中小企業のランサムウェア対策比較ガイド：予防・監視・復旧を続けられる体制に

取引先から対策状況を問われたり、販売店から新しい製品を提案されたりしても、限られた予算と人員で何を優先すべきか判断するのは簡単ではありません。ランサムウェア対策では、端末保護だけでなく、侵入を減らす設定、異常への対応、データの保護と復旧を一緒に考える必要があります。本記事は、製品の順位を決めるのではなく、自社の不足と運用負担を整理し、同じ条件で選択肢を比較するためのガイドです。

1．被害を暗号化だけの問題と考えない

ランサムウェアは、ファイルやシステムを使えなくするだけでなく、情報の窃取や公開の脅迫、業務停止、取引先への影響を伴うことがあります。バックアップがあっても、漏えいした情報が回収できるわけではありません。復旧の技術と、経営・法務・広報・顧客対応を含む連絡体制の両方が必要です。

入口としては、脆弱性の残った機器、盗まれた認証情報、不審なメールなどが考えられます。どの経路が自社に当てはまるかを確認せず、単一の製品を買えば解決すると考えないことが大切です。管理対象には、社内PCだけでなく、サーバー、VPNやネットワーク機器、クラウド、委託先からの接続も含めましょう。

2．予防・端末・監視・復旧の四つで棚卸しする

対策の層	主な目的	確認すること
入口・認証	侵入や不正ログインの可能性を減らす	公開機器の更新、多要素認証、不要な接続の整理、管理者権限の制限
端末保護	不審な活動の防御・検知・対応を支援する	EPP・EDRの機能、対象OS、未導入端末、設定と更新の管理
監視・連絡	重要な警告を判断し、被害拡大を抑える	担当者、監視時間、連絡経路、端末隔離の承認と実行権限
バックアップ・復旧	業務再開に必要なデータと手順を確保する	保存先の分離、削除耐性、保管期間、復元試験、復旧の優先順位

四つの層は相互に補完します。EDRを導入していても、共有された管理者アカウントや未更新の機器を放置してよいわけではありません。バックアップについても、「実行成功」の記録だけでなく、必要なデータを実際に戻せるかを確認します。

3．EDR・XDR・MDRは役割を分けて比較する

EPPはマルウェア対策などの予防・防御を中心とする機能群です。EDRは端末の挙動などを記録・分析し、不審な活動の検知、調査、対応を支援します。両方が同じ製品に含まれる場合もあり、製品名だけでは契約範囲を判断できません。

XDRは、対応する端末、認証、メール、クラウドなどの情報を横断して調査・検知を支援する考え方や機能です。すべてのログが自動で取り込まれるとは限らず、連携先、追加ライセンス、保存期間を確認する必要があります。必ずしもEDRの単純な上位版とはいえません。

MDRは、専門チームによる監視・調査・対応を提供する運用サービスです。「24時間監視」と記載されていても、通知のみなのか、端末隔離まで実行するのか、復旧支援が含まれるのかは契約によって異なります。利用しても、社内の業務判断や従業員への連絡、復旧確認まで不要になるわけではありません。

代表的な候補を調べる際の質問

候補の例	比較時にそろえる条件
Microsoft Defenderの各プラン	既存のMicrosoft 365契約に含まれる製品と機能、対象ユーザー・端末・サーバーの範囲
CrowdStrike Falcon、SentinelOneの各プラン	提案プランのEDR機能、調査・隔離・復旧の範囲、監視サービスの有無
Sophosのエンドポイント製品・XDR・MDR	端末・ネットワーク等の連携条件、各機能と監視サービスの契約単位
トレンドマイクロのエンドポイント関連製品	提案時点の正式製品名、必要な機能、連携先、運用支援の範囲
バックアップ製品・運用サービス	対象データ、復元単位、削除保護の設定、管理権限、復元時の支援と費用

これは機能や価格のランキングではありません。同じブランドでも国内販売店のサービスとメーカーのライセンスが別契約の場合があります。最低数量、課金単位、税、契約期間、更新条件をそろえた見積書で比較してください。未確認の価格や「世界最高」などの表現だけで選ばないことが重要です。

4．人員数より対応できる時間で運用を設計する

専任者がいない場合

初期設定や日常監視を自社だけで継続できるかを評価し、販売店の支援や外部監視を組み合わせます。委託先への連絡窓口と、重要システムの停止を判断できる責任者は社内で決めておきましょう。

担当者が兼務している場合

日中の一次確認、夜間休日の対応、不在時の代替を分けて決めます。緊急性の高い警告を週に一度まとめて見るだけでは、対応が遅れる可能性があります。週次レビューは改善に使い、重要警告は通知・確認・エスカレーションの目標時間を別に定めます。

複数の担当者がいる場合

権限と作業を分担し、判断の記録を残します。人数が多くても24時間対応できるとは限りません。夜間休日の当番、外部サービス、連絡不能時の扱いを含めて、無理なく継続できる体制を比較してください。

5．バックアップは分離と復元試験まで確認する

バックアップの保存先が通常の端末と同じ権限で操作できると、攻撃者による削除や破壊の影響を受けるおそれがあります。オフラインのコピーや、保持期間中の変更・削除を制限するイミュータブルな保存機能などを検討し、管理者権限と認証情報も分離します。

オフライン保存、ネットワーク上の分離、イミュータブル保存は同じものではありません。また、S3互換などの名称だけで不変性が確保されるわけでもありません。機能の有効化、保持期間、解除・削除できる権限、管理アカウントが侵害された場合の扱いを確認しましょう。これらを備えていても、復旧を保証するものではありません。

• 対象：業務データに加え、復旧に必要な設定や認証基盤を整理する。
• 優先順位：どの業務を先に再開するか、必要な依存システムも確認する。
• 許容範囲：どの時点のデータまで戻せればよいか、復旧にどのくらい時間をかけられるかを業務側と決める。
• 試験：安全な検証環境で復元し、データの整合性と手順を確認する。
• 保護：暗号鍵、復旧用アカウント、連絡先、手順書を通常環境が使えない状況でも参照できるようにする。

6．費用と導入手順を具体化する

総費用はライセンスだけでなく、導入、社内作業、外部監視、バックアップ容量、復元時の作業を含めて比較します。社内人件費を試算する場合は、作業時間、年間の作業日数、時間単価の前提を明記しましょう。MDRのほうが必ず安い、社内工数がゼロになる、といった結論を先に置かないことが大切です。

• 端末・ユーザー・サーバーの課金単位、最低数量、契約期間と更新条件。
• 初期設計、配布、既存ソフトとの競合確認、ポリシー設定、教育。
• 日常の警告確認、誤検知調整、端末追加、報告、社内承認の工数。
• 外部監視の時間帯、調査・隔離・復旧の範囲、緊急時の追加料金。
• バックアップ容量、保存期間、転送や復元に伴う費用。
• 契約終了時のエージェント削除、ログとデータの取り出し方法。

1. 現状を棚卸しする：機器、アカウント、重要データ、既存契約を一覧化します。
2. 不足を特定する：更新、認証、端末保護、監視、復旧の担当と実施状況を確認します。
3. 条件をそろえて見積もる：必要機能、対象数、監視時間、復旧支援を明記します。
4. 小さく試す：代表的な端末と業務アプリで動作負荷や連絡手順を確認します。
5. 段階的に展開する：例外設定と未導入端末を管理し、復元試験も行います。
6. 見直す：警告対応、費用、担当者の負担、業務の変化を定期的に確認します。

補助制度やサイバー保険は、対象経費、申請時期、契約条件、免責などを個別に確認します。利用できると決めつけず、対策の継続費用を自社でも見積もってください。

7．不審な暗号化や警告を見つけたとき

業務端末で不審な暗号化や脅迫画面を確認した場合は、社内の緊急連絡手順に従い、情報システム担当者や委託先へ速やかに連絡してください。影響端末の通信遮断は被害拡大を抑えるための対応になり得ますが、システムの状況や業務への影響もあるため、事前の手順と専門家の指示に沿って進めます。

発見日時、表示内容、影響のある業務など、分かる範囲の情報を記録します。独断でファイルを削除したり、端末を初期化したり、何度も再起動したりすると、調査や復旧に必要な情報が失われることがあります。警察や専門窓口への相談、必要な報告・通知は責任者と専門家で検討します。安易な支払い・交渉や、出所不明の復号ツールの実行は避けてください。

8．よくある質問

Q．ウイルス対策ソフトがあれば十分ですか？

製品の機能だけでは判断できません。更新管理、認証、権限、監視と連絡、バックアップと復元試験を含めて不足を確認します。

Q．EDRとMDRのどちらを選ぶべきですか？

EDRは主に技術、MDRは運用を含むサービスです。EDRを誰が確認し、どこまで対応できるかを整理して、外部支援の必要性を判断しましょう。

Q．クラウドに保存していればバックアップは不要ですか？

不要とは限りません。削除や上書き、認証情報の侵害、保存期間などの条件を確認し、必要な時点のデータへ戻せるかを検証します。

Q．イミュータブルな保存先なら必ず復旧できますか？

保証はできません。設定、保持期間、権限、保存対象、バックアップ時点、復元先の状態などが影響します。実際の復元試験が重要です。

Q．Microsoft 365利用中ならDefenderを追加購入する必要はありませんか？

エディション、対象者、端末、必要機能によって異なります。管理者や販売店に契約内容を確認し、監視サービスも含まれるかを分けて評価してください。

Q．費用を抑えるには何から始めればよいですか？

既存契約と機器の棚卸しから始め、更新・認証・権限・復元試験など、未実施の基本対策を確認します。新製品は不足を埋める条件で比較し、重複購入を避けましょう。

まとめ

中小企業のランサムウェア対策は、製品名や単価だけでなく、予防、重要な警告への対応、データ保護、業務復旧を続けられるかで選びます。社内と外部サービスの分担を決め、同じ条件で見積もり、小さな範囲で試すことが、現実的な導入計画につながります。

参考資料

• IPA：中小企業の情報セキュリティ対策ガイドライン（2026年9月30日公開の第4.0版。情報セキュリティ6か条、バックアップ、管理体制、インシデント対応の付録などを参照）

本記事は一般的な情報提供を目的とし、特定の製品・販売店・サービスを推奨するものではありません。機能、価格、契約条件、支援範囲は各提供会社の最新資料と個別契約をご確認ください。実際の事故対応は、社内責任者と専門家の助言に沿って進めてください。