ランサムウェアを防ぐ「実務セキュリティ」：管理者と従業員の必須アクション
Definition「実務セキュリティ」とは、攻撃者の典型手口（漏洩ID・脆弱性・フィッシング）を前提に、ID・端末・運用を最小セットで固め、被害を“起こさない／広げない／戻す”状態にする実装と運用の総称です。
TL;DR (要約)
ランサム対策の最短ルートは「ID（漏洩対策＋MFA）」「端末（Device Trust＋パッチ＋EDR運用）」「復旧（バックアップ）」の3点セットを、運用として回すことです。“導入したつもり”で止まりやすいのは EDR とパッチ運用。アラート対応・例外管理・棚卸しの仕組みがないと、投資が防御力に変わりません。従業員対策は教育より“行動設計”。フィッシングは「3秒ルール」と「迷ったら報告」の導線で被害率が下がります。パスワード定期変更や添付ZIP別送など旧来対策は、現代の脅威では効果が限定的。漏洩検知・安全な共有・ログを優先してください。90日で「ゼロトラスト前提（端末の信頼＋最小権限＋継続検証）」に移行できるロードマップを提示します。
この記事でわかること
- なぜ今「実務セキュリティ」なのか（ランサムは他人事ではない）について学べます
- 最小セットで固める：優先順位トップ10（共通言語）について学べます
- IT管理者が徹底すべき運用（導入より大事な話）について学べます
- 従業員が徹底すべき行動（教育ではなく行動設計）について学べます
- “意味が薄い旧来対策”のアップデートについて学べます
- 30/60/90日 実装ロードマップについて学べます
- チェックリストについて学べます
なぜ今「実務セキュリティ」なのか（ランサムは他人事ではない）
国内でもニコニコ動画（KADOKAWA）、アスクル、アサヒグループなど、名だたる企業がランサムウェア被害に遭い、事業停止に追い込まれる事例が後を絶ちません。
これらの事例から学ぶべき教訓は、「大企業だから狙われた」のではなく、「攻撃者が突ける隙（脆弱性や漏洩ID）があったから侵入された」という事実です。
攻撃経路の多くは、高度なハッキングではなく、以下の3つに集約されます。
- VPN機器等の脆弱性放置：パッチ未適用のVPN装置から侵入される。
- フィッシング / 認証情報漏洩：従業員がID/PWを盗まれ、正規ユーザーとして堂々と入られる。
- サプライチェーン（委託先）経由：セキュリティの甘い子会社や取引先を踏み台にされる。
「実務セキュリティ」とは、これら既知の脅威に対し、精神論ではなく「仕組み（実装と運用）」で対抗するアプローチです。
最小セットで固める：優先順位トップ10（共通言語）
「何からやればいいかわからない」という管理者のために、費用対効果が高く、まずやるべき10項目を整理しました。
| 優先度 | 対策項目 | 期待効果 | 今日の一手 |
|---|---|---|---|
| Top 1 | MFA（多要素認証） | ID漏洩時の不正ログイン防止（効果絶大） | Google/Microsoft 365のMFA強制化 |
| Top 2 | Device Trust（端末の信頼） | 「会社が許可した安全な端末」以外からのアクセス拒否 | Intune/Jamf等で会社端末を登録し、条件付きアクセス設定 |
| 3 | パッチ運用の徹底 | 既知の脆弱性（OS/ブラウザ/VPN）を塞ぐ | OS自動更新の強制ポリシー適用 |
| 4 | EDRの導入と運用 | 侵入後の「動作」を検知し、隔離する | 定義ファイル型（EPP）からEDRへの切替検討 |
| 5 | パスワード漏洩チェック | 漏洩済みパスワードの使い回しを検知・ブロック | IdPの機能で「漏洩チェック」ON |
| 6 | 管理者アカウントの保護 | 特権奪取による全滅（ドメイン掌握）を防ぐ | 特権IDと日常業務IDの分離 |
| 7 | バックアップの保全 | ランサム暗号化時でもデータを復旧できる | オフライン（不変）バックアップの確認 |
| 8 | フィッシング訓練・報告 | 「怪しいメールを開かせない・報告させる」文化 | 不審メール報告ボタンの設置 |
| 9 | パスワードマネージャ | 「覚えられない」を解決し、強固なPW利用を促進 | 1Password等の全社導入 |
| 10 | パスワードレス移行 | PWそのものをなくし、フィッシング耐性を最強にする | Windows Hello / Touch IDの活用 |
特に「ID（MFA）」と「端末（Device Trust）」の2つは、ゼロトラストセキュリティの根幹であり、最優先事項です。
IT管理者が徹底すべき運用（導入より大事な話）
ツールを入れただけで安心していませんか？ 攻撃者は「運用の隙」を突いてきます。
- EDRの典型的な失敗：今のEDRは「入れて終わり」ではありません。アラートが出た時に「誰が・どう判断し・いつ端末を隔離するか」の初動手順がなければ、ただのサイレンです。例外設定だらけで検知しない設定になっていないかも要確認です。
- パッチ運用の現実解：「即時適用」は検証負荷が高いため、「リング運用（情シス→一部部署→全社）」で段階的に適用するのが現実解です。ただし、「適用除外（例外）」の申請には期限を設け、恒久的な穴にしない運用が必要です。
- 特権IDの管理：管理者権限を持つアカウントで、メールチェックやWeb閲覧をしていませんか？ 特権IDは「設定変更時のみ使う」ように分離し、操作ログを監査に残すことが、内部不正対策にもなります。
- Device Trust（端末の信頼）：単に会社支給ならOK、ではなく「OSが最新か」「ディスク暗号化されているか」「EDRが正常稼働しているか」といった健全性（Posture）を満たさない端末は、たとえ社長のPCでも社内リソースに繋がせない仕組みを作ります。
従業員が徹底すべき行動（教育ではなく行動設計）
「怪しいメールを開くな」と教育しても、巧妙なフィッシングは見抜けません。従業員に求めるのは「見抜く能力」ではなく「安全な行動習慣」です。
行動 1：フィッシング「3秒ルール」
メールやSMSのリンク・添付を開く前に、3秒だけ止まって確認します。
- 送信元アドレスは正しいか？（ドメイン偽装）
- 「至急」「警告」など焦らせる文面ではないか？
- URLのリンク先は公式サイトと一致しているか？
行動 2：迷ったら即報告
「開いてしまったかも…」と隠すのが最悪です。報告しても怒られない文化を作ります。
また、パスワードマネージャを導入し、「パスワードは覚えるものではなく、ツールに管理させるもの」という認識に変えましょう。
“意味が薄い旧来対策”のアップデート
脅威の変化に伴い、かつての常識もアップデートが必要です。
| 旧来の対策 | なぜ今、意味が薄いのか | 現代の代替案（アップデート） |
|---|---|---|
| パスワード定期変更 | 変更自体が目的化し、「P@ssword123」のような推測容易なPWへの変更を繰り返すだけになる。 （総務省・NISTも非推奨） |
漏洩検知 ＋ MFA ＋ Device Trust 流出した時のみ変更する運用に変える。 |
| 添付ZIP＋PW別送 （PPAP） |
メール経路が盗聴されていたら、ZIPもPWも両方盗まれるため無意味。 ウイルスチェックをすり抜ける弊害も大きい。 |
クラウドストレージ共有 Box/Google Drive等でリンク共有し、権限・期限・ログ管理を行う。 |
30/60/90日 実装ロードマップ
あれもこれも一気にはできません。まずは3ヶ月で「最低限のガード」を固めましょう。
-
30日
Phase 1: IDと端末の基礎固め
- 全社員のMFA（多要素認証）有効化（必須）
- 特権ID（管理者）と通常IDの分離
- IdPでのパスワード漏洩チェック機能ON
- 会社支給端末の暗号化（BitLocker/FileVault）確認
-
60日
Phase 2: 運用の正規化
- OS・ブラウザの自動更新ポリシー適用
- EDRのアラート通知テストと初動マニュアル作成
- バックアップからのリストア（復元）テスト
- 例外申請（パッチ適用除外など）の棚卸し
-
90日
Phase 3: ゼロトラストへの接続
- Device Trust（端末認証）の条件付きアクセス適用
- 脱PPAP（クラウドストレージ共有）の全社展開
- ゼロトラストのロードマップに基づき、継続的検証の仕組みへシフトする
チェックリスト
自社の状況をチェックしてみましょう。「未実施」の項目は、攻撃者にとっての「入り口」になり得ます。
重要ポイント
チェックリスト
- □ 【危険】MFA（多要素認証）を全アカウントで有効化していない
- □ 【危険】OSやブラウザのアップデートを従業員任せにしている（管理していない）
- □ 【危険】退職者のアカウントが削除されずに残っている
- □ 【危険】管理者IDでメール送受信やネット閲覧を行っている
- □ 【危険】私物端末や、許可していないUSBメモリの利用を禁止（技術的制御）していない
- □ 【危険】重要なデータのバックアップが、ネットワークから切り離された場所にない
- □ EDRのアラートが出た際、誰が対応するか決まっていない
- □ フィッシングメールの報告窓口や手順が周知されていない
- □ パスワードの使い回し禁止をシステム的にチェックしていない
- □ 外部から社内へのリモートアクセス（VPN等）の脆弱性診断を1年以上行っていない
- □ サプライチェーン（委託先）のセキュリティ対策状況を把握していない
- □ インシデント発生時の連絡網（緊急連絡先）が古いままである
よくある質問
Q. MFA（多要素認証）は全員必須ですか？
はい、必須です。役員やアルバイト等の例外を作ると、そこが狙われます。SMS認証よりも、AuthenticatorアプリやFIDOキーの方が安全です。
Q. EDRを入れたのに不安が消えない理由は？
運用が回っていないからかもしれません。EDRは「検知」する道具であり、「対処」するのは人です。監視サービス（SOC）の利用も検討してください。
Q. パスワード定期変更はやめていいのですか？
「漏洩していなければ」やめて構いません。形式的な定期変更より、複雑なパスワードの設定と、漏洩チェック機能の利用を優先してください。
Q. パスワードマネージャは何を選ぶべきですか？
企業向けプランがある「1Password」や「LastPass」、「Keeper」などが管理しやすくおすすめです。SSO連携できるものがベストです。
Q. Device Trust（端末の信頼）は何から始めれば？
まずはMDM（端末管理ツール）で社給端末を可視化することから始めます。その上で、「MDMに登録された端末以外はAzure AD (Entra ID) にログインさせない」といった制御をかけます。
Q. パスワードレスはどこから始めるべきですか？
PCログオン（Windows Hello / Touch ID）から始めるのが一番スムーズです。次に、社内システムのSSO化を進め、パスワード入力回数を減らしていきます。
DX推進やIT戦略でお悩みですか？
現状分析から戦略立案、実行まで、専門家が伴走型で支援します。