ランサムウェア被害をCyBOKで読み解く 業務停止とリスク管理

ランサムウェアの被害を考えるとき、感染した端末や漏洩件数だけでなく、止まる業務と判断の責任を整理する必要があります。京王グループの被害公表を手がかりに、CyBOKのKnowledge Areaを使って、どの知識から対策を考えればよいかを考えます。

京王グループの公表から分かること

京王電鉄は2026年9月26日未明、グループのサーバーへのランサムウェア攻撃を確認したと公表しました。同日の発表では、一部グループ会社の営業システムに支障が生じる一方、鉄道運行には支障がなく、情報漏えいの事実は確認できていないとしています［1］。ここで重要なのは、営業システムへの影響と鉄道運行への影響を区別することです。この発表から、侵入経路や全体の被害額、影響を限定できた技術的理由までは断定できません。

止まる業務を先に見えるようにする

この事例から考えたいのは、自組織で同じような停止が起きた場合、誰にどのような不利益が生じるかです。予約、受発注、請求、顧客対応が共通の認証やネットワークに依存していれば、一つの障害が複数の業務に波及する可能性があります。これは京王の構成を推定したものではなく、自組織の依存関係を点検するための問いです。サーバーの一覧と並べて、止まる業務、代替手段、必要なデータ、再開の判断者を整理する必要があります。

CyBOKの三つのKnowledge Areaから考える

Risk Management & Governanceは、何を守り、どの業務を優先するかを考える入口になります。Security Operations & Incident Managementは、異常の把握、関係者との連携、対応と再開の判断を学ぶ領域です。Network Securityは、通信や境界を理解し、影響をどこで区切るかを考えるために役立ちます。これは本記事の学習上の対応付けであり、京王の原因や対策をCyBOKが評価したものではありません。三つの領域を往復すると、システムの対策と経営判断を同じ問題として整理しやすくなります。

重要なのは停止を判断できる準備

対策としては、重要業務に関わるネットワークと権限の分離を確認し、侵害が疑われたときに遮断する範囲と判断者を決めておくことを提案します。遮断は被害を抑える一方で、業務にも影響します。その両方を扱うため、経営者と事業部門が参加する机上演習が必要です。例えば「受注システムを止める必要があるが、顧客からの問い合わせが急増している」という状況で、代替受付、顧客への説明、復旧順序を実際に決めてみます。

まず一つの業務を学習の入口にする

受注や顧客対応など、重要な業務を一つ選び、停止した場合の影響、依存するシステム、代替手段、再開の判断者を書き出してみてください。そのうえでCyBOKのリスク管理とインシデント対応を読み、説明できない部分を見つけます。技術担当者には隔離と証拠保全、事業担当者には代替業務、経営者には停止と再開の判断が学習の入口になります。知識を整理したら、関係者と机上演習で判断を試してみることが次の一歩です。

次に読む

サイバーセキュリティを体系的に学ぶには CyBOKを地図として使う

Knowledge Areaを使って、自分の学ぶ位置と関連分野を確認できます。

知識を実践に変える Cyber RangeとSudoRangeで何が学べるか

安全な演習環境で知識を操作と判断につなげる方法を紹介します。

参考資料

［1］京王電鉄 ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び 2026年9月26日

［2］IPA ランサムウェア被害から学ぶ教訓集 2026年9月8日公開 9月10日更新

［3］CyBOK Knowledgebase v1.2 Knowledge Area一覧

CyBOK Attribution

CyBOK Version 1.2.0 © Crown Copyright, The National Cyber Security Centre 2026, licensed under the Open Government Licence: http://www.nationalarchives.gov.uk/doc/open-government-licence/.