2026年7月、ニチレイグループでサイバー攻撃によるシステム障害が発生しました。被害拡大を防ぐため、同社はグループで使用するシステムを遮断。その影響で、冷蔵倉庫の入出庫や冷凍食品の出荷業務が一時停止しました。その後、外部のセキュリティ専門会社と安全対策を進めながら段階的に業務を再開し、7月24日には全拠点で通常稼働へ移行しています。

この事例が示すように、サイバー攻撃によって止まるのは、サーバーやPCだけではありません。受発注、出荷、生産、請求、顧客対応など、システムを利用する業務そのものが停止する可能性があります。

ランサムウェアへの備えとして、バックアップを取得している企業も多いでしょう。しかし、実際に攻撃を受けたとき、バックアップからデータを戻すだけで、業務を再開できるのでしょうか。

本記事では、中小企業がランサムウェア被害から業務を再開するために、バックアップの有無だけでなく、どのような点を確認しておく必要があるのかを整理します。

1. ランサムウェア被害では「業務を戻せないこと」が大きな問題になる

ランサムウェアは、企業のデータを暗号化し、利用できない状態にする攻撃です。近年では、データを暗号化するだけでなく、事前に情報を持ち出し、公開しないことと引き換えに金銭を要求する「二重恐喝」も多く確認されています。

被害を受けると、次のような影響が考えられます。

• 業務に必要なファイルや顧客情報を参照できない
• 受発注、生産、出荷、請求などの業務が止まる
• 手作業による代替対応が必要になる
• 顧客や取引先への説明が発生する
• 復旧や原因調査に費用がかかる
• 業務停止の長期化によって売上や信用に影響する

JIPDECの「企業IT利活用動向調査2026」でも、ランサムウェア感染による影響として、「復元不能なデータの喪失またはデータの破損」が最も多く挙げられています。「システムやサービスが停止したことで業務も停止・中断した」という回答も高い水準にあり、売上の減少や取引停止、復旧・調査費用の増加など、被害が企業経営にまで波及していることが示されています。

ランサムウェア対策では、攻撃を受けないための予防が重要です。一方、攻撃を完全に防ぐことが難しい以上、被害を受けた後に安全に業務を再開するための準備も必要です。警察庁も、サイバー攻撃を想定した業務継続計画や、バックアップ、ログ取得、復旧訓練などを事前に整備するよう推奨しています。

2. 実際に復旧できた企業は半数以下。規模の小さい企業ではさらに厳しい傾向

JIPDECが2026年に公表した調査では、ランサムウェアに感染した企業のうち、システムやデータを復旧できた企業は44.2％にとどまりました。復旧成功率は、2025年調査の46.0％からわずかに低下しています。また、復旧できた企業でも、約4分の1は復旧まで1か月以上を要しています。

復旧できなかった企業についても、復旧を断念するまでに1週間から2か月程度を費やしているケースが多く、復旧作業が長引くほど事業への影響も大きくなります。

企業規模別に見ると、従業員299人以下の企業では、回答企業全体の37.0％がランサムウェアへの感染を経験し、システムやデータを復旧できた企業は全体の14.0％でした。この14.0％は、感染企業だけを母数にした復旧成功率ではありません。ただし、JIPDECは、従業員299人以下の企業では復旧割合が全規模の中で最も低く、人材や予算、インシデント対応体制の違いが復旧力に反映されている可能性を指摘しています。

中小企業では、バックアップの設定やサーバーの管理を外部の保守会社へ依頼していることもあります。バックアップは取得されていても、実際の復元方法や発生時の対応手順、社内と外部事業者の役割分担までは確認できていないこともあるでしょう。

問題は、バックアップがあるかどうかだけではありません。そのバックアップを使い、業務を再開できる状態になっているかが重要です。

3. バックアップを取っていても、業務を再開できるとは限らない

IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」を改訂し、基本的な対策に「バックアップを取ろう！」を新たに追加しました。改訂の背景には、ランサムウェア被害が情報漏えいだけでなく、企業の事業活動の停止にまで広がっていることがあります。

ただし、バックアップを取得していることと、攻撃後に業務を再開できることは同じではありません。

バックアップも攻撃を受ける可能性がある

本番環境と同じネットワークからアクセスできるバックアップは、ランサムウェアによって一緒に暗号化・削除される可能性があります。警察庁も、バックアップデータまで暗号化される事例が多数確認されているとして、ネットワークから切り離したオフラインでの保管などを推奨しています。

バックアップがあるかだけでなく、攻撃を受けた環境から容易に変更・削除できない状態かを確認する必要があります。

業務に必要なものがすべてバックアップされているとは限らない

ファイルやデータベースを復元できても、それだけで業務を再開できるとは限りません。たとえば、受発注システムを利用するには、次のような環境が必要になる場合があります。

• 業務アプリケーション
• データベース
• サーバーの設定情報
• 利用者を認証する仕組み
• 社内ネットワーク
• 外部サービスとの連携

一部のデータだけを戻せても、関連するシステムが動かなければ、利用者は業務を再開できません。バックアップの対象を、データ単位だけでなく、業務に必要なシステム全体で確認する必要があります。

実際に復元したことがない

バックアップ処理が毎日「正常終了」していても、実際にデータやシステムを戻せるとは限りません。保存したデータが壊れている可能性や、復元に必要な設定・手順が不足している可能性もあります。

警察庁も、日頃の運用上の問題によって、バックアップからの復旧がうまくいかない事例があると説明しています。そのため、被害を想定した訓練を行い、バックアップによる復旧手順を確認しておくことが推奨されています。

すべてのシステムを使った大規模な訓練が難しい場合でも、一部のデータを実際に復元してみるなど、確認できる範囲から始めることが重要です。

どの時点のデータを戻せば安全か判断できない

ランサムウェアが実行された日と、攻撃者が最初に侵入した日は同じとは限りません。攻撃者が一定期間システム内に滞在し、情報の収集や複数のサーバーへのアクセスを行った後に、ランサムウェアを実行する場合があります。

そのため、単純に最新のバックアップを戻すと、攻撃者が侵入した後の状態まで復元してしまう可能性があります。

安全な復旧を判断するには、

• いつ侵入された可能性があるか
• どのアカウントが利用されたか
• どのサーバーや端末が操作されたか
• どこまで影響が広がったか

などを調査する必要があります。

警察庁は、侵入経路や侵害範囲を調査するうえで、ネットワーク機器や端末などのログが重要な手掛かりになるとしています。

復旧を誰が進めるか決まっていない

中小企業では、サーバー、ネットワーク、業務システムなどを、それぞれ異なる事業者が管理していることがあります。

事故が発生した後に、

• どの会社へ連絡すればよいか
• 誰がネットワークを遮断するか
• 誰がバックアップから復元するか
• どのシステムから復旧するか
• 誰が安全を確認するか
• 誰が業務再開を判断するか

を決めていると、対応に時間がかかります。

復旧作業を自社だけで行う必要はありません。ただし、誰に連絡し、誰がどこまで対応するのかは、平時に把握しておく必要があります。

4. 自社は「復旧できる状態」か。確認したい5つのポイント

バックアップがあるかどうかだけでは、実際に業務を再開できる状態かは判断できません。まずは、次の5つのポイントについて、自社で答えられるか確認してみましょう。

1．どの業務を優先して再開するか

すべてのシステムを同時に復旧できるとは限りません。受発注、生産、出荷、請求、顧客対応、メールなど、停止した場合の影響が大きい業務を整理します。

正確な復旧日数を予測することが目的ではありません。どの業務から優先的に戻す必要があるのか、社内で認識を合わせることが重要です。

2．その業務に必要なシステムとデータは何か

優先する業務が決まったら、その業務を行うために必要な環境を確認します。業務システムだけでなく、認証、ネットワーク、データベース、外部サービスとの連携なども含めて整理します。

「データを戻すこと」ではなく、「利用者が業務を行える状態に戻すこと」を基準に考えます。

3．バックアップから実際に復元できるか

次の点を、社内担当者や保守会社へ確認します。

• 何をバックアップしているか
• どの頻度で取得しているか
• どこに保管しているか
• 何世代分を保存しているか
• 本番環境から変更・削除できないか
• 最後に復元確認をしたのはいつか
• 復元にはどのような作業が必要か

バックアップが取得されているという報告だけでなく、実際に使える状態かまで確認することが重要です。

4．復旧時に誰が何を行うか

復旧作業を外部へ委託する場合でも、社内と外部事業者の役割を整理します。

たとえば、

• 社内で最初に連絡を受ける人
• システムの遮断を行う人
• 被害範囲を調査する事業者
• バックアップから復元する事業者
• 業務システムの動作を確認する担当者
• 顧客や取引先への説明を判断する責任者

などです。

あわせて、休日・夜間の連絡先や、復旧支援が保守契約に含まれているかも確認しておきましょう。

5．安全に業務を再開できると何を基に判断するか

システムが動作したからといって、すぐに業務を再開できるとは限りません。攻撃者の侵入経路が残っていないか、利用された認証情報が変更されているか、ほかの端末やサーバーに侵害の痕跡がないかなどを確認する必要があります。

その判断には、ログやシステム構成情報、調査結果などが必要です。何を確認し、誰が安全と判断するのかまで整理しておくことが、再被害の防止にもつながります。

5．すべてを自社だけで対応する必要はない

ここまでの内容を見て、「少人数の情シスだけですべてを準備するのは難しい」と感じる方もいるかもしれません。

専門的な調査や復旧作業を、すべて自社だけで行う必要はありません。サーバー保守会社、ネットワーク事業者、業務システムベンダー、セキュリティ専門会社など、外部の支援を受ける方法があります。重要なのは、事故が発生してから対応先を探すのではなく、平時に次の点を確認しておくことです。

• どの会社へ連絡するのか
• どこまで対応してもらえるのか
• 復旧支援は契約に含まれているのか
• 複数の事業者を誰が取りまとめるのか
• 社内では誰が判断するのか

自社で復旧作業ができなくても構いません。しかし、「誰が、何を、どの順番で行うのか」を把握できていなければ、実際の被害時に対応が止まってしまいます。

完璧な復旧計画を最初から作るのではなく、まずは連絡先、役割、重要業務、バックアップの対象など、確認できるところから整理していきましょう。

6．まず、自社の準備状況を確認する

ランサムウェア被害から業務を再開するためには、バックアップだけでなく、重要業務の整理、復元確認、アクセス管理、ログの取得・保管、異常の検知、発生時の連絡・判断体制など、複数の備えが必要です。

すべてを一度に整備する必要はありません。まずは、自社で何ができていて、何が確認できていないのかを整理することが出発点です。

自社のセキュリティ対策の準備状況を確認してみませんか？

SCS評価制度★3の観点をもとにした18問のセルフチェックで、自社のセキュリティ対策の準備状況を確認できます。

フォーム入力は不要です。回答後、その場で結果をご確認いただけます。バックアップ、アクセス管理、検知・監視、有事対応など、自社でまず確認したい領域を整理するためにお役立てください。

［自社の準備状況を確認する］