ランサムウェア被害は過去最多。健康経営で「感染しない会社」へ

山崎広治

3 時間前

読了時間: 11分

はじめに

2026年10月21日の夜、「ウマ娘」や「BASE」など、日本中のネットサービスで緊急メンテナンスが相次ぎました。

原因は、世界中のWebサイトを支えるプログラミング言語「PHP」に見つかった重大な脆弱性（ぜいじゃくせい＝システムの弱点）です。さらに2026年上半期のランサムウェア（身代金要求型ウイルス）被害は123件と、半期で過去最多になりました。

まわりでも不安の声が増えるなか、10月23日に幕張メッセの「Japan IT Week 秋 2026」でセキュリティの専門家たちの話を聞き、あらためて感じたことがあります。

「会社の守り方は、人のカラダの守り方と同じだ」ということです。ウイルスを入れない「予防」、入っても発症させない「免疫」、体調を崩しても早く戻す「リカバリー」。

健康経営は、食事・睡眠・運動や認定取得だけではありません。人と組織が高いパフォーマンスを出し続けるための経営です。この記事では、免疫のしくみをヒントに「会社の免疫力」の高め方を整理します。

1. 侵入させない「予防」──会社の皮膚と粘膜を整える

人のカラダには、ウイルスを中に入れないための最初の壁があります。皮膚や、鼻・のどの粘膜です。

会社にも同じ「最初の壁」があります。ここが弱いと、どれだけ優秀な社員がいても、外から簡単に入り込まれてしまいます。

1-1. 皮膚のすき間をふさぐ──アップデートとVPN管理

警察庁のまとめでは、ランサムウェアの感染経路で最も多いのはVPN機器です。VPN（ブイピーエヌ）とは、社外から社内ネットワークに安全につなぐための「専用の出入口」のことです。

つまり、多くの攻撃は「正面玄関のカギの古さ」を突いて入ってきています。カラダで言えば、小さな傷口から菌が入るのと同じです。

今回のPHP問題も構図は同じでした。弱点が見つかり、修正版（パッチ）が出たら、いかに早く当てるか。この「傷口をすぐ手当てする習慣」があるかどうかで、被害の確率は大きく変わります。

✅ OS・ソフト・ネットワーク機器のアップデートを「後回しにしない」ルールにする

✅ 使っていないVPNアカウントやリモート接続口を定期的に閉じる

✅ ログインには多要素認証（パスワード＋スマホ確認など、2つ以上の確認）を必須にする

1-2. 正しい知識を集める──セキュリティにも「リテラシー」がある

健康の世界には「ヘルスリテラシー」という言葉があります。健康に関する正しい情報を集め、見極め、自分の行動に活かす力のことです。食事や睡眠についても、間違った情報に振り回されないことが、病気を防ぐ土台になります。

会社の守りも同じです。ニュースやメディア、専門書、専門家によるセミナーなどから、正しい情報を集め続けること。どんな攻撃が増えているのか、自社と同じ業種でどんな被害が出ているのか。こうした知識があるだけで、「うちは関係ない」という油断を減らせます。

そして集めた知識は、社員一人ひとりの行動に落とし込むことが大切です。怪しいメールの見分け方、「至急」「社長からの指示」といった焦らせる言葉への警戒、USBや個人アカウントの扱い方。こうした基本を、一度の研修で終わらせず、短い訓練として定期的にくり返すほうが身につきます。

経営者の方には、ぜひ「自分も受ける側」に立っていただきたいと思います。攻撃者は、決裁権を持つ経営層を狙ったなりすましメールを好んで使うからです。

私自身も、こうした情報収集の一つとしてJapan IT Weekに足を運び、最新の動向を学んできました。セキュリティ教育・診断・対策ツールを手がける専門企業の方々とも、今後の連携につながる濃いお話ができました。

1-3. 自分のカラダを知る──「棚卸し」は健康診断

今回のPHP問題で、IPA（情報処理推進機構）が真っ先に呼びかけたのは「PHPを使っているものを棚卸ししてください」ということでした。

実はここで多くの会社がつまずきました。PHPはWordPressなどのWebサイトだけでなく、業務ソフトや機器の中に、本人が気づかない形で入っていることがあるからです。

カラダで言えば、健康診断を受けていないのと同じ状態です。どこに何があるかを知らなければ、守る順番も決められません。

会場でも「脆弱性診断」を大きく掲げるブースが目立ちました。脆弱性診断とは、専門家がシステムの弱点を外から調べるサービスのことです。まさに会社の健康診断であり、人間ドックだと言えます。

アスリートの世界では、シーズン前のメディカルチェックで関節や筋力のバランスを測り、ケガのリスクが高い部位から手を打ちます。会社も同じで、「自社が何を使っていて、どこが外とつながっているか」を一覧にしておくことが、予防の土台になります。

2. 侵入されても「発症させない」──会社の免疫細胞を育てる

どれだけ手洗い・うがいをしても、ウイルスが一度もカラダに入らない人はいません。それでも多くの場合、私たちは発症せずに済んでいます。カラダの中で免疫細胞が働いているからです。

サイバー攻撃も同じです。「絶対に入られない会社」は現実的ではありません。大切なのは、入られたあとに広げない・暴れさせないしくみです。

会場で受け取ったセキュリティ製品AppGuardのパンフレットには、表紙いっぱいに「侵入されても発症しない。」と書かれていました。セキュリティの専門家たちも、同じく「免疫」の言葉で語り始めていることに、正直驚きました。

2-1. 自然免疫──異変にすぐ気づく「見張り役」

カラダには、異物を見つけるとすぐに駆けつける細胞がいます。好中球やマクロファージ（異物を食べて処理する細胞）です。これを「自然免疫」と呼びます。

会社でこの役割を担うのが、パソコンやサーバーの不審な動きを見張るしくみです。EDR（イーディーアール）と呼ばれる「端末の見張り番」や、ログ（操作の記録）の監視がこれにあたります。

ランサムウェアの多くは、侵入してすぐに暗号化するのではなく、しばらく社内を探索します。この潜伏期間に気づけるかどうかが、発症するかしないかの分かれ目になります。

そして見張り役は、システムだけではありません。「なんだか動きが重い」「見覚えのない画面が出た」と、すぐに声を上げられる社員も、立派な免疫細胞です。

2-2. 獲得免疫──経験から「抗体」をつくる

一度かかった病気には、次からかかりにくくなります。T細胞やB細胞が敵の特徴を覚え、抗体（特定の敵にだけ反応する目印）をつくるからです。これが「獲得免疫」です。

会社にとっての抗体は、「小さな失敗から学ぶ文化」です。怪しいメールを開いてしまった、設定ミスに気づいた。そんなとき、責めるより先に「報告してくれてありがとう」と言える組織は、同じ手口に二度やられにくくなります。

逆に、ミスを隠す空気がある組織では、潜伏中のサインが上に届きません。これは心理的安全性（安心して発言できる職場の状態）の問題であり、まさに健康経営のテーマそのものです。

業界団体や行政が発信する脅威情報を共有し、他社の被害から学ぶことも、自社の「抗体」を増やすことにつながります。

2-3. 炎症を閉じ込める──広げない設計と「休む勇気」

ケガをすると、その部分が腫れて熱を持ちます。炎症は、ダメージをその場に閉じ込めて全身に広げないための反応でもあります。

会社でも、ネットワークを部署やシステムごとに区切っておく（セグメント化）、社員に必要以上の権限を与えない（最小権限）といった設計が、被害を一部に閉じ込める役割を果たします。

そしてもう一つ。今回のPHP問題で、政府の国家サイバー統括室は「すぐにパッチを当てられない場合は、Webサイトを一時的に止めることも有効な手段」と案内しました。欧州でも各国の政府機関が実際にサイトを止めています。

Japan IT Weekの会場でも、10月23日に「PHPの重大脆弱性の衝撃とは？」と題した緊急セミナーが急きょ開かれ、会場前には長い列ができていました。それだけ多くの企業が「自社は今、何をすべきか」を知りたがっていたのだと思います。

これは、熱が出たら無理をせず休むのと同じ判断です。アスリートが違和感を覚えた段階で練習を止め、大きなケガを防ぐのと同じです。「止める決断」を平時から決めておけるかどうか。ここに経営者の役割があります。

3. 被害を受けても「早く戻す」──会社のリカバリー力を高める

アスリートは、ケガをしない努力と同じくらい、ケガをしたあとの復帰計画を大切にします。トップ選手ほど「どう戻るか」の手順を事前に持っています。

会社も同じです。警察庁によると、ランサムウェア被害では復旧に1か月以上かかるケースが多く、費用も高額化しています。リカバリー力の差が、そのまま経営の差になる時代です。

3-1. 事例：システム障害が「会社の体力」を奪う

2026年、大分県の百貨店トキハでは、サイバー攻撃をきっかけとしたシステム障害が経営を直撃し、約27億円の債務超過に陥ったと報じられています。

2025年にも、大手飲料メーカーで製品の受注・出荷が止まり、大手通販会社でも大規模な個人情報漏えいのおそれが公表されました。

ここから見えてくるのは、サイバー攻撃は「IT部門の事故」ではなく、売上・信用・資金繰りを同時に揺さぶる「経営の病気」だということです。

しかも、警察庁の統計では被害の6割前後は中小企業です。「うちは狙われるほど大きくない」は、残念ながら通用しない状況です。

3-2. バックアップは「回復のための栄養と睡眠」

カラダの回復に栄養と睡眠が欠かせないように、システムの回復にはバックアップが欠かせません。

JIPDEC（日本情報経済社会推進協会）の2026年の調査では、身代金を支払わない企業が増える一方で、システムやデータを復旧できなかった割合は13.0%に上がっています。つまり「バックアップはあるつもり」では戻せないケースが増えているということです。

✅ バックアップを社内ネットワークから切り離して保管する（攻撃者に一緒に暗号化されないように）

✅ 「戻せるか」を実際に試す復元テストを定期的に行う

✅ どの業務を何日以内に戻すか、優先順位を経営として決めておく

会場には、ランサムウェア対策に特化し「ビジネスの継続」を前面に掲げるブースもありました。守るだけでなく、止まらない・戻せることに価値を置く。この流れは、ケガをゼロにすることより「戦い続けられる身体」を重視するトップアスリートの考え方と重なります。

アスリートが「睡眠時間を確保しているつもり」ではなく、実際の睡眠の質を測るのと同じです。測って、試して、初めて回復力が見えてきます。

3-3. 最後に会社を戻すのは「人」の回復力

見落とされがちなのが、復旧を担う人たちの健康です。

インシデント対応は、数週間から数か月続く長期戦になることがあります。情報システム担当者は夜間も休日も対応に追われ、睡眠不足のまま判断を続けることになります。

睡眠不足が注意力や判断力を落とすことは、多くの研究で示されています。疲れ切った状態での作業は、二次的なミスや見落としにつながりかねません。

ここで健康経営が直接効いてきます。交代制の当番体制、仮眠の確保、食事のサポート、そして普段からのコンディション管理。平時に人のコンディションを整えている会社ほど、有事の回復も早くなると私は考えています。

アスリートの世界でも、強いチームはケガ人が出たときに控え選手がすぐに力を出せます。特定の担当者1人に頼り切らない「層の厚さ」も、組織のリカバリー力です。

まとめ

PHPの重大な脆弱性への緊急対応や、過去最多となったランサムウェア被害は、会社にもカラダと同じ「免疫」が必要だということを教えてくれています。

入り口のすき間をふさぎ、正しい知識を集めて全員の行動に落とし込むこと。入られても見張り役が早く気づき、失敗を報告できる文化で抗体を育て、必要なときには止める決断をすること。そして被害を受けても、バックアップと人のコンディションで早く立ち直ること。この予防・免疫・回復の3つがそろって、はじめて会社は高いパフォーマンスを保ち続けられます。

健康経営は、食事・睡眠・運動やセミナー、福利厚生、認定取得だけで完結するものではありません。人と組織を「病気になりにくく、なっても早く戻れる状態」に保つための経営そのものです。サイバー攻撃への備えも、その延長線上にあります。

Japan IT Weekの会場で、セキュリティの専門家たちが「侵入されても発症しない」「事業を止めない」と語る姿を見て、人の健康と会社の健康は同じ言葉で語れるのだと確信しました。

まずは自社が何を使い、どこが外とつながっているのか、そして有事に誰がどれだけ休めずに動くことになるのか。この2つを一度、経営の目線で確認してみてください。

動画解説

https://youtu.be/OP4CfdZP7fc

KDMのサポートについて

KARADA DESIGN & MANAGEMENT（KDM）では、アスリートのコンディショニング手法とAIを活用し、経営者個人のパフォーマンス向上から、企業・組織の生産性向上、そして「有事に強い組織づくり」までサポートしています。

経営者個人には、判断・集中・回復の状態を見える化するパフォーマンス診断と、日々の働き方を整えるアドバイザリーを。企業・組織には、健康経営優良法人の認定取得サポートや、睡眠・栄養・リカバリーをテーマにした管理職・社員向け研修に加え、提携企業によるAI研修、導入支援、ツールやシステムの開発までご相談いただけます。