---
title: "脆弱性を放置すると、会社に何が起きるのか。被害の型と、経営として備えること｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/vulnerability-business-risk/
description: "脆弱性を放置すると、情報の漏えい、サイトの改ざん、ランサムウェアによる業務の停止、ほかの会社への攻撃の踏み台といった被害につながります。警察庁の統計と個人情報保護法の報告の決まりをもとに、被害の大きさと、経営として決めておくことを整理します。"
updated: 2026-11-07
publisher: "アメリア・テクノロジー株式会社"
---
# 脆弱性を放置すると、会社に何が起きるのか。被害の型と、経営として備えること

脆弱性を放置すると、情報の漏えい、サイトの改ざん、ランサムウェアによる業務の停止、ほかの会社への攻撃の踏み台といった被害につながります。警察庁の統計と個人情報保護法の報告の決まりをもとに、被害の大きさと、経営として決めておくことを整理します。

2026.11.07 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/)

執筆 [嵐保憲](https://www.ameliatechnology.co.jp/blog/author/arashi/)（代表取締役CEO）

## この記事の要点

- 警察庁によると、2025年のランサムウェアの被害の報告は226件で、中小企業が約6割を占めました。被害を受けた組織へのアンケートでは、復旧に総額1,000万円以上を要した組織が5割を超えています。
- 不正アクセスによって個人データが漏えいしたおそれがある場合は、件数にかかわらず、原則として個人情報保護委員会への報告と本人への通知が求められます。
- 脆弱性への対応は担当者に任せきりにせず、守る対象の把握、更新の責任の分担、事故のときの判断の手順を、経営として決めておくことが大切です。

ソフトウェアや機器の脆弱性を放置すると、情報の漏えい、サイトの改ざん、ランサムウェアによる業務の停止、ほかの会社への攻撃の踏み台という4つの型の被害につながるおそれがあります。被害は技術の問題にとどまらず、法令にもとづく報告、取引先への説明、事業の停止による損失として、経営に直接はね返ります。

## 脆弱性が招く4つの被害

[脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/)とは、ソフトウェアや機器の作りや設定にある、攻撃に悪用されるおそれのある弱点のことです。脆弱性を突かれたときの被害は、大きく4つの型に分けられます。

1. 情報の漏えい：お客様や取引先の情報、社員の情報、技術や営業の情報が外に持ち出されます
2. サイトの改ざん：自社のWebサイトが書き換えられ、偽のサイトへの誘導や、閲覧した人の端末への不正なプログラムの配布に使われることがあります
3. 業務の停止：[ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)によってデータやシステムが暗号化され、受注・生産・出荷・経理などの業務が止まります。データを盗んだうえで、公開をちらつかせて金銭を求める手口もあります
4. 踏み台：自社のサーバーや機器が乗っ取られ、ほかの会社への攻撃の中継に使われます。自社は被害者であると同時に、取引先に被害を広げる側にもなり得ます

いずれも、一つの脆弱性から始まることがあります。古い版のまま更新されていないサイトの部品や、インターネットに面した機器の脆弱性は、攻撃の入り口として狙われやすい箇所です。

## 数字で見る、被害の大きさ

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）によると、2025年のランサムウェアの被害の報告は226件で、依然として高い水準で推移しています。被害を受けた組織の規模では、前年と同様に中小企業が約6割を占めました。

被害の影響も大きくなっています。被害を受けた組織へのアンケートによると、復旧に総額1,000万円以上を要した組織の割合は全体の5割を超え、1か月未満で復旧した組織の割合は5割強にとどまるなど、被害が長引く傾向にあるとされています。侵入の経路は、被害を受けた組織へのアンケートで、VPN機器が6割以上を占めました。

出典：[令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)

中小企業だから狙われない、とは言えない状況です。攻撃する側は、相手の規模よりも、入りやすい入り口があるかどうかを見ていると考えたほうが、備えの的を絞りやすくなります。VPN機器の守り方は、[VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方](https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/)で説明しています。

## 法令にもとづく報告と通知

脆弱性を突かれて個人データが漏えいした場合は、個人情報保護法にもとづく対応が求められることがあります。個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えいなどが生じたときに、個人情報保護委員会への報告と、本人への通知を求めています。

個人情報保護委員会は、報告が必要になる場合として、要配慮個人情報が含まれる場合、財産的な被害が生じるおそれがある場合、本人の数が1,000人を超える場合とあわせて、不正の目的をもって行われたおそれがある漏えいなどを挙げています。外部からの不正アクセスによる漏えいのおそれは、一般にこの不正の目的によるものの例とされ、件数にかかわらず報告の対象になり得ます。

報告の期限について、個人情報保護委員会は、発覚した後、速やかに（おおむね3〜5日以内に）速報を、30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出すよう案内しています。報告の要否や内容は、事案ごとに判断が必要です。漏えいのおそれに気づいたら、個人情報保護委員会の案内を確かめ、弁護士などの専門家にご相談ください。

個人データの漏えいなどを個人情報保護委員会に報告する期限（委員会の案内）

**発覚した日**

**速報**：速やかに（おおむね3〜5日以内）

**確報**：発覚した日から30日以内（不正の目的で行われたおそれがある場合は60日以内）

報告の要否や内容は事案ごとに判断が必要です。**弁護士などの専門家にご相談ください**

出典：[漏えい等の対応とお役立ち資料（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/leakAction)

## 取引先と信用への影響

被害の影響は、自社の中にとどまりません。取引先から預かった情報が漏えいすれば、契約にもとづく責任を問われることがあります。システムが止まって納期を守れなければ、取引先の業務にも影響が及びます。踏み台にされた場合は、取引先への攻撃の中継をしてしまうことになります。

こうした事情から、取引の条件として、セキュリティの対策の状況を確かめる会社も増えています。脆弱性への対応は、守りの費用というだけでなく、取引を続けるための前提の一つになりつつあると考えられます。

## 経営として決めておくこと

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」は、サイバーセキュリティの対策を、経営者が認識すべき原則と、担当の幹部に指示すべき重要な項目に整理しています。脆弱性への対応も、担当者の努力に任せるのではなく、経営として次の点を決めておくことが大切です。

出典：[サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA）](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf)

### 守る対象を把握する

インターネットに面したサイト、サーバー、VPN機器、クラウドのサービスを一覧にし、それぞれの担当と、使っているソフトウェアの版を書き出します。把握していない機器やサイトは、更新の対象から漏れます。

### 更新の責任を、契約と社内で分ける

サイトや機器の更新を、社内の誰が担うのか、委託先がどこまで担うのかを決め、保守の契約に書きます。「制作会社が見てくれているはず」という思い込みが、更新の空白を生みます。サポートの終わったソフトウェアや機器を入れ替える予算も、前もって確保しておきます。

### 事故のときの判断の手順を決める

不審な動きに気づいたときに、誰に連絡し、誰がシステムを止めるかを決め、取引先や当局への報告の窓口も決めておきます。[インシデント対応](https://www.ameliatechnology.co.jp/glossary/incident-response/)の手順を、年に一度は確かめておくと、いざというときに迷う時間を減らせます。

### 戻せる状態を保つ

[バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)を、元の環境とは別の場所に複数の世代で残し、実際に戻せるかを試しておきます。ランサムウェアの被害を受けたときに、業務をどれだけ早く再開できるかは、戻せるバックアップがあるかどうかに大きく左右されます。

## 当社のご支援

アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、守る対象の棚卸し、脆弱性診断、見つかった問題を直す作業、規程と体制づくりまでをご支援しています。自社の状況をおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。サイトのPHPの版は、無料の[PHPバージョン診断](https://www.ameliatechnology.co.jp/diagnosis/php/)で確かめられます。取締役会の立場から確かめたい点は、[取締役会・監査役が確かめたいITのリスク](https://www.ameliatechnology.co.jp/blog/board-it-risk-oversight/)もご覧ください。

- 脆弱性
- ランサムウェア
- 情報漏えい
- 個人情報保護法
- 経営

## この記事に出てくる用語

- [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/)
- [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)
- [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/)
- [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/)
- [サーバー](https://www.ameliatechnology.co.jp/glossary/server/)
- [インターネット](https://www.ameliatechnology.co.jp/glossary/internet/)
- [VPN](https://www.ameliatechnology.co.jp/glossary/vpn/)
- [不正アクセス](https://www.ameliatechnology.co.jp/glossary/unauthorized-access/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第26条（漏えい等の報告等）
   個人データの漏えいなどで、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会への報告と、本人への通知が求められます。委託を受けた事業者は、委託元への通知で足りる場合があります。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月（令和8年6月一部改正））
   個人情報保護法について、事業者が守る事項の解釈と具体例を示したガイドラインです。本人から得た情報から行動や関心などを分析する場合は、本人が予測・想定できる程度に利用目的を特定する必要があるとしています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)
- 指針
   経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」（Ver 3.0（2023年3月））
   大企業と中小企業（小規模事業者を除く）の経営者を対象に、経営者が認識する必要がある3原則と、担当の幹部（CISO など）に指示すべき重要10項目をまとめたガイドラインです。
   [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[嵐保憲](https://www.ameliatechnology.co.jp/blog/author/arashi/) 代表取締役CEO

複数の会社の経営に携わり、事業の立ち上げから譲渡・譲受までを経営者の立場で経験してきました。現在は、アメリア・テクノロジーとフロレンティナの代表取締役として、経営の目標から逆算したAIとシステムへの投資を進めています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [システム監査とは何か。目的・基準・進め方](https://www.ameliatechnology.co.jp/blog/system-audit-basics/)
- [事業承継で、属人化した業務とノウハウをAIで引き継ぐ](https://www.ameliatechnology.co.jp/blog/succession-knowledge-ai/)
- [譲渡の前に行う、売り手側のITデューデリジェンス](https://www.ameliatechnology.co.jp/blog/sell-side-it-due-diligence/)

[経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 取り組む順番を決める

AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。

[AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

### M&Aの前後のシステムを整える

フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。

[M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「脆弱性を放置すると、会社に何が起きるのか。被害の型と、経営として備えること｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/vulnerability-business-risk/