■はじめに
ランサムウェアは、いま最も深刻なサイバー脅威のひとつです。
「うちは小さい会社だから狙われない」と思ってしまいがちですが、
実際には 中小企業こそ標的にされやすい と言われています。
その理由は、とてもシンプルです。
・防御が弱い
・バックアップがない／不十分
・人手も予算も足りない
攻撃者から見れば、「入りやすくて、止めにくい」相手だからです。
そこで今回は、難しい技術用語や高額な製品の話はできるだけ抜きにして、
「これだけはやっておきたい」というランサムウェア対策を、チェックリスト形式でシンプルにまとめました。
■ランサムウェアの入口を塞ぐ（侵入防止）
フィッシングメール対策
ランサムウェアの多くは、
「メールの添付ファイル」や「偽サイトへの誘導」から侵入します。
最低限、次のポイントだけは押さえておきましょう。
・怪しいメールはすぐ開かず、まず誰かに相談する
・無料のトレーニングでもよいので、年に 1〜2 回は実施する
・送信元アドレスを必ず確認する
・「請求書」「至急」「急ぎのご対応」などの件名は特に注意する
ソフトウェアの更新を怠らない
攻撃者は、古い OS やアプリの“穴” を狙います。
・Windows / macOS の自動更新をオンにする
・Office、ブラウザ、VPN など主要アプリも自動更新にしておく
・使っていないアプリはアンインストールして「攻撃面」を減らす
■侵入されても被害を広げない（拡散防止）
管理者権限を社員全員に与えない
ランサムウェアは「管理者権限」を奪うと、一気に広がります。
・通常アカウントと管理者アカウントを分ける
・社員の PC を「なんでもできる」状態にしない
・退職者のアカウントは、必ず即日停止する
ネットワークの分離
難しそうに聞こえますが、小規模な会社でもできる工夫があります。
・ファイルサーバーや NAS の権限を、部署・業務ごとに分ける
・共有フォルダを「全員アクセス可」にしない
・社外からの VPN 接続には、必ず MFA（多要素認証）を必須にする
■会社を守る最後の砦：バックアップ
バックアップがなければ、Encrypt（暗号化）されると、ほぼ「詰み」です。
犯人にお金を払っても戻らない事例は、数多く報告されています。
バックアップの必須ポイント
・PC やサーバーとは別の場所に保存する
・NAS やクラウドに「自動バックアップ」を設定する
・ランサムウェアに巻き込まれない オフライン／隔離環境 も1つ用意する
・3ヶ月に 1 回は「実際に復元できるか」テストする
バックアップ だけでなく、バックアップ × 復元テスト
このセットをやっておかないと、いざというときに使えません。
■ランサムウェアを検知し、止める仕組み（防御）
いまの攻撃者は高度化しており、ウイルス対策ソフトだけ では防ぎきれないケースが増えています。
最低限そろえたい防御
・ウイルス対策ソフト、または EDR（高度なエンドポイント防御）
・「検知するだけ」でなく、不審な動きを即時ブロックできる仕組み
・振る舞い検知（不正な暗号化や異常なファイル操作を検出）があるタイプが理想的
■いざ被害に遭ったときの最小限ルール（初動対応）
ランサムウェア被害は、初動が早ければ早いほど被害を小さくできます。
そのために、あらかじめ次のルールだけは決めておきましょう。
社員向けのルール
・PC の電源は 切らない（ログや状況が失われるため）
・ネットワークから切り離す（LANケーブルを抜く、Wi-Fi をオフにする）
・すぐに社内の管理者や窓口へ連絡する
管理者側のルール
・影響範囲の把握（どの PC やサーバーが感染したか）
・バックアップから復元できるかどうかを確認する
・必要に応じて、外部の専門家やベンダーにエスカレーションする
・社内・社外それぞれのコミュニケーション担当者を決めておく
■ランサムウェア特化チェックリスト（保存版）
全部が 「YES」 であれば、最低限の対策は合格ラインです。
・OS・アプリは自動更新にしている
・全社員で MFA（多要素認証）を有効化している
・怪しいメールをすぐ相談できる文化がある
・バックアップを毎日 or 毎週、自動で取得している
・バックアップの「復元テスト」を定期的に実施している
・PC の管理者権限を、必要最小限の人だけに絞っている
・セキュリティ製品（AV / EDR）を導入している
・PC が感染した場合の連絡フローが決まっている
■まとめ 〜“全部やる”より“まず1つやる”〜
ランサムウェアは、「完全に防ぐ」のが難しいタイプの攻撃です。
だからこそ、
・侵入を防ぐ（入口対策）
・侵入されても広げない（拡散防止）
・最悪のときは復元できる（バックアップと復元）
この 3 つを組み合わせて、
「致命傷を避ける」ことが現実的なゴールになります。
特に中小企業やスタートアップでは、
すべてを一度に完璧にする必要はありません。
・まずは OS やアプリの自動更新をオンにする
・バックアップと復元テストの仕組みを 1 つ作ってみる
・怪しいメールを相談し合う文化をつくる
といった “できるところからの一歩” が、
将来の大きなリスクを防ぐ力になります。
このチェックリストをきっかけに、自社の対策状況を一度見直してみてください。