ウェブサイト、顧客管理、在庫、物流、受発注、決済が止まったとき、あなたの会社は事業を続けられますか。
「当社のような小さな会社まで、わざわざ攻撃されることはない」
そう考えている中小企業経営者は、まだ少なくありません。
しかし、現在のサイバー攻撃は、攻撃者が一社ずつ企業を選び、時間をかけて調査するものだけではありません。自動化されたツールやAIを使い、インターネット上に公開された企業のシステムを広く探し、古い機器、更新されていないソフトウェア、弱いパスワード、設定ミスなどを機械的に見つけます。
会社の規模や知名度よりも、次の条件に当てはまる会社が狙われます。
IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の1位にランサム攻撃、2位にサプライチェーンや委託先を狙った攻撃、3位にAIの利用をめぐるサイバーリスクが挙げられました。
AIによる攻撃の容易化や巧妙化だけでなく、企業側のAI利用による情報漏えいも、重要なリスクとして認識され始めています。
⚠ サイバー攻撃は、単なるパソコンやITの問題ではありません。売上、顧客対応、在庫、出荷、受発注、入金を止める、事業継続上の重大な経営リスクです。
【目次】
AIは、企業の業務を効率化する一方で、攻撃者にとっても便利な道具になっています。
つまり、「日本語がおかしいから偽物」「誤字があるから怪しい」といった従来の見分け方だけでは、十分に対応できません。
一方で、従業員が顧客情報、契約書、設計図、見積書、売上データ、プログラムなどを、会社が許可していない生成AIへ入力するリスクもあります。
● AI時代のサイバーリスクは、外部からの攻撃と、社内での不適切なAI利用の二方向から発生します。
ランサムウェアは、社内のファイルやシステムを暗号化し、復旧と引き換えに金銭を要求する攻撃です。
最近では、暗号化の前に顧客情報や機密情報を盗み、「支払わなければ公開する」と脅す二重恐喝も行われています。
被害は、要求された身代金だけではありません。
メール、SMS、チャット、QRコードなどを使い、偽のログイン画面へ誘導して、IDやパスワードを盗む攻撃です。
メールアカウントを乗っ取られると、攻撃者は過去の取引内容や請求時期を確認し、実際の取引に割り込むことができます。
▶ 「振込先が変更になりました」
▶ 「今日中に送金してください」
▶ 「この件は、まだ他の社員には話さないでください」
振込先の変更や高額な送金指示を、メールやチャットだけで処理する会社は、特に注意が必要です。
複数のサービスで同じパスワードを使っていると、一つのサービスから漏れたパスワードを使い、別のシステムへ次々と侵入される可能性があります。
メールは単なる連絡手段ではなく、多くのクラウドサービスへつながる「共通の鍵」です。
VPN、ルーター、リモートデスクトップ、サーバー、ウェブサイトの管理システムなどは、社外から社内へ入る入口になります。
社員が怪しいメールを開かなくても、古い機器や更新されていないソフトウェアから侵入されることがあります。
⚠ 社員教育だけでは不十分です。機器やソフトウェアの更新、管理画面の保護、アクセス権の見直しも欠かせません。
自社が直接攻撃されなくても、関係会社のアカウントや接続環境を経由して被害を受けることがあります。
反対に、自社が侵害され、大手取引先への攻撃の踏み台にされる可能性もあります。
セキュリティ対策の不足は、情報漏えいだけでなく、受注機会の喪失や取引継続への影響にもつながります。
DDoS攻撃は、大量の通信を送りつけ、ウェブサイトやオンラインサービスを利用できなくする攻撃です。
通販 ／ 予約 ／ 問い合わせ ／ 受注 ／ 会員サービス ／ 決済
これらの業務をオンラインで行っている会社では、サイト停止が売上停止に直結します。
攻撃者だけでなく、社内でのAI利用にも注意が必要です。
特に入力を禁止すべき情報の例
AIを全面的に禁止するだけでは、従業員が隠れて利用する「シャドーAI」を招く可能性があります。
サイバー攻撃を防ぐ対策は必要です。しかし、どれだけ対策を行っても、侵入やシステム停止の可能性を完全にゼロにすることはできません。
システムが停止した場合に、次の事項をあらかじめ決めておくことが、サイバーリスクBCPです。
BCPとは、災害や事故などの緊急事態が発生したとき、重要な事業を継続し、停止した場合も早期に復旧するための計画です。
サイバーリスクBCPでは、これをサイバー攻撃や重大なシステム障害に当てはめます。
サイバーリスクBCPの目的は、パソコンを元に戻すことではありません。受注、供給、出荷、請求、入金など、会社の重要業務を継続または早期再開することです。
地震や水害では、建物、設備、電気、交通、従業員などが利用できなくなることを想定します。
サイバー攻撃では、建物も従業員も無事であるにもかかわらず、データやシステムを信用できない状態になります。
そのため、単に電源を入れ直したり、バックアップを戻したりすれば終わりではありません。
現在の業務システムは、それぞれが独立しているわけではありません。
ウェブサイト
↓ 注文データ
受発注管理
↓ 在庫引当・出荷指示
在庫管理・物流管理
↓ 決済・購入履歴
決済システム・顧客管理
一つのアカウント、一つのAPI、一台の管理用パソコンが侵害されるだけで、複数の業務へ被害が連鎖する可能性があります。
⚠ これは単なるIT障害ではありません。会社の営業機能そのものが止まる、事業継続上の事故です。
⚠ 想定される被害
改ざん ／ 詐欺サイトへの誘導 ／ 問い合わせ情報の漏えい ／ 通販・予約機能の停止 ／ 検索エンジンからの警告表示
■ BCPで決めること
■ 確認チェック
⚠ 想定される被害
顧客情報の漏えい ／ データの暗号化・削除 ／ なりすまし ／ 営業履歴の消失 ／ 顧客への連絡不能
■ BCPで決めること
■ 確認チェック
⚠ 想定される被害
在庫数の不明 ／ 欠品・過剰受注 ／ 原材料不足 ／ 生産停止 ／ 棚卸し・原価計算への影響
■ BCPで決めること
■ 確認チェック
⚠ 想定される被害
送り状発行不能 ／ 配送先不明 ／ 誤配送 ／ 配送状況の確認不能 ／ 委託倉庫との連携停止
■ BCPで決めること
■ 確認チェック
⚠ 想定される被害
未処理注文の不明 ／ 数量・価格・納期の改ざん ／ 誤納品 ／ 架空発注 ／ 請求漏れ ／ 振込先の不正変更
■ BCPで決めること
■ 確認チェック
⚠ 想定される被害
不正送金 ／ 架空返金 ／ 振込先変更 ／ カード情報漏えい ／ 決済停止 ／ 入金確認不能
■ BCPで決めること
■ 確認チェック
サイバーリスクBCPを作るとき、システムの一覧だけを見て復旧順位を決めるのは適切ではありません。
経営者と各部門で、次の問いを検討します。
このように、業務が停止した場合の影響を分析することを、業務影響度分析、BIAと呼びます。
例えば、受発注システムのRTOを8時間、RPOを1時間とするなら、8時間以内の業務再開と、直近1時間分までのデータ損失に抑える仕組みが必要です。
⚠ バックアップが1日1回しかない会社が、RPOを1時間に設定しても実現できません。目標と実際の対策を一致させる必要があります。
数値は他社の例をそのままコピーするのではなく、売上、顧客、契約、業務量、従業員数を踏まえて自社で決める必要があります。
⚠ 感染端末の電源をすぐに切ると、調査に必要な情報が失われる場合があります。対応方法は、保守会社や専門家の指示を受けて判断します。
確認できていること ／ 現在確認中のこと ／ 次回の情報更新時刻
説明する際は、この三つを分けて伝えます。
システムが動き始めた時点が、対応の終了ではありません。
サイバーリスクBCPは、立派な冊子を作ることが目的ではありません。実際に攻撃を受けたとき、経営者と担当者が迷わず動けるかどうかが重要です。
机上訓練の想定例
月曜日の午前8時、従業員が出社すると、受発注、顧客管理、在庫管理の各システムが利用できなくなっていました。
サーバーには、身代金を要求するメッセージが表示されています。
午前中に出荷しなければならない注文が80件あり、主要取引先から納期確認の電話が入っています。
IT保守会社からは、「復旧時期はまだ分からない」と言われました。
このとき、次の問いに答えられるでしょうか。
答えられない項目があるなら、その会社には、実際に使えるサイバーリスクBCPがまだ整っていません。
サイバー攻撃を完全に防ぐことはできません。
サイバーセキュリティは、情報システム担当者だけに任せる問題ではありません。
これを決めるのは経営者です。
明日の朝、このシステムが使えなくなったら、会社は何時間、事業を続けられるでしょうか。
答えが分からないのであれば、今こそサイバーリスクBCPに着手すべき時です。
攻撃を受けないことだけを願う経営から、攻撃を受けても会社を止めない経営へ。
その転換が、AI時代の中小企業に求められています。
自社の財務基盤を盤石にし、本気の事業成長を目指す方は、ぜひ一度当事務所へご相談ください。
愛媛県松山市の中小企業診断士・FP1級技能士。
元銀行員（17年）および経営コンサルタント（15年）として計100社以上の支援実績を持つ財務・経営戦略の専門家。
「次のステージ（設備投資・事業拡大）」を目指す優良企業に向けた緻密な財務シミュレーションや銀行交渉のロジック構築に加え、客観的な【経営診断】を起点とした伴走型の会社成長支援を得意としています。支援の最終ゴールは、コンサルタントへの依存ではなく「企業の自走化」です。
当事務所の最大の強みは、代表・和田健一による【完全専任体制】です。担当者が変わる大手ファームとは異なり、極めて機密性の高い財務データの「情報漏洩リスクゼロ（究極の機密保持）」を絶対の約束としています。
愛媛県松山市 和田経営相談事務所 代表 和田健一（中小企業診断士／経済産業省認定 経営革新等支援機関）。
