495社・自治体に影響したクラウド攻撃…IT投資の先送りが「取引継続」のリスクになる？

●この記事のポイント
9月以降、JR東日本やブックオフなどで不正アクセスによる情報流出が相次ぎ、委託先クラウドへの攻撃は495の企業・自治体に波及した。警察庁統計、IPA調査、ガートナーの緊急提言を基に、取引先の信頼を保つためのセキュリティ投資の判断基準を、許容停止時間（RTO）、SCS評価制度への備え、予防と復旧の予算配分の3点から解説する。

　9月以降、国内企業で不正アクセスによる情報流出の公表が相次いでいる。10月9日にはJR東日本が「えきねっと」などの会員情報について最大約200万件、ブックオフグループホールディングスが会員情報最大約643万件の流出の可能性を、それぞれ明らかにした。交通、小売、金融、飲食、通信と、業種も規模もばらばらだ。

　目を引くのは、流出の起点が必ずしも当事者の社内ではないことだ。JR東日本によれば、原因はメール配信に使っていた外部サービスの提供元、IDCフロンティアへの不正アクセスだった。同社は10月7日、クラウドサービスの一部がランサムウェア攻撃を受け、契約する495の企業・自治体に影響が出たと発表している。

　米調査会社ガートナーは10月13日、日本企業向けに緊急提言を出した。インターネットに公開している資産の点検対象に取引先などのサードパーティを含めること、委託先やクラウド事業者について侵害時の連絡体制や復旧の見通しを確認すること。こうした項目に加え、経営者自らが先頭に立つ必要性も挙げている。

　大企業の事案が目立つが、警察庁の統計では今年上半期のランサムウェア被害123件のうち79件が中小企業だった。半期の件数としては統計開始以来最多である。本稿では不安をあおるのではなく、経営者が投資を判断するための材料を整理したい。

●目次

• 攻撃者が見ているのは「つながり」
• 「安さ」に含まれていないもの
• 投資判断のための3つの物差し
• 経営者が担当者に聞くべき3つのこと

攻撃者が見ているのは「つながり」

　IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」組織編では、1位がランサム攻撃による被害、2位が「サプライチェーンや委託先を狙った攻撃」だった。この順位は2023年から4年続いている。守りの堅い企業を正面から破るより、取引でつながった先を経由したほうが効率がいい。攻撃側の理屈は単純である。

　IPAの中小企業実態調査では、過去3年に被害を受けた中小企業の約7割で、影響が取引先にまで及んでいた。被害が自社にとどまらない以上、問われるのは損害額だけではない。「この会社とシステムをつないで大丈夫か」という、取引先からの評価そのものだ。

「大手の調達部門から届くセキュリティのチェックシートは、ここ数年で明らかに増えました。発注側が見ているのは満点の回答ではなく、聞かれたときに根拠を示せるかどうかです」（サイバーセキュリティコンサルタント・新實傑氏）

　逆の側面もある。同じ調査で、取引先から対策を求められた企業のうち、専門部署や担当者を置く企業の59.8%が「対策の実施が取引につながった」と答えた。対策を各自任せにしている企業では24.2%にとどまる。

「安さ」に含まれていないもの

　システム開発やWebサイト制作で初期費用を抑えるのは、経営として当然の判断だ。問題は、見積もりの差額が何を削った結果なのか見えにくい点にある。

　警察庁の同統計では、ランサムウェアの侵入経路の約5割がVPN機器だった。導入時には設定されていても、その後の更新が誰の仕事なのか決まっていない。こうした「運用の空白」は珍しくない。ガートナーが7月に行った調査でも、脆弱性管理を十分に実施できている日本の大手企業は30%にとどまった。

「保守契約に障害対応は書いてあっても、脆弱性が公表されたときの更新作業までは含まれていないケースが多い」（同）

　委託すること自体に問題はない。ただ、何を守る契約で、どこまでが委託範囲なのか。発注側が自分の言葉で説明できる状態にはしておきたい。

投資判断のための3つの物差し

　前提として「100%の安全」は存在しない。すべてを防ぐ前提で積み上げれば、予算に際限がなくなる。セキュリティ費用は事故をゼロにする保険ではなく、事業を続けるためのインフラ費用と捉えたほうが判断しやすい。

（1）止まってよい時間から逆算する
受発注や生産管理が止まったとき、何日までなら持ちこたえられるか（目標復旧時間＝RTO）。警察庁の同統計では、被害組織の約6割が復旧に総額1000万円以上を要し、1カ月未満で復旧できたのは5割弱だった。この数字を自社の売上規模に置き換えると、許容できる範囲が具体的に見えてくる。

（2）取引先の要求水準を「必要経費」と見る
経産省と内閣官房国家サイバー統括室は2026年3月、「SCS評価制度」の構築方針を公表した。対策水準を★3（基礎）と★4（より高度）に分け、2026年度末ごろの開始を目指している。主眼は格付けではなく「見える化」とされるが、取引の場で目安として参照される可能性はある。主要顧客が求めそうな水準を満たす費用は、営業を続けるためのコストとして扱うのが現実的だろう。

（3）予防と復旧に予算を振り分ける
侵入を防ぐことだけでなく、「入られたときに早く気づき、早く戻せるか」にも予算を割く。ログの取得、オフラインを含むバックアップ、復旧手順の確認がこれにあたる。ガートナーの提言でも、ログの横断調査や、復旧手順・バックアップの再確認が挙げられている。

「『いくら必要か』と聞かれたら、まず『何日止まったら困りますか』と聞き返します。そこが曖昧なまま製品を選ぶと、過剰か不足のどちらかに振れやすい」（同）

経営者が担当者に聞くべき3つのこと

　・重要なシステムやWebサイト、VPN機器は、いまも定期的に更新されているか。担当は誰か
　・主要取引先からセキュリティ体制を問われたとき、根拠を添えて答えられるか
　・委託先やクラウド事業者でトラブルが起きたとき、連絡を受ける窓口と判断する人は決まっているか

　すぐに答えが返ってこない項目があれば、そこが最初の投資先の候補になる。

　ガートナーは、AIの悪用によって攻撃の準備から実行までの時間が大きく縮む可能性を指摘している。弱点が見つかってから突かれるまでの猶予は、今後短くなると見ておくべきだろう。

　セキュリティ対策は事業を縛るものではない。ブレーキを信頼できるからこそ、車は速度を出せる。評価制度の開始を控えたいま、自社の現状を一度棚卸ししておく意味は小さくない。

（文＝BUSINESS JOURNAL編集部、協力＝新實傑／サイバーセキュリティコンサルタント）

【主な参照データ・出典】
JR東日本 プレスリリース（2026年10月9日）
時事通信（nippon.com）「JR東、609万件情報流出か＝ブックオフ643万件」
Impress Watch「IDCFクラウドの障害は『ランサムウェア攻撃』が原因 495の企業・自治体に影響」
ガートナー「多発する日本企業の不正アクセス事案に関する緊急的な提言」（2026年10月13日）
警察庁 令和8年上半期の情勢（@IT）
IPA 情報セキュリティ10大脅威 2026
IPA 中小企業実態調査（ScanNetSecurity）、同（@IT）
SCS評価制度 構築方針（LOGISTICS TODAY）