ランサムウェアに感染したら｜最初の72時間にやることと、10月から始まる報告義務

梟〜GLEANINGS〜

2026年9月7日 16:40

月曜の朝9時14分、経理担当のパソコンでファイルが開かなくなる。
拡張子が見慣れないものに変わっていて、開こうとすると「暗号化されています」と出る。

そこから3日間、従業員50名の部品加工会社で何が起きるのか。
警察庁・IPA・個人情報保護委員会が公開している資料と、民間の調査にもとづいて、ひとつの筋書きとしてたどります。
登場する会社と人物は架空です。

先に結論を書きます。
この72時間の結果を分けたのは、72時間のあいだの判断よりも、感染する前に何をしていたかのほうでした。
そしてもうひとつ、2026年10月1日から、この72時間に関わる時計が1本増える会社があります。

この記事は、警察庁・個人情報保護委員会・IPA・JIPDEC・JNSAの資料をもとに、2026年9月時点の内容にしています。

月曜9時14分、最初の1時間

経理部から届いた症状

情報システムを兼任している田中さんに内線が入ったのは、9時14分でした。
経理部のパソコン数台で、共通の症状が出ています。

ファイルの拡張子が、見たことのないものに変わっている
ファイルを開こうとすると「暗号化されています」と表示される

ランサムウェア感染の兆候としてよく挙げられるのは、身代金要求のメッセージが表示される、拡張子が不明なものに変わる、システムの動作が異常に遅くなる、といったものです。
この時点で確認できているのは、2つ目だけです。

拡張子が変わっただけなら、別の原因もある

ここで一段落おきます。
拡張子が変わっていても、ランサムウェアとは限りません。
Windowsの正規機能である暗号化ファイルシステム（EFS）でも、似た状態になることがあります。

田中さんが現場に着いて、判断が変わりました。
デスクトップの壁紙が見覚えのない文書に変わっており、経理部長のパソコンには脅迫文が表示されていたためです。
ファイルをすべて暗号化したこと、復元と引き換えに金銭を要求すること、指定の方法で連絡すること。
ここまで揃えば、EFSの線は消えます。

慌てて対処を始める前に、別の可能性を1つ潰す。
この数分は、あとの説明のしかたを変えます。
「なぜランサムウェアだと判断したのか」を、あとで社長にも取引先にも聞かれるからです。

電源は落とさない。ネットワークを切る

判断がついた田中さんが真っ先にやったのは、感染が疑われるパソコンを社内ネットワークから物理的に切り離すことでした。
LANケーブルを抜き、Wi-Fiをオフにする。

ランサムウェアの多くは、感染した端末を起点に、ネットワークを通じて他の端末へ被害を広げようとします。
初動でまず求められるのは、感染が疑われる端末をネットワークから切り離し、拡大を止めることです。

このとき田中さんは、電源を落とすことを選びませんでした。
電源を落とすと、あとの調査に必要な情報、たとえばメモリ上にしか残っていない記録が失われる可能性があるためです。

慌てているときほど、電源ボタンに手が伸びます。
ここは覚えておく価値があります。
切るのはネットワーク、落とさないのは電源です。

社長への一報で、体制が動き出す

ネットワークを切り離した田中さんは、すぐ社長に一報を入れました。

経営者に求められるのは、インシデントが事業や顧客に与える影響を踏まえて、速やかに対応の体制を立ち上げ、責任者と担当者を決めて役割分担を明確にすることだとされています。
技術的な対処を担当者に任せきりにせず、経営の側が判断する場所をつくる、ということです。

この時点ですでに、外部の専門家に相談する必要があるかどうかという話が出ています。

発見から24時間、どこまでやられたかを調べる

何が、どこまで暗号化されたのか

初動で拡大を止めたあとは、復旧計画を立てるために、何が影響を受けたかを詳しく調べる段階に入ります。
経理部以外の端末やファイルサーバーを、一台ずつ確認していく地道な作業です。

この会社の場合、暗号化されていたのは経理部の数台と、そこから見えていたファイルサーバーの共有フォルダの一部でした。
切り離しが早かったぶん、全社には広がっていません。
ただしこれは結果論で、確認が終わるまでは全社に広がっている前提で動くことになります。

種類が分かると、次の選択肢が決まる

並行して、感染したランサムウェアの種類を特定していきます。
種類が分かると、その後の復旧の選択肢がはっきりするためです。

暗号化されたファイルのサンプルや脅迫文を、無料のオンラインサービスに送ることで種類が判明する場合があります。
実行ファイル（検体）が手に入れば、VirusTotalのようなサービスで複数のアンチウイルスエンジンの検出結果を確認し、既知のファミリーかどうかを見ることもできます。

種類が特定できたら、次に確認するのは、その種類に対応する復号ツールが存在するかどうかです。
警察庁のウェブサイトでも案内されている「No More Ransom」は、法執行機関とセキュリティ企業が連携して2016年に立ち上げた取り組みで、判明した種類に応じた復号ツールが公開されているかを確認できます。
オランダ警察のハイテク犯罪ユニット、EuropolのEuropean Cybercrime Centre、KasperskyとMcAfeeが創設し、いまは各国の警察や多数のセキュリティ企業が参加しています。

ただし、すべてのランサムウェアに復号ツールがあるわけではありません。
新しい種類なら、対応するツールが見つからないほうが普通です。
この会社の場合も、見当たりませんでした。

侵入口は、VPN機器だった

どこから入られたのかという調査も進みます。
ログの分析、メールの添付ファイルやリンクの解析、外部記録メディアの確認といった手段があります。

田中さんが確認したところ、社外から社内ネットワークにつなぐために使っていたVPN機器のログに、見慣れない海外からのアクセス記録が残っていました。
この機器は、ここ数か月ファームウェアを更新していませんでした。

この段階で分かるのは「たぶんここから入られた」という当たりまでです。
法的な報告や保険の請求に使える形で確定させるには、あとで専門的な調査が要ります。
それは3日目の話になります。

66.3パーセントという数字の、読み方

VPN機器が侵入口だったというのは、この筋書きの都合ではありません。

警察庁が2026年8月25日に公表した令和8年版警察白書によると、令和7年（2025年）のランサムウェア被害で、感染経路はVPN機器が66.3パーセント、リモートデスクトップサービス（社外から社内のパソコンの画面をそのまま操作する仕組み）が20.7パーセントでした。
この2つで約87パーセントを占めます。

ただし、この数字の読み方には注意がいります。
母数は感染経路を回答した92件です。
前年（令和6年、有効回答100件）はVPN機器55.0パーセント、リモートデスクトップ31.0パーセントでしたから、1年で10ポイント以上動いています。
母数が小さいので、年による振れが大きい指標です。

それでも、この2つで大半を占めるという傾向は2年続いています。
社外から社内に入るための入り口が、そのまま攻撃者の入り口になっている。
ここは動いていません。

被害の件数も見ておきます。
令和7年のランサムウェア被害の報告は226件で、前年より4件増えました。
先ほどの92件は、このうち感染経路まで答えた分です。
規模別では中小企業が143件、全体の63.3パーセントを占めます。
大企業は64件、団体等が19件でした。
「うちみたいな小さい会社が狙われるわけがない」という前提は、統計とは合っていません。

24時間から48時間、報告の判断に入る

個人情報が漏れたかもしれない、という新しい懸念

被害範囲の調査が進む中で、経理部のパソコンに、取引先の担当者名や連絡先が入ったファイルが保存されていたことが分かります。

社長に相談したところ、「うちは大丈夫だと思っていたが、そういう話も出てくるのか」と、想定していなかった論点に戸惑う様子でした。
ここから、技術的な対応とは別の判断が始まります。

報告義務が生じる4つの類型

2022年4月に施行された改正個人情報保護法により、一定の要件に当たる個人データの漏えいが起きた場合、個人情報保護委員会への報告と本人への通知が義務になりました。

個人情報保護委員会が挙げている類型は4つです。

要配慮個人情報（人種、信条、病歴、犯罪の経歴など、取扱いに特に配慮を要する情報）が含まれる個人データの漏えい等（またはそのおそれ）
不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
不正の目的をもって行われたおそれがある行為による個人データの漏えい等
個人データに係る本人の数が1,000人を超える漏えい等（またはそのおそれ）

ランサムウェアによる被害は、3つ目に当たる可能性が高くなります。
そして3つ目に当たると判断された場合、漏えいした個人データが1件であっても報告義務が生じえます。
4つ目の1,000人という基準に届かないから報告不要、とはなりません。

「72時間」は、日本の法律の期限ではない

ここで、このシリーズの題について書いておきます。
「72時間」は物語の長さであって、日本の法律が定めた報告期限ではありません。
解説記事でもよく混ざっているところです。

72時間という数字は、EUの一般データ保護規則（GDPR）第33条1項に出てきます。
原文はこうです。

In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority

不当に遅れることなく、可能であれば認知から72時間以内に、監督機関へ通知する。
これがGDPRの規定です。

日本の個人情報保護法は、違う書き方をしています。
報告は速報と確報の2段階です。
速報は第一報で、分かっている範囲を早く出すもの。
確報は調査の結果をそろえて出す最終的な報告です。
個人情報保護委員会のページには、速報について「速やか（概ね３〜５日以内）に個人情報保護委員会への報告を行いましょう」とあります。
時間ではなく日数で、幅を持たせた書き方です。

確報には、はっきりした日数が示されています。
発覚日から30日以内。
ただし、不正の目的をもって行われたおそれがある行為による漏えいの場合は、発覚日から60日以内です。
ランサムウェアはこの後者に当たると判断されることが多く、その場合、確報の期限は60日になります。

整理するとこうなります。

速報：速やか（概ね3〜5日以内）
確報：発覚日から30日以内。不正の目的による場合は60日以内
72時間：GDPRの数字であって、日本の個人情報保護法の期限ではない

72時間はちょうど3日ですから、「概ね3〜5日以内」の下限とほぼ同じです。
数字としては近く、GDPRのつもりで動いても日本の目安から外れることはありません。
ただ、根拠の違う数字を混ぜたまま社内の手順書を作ると、あとで「これは何を根拠にした3日ですか」と聞かれて答えられなくなります。
どちらの数字がどこから来ているのかは、分けて持っておくほうがいいと思います。

報告するかどうかの判断が、いちばん難しい

期限より先に決めなければならないのは、そもそも報告する事案なのかどうかです。

すべての漏えいが直ちに報告義務の対象になるわけではありません。
報告を要するかどうかは、暗号化の強度や復号手段の管理状況などを踏まえて、個別に判断することになります。
ランサムウェアで暗号化されただけで、外部に持ち出された形跡がない場合をどう扱うか。
ここは社内だけで結論を出しにくいところです。

先ほど「1件でも報告義務が生じえる」と書きましたが、これは類型に当たると判断されたあとの話です。
当たるかどうかの判断が、その手前にあります。

この会社では、漏えいした可能性のあるファイルに取引先担当者の氏名と連絡先が含まれていました。
判断がつかず、社長は外部の弁護士に相談することを決めます。

そして社長自身が、外部専門家との連絡と取引先への説明という対外的な対応の責任者になり、田中さんは社内の技術的な対応を担当する、という分担が決まりました。
ここで役割を分けたことが、翌日の動きを速くします。

公表のタイミングという、別の判断

報告義務とは別に、この件をどう取引先や顧客に伝えるかという判断が残ります。

早すぎる公表は、全容が分からないまま不確かな情報を出すことになります。
遅すぎる公表は、隠していたと受け取られかねません。
IPAの手引きも、インシデント対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階で考えるとしたうえで、報告・公表を特に慎重な判断が必要な部分としています。

この会社では、主要な取引先には個別に事情を説明し、それ以外は原因究明が一定進んだ段階で改めて対応する、という方針に落ち着きました。

48時間から72時間、払うか、戻すか

身代金を払った企業の6割強は、取り戻せていない

脅迫文には、指定の方法で連絡すれば身代金と引き換えにファイルを復元する、と書かれていました。
社長の口から「払えば戻るなら、払ってしまった方が早いんじゃないか」という言葉が漏れます。

ここで田中さんが示したのが、数字でした。

一般財団法人日本情報経済社会推進協会（JIPDEC）が2026年4月16日に公表した「企業IT利活用動向調査2026」を見ます。
従業員50名以上の国内企業1,107社への調査で、調査時期は2026年1月です。
このうちランサムウェアの被害があったのは507社。

先に挙げた警察庁の226件とは桁が違いますが、性質が別のものです。
226件は警察に届け出があった件数、507社は企業に自己申告してもらったアンケートの回答です。
届け出ていない被害があることを、この差は示しています。

被害があった507社のうち、身代金を支払ったのは222社（43.8パーセント）でした。

そして支払った222社のうち、データを復旧できなかったのは139社。
62.6パーセントにあたります。

払っても6割強は戻ってきていない。
加えて、支払いは攻撃者の資金源になり、再攻撃のリスクも高めるとされ、警察庁も支払いを推奨していません。

この割合は下がってきています。
JIPDECの2024年の調査では57.0パーセントでしたから、2026年の43.8パーセントは13ポイント余りの低下です。
払わない選択が増えている、ということです。

なお、支払いを検討する場合でも、必ず専門家と法律家に相談すべきだとされています。
この判断を担当者ひとりに負わせないでください。

バックアップが命綱になる。ただし条件が2つある

身代金を払わずに復旧する道として、まず検討するのがバックアップからの復元です。
バックアップが正常に存在し、ランサムウェアが到達していなければ、身代金なしで戻せます。

ただし条件が2つあります。

1つ目は、バックアップデータ自体が感染していないことです。
バックアップを保存しているハードディスクがネットワークに常時つながっていた場合、バックアップも一緒に暗号化されている可能性があります。

2つ目は、復元の前に、社内のパソコンやネットワークからランサムウェアが完全に駆除されていることです。
駆除しないまま戻せば、戻したそばから暗号化されます。

この会社では、週に1度バックアップを取り、その都度ネットワークから切り離して保管していました。
この運用があったことが、あとで効いてきます。

フォレンジック調査の費用は、規模で大きく変わる

初日にログから当たりをつけた侵入経路を、ここで確定させます。
侵入経路、被害範囲、漏えいしたデータを専門的に特定する調査で、法的な報告や、加入していれば保険金の請求に使える形の証拠を残すためのものです。
自社のログを見て「たぶんVPNから」と見当をつけるのと、第三者が調べて記録に残すのとでは、使える場面が違います。

費用の目安は、JNSA（日本ネットワークセキュリティ協会）が2024年2月に公表した「インシデント損害額調査レポート第2版」に出ています。
複数の事業者の見積もりを集めたもので、規模によって幅があります。

小規模（パソコン・サーバーが数台）：総額で概ね300万円から400万円程度
大規模な被害：数千万円以上になることがある
同レポートが「過去に経験した高額な事例」として挙げている幅：1,000万円から約5億円

数台規模でも300万円台からです。
この会社は、以前に検討したまま加入していなかったサイバー保険の重みを、この段階で実感することになります。

見えにくいのは、調査費用の外側

払わなくても、費用はかかります。
しかも目につきにくいところで積み上がります。

フォレンジック調査費用、取引先への通知費用、対応にあたる従業員の超過人件費、業務停止による逸失利益、謝罪対応の費用。
このうち逸失利益は、復旧までに数週間から数か月かかることもあり、直接的な費用を上回ることも珍しくないとされています。

身代金を払うかどうかは、費用の一部の話でしかない。
ここは押さえておく必要があります。

3日目に始まるのは、復旧の着手であって完了ではない

バックアップの安全性が確認され、駆除が終わった段階で、ようやく復旧作業に入れます。
経理部のパソコンを1台ずつ初期化し、バックアップからデータを戻していく。

ここで注意しておきたいのは、72時間で終わるのは着手までだということです。
全社の業務が元に戻るまでには、この先さらに時間がかかります。
先ほどの逸失利益は、その期間に発生します。

並行して、侵入口になったVPN機器のファームウェア更新と、二要素認証の導入という再発防止策の検討が始まりました。

2026年10月1日から、時計がもう1本増える

サイバー対処能力強化法の中核が動き出す

ここまでが、いまの制度での話です。
2026年10月1日から、報告に関わる法律がもう1つ動きます。

サイバー対処能力強化法という通称で呼ばれている法律です。
正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」で、令和7年法律第42号として2025年5月23日に公布されました。
この法律は段階的に施行され、報告義務を含む中核部分の施行日が、施行期日を定める政令で令和8年10月1日と指定されています。

条文はこうです。

特別社会基盤事業者は、特定重要電子計算機に係る特定侵害事象又は当該特定侵害事象の原因となり得る事象として主務省令で定めるものの発生を認知したときは、主務省令で定めるところにより、その旨及び主務省令で定める事項を特別社会基盤事業所管大臣及び内閣総理大臣に報告しなければならない。

被害が確定してからではなく、原因となり得る事象を認知した段階で報告する、という組み立てです。
個人情報保護法の報告が「漏えいが起きたかどうか」を軸にしているのに対し、こちらは「異常を認知したかどうか」を軸にしています。
起点が違います。

期限は条文に書かれておらず、主務省令に委ねられています。
内閣府の会議資料では、認知後速やかに速報を出し、30日以内に詳報を提出するという運用が示されています。
個人情報保護法の速報・確報と似た二段構えですが、根拠になる法律が別なので、時計は別々に動きます。

直接の対象は、中小企業ではない

主語は「特別社会基盤事業者」です。
ここで似た言葉が2つ出てくるので、先に分けておきます。

経済安全保障推進法には「特定社会基盤事業者」という枠があります。
電気、ガス、水道、通信、金融、鉄道といった、生活や経済の土台になる事業を国が指定するもので、内閣官房が令和7年9月に公表した資料では15事業、計257者とされています。

サイバー対処能力強化法の「特別社会基盤事業者」は、この特定社会基盤事業者のうち、特定重要電子計算機を使っているところを指します。
特定重要電子計算機とは、その事業を続けるうえで欠かせないシステムのうち、政令で定める基準に当たるものです。
一字違いですが、後者は前者の中の一部にあたります。

つまり、田中さんの会社のような従業員50名の部品加工会社に、この法律にもとづく報告義務が直接生じるわけではありません。
ここは誤解しないほうがいいところです。

それでも、無関係ではない

では関係ないのかというと、そうでもありません。

対象になる事業者は、異常を認知した段階で報告しなければなりません。
その報告に必要な材料は、自社の中だけで揃うとは限らない。
システムを納めたベンダー、保守を請けている会社、業務を委託している先。
そうした取引先に、ログの提供、脆弱性情報の共有、修正対応、緊急時の連絡体制といった協力が求められる場面が出てきます。

自社が対象でなくても、取引先が対象なら、自社の72時間の中身が変わります。
「おたくのログを出してほしい」と言われたときに、そもそもログが残っているのか。
誰に連絡すればいいのか。
この2つは、聞かれてから用意するものではありません。

供給網全体でセキュリティを見るという流れは、経済産業省が進めているサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）でも同じ方向を向いています。
10月1日は、その流れの中の1つの日付だと捉えるほうが実態に合っています。

結果を分けていたのは、感染する前だった

効いたもの、足を引っ張ったもの

72時間を通して見ると、結果を大きく左右していたのは、発生後の対応よりも発生前の備えでした。

効いたのは1つです。
週に1度、ネットワークから切り離してバックアップを取っていたこと。
これがなければ、身代金を払うかどうかという、もっと厳しい判断を迫られていたはずです。
そしてその判断の先には、支払った222社のうち139社が取り戻せていないという数字が待っています。

足を引っ張ったのは2つ。
VPN機器のファームウェアを長期間更新していなかったこと。
サイバー保険に加入していなかったこと。
どちらも72時間のあいだにどうにかできるものではありません。

72時間中の判断が効かなかったわけではありません。
電源を落とさずネットワークを切ったこと、社長と担当者で役割を分けたこと、この2つは動きを速くしました。
ただ、その判断が選べる範囲そのものを、発生前の備えが決めていました。

技術の話だけでは終わらない

もうひとつ、この筋書きから見えるのは、ランサムウェア対応が「ウイルスを駆除する」という技術的な話だけでは終わらないということです。

経営判断、法律上の報告義務、取引先への説明、費用の負担、再発防止。
会社のあらゆる部門が関わります。
田中さんのように専任ではなく兼任で情報システムを担当している方にとって、これを一人で背負うのは無理があります。

今日、確かめられること

72時間のあいだにやることを覚えるより、いま確かめられることのほうが多いはずです。

バックアップを、ネットワークから切り離して保管しているか。週に1度でも切り離してあるか
実際に復元したことがあるか。取れているつもりのバックアップは、戻せて初めてバックアップになる
VPN機器のファームウェアと、リモートデスクトップに使っているソフトの更新を、最後にしたのはいつか
感染に気づいた人が、最初に誰へ連絡するか決まっているか
対外的な窓口を誰が務めるか決まっているか
サイバー保険の補償範囲を、いま説明できるか
取引先から「ログを出してほしい」と言われたとき、出せるログが残っているか

最後の1つは、10月1日以降に効いてきます。

この記事でたどった72時間を、そのまま社内で使える形にしたものがあります。
初動フローシート、発見時チェックシート、報告・通知の書式集、事前準備チェックリスト、緊急連絡先シートの5点です。

まとめ

ランサムウェアを疑ったら、電源は落とさずネットワークを切る。電源を落とすとメモリ上にしか残らない情報が失われる
拡張子が変わっただけならWindowsの正規機能（EFS）の可能性もある。壁紙や脅迫文まで揃って初めて確定する
令和8年版警察白書によると、令和7年の感染経路はVPN機器66.3パーセント、リモートデスクトップ20.7パーセント。ただし感染経路を回答した92件が母数で、年による振れは大きい
令和7年のランサムウェア被害の報告は226件。うち中小企業が143件、63.3パーセントを占める
報告するかどうかは、暗号化の強度や復号手段の管理状況を踏まえた個別判断になる。期限より先に、この判断がある
類型に当たると判断された場合は、個人データが1件でも報告義務が生じえる。1,000人という基準に届かないから不要、とはならない
「72時間」はGDPR第33条の数字であって、日本の個人情報保護法の期限ではない。速報は「速やか（概ね3〜5日以内）」、確報は30日以内、不正の目的による場合は60日以内
2026年10月1日、サイバー対処能力強化法の報告義務が施行される。義務を負うのは「特別社会基盤事業者」で、これは経済安全保障推進法の特定社会基盤事業者（15事業257者）のうち特定重要電子計算機を使うところを指す。中小企業に直接の義務は生じない。ただし取引先が対象なら、ログ提供や連絡体制の協力を求められる
身代金を支払った222社のうち139社、62.6パーセントはデータを復旧できていない（JIPDEC、2026年4月）
バックアップから戻すには2つの条件がいる。バックアップ自体が感染していないこと、復元前に駆除が終わっていること
フォレンジック調査は小規模でも総額で概ね300万円から400万円程度。逸失利益が直接費用を上回ることも珍しくない
72時間で終わるのは復旧の着手までで、完了ではない
結果を分けていたのは、切り離したバックアップ、機器の更新、サイバー保険の3つ。いずれも発生前に決まっていた

「うちみたいな小さい会社が狙われるわけがない」。
この前提は、統計とは合っていません。
被害の報告226件のうち143件が中小企業です。

皆さんの会社では、感染に気づいた人が最初に誰へ連絡するか、決まっていますか。

参考・引用元

法令・行政（一次資料）

個人情報保護委員会「漏えい等報告・本人への通知の義務化について」 https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/
個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
警察庁「令和8年版警察白書」（2026年8月25日公表） https://www.npa.go.jp/publications/whitepaper/r08/index.html
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月10日） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
警察庁「令和7年版警察白書」第3章（令和6年の感染経路の数値） https://www.npa.go.jp/hakusyo/r07/honbun/html/bb3313000.html
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」付録8「中小企業のためのセキュリティインシデント対応の手引き」（Version 1.2、2026年6月） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf
IPA「中小企業の情報セキュリティ対策ガイドライン」案内ページ https://www.ipa.go.jp/security/guide/sme/about.html
内閣府「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行期日を定める政令」

調査・レポート

JIPDEC「企業IT利活用動向調査2026」（2026年4月16日公表、有効回答1,107社） https://www.jipdec.or.jp/news/news/20260416.html
同集計結果 https://www.jipdec.or.jp/archives/publications/h2le1c000000bl0u-att/ITresarch2026results.pdf
JNSA「インシデント損害額調査レポート第2版」（2024年2月9日） https://www.jnsa.org/result/incidentdamage/202402.html

海外の規則

GDPR 第33条（個人データ侵害の監督機関への通知） https://gdpr-info.eu/art-33-gdpr/

その他

No More Ransom プロジェクト https://www.nomoreransom.org/
JPCERT/CC「ランサムウエア対策特設サイト」 https://www.jpcert.or.jp/

書籍

マイナビ出版「ランサムウェア対策実践ガイド」（田中啓介・山重徹著／2023年9月26日／272ページ／3,696円） https://book.mynavi.jp/ec/products/detail/id=139983

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40