脆弱性を放置すると、会社に何が起きるのか。被害の型と、経営として備えること

ソフトウェアや機器の脆弱性を放置すると、情報の漏えい、サイトの改ざん、ランサムウェアによる業務の停止、ほかの会社への攻撃の踏み台という4つの型の被害につながるおそれがあります。被害は技術の問題にとどまらず、法令にもとづく報告、取引先への説明、事業の停止による損失として、経営に直接はね返ります。

脆弱性が招く4つの被害

脆弱性とは、ソフトウェアや機器の作りや設定にある、攻撃に悪用されるおそれのある弱点のことです。脆弱性を突かれたときの被害は、大きく4つの型に分けられます。

1. 情報の漏えい：お客様や取引先の情報、社員の情報、技術や営業の情報が外に持ち出されます
2. サイトの改ざん：自社のWebサイトが書き換えられ、偽のサイトへの誘導や、閲覧した人の端末への不正なプログラムの配布に使われることがあります
3. 業務の停止：ランサムウェアによってデータやシステムが暗号化され、受注・生産・出荷・経理などの業務が止まります。データを盗んだうえで、公開をちらつかせて金銭を求める手口もあります
4. 踏み台：自社のサーバーや機器が乗っ取られ、ほかの会社への攻撃の中継に使われます。自社は被害者であると同時に、取引先に被害を広げる側にもなり得ます

いずれも、一つの脆弱性から始まることがあります。古い版のまま更新されていないサイトの部品や、インターネットに面した機器の脆弱性は、攻撃の入り口として狙われやすい箇所です。

数字で見る、被害の大きさ

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）によると、2025年のランサムウェアの被害の報告は226件で、依然として高い水準で推移しています。被害を受けた組織の規模では、前年と同様に中小企業が約6割を占めました。

被害の影響も大きくなっています。被害を受けた組織へのアンケートによると、復旧に総額1,000万円以上を要した組織の割合は全体の5割を超え、1か月未満で復旧した組織の割合は5割強にとどまるなど、被害が長引く傾向にあるとされています。侵入の経路は、被害を受けた組織へのアンケートで、VPN機器が6割以上を占めました。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）

中小企業だから狙われない、とは言えない状況です。攻撃する側は、相手の規模よりも、入りやすい入り口があるかどうかを見ていると考えたほうが、備えの的を絞りやすくなります。VPN機器の守り方は、VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方で説明しています。

法令にもとづく報告と通知

脆弱性を突かれて個人データが漏えいした場合は、個人情報保護法にもとづく対応が求められることがあります。個人情報保護法 第26条は、個人の権利利益を害するおそれが大きい漏えいなどが生じたときに、個人情報保護委員会への報告と、本人への通知を求めています。

個人情報保護委員会は、報告が必要になる場合として、要配慮個人情報が含まれる場合、財産的な被害が生じるおそれがある場合、本人の数が1,000人を超える場合とあわせて、不正の目的をもって行われたおそれがある漏えいなどを挙げています。外部からの不正アクセスによる漏えいのおそれは、一般にこの不正の目的によるものの例とされ、件数にかかわらず報告の対象になり得ます。

報告の期限について、個人情報保護委員会は、発覚した後、速やかに（おおむね3〜5日以内に）速報を、30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出すよう案内しています。報告の要否や内容は、事案ごとに判断が必要です。漏えいのおそれに気づいたら、個人情報保護委員会の案内を確かめ、弁護士などの専門家にご相談ください。

出典：漏えい等の対応とお役立ち資料（個人情報保護委員会）

取引先と信用への影響

被害の影響は、自社の中にとどまりません。取引先から預かった情報が漏えいすれば、契約にもとづく責任を問われることがあります。システムが止まって納期を守れなければ、取引先の業務にも影響が及びます。踏み台にされた場合は、取引先への攻撃の中継をしてしまうことになります。

こうした事情から、取引の条件として、セキュリティの対策の状況を確かめる会社も増えています。脆弱性への対応は、守りの費用というだけでなく、取引を続けるための前提の一つになりつつあると考えられます。

経営として決めておくこと

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」は、サイバーセキュリティの対策を、経営者が認識すべき原則と、担当の幹部に指示すべき重要な項目に整理しています。脆弱性への対応も、担当者の努力に任せるのではなく、経営として次の点を決めておくことが大切です。

出典：サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA）

守る対象を把握する

インターネットに面したサイト、サーバー、VPN機器、クラウドのサービスを一覧にし、それぞれの担当と、使っているソフトウェアの版を書き出します。把握していない機器やサイトは、更新の対象から漏れます。

更新の責任を、契約と社内で分ける

サイトや機器の更新を、社内の誰が担うのか、委託先がどこまで担うのかを決め、保守の契約に書きます。「制作会社が見てくれているはず」という思い込みが、更新の空白を生みます。サポートの終わったソフトウェアや機器を入れ替える予算も、前もって確保しておきます。

事故のときの判断の手順を決める

不審な動きに気づいたときに、誰に連絡し、誰がシステムを止めるかを決め、取引先や当局への報告の窓口も決めておきます。インシデント対応の手順を、年に一度は確かめておくと、いざというときに迷う時間を減らせます。

戻せる状態を保つ

バックアップを、元の環境とは別の場所に複数の世代で残し、実際に戻せるかを試しておきます。ランサムウェアの被害を受けたときに、業務をどれだけ早く再開できるかは、戻せるバックアップがあるかどうかに大きく左右されます。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、守る対象の棚卸し、脆弱性診断、見つかった問題を直す作業、規程と体制づくりまでをご支援しています。自社の状況をおおまかに確かめたい場合は、無料のセキュリティの自己診断をお使いください。サイトのPHPの版は、無料のPHPバージョン診断で確かめられます。取締役会の立場から確かめたい点は、取締役会・監査役が確かめたいITのリスクもご覧ください。