サイバー攻撃急増に学ぶ「BCP」｜訓練しないBCPは紙の束

去年の秋、ビールが店から消えました。

原因は台風でも地震でもなく、たった一つのウイルスです。

そして今月、その攻撃に声明を出していたハッカー集団の中心人物とみられる男が、日本で拘束されてドイツに引き渡された、と警察庁が公表しました。

「うちは小さいから狙われない」と思っている会社と、「うちも明日止まるかもしれない」と考えている会社。

1年後に残っているのは、どちらでしょう。いかがでしょう。

会社の強さは、転ばない工夫と、転んだときの起き上がり方の両方で決まります。

今日は、このニュースを入口に、経営学の「リスクマネジメントとBCP（事業継続計画）」という言葉を解説します。

少し長くなりますが、お付き合いください。

ビールが店から消えた日に、何が起きていたか

まずは事実から整理します。

2025年9月29日の朝7時ごろ、アサヒグループホールディングスのシステムが止まりました。

原因はランサムウェア、つまり身代金要求型のウイルスによる攻撃です。

受注も出荷もシステムが使えなくなり、現場は紙と電話の手作業に切り替わりました。

ビール工場の製造は3日後の10月2日に再開しています。

でも、受注システムが戻ったのは12月。全商品の出荷が元に戻ったのは、2026年の4月です。

つまり、完全に戻るまで半年以上かかった、ということです。

10月から12月の売上は、ビールが前年の8割台前半、飲料は7割程度まで落ちました。

お金で見ると、在庫の廃棄や復旧の人件費などの一時費用だけで約170億円。

2025年12月期の純利益は36.7%減、システム障害の影響は400億円弱と報じられています。

決算発表も、例年の2月から7月へ、約5カ月遅れました。

「ITの事故」という言葉では、もう収まらない規模です。

そして今月の動きです。

10月8日、警察庁が、この攻撃に声明を出していたランサムウェア集団Qilin（キリン）を主導していたとみられるロシア国籍の男を、日本で身柄拘束してドイツに引き渡したと公表しました。

ここで一つだけ注意。ハッカー集団Qilin（キリン）は、飲料メーカーのキリンとは何の関係もありません。読みが同じだけです。

このQilinによる国内の被害は、警察庁が確認しただけで53社。製造、サービス、建設、病院、学校にまで及んでいます。

建設、入ってます。工務店のみなさん、他人事ではないです。

同じ週には、こんな研究発表もありました。

横浜国立大学の研究グループによると、ソフトの弱点が公表されてから実際に攻撃が来るまでの日数の中央値が、2024年は141日、2025年は91日、今年は35日。

2年で、対応の猶予が4分の1になったのです。

研究グループは、生成AIの影響が大きいのではないかとみています。

電機大手にはサイバー防御の問い合わせが急増し、富士通は100人規模の専門組織を新設しました。

守る側も攻める側も、一気に動き始めた月です。

この一連のニュースを経営学で言うと、「リスクマネジメントとBCP」の話になります。

リスクマネジメントとBCPとは、転ばない工夫と、起き上がり方

まず、言葉を二つに分けます。

リスクマネジメントは、「何が起きうるか」を先に洗い出して、手を打つこと。

BCPは事業継続計画。「それでも起きたとき、どう事業を止めないか」を決めておく計画です。

前者が「転ばない工夫」、後者が「転んだときの起き上がり方」です。

どちらか片方しかやっていない会社が、本当に多いんです。

①リスクとは何か

ISO 31000（リスクマネジメントの国際規格）では、リスクを「目的に対する不確かさの影響」と定義しています。

ちょっと硬いので、現場ではこう使います。

リスク＝起きる確率×起きたときの影響。

身近なたとえで言うと、車の運転です。

事故の確率は低い。でも起きたら影響が大きい。だから保険に入って、シートベルトを締めて、スピードを落とす。

確率と影響を縦横に並べたのが、リスクマトリクスです。

右上、確率も影響も大きいものが最優先。左下は、正直ほっといていい。

じゃあ、サイバー攻撃はどこに置くか。

影響は「売上が半年止まる」。確率は、警察庁に届け出があっただけで年226件です。

届け出があった分だけでこの数字なので、実際はもっと多いと僕は見ています。

②対応は4つしかない

洗い出したリスクにどう対応するか。選択肢は4つしかありません。

• 回避＝「やらない」。ネットにつながない、は今の時代ほぼ無理です
• 低減＝「起きにくく、小さくする」。ソフトの更新、バックアップ、権限の管理
• 移転＝「他に持ってもらう」。サイバー保険がこれです
• 受容＝「飲み込む」。小さいリスクはこれでいい

大事なのは、どれを選んだかを「決めている」こと。

決めていないのは受容ではなく、放置です。

③BCPの部品は4つ

ここから一段深く、BCPの中身です。

国際規格はISO 22301。日本では内閣府の「事業継続ガイドライン」と、中小企業庁の「中小企業BCP策定運用指針」があります。

部品は4つです。

一つ、重要業務を決める。全部は守れないので、「これだけは止めない」を選ぶ。

二つ、目標を決める。RTOとRPOです。

RTOは目標復旧時間。「何時間以内に動かすか」。RPOは目標復旧時点。「データはいつの時点まで戻せればいいか」。

三つ、代替手段。システムが死んだら、紙と電話でどう回すか。

四つ、訓練。これが一番サボられます。

そして、よくある誤解が3つあります。

一つ目、「BCPはITの話でしょ」。違います。

アサヒの一時費用170億円の中身は、廃棄した在庫、復旧の人件費、中止した広告の費用です。

売上、信用、取引先。全部、経営の話なんです。

決算発表の場では社長が謝罪し、役員4人が月例報酬の一部を返上しています。

つまり、最後はトップの責任になる話です。

二つ目、「保険に入ってるから大丈夫」。

保険はお金は戻しますが、止まった半年と、店から消えた棚は戻しません。移転できるのはお金だけです。

三つ目、「計画書はうちにもある」。

訓練していないBCPは、分厚い紙の束です。

システムが死んだ日に、はじめて紙の伝票の書き方を調べる。これが一番多い失敗です。

中小企業庁の指針も、経営者が年1回は進捗を説明し、定期的に訓練することを求めています。

アサヒも再発防止策に「バックアップの強化と復旧手順の定期的な訓練」を入れました。

アサヒのニュースを「確率×影響」で読み解く

では、今日のニュースを読み解きます。ここからは僕の見立てです。

①アサヒは「転んだ後」が意外と強かった

発生から3日でビール工場を動かし、手作業で受注と出荷をつないだ。

代替手段があったから、売上はゼロにならなかったのです。

ただ、受注システムが戻るまで2カ月、全商品までは半年。

RTOが「半年」でいい会社はありません。

ここは本人たちも反省して、再発防止策に訓練を入れているわけです。

②一社の事故が、業界全体を止めかけた

アサヒが止まった1週間後、キリン、サッポロ、サントリーの3社が一斉に出荷調整に入りました。

飲食店が他社に切り替えて、注文が殺到したからです。

攻撃する側は、この構図を知っています。

IPAの「情報セキュリティ10大脅威2026」でも、1位がランサム攻撃、2位が「サプライチェーンや委託先を狙った攻撃」です。

大きい会社は守りが固い。だから守りの薄い取引先、つまり中小企業から入る。

53社の中に建設業が入っているのは、偶然ではないと僕は思います。

工務店は協力業者さんや施主さんと図面やデータをやり取りする相手が多い。つながりが多いほど、入口も多いのです。

③「確率」の軸が動いた

横浜国大の「猶予が4分の1」。

これは、リスクマトリクスの「確率」の軸が動いた、ということです。

去年まで「うちは小さいから」と左下に置いていたリスクが、右上に移っている。

マトリクスは一回書いたら終わりではない。年に一度、置き直す。これが今日一番言いたいことです。

特に「うちは取引先が大手だから、向こうが守ってくれる」は逆です。

大手が固いほど、入口はこちらになります。

ここで、数字をいくつか。

警察庁の調査では、2025年の被害226件のうち中小企業が143件、約6割です。

復旧費用は1,000万円以上が5割超。1か月未満で復旧できたのは5割強にすぎません。

侵入経路は、6割以上が社外から社内のネットワークにつなぐ装置からです。

しかも、攻撃者はバックアップごと暗号化してきます。ネットから切り離したコピーがなければ、戻すものが残りません。

リスクは「怖い」で止めず、「確率×影響」で置き場所を決める。

ここが、経営者の仕事です。

じゃあ、どうする？明日、自分に聞く3つの問い

僕は中小企業診断士でもあるので、少しだけ試験の話をさせてください。

このBCP、診断士試験では企業経営理論で出ています。

平成29年度の第12問。正解は「BCPでは事業インパクト分析を行い、業務の中断が許される期限を把握して、復旧の優先順位を導く」という選択肢でした。

つまり試験は、「何を先に戻すか決める」のがBCPの核だと聞いてくるんです。

今日の話と、まったく同じ構造です。

せっかくなので、今回のニュース版の予想問題を1問。

飲料メーカーX社はランサムウェア攻撃で受注・出荷システムが停止したが、紙と電話で受注を続け、3日後に工場を再稼働した。リスクマネジメントおよびBCPに関する記述として最も適切なものはどれか。

• ア　サイバー保険に加入していれば、リスクは「回避」されたことになる
• イ　RTO（目標復旧時間）とは、失ったデータを過去のどの時点まで戻すかの目標である
• ウ　紙と電話による受注の継続は、BCPにおける重要業務の「代替手段」に当たる
• エ　リスクマトリクスは一度作成すれば、外部環境が変わっても見直す必要はない

正解は、ウです。

アは「移転」。保険はリスクを消しません。

イはRPOの説明。RTOは「いつまでに」、RPOは「いつの時点まで」です。

エは今日の横浜国大の話。確率は動くので、見直さないマトリクスは古地図です。

試験に出るということは、それだけ長く使われてきた、経営の基礎になる考え方だということです。

【セルフチェック】

1. 顧客情報、図面、工程表。これが今日の夕方止まったら、現場は何日で止まりますか？
2. バックアップは「3つのコピー、2種類の媒体、1つは別の場所」の3-2-1になっていますか？
3. 協力業者さんを含めた連絡網を、紙でも持っていますか？

一つ目の日数が、あなたのRTOの出発点です。

「3日」と答えた会社と「2週間」と答えた会社では、かけるお金も手の打ち方も違います。

二つ目のバックアップ。ネットから切り離した1つが命綱です。

三つ目の連絡網。システムが死んだとき、LINEのグループすら開けないかもしれない。

協力業者さんの電話番号を印刷して、事務所と社長の車に1部ずつ。これだけで初日の動きが変わります。

立場別に言うと、こうなります。

• 経営者の方：リスクマトリクスを一枚書いて、サイバー攻撃をどこに置くか決める。年に一度、置き直す
• 会社員の方：自分の担当業務が「システムなし」で何日回せるか、紙の手順を一度書いてみる
• 生活者の方：家の写真や契約書など、失って困るデータだけは別の場所にもう一つコピーを持つ

そして制度を一つ。

中小企業庁の「事業継続力強化計画」。中小企業向けのかんたんなBCPを国が認定してくれる制度です。

設備の特別償却、低利融資、補助金の加点、認定ロゴが使えます。

2020年からはサイバー攻撃も対象です。

電子申請で、標準の審査期間は45日。作り方は、お近くの診断士に聞いてください。

決めていないのは、受容ではなく放置です。

まとめ：訓練しないBCPは紙の束

今日の経営学用語は「リスクマネジメントとBCP」でした。

1. リスクは確率×影響。対応は回避・低減・移転・受容の4つから「決める」
2. BCPは「何を先に戻すか」「何日で」「どうやって」を決めて、訓練すること

転ばない工夫と、転んだときの起き上がり方。両方そろって、はじめて強い会社です。

アサヒのニュースは、大企業でも転ぶこと、転んだ後の動き方で傷の深さが変わることを、同時に見せてくれました。

そして、猶予が4分の1になった今、「うちは小さいから」は、もう置き場所の理由になりません。

紙の連絡網、切り離したバックアップ、止めない業務を一つ決める。

どれも、明日から工務店の事務所でできることです。

参考情報

• アサヒグループホールディングス「サイバー攻撃によるシステム障害に関する調査結果と再発防止策について」
• 時事通信（nippon.com）「アサヒ、純利益36.7%減 システム障害で出荷制限」
• 警察庁「ランサムウェアグループ『Qilin』被疑者の逮捕について」
• 共同通信（熊本日日新聞）「ランサム集団、日本で53社被害 ドイツ移送の男、当局が逮捕」
• 時事通信（リスク対策.com）「サイバー攻撃加速、AI影響か 『猶予』は4分の1に―横浜国大研究グループ」
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
• 内閣府「事業継続ガイドライン」（令和5年3月）
• 中小企業庁「事業継続力強化計画認定制度の概要」