ランサムウェア対策を考える情シスへ｜業務Webシステムの権限・公開範囲・復旧準備

開発担当と情シスの分担を決める

Webアプリの権限設定だけで、ランサムウェア対策が完了するわけではありません。社内端末、VPNなどのネットワーク機器、メール、クラウドアカウント、外部委託先も関係します。開発担当者が見る対象と、情シスや専門事業者が見る対象を先に整理しましょう。

この記事では、業務Webシステムの開発・公開・運用に関わる観点を扱います。IPAのランサムウェア対策特設ページでは、企業が備えるための情報と、被害時の相談に関する案内を確認できます。全社の対策を検討する際の公式情報として参照してください。

管理者権限と外部への公開範囲を見直す

アプリの利用者、管理画面の担当者、クラウドの管理者は、役割と必要な権限が異なります。アカウントの共有を避け、用途に合う権限を設定し、管理者の多要素認証など利用可能な保護を確認します。不要なアカウントや古い連携の権限も見直します。

インターネットから到達できる機能は、業務に必要なものだけに絞ります。検証用の機能や管理用の入口、DBの接続先が、本番で不用意に公開されていないかを確認しましょう。アプリのAPIでも、認証とアクセス権限を確認する必要があります。

更新と異常の確認を運用に組み込む

公開後は、利用しているライブラリや基盤の更新情報を確認する担当が必要です。更新すると業務への影響があるため、検証環境で確認し、切り戻し方法を用意してから反映するなど、変更の手順を決めます。

障害の通知を受け取るだけでなく、誰が状況を確認し、どこへ連絡するかまで決めましょう。アプリの稼働監視と、不正アクセスを調べる専門的な監視は役割が異なります。必要な監視の範囲や対応時間は、運用契約で確認します。

バックアップは「戻せるか」まで確認する

バックアップが存在しても、復旧に使えなければ業務を再開できません。DB、添付ファイル、必要な設定をどこに保存するか、どの時点まで戻すか、誰が復旧するかを決めます。攻撃の影響がバックアップにも及ぶ可能性を考え、権限の分離や保管方法も検討しましょう。

• 対象：DBだけでなく、添付や復旧に必要な設定も把握する。
• 保管：本体とバックアップのアクセス権限・保存先を確認する。
• 復旧：隔離した検証環境で戻せるかを確かめる。
• 業務：復旧中に止まる処理と、代替手順を決める。

復旧の確認では、テスト用のメール・API連携設定などを使い、取引先や利用者への誤送信を防ぎます。通常の障害に対する復旧と、侵害後の安全な復旧は同じではありません。

復旧目標は、業務が止まった場合から逆算する

バックアップの頻度を決める前に、そのシステムが止まると誰の仕事が止まるかを整理します。問い合わせの受付、担当者の割り当て、顧客対応の履歴など、機能ごとに業務への影響が異なります。「いつの記録まで戻せればよいか」と「どれくらいの時間で再開したいか」を業務責任者と話し合うと、必要な備えを検討しやすくなります。

たとえば受付を一時的に別の方法へ切り替えられても、対応履歴が参照できなければ担当者が判断できないことがあります。手作業で受け付けた情報を復旧後にどう登録するか、重複を誰が確認するかまで含めて代替手順を考えます。目標を設定しただけで、その時間内に必ず復旧できると保証されるわけではありません。構成と検証結果をもとに実現性を確かめます。

バックアップから戻す検証では、データ件数だけを見ず、必要な利用者がログインできるか、権限が保たれているか、添付が開けるかを確認します。外部サービスへの送信を止めた検証環境で行い、確認結果と残る課題を記録します。

運用の引き継ぎに残したい情報

担当者が変わっても管理できるよう、システムの構成、利用するクラウド、データの保存先、外部連携、管理担当をまとめます。管理画面への入口が分かるだけでは、異常時にどの機能を止めるか判断できません。日常の更新を行う人と、障害時に連絡を受ける人を区別して記載しましょう。

手順書には認証情報そのものを載せず、権限を持つ担当者が安全にアクセスできる管理方法を記録します。不要な共有アカウントや昔の検証用設定が残っていないか、引き継ぎを機会に確認します。復旧用の情報も、バックアップ本体と同様に閲覧できる人と保管方法を決めます。

クラウドを使えば、復旧準備は任せられますか？

クラウド側が管理する範囲と、利用者側が設定・管理する範囲はサービスによって違います。バックアップの対象、保持期間、復元できる単位、操作権限を確認し、アプリの再開に必要な作業を整理してください。

Webシステムの見直しは何から始めますか？

システムと管理者の一覧、外部から到達できる機能、データの保存先、更新の担当を把握するところから始めます。被害が疑われる場合の緊急対応とは分けて、平常時に開発・運用担当と不足している項目を整理すると、具体的な作業範囲を決めやすくなります。

N2iに相談できる範囲と、専門対応が必要な範囲

N2iは、業務WebシステムやAIアプリの開発、認証・権限、API連携、公開環境の設定、公開前の確認を支援します。「AIで作ったアプリの管理画面が公開されていて不安」「本番のデータ管理と運用を整理したい」といった課題は、構成を確認したうえで対応範囲を検討できます。

バックアップや復旧手順の整備・検証、継続的な監視についても、現在の基盤と契約範囲を確認して個別に検討します。感染端末の調査、侵入経路の調査、被害後の緊急復旧、全社的な端末防御については、この公開支援サービスの標準対応として約束するものではありません。

名古屋・愛知の企業で、Webシステム側の備えを見直したい情シス担当者は、まず現在の構成をお聞かせください。被害が疑われるときは、社内のインシデント対応手順に従い、専門の窓口や既存の保守・セキュリティ事業者へ連絡してください。

参考・関連資料

• IPA｜ランサムウェア対策特設ページ ↗
• IPA｜中小企業の情報セキュリティ対策ガイドライン ↗
• N2i｜開発支援 ↗

本記事はN2iが開発・公開支援の観点からまとめた解説です。記載した業務例・表は説明用で、特定の顧客案件を紹介するものではありません。公式資料は2026年10月9日に確認しました。個別の対応範囲は、システムの構成に応じて確認します。