【動画解説・動画資料】その時、会社は動けますか？～IPA「ランサムウェア被害から学ぶ教訓集」から読み解く法務・コンプライアンス担当者のための実務対応
2026/09/10
【【動画解説】その時、会社は動けますか？～IPA「ランサムウェア被害から学ぶ教訓集」から読み解く法務・コンプライアンス担当者のための実務対応（外部YouTube）】
【【動画資料】その時、会社は動けますか？～IPA「ランサムウェア被害から学ぶ教訓集」から読み解く法務・コンプライアンス担当者のための実務対応（PDFファイル）】
【お問い合わせ】
本件に関するご相談は、弁護士法人三宅法律事務所 弁護士 渡邉雅之（TEL 03-5288-1021／m-watanabe@miyake.gr.jp）までお願いいたします。
※本動画及び資料は、IPA「ランサムウェア被害から学ぶ教訓集」その他の公表資料を基礎として、ランサムウェア被害発生時の危機管理、個人情報保護、証拠保全、対外説明、取締役会・監査等の法務・コンプライアンス上の論点を整理したものです。個別事案の法的評価を目的とするものではなく、法令・条文の解釈等については弊所独自の見解を含みます。
【主な参照資料】
・独立行政法人情報処理推進機構（IPA）「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」（2026年9月8日）
IPA「ランサムウェア被害から学ぶ教訓集」公表ページ (情報処理推進機構)
・個人情報保護法、同法施行規則及び個人情報保護委員会ガイドライン
・警察庁、経済産業省その他のランサムウェア・サイバーセキュリティに関する公表資料
・会社法、金融商品取引法その他の内部統制・開示・監査に関する法令等
【説明】
今回は、「その時、会社は動けますか？～IPA『ランサムウェア被害から学ぶ教訓集』から読み解く法務・コンプライアンス担当者のための実務対応」をご案内いたします。
IPAは2026年9月8日、国内の被害組織へのヒアリングを基礎とした「ランサムウェア被害から学ぶ教訓集」を公表しました。同資料では、実際の被害現場における初動、役割分担、事業継続、バックアップ、ログ、EDR、対外説明等の教訓が具体的に整理されています。(情報処理推進機構)
ランサムウェアは、単なる「IT事故」ではありません。暗号化に気づいた時点では、攻撃者がすでに侵入、権限取得、横展開、データ持出し等を行っていることも多く、業務停止・復旧、当局報告、本人通知、取引先説明、公表、証拠保全、身代金対応等について、短時間に多数の経営判断が必要となります。
特に重要なのは、対応を情報システム部門だけに集中させないことです。IPAの被害事例では、警察・当局対応、取引先説明、調査、復旧等が情シスに集中し、復旧そのものに支障を生じた例も紹介されています。経営、事業、法務・コンプライアンス、広報、情シス、外部専門家による横断的な有事対応体制を平時から整備する必要があります。
個人情報保護法との関係では、ランサムウェア事案は「何件の個人情報が影響を受けたか」だけで判断するものではありません。不正目的の行為による漏えい等への該当可能性を早期に検討し、暗号化により復元不能となった場合の「毀損」も含めて、報告・本人通知の要否を判断する必要があります。また、金融機関等では、個人情報保護委員会への報告とは別に、業法上の報告や契約上の通知、適時開示等が並行する場合があります。
バックアップ、ログ、EDRについても、「導入している」だけでは十分ではありません。安全なバックアップから実際に復元できるか、侵入時期を確認できるログが残っているか、休日・深夜の重大アラートに誰が対応するかまで含めた運用設計が必要です。ログは技術記録であると同時に、事故後に会社が説明責任を果たすための重要な証拠となります。
対外説明では、「漏えいはありません」「完全に安全です」と安易に断定することにも注意が必要です。フォレンジック調査で確認できるのは基本的に「確認された事実」であり、「痕跡が確認されない」ことと「漏えいのおそれがない」ことは同じではありません。確認済みの事実、調査中の事項、継続監視の状況を区別して説明することが重要です。
さらに、ランサムウェア対策は取締役会・監査の問題でもあります。サイバーBCP、有事の意思決定権限、データ台帳、バックアップ・ログ、外部専門家、公表・通知体制等を、単なるIT施策ではなく、会社法上の内部統制・リスク管理体制の一部として整備し、その運用状況を取締役会が継続的に監督することが求められます。
本動画・資料では、IPAの実際の被害事例を手掛かりに、**「事故が起きた後に法務が確認する」のではなく、「事故が起きても会社が動けるように、法務が平時から仕組みを作る」**という観点から、ランサムウェア時代の危機管理とガバナンスを整理しています。
法務・コンプライアンス部門は、会社を止める部門ではなく、会社が動けるように整理する部門である。
これが、本動画・資料を通じてお伝えしたいメッセージです。
