBM「Cost of a Data Breach Report 2024」によれば、データ侵害の 検知 + 封じ込めに平均 258 日 (約 8.5 ヶ月) かかります。バイブコーディング (vibe coding = AI に書かせて雰囲気で作る開発スタイル) で運用している中堅企業は、ログ・監視・EDR が無いため検知期間がさらに長くなります。
本記事は連載「バイブコーディング危機」第 6 回として、公開報道済 5 事案、気づかない 6 ヶ月の構造、バイブコーディング環境が脆い 5 ポイント、中堅 EDR / MDR 4 ツール比較、SOC 内製 vs 外部 MSSP 選択基準、phishing 訓練 90 日プラン、被害発生時 初動 30 分手順、緊急 5 項目、FAQ を一次ソース 24 件で整理します。
**連載「バイブコーディング危機」**は、AI で自社システムを開発する中堅企業向けに、専門家不在で起きるリスクを1 本ずつ深掘りします。 第 1 回（概論 + 7 リスク類型 + チェックリスト 10 項目） 第 2 回（SQL Injection の現実 5 パターン） 第 3 回（認可漏れの現実 5 シーン） 第 4 回（江崎グリコ 4 ヶ月 BCP + 財務インパクト） 第 5 回（DELETE FROM データ消失 + 6 安全機構）
目次
- 大阪急性期総合医療センター 2022 事案の時系列（公式報告書引用）
- 公開報道済 ランサム被害 5 事案
- 「気づかない 6 ヶ月」の構造（lateral movement / persistence / evasion）
- バイブコーディング環境が脆い 5 ポイント
- 中堅企業向け EDR / MDR 4 ツール比較
- SOC 内製 vs 外部 MSSP 選択基準（月額予算別）
- phishing 訓練 90 日プラン
- 被害発生時 初動 30 分手順
- 既存システムの「今すぐ」やる緊急 5 項目
- よくある質問（FAQ 12 問）
- 参考一次ソース
大阪急性期総合医療センター 2022 事案の時系列（公式報告書引用）
事案の重要性: 大阪府の基幹病院 (病床 768、年間外来 約 53 万人) が 約 2 ヶ月にわたって電子カルテ・会計システムを失った 国内最大規模の医療機関ランサム事案です。公式調査委員会報告書が 「委託先 VPN 機器の既知脆弱性」「侵入経路の検知不能」「全社的セキュリティ管理不備」 を率直に認めた点で、過去 10 年で最重要の医療系インシデント事例といえます。
参考: 大阪急性期・総合医療センター「情報セキュリティインシデント調査委員会報告書」(2023-03-28)
時系列（公式報告書より）
| 日付 | 出来事 |
|---|---|
| 2022-10-31 早朝 | 給食センター業務委託先の VPN 機器経由でランサムウェア侵入、電子カルテ・会計システム暗号化開始 |
| 2022-10-31 朝 | 病院職員が電子カルテにアクセス不能と気付く、当日の手術 約 60 件中止判断 |
| 2022-11-01 | 公式に「サイバー攻撃を受けた」発表、外来診療制限・新規入院停止 |
| 2022-11-02 - 2022-11 末 | 警察 / 個情委 / 厚労省 / セキュリティベンダー (Trend Micro 等) 対応開始、紙運用へ移行 |
| 2022-12 中旬 | 部分的電子カルテ再開 (一部機能 / 一部部門) |
| 2022-12-29 | 通常診療再開、ただし完全復旧は翌年 |
| 2023-01-11 | 全機能完全復旧公表 (約 73 日間の影響) |
| 2023-03-28 | 公式調査委員会報告書発表（侵入経路の詳細、再発防止策） |
侵入経路の詳細（公式報告書より）
- 入口: 給食センター運営の委託先企業の Fortinet 製 VPN 機器 に存在した 既知の脆弱性 (CVE-2018-13379) が未パッチ
- 侵入後: 委託先ネットワークから病院本体ネットワークへ lateral movement
- 暗号化対象: 電子カルテ DB + 会計システム DB + 一部バックアップ
- 要求: 身代金要求はあったが病院側は支払い拒否を表明
- 攻撃者: 公式には特定されていません (報道では Phobos / BlackCat / LockBit いずれかの可能性が指摘)
業務・財務インパクト（公式公表 + 報道ベース）
- 電子カルテ停止期間: 約 2 ヶ月 (10/31-12/29)
- 手術中止: 当日 60 件 + 後続継続 (報道による、合計推定数百件)
- 外来診療影響: 約 2 ヶ月にわたり制限
- 転院対応: 急性期患者の他院転送
- 金銭的損害: 復旧費用 + 業務逸失機会 で 数十億円規模 (報道による、公式数字非公開)
この事案から学ぶ 5 つの教訓
- 委託先経由の侵入は最も多いパターン: 自社対策だけでは不十分、サプライチェーンセキュリティが必須
- 既知 CVE の未パッチが命取り: CVE-2018-13379 は 2018 年公開、攻撃成功は 2022 年 = 4 年放置
- VPN 機器は最重要セキュリティ境界: 全パッチ管理 / 多要素認証 / アクセスログ監査 が必須
- 電子カルテ停止 = 病院機能停止: BCP の中で「紙運用」を本気で設計する必要あり
- 公式 incident report は最強の教科書: 自社の対策見直しに必読
重要な注記: 本事案は 大手医療機関の電子カルテ環境 で発生したものであり、「バイブコーディング起因」と断定するものではありません。中堅企業のバイブコーディング環境では 同種の「VPN 機器・ログ・パッチ不備による侵入と長期潜伏」現象がより低い検知能力下で頻繁に起きる確率が高い、という観点で参照します。
AI ASSESSMENT
PoC の前に「そもそも使えるか」を30分で見極めませんか？
情シス部門の稟議書作成をサポートする無料の30分壁打ち。ROI 試算シート・失敗要因チェックリストをその場で共有します。
公開報道済 ランサム被害 5 事案
事案 1: 大阪急性期総合医療センター 2022（上記詳細）
- 停止期間: 約 2 ヶ月 (電子カルテ全停止)
- 侵入経路: 委託先 VPN 機器の未パッチ脆弱性
- 出典: 公式調査委員会報告書 (2023-03)
事案 2: 名古屋港運協会 2023-07（コンテナ取扱 3 日停止）
概要: 2023 年 7 月 4 日、名古屋港の 「名古屋港統一ターミナルシステム (NUTS)」 がランサムウェアに感染し、5 つの全ターミナルで コンテナ取扱業務が約 3 日間停止しました。名古屋港は国内貨物取扱量 1 位の港湾です。
技術的原因 (名古屋港運協会 公式報告書より): VPN 機器を経由した侵入で、ランサムウェア「LockBit 3.0」と推定されています。
結果:
- 約 3 日後の 7 月 6 日 18:15 頃に業務再開
- トヨタ自動車をはじめとする中部圏製造業の物流に大きな影響
- 公式調査報告書発表
バイブコーディングとの関連: 「自社システムは動いていても、サプライチェーン (港湾 / 物流 / 決済) が止まれば連鎖停止」 します。中堅企業は 自社業務を支える外部システムの BCP も視野に入れる必要があります。
出典:
事案 3: 徳島県つるぎ町立半田病院 2021-10（2 ヶ月紙運用）
概要: 2021 年 10 月 31 日、徳島県つるぎ町立半田病院 (病床 120) が LockBit 2.0 に感染し、電子カルテ・会計システムが暗号化されました。約 2 ヶ月にわたり紙運用 で診療を継続し、新規外来を制限しました。
技術的原因 (公式調査報告書より):
- VPN 機器の脆弱性 (Fortinet FortiGate、CVE-2018-13379) 経由で侵入
- 業務用端末のセキュリティ対策ソフトが感染を検知できず
- ネットワーク分離不備で電子カルテサーバまで侵害が拡大
結果:
- 2022 年 1 月に診療再開
- 2022 年 6 月 7 日に 公式調査報告書発表 (院内コミッティ独立委員による)
- 損害推定 数億円 (復旧費 + 業務逸失機会)
この事案の意義: 公式調査報告書が極めて詳細で、医療機関セキュリティの教科書として日本中の医療機関 / 中堅企業で参照されています。
出典:
事案 4: KADOKAWA / ニコニコ動画 2024-06（約 1 ヶ月停止）
概要: 2024 年 6 月 8 日、KADOKAWA グループに大規模ランサムウェア攻撃が発生しました。ニコニコ動画 / N予備校 / KADOKAWA 出版・物流システム が長期停止しました。攻撃者集団「BlackSuit」が犯行声明を出しました。
技術的原因 (KADOKAWA 公式報告書より): 詳細は調査中の部分が多いものの、フィッシング起点 → 内部認証情報窃取 → 多段の lateral movement が報じられました。
結果:
- ニコニコ動画 / N予備校サービス 約 2 ヶ月部分停止
- 約 25 万件 (推定) の個人情報流出
- 出版業務の停滞 (流通 / 印刷)
- KADOKAWA は 身代金支払い否定を公表
- 2024 年 8 月以降に段階復旧
バイブコーディングとの関連: フィッシングを起点とする侵入は、人間の判断ミスを攻撃する ため、技術的対策だけでは防げません。phishing 訓練 + EDR + 認証情報窃取検知 が組み合わさって初めて防御線になります。
出典:
事案 5: コニカミノルタ 2024-08（約 1 ヶ月生産影響）
概要: 2024 年 8 月、コニカミノルタの北米拠点でランサム攻撃が発生しました。北米の業務システムが影響を受け、生産・出荷の遅延が発生しました。
結果:
- 約 1 ヶ月で部分復旧
- 日本本社への直接影響は最小限 (グローバル拠点分離が機能)
- IR で開示済
この事案の意義: グローバル展開する中堅・大手は 「拠点単位のセキュリティ境界分離」 が重要です。1 拠点感染で全社停止しない設計が求められます。
出典:
5 件の共通パターン
| 共通点 | 該当事案 |
|---|---|
| VPN 機器 / 認証情報経由の侵入 | 大阪急性期 / 半田病院 / 名古屋港 |
| 既知 CVE の未パッチが直接原因 | 大阪急性期 / 半田病院 (Fortinet) |
| 委託先 / グループ会社経由の侵入 | 大阪急性期 / KADOKAWA |
| 完全復旧まで 1-2 ヶ月以上 | 大阪急性期 / 半田病院 / KADOKAWA |
| 公式 incident report 発表 | 大阪急性期 / 半田病院 (詳細) |
「気づかない 6 ヶ月」の構造（lateral movement / persistence / evasion）
ランサム被害が 侵入から発覚まで長期化する 構造を理解することが、検知・防御の起点になります。
検知期間の統計
参考: IBM「Cost of a Data Breach Report 2024」 / Verizon DBIR
| 指標 | 値 |
|---|---|
| データ侵害の 検知 + 封じ込め平均期間 | 約 258 日 (約 8.5 ヶ月) |
| 検知のみ の平均期間 | 約 194 日 |
| 封じ込め の平均期間 | 約 64 日 |
| 1 件あたりのデータ侵害平均コスト (グローバル) | 約 488 万 USD |
| ランサムウェア被害の中央値復旧コスト | 約 156 万 USD (Sophos 2024) |
中堅企業のバイブコーディング環境では、ログ・監視・EDR が不在のため、検知期間がさらに長くなる傾向があります。
「気づかない 6 ヶ月」を構成する 5 段階
段階 1: 初期侵入 (Initial Access) - 0-3 日
- 手段: フィッシング / VPN 機器の CVE 悪用 / 認証情報の漏洩流用 / 委託先経由
- 検知ポイント: 通常はここでは検知されない (新しい接続 / 通常パターン)
- 対策: MFA / VPN パッチ管理 / 委託先セキュリティ監査
段階 2: 内部偵察 + Lateral Movement - 1 週間〜3 ヶ月
- 手段: ネットワークスキャン / Active Directory 探索 / 既存の正規ツール (RDP / PowerShell / WMI) 悪用
- 検知ポイント: 不審な PowerShell 実行 / 認証情報の異常使用 / ネットワーク異常通信
- 対策: EDR (Endpoint Detection and Response) が決定打、SIEM / SOC 連携
段階 3: Persistence + 権限昇格 - 1 週間〜数ヶ月
- 手段: 永続化メカニズム設置 (サービス登録 / 起動時実行 / DLL hijack) + ドメイン管理者権限の窃取
- 検知ポイント: 新規サービス登録 / 管理者アカウントの異常利用
- 対策: EDR + 特権アカウント管理 (PAM) + 監査ログ
段階 4: Defense Evasion + データ窃取 - 1 週間〜数ヶ月
- 手段: セキュリティツール無効化 / バックアップ削除 + 機密データ抜き取り (double extortion)
- 検知ポイント: セキュリティツール停止アラート / 大量データ転送
- 対策: EDR の自己保護機能 / DLP (Data Loss Prevention) / バックアップ独立性
段階 5: ランサム発火 - 0-数時間
- 手段: 全社一斉暗号化 + 身代金要求
- 検知ポイント: ここで初めて気付く (= 手遅れ)
- 対策: もはや復旧フェーズ、3-2-1-1 バックアップが命綱
段階別 検知率と影響範囲
| 段階 | 検知率 (一般中堅企業) | 影響範囲 | 復旧コスト |
|---|---|---|---|
| 段階 1 (侵入) | 5% 以下 | 限定 | 0-100 万円 |
| 段階 2 (lateral) | 10-20% | 部分 | 100-500 万円 |
| 段階 3 (persistence) | 10-20% | 拡大 | 500-3,000 万円 |
| 段階 4 (窃取) | 20-30% | 重大 | 1,000-5,000 万円 |
| 段階 5 (暗号化) | 100% | 全社 | 5,000 万 - 数億円 |
段階 2-3 で検知できれば被害は 1/10 以下になります。これこそが EDR / MDR への投資理由です。
バイブコーディング環境が脆い 5 ポイント
中堅企業のバイブコーディング環境がランサムに脆い構造的 5 ポイントを挙げます。
脆い 1: ログ取得していない / 保管期間が短い
典型: バイブコーディングで作った業務システムにアクセスログ・操作ログがありません。あっても 7 日で消えます。
問題: ランサム侵入の 「気づかない 6 ヶ月」のうち、最初の数ヶ月の証跡が消える → 侵入経路特定不能 → 再侵入リスクが高くなります。
対策:
- 全システムでアクセスログ + 操作ログ取得
- ログ保管期間 最低 90 日、可能なら 1 年 (NIST SP 800-92 推奨)
- ログ集約 (SIEM: Splunk / Elastic / Datadog 等) 導入
参考: NIST SP 800-92 (Guide to Computer Security Log Management)
脆い 2: 監視ツールなし / アラート未設計
典型: サーバー稼働の最低監視 (CPU / メモリ) はありますが、セキュリティ観点の監視はありません。
問題: lateral movement や認証情報異常を検知する仕組みがゼロのため → 段階 2-3 で気付けません。
対策:
- 連載第 4 回参照 (監視 4 ツール比較)
- 追加でセキュリティイベント監視 (Windows Event Log の特定イベント / Auditd 等)
脆い 3: WAF / IPS / EDR なし
典型: クラウド標準のセキュリティ機能 (AWS Shield / GCP Cloud Armor 等) も未有効化で、エンドポイント保護は無料 Defender のみです。
問題: 既知攻撃パターンも検知できず、ゼロデイには完全無防備です。
対策:
- WAF: AWS WAF / Cloudflare / Akamai のいずれか (月 5-30 万円)
- EDR: 後述の 4 ツール比較を参照
- IPS: ネットワーク機器内蔵機能 or 別途専用機器
脆い 4: インシデント対応演習なし
典型: BCP 文書はありますが、ランサム想定の演習を 1 回もやったことがありません。
問題: 実際にランサム発火した時、誰が何をするか不明 → 初動 30 分で被害が拡大します。
対策:
- 年 1 回 ランサム想定演習 (テーブルトップ + 部分実機)
- 連載第 5 回参照 (年 1 回 本物リストア演習)
脆い 5: SOC (Security Operation Center) なし
典型: 24h 365d でセキュリティアラートを監視する人がいません。情シス 1-3 名は夜間・休日対応が不能です。
問題: ランサム攻撃は 夜間・休日に集中 します (Sophos 2024 調査: 攻撃の 60%+ が業務時間外)。
対策:
- 外部 MSSP (Managed Security Service Provider) 契約 (月 30-200 万円)
- ハイブリッド: 内製アナリスト 1-2 名 + 外部 24h 監視
- 詳細は後述「SOC 内製 vs 外部 MSSP 選択基準」参照
5 ポイント自社チェック表
| ポイント | 自社状態 | 優先度 |
|---|---|---|
| ログ取得 / 保管 | □ 全システム取得 □ 保管期間 90 日以上 | 高 |
| 監視ツール | □ 稼働監視あり □ セキュリティ監視あり | 高 |
| WAF / EDR | □ WAF 有効 □ EDR 全端末展開 | 致命 |
| 演習 | □ 年 1 回以上ランサム演習 | 中 |
| SOC | □ 24h 監視体制あり (内製 or 外部) | 致命 |
致命項目 (WAF/EDR + SOC) が未対応なら、即時着手しましょう。
中堅企業向け EDR / MDR 4 ツール比較
EDR (Endpoint Detection and Response): エンドポイント (PC / サーバ) で異常を検知 + 自動対応 + 詳細フォレンジック MDR (Managed Detection and Response): EDR + 24h 365d の外部監視オペレーション
4 ツール比較表
| ツール | 形態 | 料金体系 (目安) | 強み | 弱み | 国内サポート |
|---|---|---|---|---|---|
| CrowdStrike Falcon | クラウド SaaS | 月額 5,000-15,000 円/台 (10-100 台) | 業界トップ、AI 検知精度 | 価格、機能多すぎ | 日本法人あり |
| Microsoft Defender for Endpoint | クラウド SaaS | 月額 3,000-8,000 円/台 (M365 込) | Windows 強い、Office365 統合 | macOS / Linux はやや弱め | フル日本語 |
| SentinelOne Singularity | クラウド SaaS | 月額 4,000-12,000 円/台 | AI 自動対応 (Active EDR) | 比較的新興 | 日本法人あり |
| Cybereason EDR | クラウド SaaS | 月額 4,000-10,000 円/台 | 国内市場強い、攻撃ストーリー可視化 | 海外市場シェア低い | フル日本語 + 国内 SOC |
参考:
中堅企業向け選び方フロー
M365 E5 を既に契約している → Microsoft Defender for Endpoint (追加コスト最小)
コスト最優先 + Windows 中心 → Microsoft Defender for Endpoint
予算 OK + 最強検知精度 → CrowdStrike Falcon
AI 自動対応を重視 → SentinelOne
国内 SOC 完全日本語サポート必須 → Cybereason
EDR 単独 vs MDR (24h 監視つき) 選択
| 項目 | EDR 単独 | MDR (24h 監視) |
|---|---|---|
| 月額 (100 台) | 30-150 万円 | 100-400 万円 |
| 検知 | 自動 | 自動 + 人間アナリスト |
| 24h 対応 | 内製で実施要 | 外部 SOC で実施 |
| 適用 | 情シス 3-5 名 + 夜間判断可 | 情シス 1-2 名 + 夜間対応不能 |
中堅企業 (情シス 1-3 名) は MDR 推奨です。内製で 24h 365d は現実的に不可能です。
EDR 展開時の必須 5 設定
- 全端末 (PC / サーバ / 仮想マシン) に展開: 部分展開は侵入路になります
- 自動応答モード ON: 検知時に即時隔離 (人間判断待ち禁止)
- 管理者権限分離: EDR 管理者と OS 管理者を別アカウントに
- アラートを Slack + メール + SMS の 3 経路: 1 経路だと見落とします
- 月次レビュー + 四半期チューニング: 誤検知を減らし真の脅威を浮上させます
SOC 内製 vs 外部 MSSP 選択基準（月額予算別）
内製 SOC の現実
24h 365d 監視を内製で回すには 最低 5 名のセキュリティアナリスト が必要です (3 シフト + 休暇カバー)。
| 項目 | コスト |
|---|---|
| アナリスト 5 名 × 年収 800 万 | 4,000 万 / 年 |
| マネージャ 1 名 | 1,200 万 / 年 |
| SIEM ライセンス / インフラ | 500-1,500 万 / 年 |
| 教育 / 認定資格 (CISSP / GIAC 等) | 200-500 万 / 年 |
| 合計 | 約 6,000-7,500 万 / 年 |
中堅企業の現実: ほぼ無理です。年商 100 億の企業でも IT 予算の 10% (1 億) では足りません。
外部 MSSP (Managed Security Service Provider) の現実
| サービスレベル | 月額 (目安) | 内容 |
|---|---|---|
| 基本監視 | 30-80 万円 | 8/5 監視 + メール通知のみ |
| 24h 監視 | 80-200 万円 | 24h 監視 + 電話通知 + 初期対応支援 |
| MDR (EDR 監視 + 対応) | 150-400 万円 | EDR 連動 + 隔離対応 + フォレンジック |
| 完全アウトソース | 300-800 万円 | SIEM 構築 + 24h SOC + インシデント対応一式 |
中堅企業向け選択フロー
予算 月 30-80 万 → 基本 MSSP + 内製で日次レビュー
予算 月 80-200 万 → 24h 監視 MSSP + 内製で対応判断
予算 月 150-400 万 → MDR フル (推奨)
予算 月 300 万以上 → 完全アウトソース or 内製ハイブリッド
ハイブリッド構成（中堅企業推奨）
| 役割 | 担当 |
|---|---|
| 検知 (24h) | 外部 MSSP / MDR |
| 初動判断 | 外部 SOC + 内製 1 名 |
| 復旧対応 | 内製 + 外部 SIer |
| アーキ設計 | 内製 + 外部 CTO 顧問 |
完全内製も完全外注も極端です。情シス 1-3 名の中堅企業はハイブリッドが現実解です。
国内主要 MSSP / MDR ベンダー
- NTT セキュリティ・ジャパン: 国内最大手、大企業中心
- LAC (株式会社ラック): JSOC 運営、国内シェア高い
- MBSD (三井物産セキュアディレクション): 中堅以上対応
- GMO サイバーセキュリティ byイエラエ: 中堅向け価格帯
- Cybereason MDR: 国内 SOC + EDR 統合
phishing 訓練 90 日プラン
ランサム侵入の入口で最も多いのは フィッシング です (Verizon DBIR / Sophos)。中堅企業向け 90 日訓練プランを示します。
Week 1-2: 教材選定 + 基準設定 (5h)
- 教材候補:
- KnowBe4 (世界最大手、日本語対応)
- Proofpoint Security Awareness
- 国内: SecuriE / トレンドマイクロ Phishing Simulator 等
- 引っかかり率の現状計測 (ベースライン取得)
- 目標設定 (90 日後の引っかかり率 < 5%)
Week 3-4: 初回訓練 + 教育コンテンツ (15h)
- 初回 phishing メール送信 (全社員)
- 引っかかった社員 → 即時 5 分動画教材 + フォローアップ
- 引っかからなかった社員 → 賞賛通知
Week 5-8: 月次訓練 + 多様化 (10h × 2)
- パターンを変えて 月 1 回送信
- 偽 IT 部門メール
- 偽請求書
- 偽 Office 365 ログイン
- 偽宅配通知
- 引っかかり率の推移を全社共有
Week 9-10: 高度シナリオ + 役職別 (10h)
- 役職別カスタマイズ
- 経営層: BEC (Business Email Compromise) 対策
- 経理: 偽支払指示
- 営業: 偽顧客からの URL クリック
- 引っかかり率が 10% 以上の部署を特定 → 集中教育
Week 11-12: 振り返り + 制度化 (5h)
- 全社引っかかり率レポート発表
- 引っかかった社員の人事評価への組み込み判断 (議論必要)
- 半期に 1 回の制度化 (BCP の一部に統合)
90 日後の到達目標
- 全社引っかかり率 5% 以下
- 経営層・経理の引っかかり率 1% 以下
- 報告率 (フィッシング疑いをすぐ IT に通報) 80% 以上
- 訓練が文化として定着 (社員から「次回はいつ？」と聞かれる状態)
コスト
- KnowBe4 等: 1 ユーザー年 1,000-3,000 円 (100 名で年 10-30 万円)
- 内製運用工数: 月 5h × 3 ヶ月 = 15h
- 合計年間コスト: 30-80 万円
被害発生時 初動 30 分手順
ランサムが発火した瞬間の 最初の 30 分で被害規模が決まります。手順を事前に決めておきましょう。
0-5 分: 検知 + 通報
- 異常検知 (EDR アラート / ユーザーから「ファイルが開けない」報告)
- 情シス Slack #incident に第一報投稿 (発生時刻 / 影響範囲速報)
- 情シス責任者 + 経営層への電話 (営業時間外でも遠慮なし)
5-10 分: ネットワーク隔離
- 該当端末 / セグメントの ネットワーク切断 (LAN ケーブル抜く / 仮想スイッチで隔離)
- 侵害拡大を物理的に止める
- VPN 接続中なら VPN 切断
- 暗号化進行中なら 「電源コードを抜く」（議論あり、調査妨害の懸念ありだが拡大抑止優先）
10-15 分: 全社通報 + 業務停止判断
- 経営層 + 部門長への通知
- 影響部署で 業務を即時停止 vs 紙運用切替 判断
- 顧客対応窓口に「障害発生中、復旧時間未定」と通達
- ステータスページ更新
15-20 分: バックアップ + 復旧手段確認
- 最新バックアップの取得元 + サイズ + mtime 確認
- バックアップサーバが侵害されていないか確認
- 連載第 5 回参照: バックアップ復旧失敗 5 シーン
20-25 分: 外部支援要請
- 契約済セキュリティベンダー (MSSP / MDR) に緊急通報
- IPA セキュリティ相談窓口 (24h): 0120-666-553
- JPCERT/CC: 03-3518-4600
- 警察庁サイバー対策窓口 / 都道府県警サイバー犯罪相談窓口
25-30 分: 通知判断
- 個情委への速報判断 (改正個情法 漏えい等報告)
- 取引先・顧客通知の判断 (影響範囲 + リーガル相談)
- メディア対応の判断 (上場企業は適時開示義務)
- 警察への被害届の判断
初動 30 分テンプレ（A4 1 枚で印刷）
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
ランサム発覚時 初動 30 分手順 v1.0
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
0:00 検知 → Slack #incident に第一報
情シス責任者 (山田 090-XXXX) に電話
5:00 該当端末ネットワーク切断 (LAN / VPN 全切断)
10:00 経営層 (社長 090-XXXX、副社長 090-XXXX) 通報
影響部署に業務停止 or 紙運用切替指示
15:00 バックアップ取得元 + サイズ + 最新時刻確認
バックアップサーバの侵害有無確認
20:00 セキュリティベンダー緊急通報
・契約 MSSP: ABC社 03-XXXX (24h)
・IPA: 0120-666-553
・JPCERT/CC: 03-3518-4600
25:00 個情委速報判断 (個人データ漏えい / 滅失 / 毀損あれば 速報)
取引先 / 顧客 / メディア対応判断
警察被害届判断
30:00 状況サマリ作成 → 経営層 + 部門長 + Slack 共有
長期対応体制へ移行 (連載第 4 回 BCP テンプレ参照)
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
既存システムの「今すぐ」やる緊急 5 項目
「90 日プランは分かった、でも来週何をする？」という経営者向けに、今週中にやる 5 項目を示します。
緊急 1: VPN 機器のバージョン + パッチ確認 (1h)
- 自社で使用中の VPN 機器 (Fortinet / Cisco / Palo Alto / SonicWall 等) 全機種リストアップ
- 最新ファームウェア適用済か確認
- 大阪急性期 / 半田病院の事案で使われた CVE-2018-13379 等の 既知 CVE 適用状況
- 未対応なら 24h 以内にパッチ適用 (or 該当機器一時シャットダウン)
緊急 2: 全 PC / サーバの Defender (or 既存 AV) 動作確認 (1h)
# Windows 全端末で Defender 動作確認
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, NISEnabled
- 停止している端末を洗い出し → 即時起動
- 1 ヶ月以上定義更新されていない端末も特定 → 即時更新
緊急 3: 委託先 + サプライチェーンセキュリティ確認 (2h)
- 委託先リスト (清掃 / 給食 / 警備 / IT 運用 / 監査 / 印刷 等) を作成
- 各委託先の ネットワーク接続状況 (VPN / 直接接続 / メール経由 のみ)
- VPN 接続している委託先には 緊急セキュリティ確認 を要求 (パッチ状況 / MFA 有無)
- 大阪急性期と同じ「給食センター経由侵入」を未然に防ぐ
緊急 4: 月 1 回 + 緊急時のバックアップ独立確認 (1h)
- バックアップサーバが 本番ネットワークと分離 されているか確認
- バックアップサーバの管理者アカウントが本番と別か確認
- オフライン (テープ / Object Lock) コピーが 1 つ以上ある か確認
- 連載第 5 回 3-2-1 ルール 参照
緊急 5: 初動 30 分テンプレを A4 1 枚で全社配布 (30 分)
- 本記事の初動 30 分テンプレを自社用にカスタマイズ
- 印刷 → 情シス + 経営層 + 関連部署のデスクに貼る
- Slack #incident チャンネル作成 + 全社員参加
5 項目で見つかったら、72h 以内にやる
- VPN 未パッチ → 即時パッチ or 一時シャットダウン
- Defender 停止端末 → 即時起動 + 集中点検
- 委託先セキュリティ不明 → 緊急照会 + 必要なら接続停止
- バックアップ独立性不足 → オフラインコピー追加
- 初動手順不明 → A4 1 枚で当日中に作成・配布
よくある質問（FAQ 12 問）
Q1. ランサムの身代金は払うべきでしょうか？
A. 支払い非推奨が国際標準です。FBI / 警察庁 / IPA も非推奨です。理由は次のとおりです。
- 復号鍵が確実に渡される保証なし (Sophos 2024 調査: 払っても完全復旧は約 4%)
- 攻撃者への資金供給で再犯助長
- 米国 OFAC 制裁対象組織への支払いは違法
- 法的グレーゾーン (国によって異なる)
3-2-1-1 バックアップから復旧する設計 こそが本筋です。
Q2. EDR と従来型 アンチウイルスの違いは何でしょうか？
A. 次のとおりです。
- 従来型 AV: シグネチャ (既知ウイルスパターン) で検知 → ゼロデイに無力
- EDR: 振る舞い検知 + AI + フォレンジック → 未知の攻撃も検知可能、侵害後の詳細追跡可
中堅企業はもう EDR は必須であり、従来型 AV のみは時代遅れです。
Q3. 中小企業 (従業員 50 名以下) でも EDR は必要でしょうか？
A. 必要です。むしろ中小ほど SOC が無い分、自動応答能力のある EDR が重要です。Microsoft Defender for Business (M365 Business Premium 付帯) は 月額数百円/台 で導入可能です。
Q4. 攻撃者は中堅企業を狙うのでしょうか？「うちは小さいから」は通用するのでしょうか？
A. 通用しません。Sophos 2024 調査では、ランサム攻撃の 約 70% が中堅・中小企業 を対象としています。理由は次のとおりです。
- セキュリティ投資が薄い → 侵入容易
- 身代金は払う可能性高い (大手は社内ポリシーで拒否)
- 公開報道されにくい (大手のように IR 義務なし)
「うちは標的にならない」は最も多い誤解です。
Q5. 委託先セキュリティはどこまで確認すべきでしょうか？
A. 最低 5 項目です。
- 接続経路 (VPN / 専用線 / メールのみ)
- アクセス権限 (read / write / admin)
- 委託先側のセキュリティ対策 (EDR / MFA / ログ)
- 委託先の人員教育 (phishing 訓練等)
- インシデント時の連絡先 + 対応 SLA
「セキュリティチェックシート」記入を年 1 回必須化し、不備があれば改善期限を設定しましょう。
Q6. ランサム被害発覚後、警察に届け出すべきでしょうか？
A. 届出推奨です。理由は次のとおりです。
- 個情法上の漏えい等報告と並行
- 攻撃者特定 + 国際協力での追跡支援
- 国内ランサム被害統計に貢献 (将来の対策強化に役立つ)
- 保険適用の条件として届出が必須なことが多い
サイバー保険加入企業は、保険会社の指示に従いましょう。
Q7. 攻撃者と交渉 (negotiator) を雇うべきでしょうか？
A. 基本不要、ただし大規模事案では検討します。FBI / 警察 / 専門ベンダー (Mandiant / CrowdStrike 等) が交渉支援を提供しています。中堅企業の現実的選択は次のとおりです。
- 自社 交渉禁止 (脅迫罪リスク / OFAC 違反リスク)
- 専門ベンダーに完全委任 (費用 500-3,000 万円規模)
- 3-2-1-1 バックアップから復旧する道を優先
Q8. 保険 (サイバー保険) は中堅企業に必要でしょうか？
A. 必要です。年間保険料 50-300 万円程度で、1 億円 - 数億円規模の補償が得られます。
- カバー範囲: 復旧費 / 弁護士費 / 顧客対応 / 信用毀損 / 身代金 (一部のみ)
- 主要提供: 東京海上日動 / 三井住友海上 / AIG 損保 / 楽天損保 / Chubb
- 加入条件: セキュリティ対策実施状況の事前審査
参考: 損保協会「サイバー保険」
Q9. 経営層に「ランサム対策に投資して」と説得するコツは何でしょうか？
A. 数字 + 公開事案 + 自社シミュレーション の 3 点です。
- 大阪急性期 (2 ヶ月停止) / 半田病院 (2 ヶ月紙運用) / KADOKAWA (約 1 ヶ月) の事案 1 ページ
- 「もし自社で 2 ヶ月停止したら年商の何 %?」シミュレーション
- 「年 500 万の保険 vs 数億のリスク」の ROI
連載第 4 回 財務インパクト計算式 と併用しましょう。
Q10. AI 生成コードのセキュリティスキャンは必要でしょうか？
A. 必要です。連載第 11 回で深堀予定ですが、当面の対策は次のとおりです。
- 静的解析: SonarQube / Semgrep / GitHub CodeQL (無料枠あり)
- 依存ライブラリ脆弱性: Snyk / Dependabot
- コンテナイメージスキャン: Trivy / Grype
- AI 生成コードを 未スキャンで本番投入禁止とし、CI で必須チェック化
Q11. ランサム後に「身代金を払うべきだった」と後悔しないでしょうか？
A. 公的記録ベースでは、払った企業の後悔の方が多いです。
- 復号鍵渡されない: 約 4% は払っても完全復旧失敗
- 二次脅迫: 「データを公開しないため追加支払い」要求
- 三次脅迫: 「過去にこの企業は払った」と他攻撃者の標的に
- 法的リスク: OFAC 制裁 / 取締役善管注意義務違反
「払わなくて良い体制 (3-2-1-1)」を事前構築 することが、究極のリスク回避になります。
Q12. 「気づかない 6 ヶ月」を「気づく 6 時間」に短縮するにはどうすればよいでしょうか？
A. 3 セット必須です。
- EDR / MDR: 段階 2-3 (lateral / persistence) で検知
- SIEM + 24h SOC: 異常ログを人間が確認
- 演習: 検知から初動までを 1 時間以内に動かす訓練
中堅企業向け現実解は EDR + 外部 MSSP + 年 1 回演習 のセット (月 100-300 万円) です。
参考一次ソース
本記事の事実認定で参照した一次ソース一覧：
大阪急性期総合医療センター 関連
半田病院 関連
名古屋港 関連
KADOKAWA 関連
コニカミノルタ 関連
国際標準 / 政府ガイドライン
- NIST SP 800-92 (Guide to Computer Security Log Management)
- NIST SP 800-61 Rev 2 (Computer Security Incident Handling Guide)
- NIST SP 800-83 Rev 1 (Guide to Malware Incident Prevention and Handling)
- 経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」
- 総務省「サイバーセキュリティ対策」
- 厚生労働省「医療情報システムの安全管理に関するガイドライン」
国内公的機関
統計レポート
EDR / MDR ベンダー
サイバー保険
まとめ：「気づかない 6 ヶ月」を「気づく 6 時間」へ
本記事の要点を 7 行でまとめます。
- 大阪急性期 2022 = 給食委託先の VPN 機器 (CVE-2018-13379 未パッチ) 経由でランサム侵入、電子カルテ約 2 ヶ月停止、損害数十億円規模
- 公開報道済 5 件 (大阪急性期 / 名古屋港 / 半田病院 / KADOKAWA / コニカミノルタ) は全て 「VPN / 認証情報 / 委託先」経由 + 長期潜伏 の構造
- 検知 + 封じ込め平均 258 日 (IBM 2024)、中堅企業はさらに長期化
- バイブコーディング環境が脆い 5 ポイント = ログ無し / 監視無し / EDR 無し / 演習無し / SOC 無し
- EDR / MDR 4 ツール比較 = M365 既存なら Defender、最強精度なら CrowdStrike、AI 自動対応なら SentinelOne、国内 SOC 必須なら Cybereason
- SOC 内製は年 6,000 万、外部 MSSP は月 30-400 万 = 中堅はハイブリッド推奨
- 初動 30 分テンプレ + phishing 90 日訓練 + 緊急 5 項目 で今週から動き出せます、年 500-1,500 万円の投資で数億円リスク抑制
「気づかない 6 ヶ月」を「気づく 6 時間」へ短縮する EDR + MDR + 演習のセット投資が、AI 時代の中堅企業を守る最低線になります。
次回（連載第 7 回）は 法令違反の罠：電子帳簿保存法 + 特商法 + 改正個情法 を取り上げ、バイブコーディングが見落とす 3 法令と中堅企業の準拠チェックリスト 12 項目を整理します。
関連記事
- 第 1 回 バイブコーディング危機 概論 + 7 リスク類型 + チェックリスト 10 項目
- 第 2 回 SQL Injection の現実 5 パターン
- 第 3 回 認可漏れの現実 5 シーン
- 第 4 回 サービス停止の財務影響：江崎グリコ 4 ヶ月の教訓
- 第 5 回 DELETE FROM データ消失 + AI が書かない 6 安全機構
「うちの EDR / MDR、本当に必要？」と思ったら
GXO の バイブコーディング監査 + セキュリティ運用設計サービス では、中堅企業向けに以下を提供します：
- VPN / 委託先セキュリティ監査 (本記事の脆い 5 ポイントを専門家が代行、3-5 営業日)
- EDR / MDR 選定 + PoC 支援 (4 ツール比較 + 自社環境テスト)
- SOC ハイブリッド構築 (内製 1-2 名 + 外部 MSSP のベストミックス設計)
- phishing 訓練 90 日 進行 (教材選定 + 月次運用 + 引っかかり率レポート)
- インシデント発生時 緊急対応 (改正個情法 速報 / 確報対応 + 復旧支援 + 警察対応)
著者: GXO株式会社 初回公開: 2026 年 5 月 26 日 最終更新: 2026 年 5 月 26 日 連載: バイブコーディング危機 第 6 回（全 20 回）