「公的機関や自治体がサイバー攻撃に遭うと、住民サービスはどこまで止まってしまうのか」
「万が一、ランサムウェアに感染した場合、どのように業務を継続・復旧させるべきなのか」
近年、地方自治体や病院、公立の学校法人といった公的機関を狙ったランサムウェア（身代金要求型ウイルス）攻撃が国内外で深刻な社会問題となっています。
公的機関には、地域住民の生命や生活に直結する膨大な個人情報・インフラ管理データが集約されています。
そのため、ひとたびシステムが暗号化されて人質に取られると、その被害規模は一企業の損失に留まらず、地域社会全体の「機能停止」という致命的な事態（ガバナンスの崩壊）を引き起こします。
本記事では、過去に発生した公的機関のランサムウェア被害の生々しい事例を振り返り、そこから得られる教訓と、有事の際にも住民サービスを維持するための実務的な「BCP（事業継続計画）対策」のポイントを分かりやすく解説します。
1. 住民生活を揺るがした、公的機関のランサムウェア被害事例
公的機関が狙われた実際の事例を見ると、ランサムウェアがいかに恐ろしいスピードで組織のインフラを破壊するかが分かります。
事例①：地方自治体（基幹システム一斉停止による住民サービス麻痺）
ある地方自治体では、庁内ネットワークの脆弱性を突かれ、基幹システムがランサムウェアに感染。
住民票の発行や税金の管理システム、さらには庁内メールに至るまでが全面的に暗号化され、使用不能に追い込まれました。
復旧までの数週間、窓口業務はすべて「手書き・紙ベース」でのアナログ対応を余儀なくされ、地域住民の生活に甚大な遅延と大混乱をもたらしました。
事例②：公立病院（電子カルテ暗号化による診療停止と救急受け入れ拒否）
最も人命に直結する被害となったのが、公立の基幹病院を狙った攻撃です。
電子カルテシステムが完全にロックされたことで、患者の過去の病歴や投薬データが一切閲覧できなくなり、新規の診療や手術が全面停止。
地域医療の要である救急患者の受け入れも拒否せざるを得なくなり、完全復旧までに数ヶ月の時間と、数億円規模の対策費用（コスト）が投入される事態となりました。
2. 事例から学ぶ：なぜ公的機関が執拗に狙われるのか？
サイバー犯罪グループが、あえて大企業ではなく公的機関や自治体を標的に選ぶのには、明確な構造的理由（ガバナンス上の隙）があります。
- 「絶対に止められない」という足元を見られている： 住民サービスや医療インフラは、1日たりとも停止することが許されません。攻撃者は「ここを止めれば、社会的影響の大きさに耐えかねて、すぐに身代金を支払うだろう」という心理的揺さぶりをかけてきます。
- システムの複雑化とベンダー任せの体制： 多くの公的機関では、長年にわたり複数の外部ベンダーがシステムを継ぎ足しで構築しており、全体像を把握している専任のセキュリティ担当者が組織内にいないケースが多々あります。この「管理のグレーゾーン」が、格好の侵入口となっています。
3. サイバー攻撃に備える公的機関のための「BCP対策」3つの実務的アプローチ
ランサムウェア攻撃を100%防ぐことが難しい時代だからこそ、「感染することを前提に、どう業務を止めないか」というサイバーBCP（事業継続計画）の策定が安全の選択肢として最優先されます。
①：ネットワークから完全に切り離された「孤立バックアップ」の確保
- 実務的アプローチ：従来の「同じネットワーク内に毎日自動で上書き保存するバックアップ」は、ランサムウェアに感染した際、バックアップデータごと同時に暗号化されて全損します。必ず、ネットワークから物理的、または論理的に完全に遮断された環境（オフラインバックアップや、不変ストレージ）に定期データを退避させる仕組みを義務化します。
②：システム停止時を想定した「アナログ（紙・手動）運用」の訓練
- 実務的アプローチ：BCPを単なる書類（ガバナンスのポーズ）で終わらせず、「もし明日からPCが1台も使えなくなったら、窓口業務をどう回すか」の台帳やマニュアルを現場に物理的に用意しておきます。定期的にシステムをあえて介さない模擬訓練（代替運用テスト）を行うことで、現場のパニックを防ぐことが想定されます。
③：サプライチェーン（委託先・出入業者）のセキュリティ基準の厳格化
- 実務的アプローチ：公的機関本体のガードが非常に固くても、システムメンテナンスを行う外部ベンダーのリモート接続環境などが踏み台にされて侵入されるケース（サプライチェーン攻撃）が多発しています。委託先企業に対して、多要素認証（MFA）の導入やログ管理が適切に行われているかを定期的に監査するガバナンス体制が不可欠です。
4. 有事の防衛力を高める「オンデマンド動画教育」による職員への意識付け
どれほど強固なBCPやバックアップシステムを用意しても、現場の職員一人ひとりが「不審なメールの添付ファイルを開いてしまう」「不審な挙動に気づきながら報告を怠る」といった行動をとれば、一瞬で組織全体にウイルスが拡散します。
職員全体の「危機感」を均一にし、インシデント発生時の連絡網を徹底させるための最も投資対効果（コスパ）が高い方法が、「体系立てられたオンデマンドの動画教材」を使った全庁教育の仕組み化です。
- 「自分たちの仕事が止まるインパクト」を動画で実感させる： 「ランサムウェアに気をつけましょう」というテキストの訓示だけでは、日々の業務に追われる職員の心には響きません。過去の病院や自治体の被害ドキュメンタリーや事例解説を交えた動画教材（オンデマンド研修）を受講させることで、「自分のPC1台から住民サービス全体が止まり、ニュースで謝罪する事態になる」という社会的責任（客観的リスク）を自分事として強く意識させられます。
- 「おかしい」と思ったときの初動を1分の動画で覚えさせる： 「画面に見慣れない身代金要求の英語が出た」「PCの動作が異常に重い」といった際、職員が真っ先にやるべきは「LANケーブルを抜く（Wi-Fiを切る）」「すぐに対策本部に電話する」というシンプルな基本動作です。この初期対応の手順をコンパクトな動画で繰り返し視覚的に学べる環境を作っておくことで、組織全体の初期消火（被害の最小化）能力が劇的に向上します。
よくある質問（FAQ）
Q. 万が一、公的機関がランサムウェアに遭い、身代金を要求された場合、支払いに応じるべきでしょうか？
A. 政府や警察庁のガイドラインにおいて、身代金の支払いは「原則拒否（応じない）」とされています。
身代金を支払ってもデータが100%元通り復旧する保証はなく、むしろ「金を払う組織」として犯罪グループのリストに載り、再攻撃を招くリスクが高まります。
また、支払った資金がさらなる国際的なサイバー犯罪の資金源となるため、ガバナンスの観点からも絶対に支払うべきではないと考えられます。
Q. クラウドサービスにデータを移行していれば、ランサムウェア対策（BCP）としては万全ですか？
A. クラウドだからといって万全とは言えません。
手元のPCが感染した場合、同期機能を通じてクラウド上の共有ファイルまで一瞬で暗号化されてしまうケースがあります。
クラウドを利用する場合でも、過去の特定の時点（バージョン）へ遡ってデータを復元できる「世代管理機能」や、多要素認証（MFA）によるアクセス制限を正しく設定・運用しておくことが不可欠です。
まとめ
公的機関におけるランサムウェア対策の本質は、完璧な防御システムを追い求めることではなく、「サイバー攻撃によるシステム停止は自然災害と同じく『いつか必ず起こるもの』と割り切り、データが人質に取られても住民サービスを最低限維持し、迅速に自組織で復旧できるBCP（役割分担）の仕組みを平時から作っておくこと」にあります。
- 公的機関は「社会的影響の大きさ」ゆえにサイバー犯罪者の標的になりやすい
- ネットワークから隔離されたバックアップの確保と、アナログ代替運用の訓練がBCPの要
- 委託先ベンダーも含めたサプライチェーン全体でのガバナンス強化が必須
- 職員のうっかりミスを防ぎ、有事の初動を迅速にするには「オンデマンド動画教材」による全庁的な教育が極めて有効
情報セキュリティ研修をご検討中の方へ
当サイトでは、公的機関・自治体・病院等の事務局様の負担を軽減し、全庁的なセキュリティリテラシー・BCP意識を底上げする以下のサービスをご提供しています。
- 研修動画パッケージ（買い切り型・庁内LMSでの配信可能）
- 講師派遣による対面・オンライン研修
- 職場に掲示できる無料「情報セキュリティ10箇条」ポスター
動画研修には、スライド一式・理解度確認テスト・研修実施報告書テンプレートも付属しており、やりっぱなしにしない教育体制の構築と、監査対応へのスムーズなエビデンス（受講記録）作成に役立ちます。
料金やカリキュラムの詳細は、[情報セキュリティ研修サービス一覧] をご覧ください。
