ランサムウェアの身代金｜払うべきでない理由と、払わない会社がやること

2026年9月10日 21:57

ランサムウェアの被害に遭った会社が、最後に突きつけられる問いがあります。
払うか、払わないか。

外から見れば、答えは決まっているように見えます。
しかし当事者になると、そう単純ではありません。
業務が止まり、取引先から催促され、社員の手が空いている。
その状況で、目の前に「払えば鍵を渡す」という提案があります。

先に数字を出します。
警察庁が令和8年上半期に被害企業へ行ったアンケートでは、バックアップを取っていた組織は50件のうち44件でした。
9割近くが取っていたことになります。
ところが、そのバックアップから実際に復元できたかを聞いた設問では、復元できたのは40件のうち11件でした。

取っていたのに、戻せない。
この落差が、払うという選択肢を生かし続けています。

この記事は、払うことを勧めるものではありません。
かといって、悩む人を責めるものでもありません。
公的機関がなぜ支払わないよう求めているのかを根拠とともに整理し、払わないと決めた会社が実際に何をするのかを並べます。

この記事は、警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月）と同統計データ、警察庁「ランサムウェア被害防止対策」、JPCERT/CCの侵入型ランサムウェア攻撃を受けたら読むFAQ、国家サイバー統括室が公開するカウンターランサムウェア・イニシアティブのガイダンス仮訳をもとに、2026年9月時点の内容にしています。

いま、何が起きているのか

半期で123件。その3分の2が中小企業

警察庁の令和8年上半期の統計では、企業・団体等からのランサムウェア被害報告件数は123件でした。
半期としては、統計が公表されている令和2年下半期以降で最も多い数字です。

内訳を見ると、中小企業が79件、大企業が31件、団体等が13件です。
全体の3分の2近くが中小企業ということになります。

この記事を読んでいる会社が対象外だ、という前提は置けません。

手口は、二重恐喝が中心

ランサムウェアと聞いて多くの人が思い浮かべるのは、ファイルが暗号化されて開けなくなる状態だと思います。
いまの主流は、そこにもう一段が加わります。

警察庁の同じ統計で、手口が判明した66件の内訳は、二重恐喝型が61件、従来型が5件でした。
判明分の9割以上が二重恐喝型です。
過去5年の合算でも、二重恐喝型578件に対して従来型163件となっています。

二重恐喝について、警察庁はこう説明しています。

データの暗号化のみならず、データを窃取した上、「対価を支払わなければ当該データを公開する」などと対価を要求する

この二段構えが、判断を難しくします。
暗号化だけなら、バックアップから戻せば済む話です。
しかし、すでにデータを持ち出されているなら、戻したところで公開は止まりません。

公開されて困るのは、自社の情報だけではありません。
顧客の情報、取引先から預かった情報が含まれていれば、影響は社外に及びます。

暗号化すらしない手口もある

警察庁は、もう1つの手口を定義に併記しています。

データを暗号化する（ランサムウェアを実行する）ことなくデータを窃取し対価を要求する手口「ノーウェアランサム」の被害も確認されています。

令和8年上半期のノーウェアランサムの被害報告件数は9件でした。
統計が始まった令和5年以降、半期あたり8件から21件のあいだで推移しています。

この手口の場合、業務システムは普通に動いています。
ファイルも開けます。
何も壊れていないのに、公開すると言われている状態です。

バックアップは、この手口に対して無力です。
戻すべきものが壊れていないからです。

入口は、VPN機器

侵入経路も公表されています。
令和8年上半期に経路が判明した36件のうち、VPN機器からの侵入が18件、リモートデスクトップからの侵入が9件、その他が9件でした。
判明分のちょうど半分がVPN機器です。

過去5年の合算では、485件のうちVPN機器が293件です。
こちらは6割にあたります。

この点は、note 30 のネットワーク機器の記事で扱った論点と同じ場所に戻ってきます。

なぜ「払う」という選択肢が消えないのか

止まっている時間の長さ

払えば早く終わるかもしれない、という期待には、現実的な背景があります。

警察庁の令和8年上半期の統計で、復旧に要した期間の内訳はこうなっています。
有効回答は48件です。

即時から1週間未満：17件
1週間以上1か月未満：6件
1か月以上2か月未満：4件
2か月以上：8件
復旧中：13件

1か月未満で復旧できたのは23件で、48件の5割弱です。
そして、回答時点でまだ復旧中だった組織が13件あります。

業務への影響も出ています。
52件の回答のうち、全ての業務が停止したのが9件、一部の業務に影響が出たのが41件、影響がなかったのは2件でした。

中小企業にとって、1か月業務が止まることの意味は重いはずです。
受注も出荷も請求も止まり、取引先には迷惑をかけ、社員の仕事もなくなります。

かかっている費用の大きさ

費用のほうも公表されています。
調査・復旧費用の総額について回答があった35件の内訳です。

100万円未満：6件
100万円以上500万円未満：5件
500万円以上1,000万円未満：3件
1,000万円以上5,000万円未満：11件
5,000万円以上1億円未満：6件
1億円以上：4件

1,000万円以上を要した組織は21件で、35件の6割にあたります。
1億円以上も4件あります。

ここで注意しておきたいのは、この金額が支払いの有無で決まるものではないという点です。
調査、復旧作業、業務停止による損失、対外的な対応。
これらは、払っても払わなくても発生します。

取っていたのに、戻せない

そして、冒頭に書いた数字です。

令和8年上半期のアンケートで、バックアップを取得していた組織は50件のうち44件でした。
取得率としては9割近くあります。

しかし、バックアップからの復元結果を聞いた設問では、復元できたのが11件、できなかったのが29件で、合計40件でした。
戻せたのは4件に1件強ということになります。

過去5年の合算はもっと厳しい数字です。
復元可が120件、復元不可が427件で、合計547件。
戻せたのは5件に1件です。

なぜ戻せないのか。
復元できなかった理由も集計されています。
29件のうち、バックアップの暗号化・消去が14件、運用の不備が8件、その他が7件でした。

半分近くが、バックアップそのものをやられています。
警察庁も「ランサムウェアによりバックアップデータも暗号化されてしまう事例が多数確認されています」と書いています。

「バックアップがあるから大丈夫」という前提が崩れたとき、目の前に残るのが支払いという選択肢です。
経営者がここで悩むのは、倫理観が足りないからではありません。
会社と社員を守ろうとするからこそ、悩むということです。

公的機関は、何を理由に「払うな」と言っているのか

警察庁が挙げている2つ

警察庁は、ランサムウェア被害防止対策のページでこう書いています。

暗号化されたデータを復号するための対価と称してランサムウェア攻撃グループから要求される金銭等を支払うことに関し、警察としては、「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」旨を被害者に対して説明している

この2つは、性質が違います。

1つ目は社会に対する影響の話です。
自社の支払いが、次の被害を生む原資になります。

2つ目は自社に対する影響の話です。
払っても戻る保証がありません。

悩んでいる会社にとって重いのは、おそらく2つ目のほうだと思います。
社会的な正しさの話ではなく、そもそも取引として成立していないという指摘だからです。

なお警察庁は、同じ文のなかで「要求された金銭等の支払いの有無も含む、ランサムウェア被害に係る情報の提供をはじめとした捜査への協力を求めています」とも書いています。
払ったかどうかを含めて情報提供を求める、という立て付けです。

JPCERT/CCが挙げている3つ

JPCERT/CCは、侵入型ランサムウェア攻撃を受けたら読むFAQのなかで、より具体的に3つを挙げています。

(a) 暗号化されたファイルが復元される保証がない
(b) 被害原因や侵害による他の被害は未解消のまま
(c) 支払い後に別の攻撃の被害や支払い要求を受ける恐れがある

(b)が実務的には重要です。
復号鍵は、暗号化を解くためのものであって、侵入されたという事実を消してくれるものではありません。
入られた経路が塞がっていなければ、復旧した直後に同じことが起きます。

つまり、鍵を手に入れても、note 37 で扱った調査と、その後の復旧作業は残ります。
支払いによって省けるのは、データを一から作り直す手間だけです。

同じFAQは、交渉についてもこう書いています。

通常、攻撃者と交渉を行うことは推奨されません。また、攻撃者から脅迫や提案のメッセージが届いたとしても、反応しないだけではなく交渉を検討するべきではありません。

理由として挙げられているのが、交渉の中身が外に出る可能性です。
ランサムウェアの種類によっては、被害組織と攻撃者が交渉を行うためのチャットルームを第三者が閲覧できてしまうケースがあり、交渉している事実そのものが公知になる恐れがある、と書かれています。

黙って払えば黙っていられる、という前提も置けないということです。

日本も入っている国際的な枠組みの文書

もう1つ、あまり知られていない資料があります。

国家サイバー統括室が公開している「ランサムウェア・インシデント発生時の組織向けガイダンス」です。
カウンターランサムウェア・イニシアティブという国際的な枠組みが、保険機関と連携して2024年に出した文書で、日本語の仮訳が公開されています。
日本もこの枠組みのメンバーで、文書には40の国・機関が並んでいます。

この枠組みは2023年のサミットで、支払いを避けることを強く勧める共同声明を出しています。
声明が挙げている認識は4つです。

・インシデントの終息や、貴方のシステムから悪意のあるソフトウェアの削除を保証しない。
・犯罪者に対して、彼らの活動を継続・拡大させるインセンティブを与える。
・犯罪者が不正活動のために使用できる資金を提供する。
・貴方がデータを取り戻すことを保証しない。

そのうえで、ガイダンス本体には、支払いを検討する組織が押さえるべき点が具体的に書かれています。
実務に効くのは次の3つです。

1つ目。
復号鍵を入手できても、すぐに通常の業務に戻れる可能性は高くないとしています。
複雑なネットワーク上で復号鍵を実行するには時間がかかり、バックアップにも復号ツールにもアクセスできる場合は、バックアップを使うほうが早いかもしれない、という書き方です。

2つ目。
支払って復号鍵を取得しても、インシデントの終息が保証されるわけではないとしています。
バックアップコピーも侵害されている可能性があり、復元されたシステムが将来の攻撃に対して脆弱なまま残されている可能性がある、と続きます。

3つ目。
二重恐喝に対する支払いについて、こう書かれています。

また、悪意ある行為者が盗まれたデータを削除するという約束を履行しない可能性があること、悪意ある行為者が実際に盗まれたデータを削除したかどうかを確認する手段がない可能性が高いことも考慮する必要がある。

削除したという証拠を求めても、相手が用意した画面や文書を見せられるだけです。
それが本当かどうかを検証する手段は、こちらにありません。

JPCERT/CCも、リークサイトに掲載されたファイルについて「サイト上に掲載されたファイルを削除するよう調整するのは、通常は困難です」と書いています。
閲覧者がダウンロードして別の場所に再掲する可能性もある、とも書かれています。

誰に払うことになるのか、という論点

同じガイダンスには、法規制についての記述もあります。

例えば、制裁対象になっている組織に身代金を支払う場合など、特定の状況下では支払いが合法でない場合がある。

暗号資産での送金を求められる以上、送金先の実体を確認する手段は限られます。
日本の法制度上どう評価されるかは、事案の内容や相手方によって変わり得ます。
ここで一般論として断定することは避けます。

ガイダンスも、支払いを検討する前に法規制上考慮すべきことがあり、専門家が助言できると書いています。
サイバー保険に入っていれば、保険会社が弁護士を紹介できる場合があるとも書かれています。

少なくとも、経営者が独断で送金してよい種類の判断ではない、ということは言えると思います。

報告義務は、支払いの有無と関係なく生じる

最後に、忘れられがちな点です。

身代金を支払って復号できたとしても、note 34 で扱った個人情報保護法上の報告義務は消えません。
報告が必要になるのは、漏えい等が発生したおそれがある事態です。
払って解決したから報告しなくてよい、という理屈は成り立ちません。

支払いは、対外的な説明を楽にする選択でもないということです。

払わないと決めた会社が、実際にやること

「払わない」は方針であって、手順ではありません。
手順がなければ、方針は数日でぐらつきます。

戻す道は、3つある

暗号化されたデータを取り戻す方法は、次の3つに整理できます。

バックアップから戻す
公開されている復号ツールを使う
データを作り直す

1つ目が最も確実で、note 32 のバックアップの記事で扱った内容がそのまま効いてきます。
2つ目は、条件が合えば使えます。
3つ目は時間と人手がかかりますが、不可能ではありません。
紙の伝票が残っていれば入力し直せますし、取引先に依頼して再発行してもらえる書類もあります。

実務では、この3つを同時に走らせることになります。
すべてをバックアップから戻せるとは限らず、戻せない部分をどう埋めるかを並行して考える形です。

バックアップから戻せるかは、被害前に決まっている

1つ目の道が使えるかどうかは、被害が起きた時点ですでに決まっています。
先に見たとおり、復元できなかった29件のうち14件は、バックアップそのものが暗号化・消去されていました。

確認すべきは、次の3点です。

被害を受けたネットワークから切り離された場所に、バックアップがあるか
そのバックアップが、いつ時点のものか
戻したときに、業務としてつながる状態になるか

3つ目は見落とされがちです。
3か月前のデータに戻せたとしても、その間の受注や入金の記録がなければ、業務は再開できません。
戻したあとに何を手作業で埋めるのかまで含めて、復旧の計画になります。

復号ツールは、期待する選択肢ではなく、確認する選択肢

2つ目の道について、警察庁は具体的な案内をしています。

一部のランサムウェアについては、No More Ransom というプロジェクトのウェブサイトで復号ツールが公開されています。
ランサムウェアを特定するために、ランサムノートや暗号化されたファイルの拡張子を確認し、対応するツールがあるかを見る、という手順です。

ここで、note 36 で書いた「脅迫文を消してはいけない」という話が効いてきます。
脅迫文は、種類を特定する手がかりの1つです。
消してしまえば、この道を探すこと自体が難しくなります。

ただし、警察庁は3つの注意も併記しています。

一部のランサムウェアにしか復号ツールが対応していないこと
復号ツールが利用できるランサムウェアとして紹介されていた場合であっても、バージョン等の違いにより、復号ツールが使えないことがあること
対応した復号ツールでも、暗号化されたファイル全てを復号できるとは限らないこと

期待して待つべき選択肢ではなく、確認すべき選択肢だと考えるのが適当です。

警察庁自身が作った復号ツールがある

あまり知られていないと思うので、書いておきます。

警察庁の同じページには、警察庁関東管区警察局サイバー特別捜査部が開発した復号ツールの案内があります。
令和6年2月にLockBitに対応したもの、令和7年7月にPhobos／8baseに対応したものが広報されています。

Phobos／8baseのほうには、こう書かれています。

警察に被害の届出をしていない方であっても利用していただけますので、被害回復のために本ツールの利用を積極的に御検討ください。

届出をしていなくても使える、と明記されています。

警察に通報・相談する

警察庁は、被害に遭った場合は最寄りの警察署またはサイバー犯罪相談窓口へ通報・相談するよう呼びかけています。
そのうえで、被害拡大防止のための初動対応支援や復号ツールの案内が可能な場合がある、と書いています。

相談すると大事になる、と考えて連絡をためらう会社もありますが、同じページによくある質問として答えが載っています。

通報したら被害公表が必要ですか？レピュテーションリスク（信用の毀損・風評被害）が心配です。
⇒ 警察から公表を求めることはありません。被害情報の保秘は徹底します。

警察に通報すると、サーバや端末を全て持って行かれたりして復旧作業が遅れないですか？
⇒ 警察は、被害組織の復旧作業や業務継続に最大限配慮しながら捜査を進めます。

軽微な事案でも情報提供をお願いします、とも書かれています。
通報・相談を呼びかけているのは警察庁自身だ、という点は押さえておいてよいと思います。

戻す順番と、説明の準備は並行して進める

復旧の実務で効いてくるのが、順番です。
すべてを同時には戻せません。

判断の軸は、次のようなものです。

止まると現金の出入りが止まる業務（受注、請求、入金確認）
止まると取引先に直接迷惑がかかる業務（出荷、納品）
止まっても数日は代替できる業務（社内文書、報告書）

この順番を、被害が起きてから会議で決めようとすると、部門ごとの主張がぶつかって時間を失います。
平時に決めておけば、当日は実行するだけになります。

そして、復旧作業と並行して対外的な説明の準備が必要になります。
復旧が終わってから説明する、という順番にはできません。
報告の期限は、事態を知った時点から進みます。
復旧に1か月かかるなら、期限はとうに過ぎています。

決めたことを、記録しておく

先ほどのガイダンスに、実務としてそのまま使える指摘があります。

インシデントへの対応、下した決定、実行した措置、回収したデータや欠落したデータを入念に記録しておくことは、事後の検証や規制当局への証拠の提示のために重要である、という内容です。
そして、記録はオフラインで、あるいは被害の影響を受けていないシステムで行うのが賢明だとしています。

暗号化された社内システムの中に記録を残しても、あとから読めません。
紙のノート1冊でも構いません。
時刻と、誰が何を決めたかを書いていくだけで、あとの説明が変わります。

この判断を迫られない会社になる

結論として言えるのは、この判断はどう転んでも会社にとって良いものにならない、ということです。
払っても解決せず、払わなくても費用と時間はかかります。

だとすれば、目指すのは正しく判断できる会社になることではなく、判断を迫られない会社になることです。

警察庁が挙げている6つ

警察庁は、被害に遭わないための対策として6つを挙げています。

VPN機器等のぜい弱性を塞ぐ
認証情報を適切に管理する
アカウントのアクセス権限を最小化する
セキュリティ製品を導入する
不審なメールに警戒する
セキュリティ教育を行う

目新しい内容ではありません。
それでも被害が続いているのは、知られていないからではなく、実行されていないからです。

数字の上でいちばん効くのは、上の2つ

優先順位をつけるとすれば、上の2つです。
理由は先に見た数字にあります。
侵入経路が判明した36件のうち18件がVPN機器で、過去5年の合算では6割を占めます。

具体的には、次の確認になります。

VPN機器のファームウェアが最新か
サポートが終了した機器を使い続けていないか
VPNの認証が、IDとパスワードだけになっていないか

3つ目が、2番目の項目である認証情報の管理につながります。
警察庁も、多要素認証等の強固な認証手段の導入や、IPアドレス等によるアクセス制限との組み合わせを挙げています。

「被害を想定した備え」も4つ挙げられている

同じページには、被害に遭ったあとを想定した備えとして、別に4つが挙げられています。

サイバー攻撃を想定したBCPを策定する
バックアップを取得する
ログを取得する
被害を想定した訓練を行う

バックアップについては「ネットワークから切り離してオフラインで保存するなど、データ等の重要性に応じて暗号化されないように備えておくこと」と書かれています。
9割が取っていて4件に1件しか戻せない、という数字を思い出すと、この一文の重みが変わります。

ログについては note 37 で扱いました。
BCPと訓練は、note 36 で作った1枚の紙が出発点になります。

決めておくのは、3つだけ

対策をどれだけやっても、被害の可能性はゼロになりません。
だからこそ、方針を先に決めておく意味があります。

決めておく内容は3つです。

支払いには応じない、という方針を持つかどうか
その判断を誰がするのか
判断する前に誰に相談するのか

1つ目については、あらかじめ「応じない」と決めておくことをおすすめします。
理由は、被害が起きたあとに判断すると、必ず追い詰められた状態で判断することになるからです。

先ほどのガイダンスにも、身代金を支払うかどうかの決定ほど迅速に上級経営者や意思決定者を関与させるシナリオは他にない、と書かれています。
その一方で、選択肢の提示が時期尚早にならないよう留意する必要があるとも書かれています。
落ち着いているうちに決めた方針だけが、その状況で支えになります。

3つ目については、note 36 で整理した窓口が使えます。
警察、IPA、JPCERT/CC、保守業者。
どこにも相談せずに決める、という状態だけは避けてください。

支払いに応じないという方針と、誰が決めて誰に相談するかを書面にするなら、書式があります。
初動72時間フローシートと事前準備チェックリストを含む6種です。

2026年9月時点の最新状況

数字と資料の現在地を整理しておきます。

警察庁の情勢資料は、令和8年9月に公表された令和8年上半期版が最新です。
本文と統計データ（Excel）が同じページで公開されており、この記事の件数はすべて統計データ側で数え直しています。

復号ツールについては、警察庁関東管区警察局サイバー特別捜査部が開発したものが2種類あります。
令和6年2月のLockBit対応と、令和7年7月のPhobos／8base対応です。
後者は、被害の届出をしていなくても利用できると明記されています。

カウンターランサムウェア・イニシアティブのガイダンスは、令和6年9月30日から10月3日にかけて開催された会合で発出されたものです。
国家サイバー統括室が英文と仮訳の両方を公開しています。

1つ、資料の所在について注意点があります。
JPCERT/CCのFAQは、支払いを慎むべきとする根拠として2020年12月の経済産業省の注意喚起を挙げています。
このページは現在、経済産業省のサイトでは表示されません。
国家サイバー統括室の特設ページからは、国立国会図書館のインターネット資料収集保存事業（WARP）に保存された版へリンクされています。
内容を確認したい場合は、そちらを見ることになります。

まとめ

令和8年上半期のランサムウェア被害報告件数は123件で、半期としては過去最多。中小企業が79件で3分の2近くを占める
手口が判明した66件のうち61件が二重恐喝型。暗号化を行わないノーウェアランサムも9件ある
侵入経路が判明した36件のうち18件がVPN機器。過去5年の合算では6割
バックアップを取得していた組織は50件中44件。それでも復元できたのは40件中11件で、過去5年合算では5件に1件
復元できなかった29件のうち14件は、バックアップそのものが暗号化・消去されていた
復旧に1,000万円以上を要した組織は35件中21件。1か月未満で復旧できたのは48件中23件
警察庁は「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」の2つを理由に、支払わないよう説明している
JPCERT/CCは、復元される保証がないこと、被害原因が未解消のままであること、支払い後に別の要求を受ける恐れがあることの3つを挙げ、交渉も推奨していない
日本も参加する国際的な枠組みの文書は、復号鍵を得ても業務がすぐ戻るとは限らず、盗まれたデータが削除されたかを確認する手段がない可能性が高いと書いている
制裁対象への支払いなど、特定の状況下では支払いが合法でない場合がある。経営者の独断で決める種類の判断ではない
支払っても、個人情報保護法上の報告義務は消えない
払わない場合の道は3つ。バックアップ、公開されている復号ツール、作り直し
警察庁自身が開発した復号ツールがあり、Phobos／8base対応のものは被害の届出をしていなくても利用できる
警察は公表を求めず、被害情報の保秘を徹底すると明記している

最後に書いておきたいことがあります。

この問いに直面した経営者を、外から責めるのは簡単です。
しかし当事者は、会社と社員を守ろうとして悩んでいます。
だから必要なのは、悩まないための備えであって、悩んだ人への非難ではありません。

そして備えの中身は、これまでの記事で書いてきたものと同じです。
入口を塞ぐ。
中で起きていることを見つける。
戻せるようにしておく。
あとから調べられるようにしておく。
費用を分散しておく。

どれも、この1つの判断を迫られないためにあります。

皆さんの会社では、この方針を、いつ決めますか。

参考・引用元

警察庁

警察庁「ランサムウェア被害防止対策」 https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月、全187ページ） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
同統計データ（Excel。図表4・6・7、統計編p139・p140・p143・p144・p145・p147・p148・p149・p150） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08kami_jousei_data.xlsx
警察庁「サイバー空間をめぐる脅威の情勢等」（各年版の一覧） https://www.npa.go.jp/publications/statistics/cybersecurity/index.html

JPCERT/CC

JPCERT コーディネーションセンター「侵入型ランサムウェア攻撃を受けたら読むFAQ」（最終更新 2026年6月18日） https://www.jpcert.or.jp/magazine/security/ransom-faq.html

国家サイバー統括室

国家サイバー統括室「ストップ！ランサムウェア」特設ページ https://www.cyber.go.jp/tokusetsu/stopransomware/index.html
「ランサムウェア・インシデント発生時の組織向けガイダンス」仮訳（全6ページ） https://www.cyber.go.jp/pdf/press/CRI_Insurance_Guidance_kariyaku.pdf
同英文 https://www.cyber.go.jp/pdf/press/CRI_Insurance_Guidance.pdf

その他

No More Ransom（Europol欧州サイバー犯罪センター、オランダ警察等による共同プロジェクト） https://www.nomoreransom.org/ja/index.html
経済産業省「最近のサイバー攻撃の状況を踏まえ、経営者の皆様へサイバーセキュリティの取組の強化に関する注意喚起を行います」（2020年12月18日。現在は経済産業省のサイトに掲載がなく、国立国会図書館WARPの保存版） https://warp.da.ndl.go.jp/info:ndljp/pid/11623215/www.meti.go.jp/press/2020/12/20201218008/20201218008.html
IPA「ランサムウェア対策特設ページ」 https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html

法令

個人情報の保護に関する法律（第26条） https://laws.e-gov.go.jp/law/415AC0000000057

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40