大企業などでサイバー攻撃や情報漏えいの被害が相次いでいます。
東京商工リサーチの集計によると、上場企業とその子会社が公表した個人情報漏えい・紛失事故のうち、100万件以上の事故は2026年10月5日時点で10件に達しました。2025年の年間6件をすでに上回り、1,000万件以上の事故も今年は3件確認されています。
10月8日にはJPCERT/CCが、国内組織で情報漏えいにつながる不正アクセスが確認されているとして注意を呼びかけました。被害は一般向けアプリケーションに限らず、企業の情報分析ツールや従業員向け管理システムなどにも及んでいます。
大企業のニュースに見えるかもしれませんが、中小企業の業務も社外のさまざまなシステムとつながっています。
従業員が使うメールや業務端末、その先にあるクラウドや取引先のシステム。自社が直接攻撃されなくても、利用するサービスや委託先で障害が起きれば、日常業務に影響する可能性があります。
自社の業務は、どこまで社外とつながっているか
会計データはクラウドに保存し、受発注は取引先のシステムで処理する。勤怠管理は外部サービス、システムの保守はIT業者に委託している。
こうした企業では、業務を動かす仕組みが自社の外にも広がっています。
その一つが止まったとき、何ができなくなるでしょうか。
受注情報を確認できない。請求書を発行できない。製造に必要なデータを取り出せない。自社のパソコンが正常でも、外部サービスの障害で仕事が進まなくなる場合があります。
10月には、クラウド関連サービスを提供するIDCフロンティアもランサムウェア被害を公表しました。外部サービス側で障害が起きれば、自社のシステムに異常がなくても利用企業の業務に影響が及びます。
運用を外部へ任せていても、そのサービスが止まったときにどの業務を優先するかまで、委託先が決めてくれるわけではありません。
受注、出荷、顧客対応、生産。それぞれを支えるシステムやサービスが止まった場合、業務への影響は同じではありません。
誰が重要なシステムに入れるのか
会社と外部をつないでいるのは、システムや委託先だけではありません。
従業員も日々、メールを開き、クラウドへログインし、取引先とファイルをやり取りしています。業務端末や認証情報が、不正アクセスの入口になる場合もあります。
だからといって、社員に「怪しいメールを開かないように」と注意を促すだけでは、対応は社員個人の判断に偏ってしまいます。
仮に認証情報が流出しても、第三者が容易にログインできないよう多要素認証を設定する。担当業務に応じて権限を制限し、退職者などの不要なアカウントを残さない。異常に気づいた従業員が、迷わず報告できる連絡先も欠かせません。
10月9日、IPA（情報処理推進機構）は相次ぐ不正アクセスを受け、企業に速やかな点検を呼びかけました。外部公開しているアプリケーション、クラウドやVPNなどの外部サービス、アカウントや権限の管理などが対象です。
システムの設定や保守を外部へ任せていても、管理者権限を持つアカウントがいくつあり、誰が使えるのかまで委託先任せにはできません。
会計システムの管理者は社内の担当者か、外部業者か。委託先にはどこまでの操作権限を与えているのか。
社員の注意力に頼るより、ミスや認証情報の流出が起きても、被害が広がりにくい仕組みを整える。技術的な設定は専門業者に任せられても、どのシステムを優先して守るかは経営側の判断です。
止まったとき、何から戻すか決めているか
サイバーインシデントによる影響は、停止するシステムによって大きく変わります。
受発注が半日止まる場合と、会計システムが数日使えない場合。生産管理システムが停止し、工場の稼働に影響する場合では、損失の大きさも復旧の緊急度も異なります。
バックアップがあっても、戻せなければ業務は再開できません。実際に復旧できるのか、戻すまでに何時間、何日かかるのか。復旧手順を確かめていなければ、事故が起きてから対応に追われることになります。
外部サービスが止まれば、自社では復旧時期を決められないこともあります。代替手段で受注や出荷を続けられるのか。顧客情報へアクセスできない間、取引先への対応をどうするのか。
すべてのシステムを同じ優先度で復旧することはできません。
たとえば製造業なら、生産管理を先に戻すのか、受発注を優先するのか。納期への影響や、ほかの方法で代替できる業務があるかによって判断は変わります。
従業員の端末やアカウントから、社内システム、クラウド、委託先まで、企業活動は多くの接点でつながっています。どこかで事故が起きたとき、すべてを同時に守り、同時に戻すことはできません。
だから経営側で決めておきたいのは、「何が止まれば会社が止まるのか」です。
自社の「止められない業務」を特定し、何から復旧するのかを決める。サイバーリスクをITの問題ではなく経営課題として扱うなら、出発点はここになります。
参考資料
- JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開、10月9日更新）
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
- IPA「中小企業の情報セキュリティ対策ガイドライン」
- IDCフロンティア「当社サービスの一部システムに対する不正アクセスについて（第2報）」（2026年10月7日）
- 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月7日）
情報確認日：2026年10月9日
