止まった工場を、どう動かすか――群馬県がサイバー攻撃と事業継続を一体で考える講座

工場が止まった日、誰が最初の判断をするのか

朝、いつもの時間に出社した社員が、受発注システムへログインできない。生産計画も納品先一覧も開かない。工作機械そのものは動いていても、どの注文を優先するか分からなければ出荷は滞る。これは群馬県内の特定企業で実際に起きた事件の記録ではない。情報システムの停止が製造業の日常にどのような連鎖をもたらすかを示す想定例だ。

群馬県は2026年11月9日、「サイバーセキュリティ×BCPセミナー」の開催を発表した。12月11日のオンライン講座では、情報処理推進機構（IPA）、群馬県警察、県の企業支援担当者がそれぞれ、対策、県内の犯罪情勢、事業継続計画の考え方を説明する予定だ。まだ開かれていない講座の内容や参加企業の反応を、実施済みの事実として報じることはできない。

この取り組みの重要性は、サイバー攻撃を単なる「パソコンの故障」として扱わない点にある。復旧までの間に何を守り、何を止め、誰と連絡を取り、限られた人員でどの業務を再開するか。経営上の判断として整理するのがBCP、すなわち事業継続計画である。

12月11日の講座で扱う三つの問い

県が発表した開催時間は12月11日（金）午後2時から4時。Microsoft Teamsによる無料のオンライン開催で、県内企業の経営者、総務・情報システム担当者、支援機関の職員などを対象とする。申し込み期限は12月9日（水）。公式案内には問い合わせ先として群馬県産業経済部地域企業支援課経営支援係が記載されている。

第1部「中小企業を取り巻くサイバーリスクと実践的対策」は、IPAセキュリティセンター普及啓発・振興部普及啓発グループの白川浩氏が講師を務める予定。第2部「群馬県内におけるサイバー犯罪」は、群馬県警察サイバーセンター企画・人材育成係長の星野結子氏が担当する。第3部では県の地域企業支援課経営支援係が「BCP概論・策定支援について」を説明する。

構成は明快だ。どんな脅威があるのか。県内では何が起きているのか。そして攻撃を受けても事業を続けるには何を準備するのか。ただし、講師の個別発言、取り上げる事例、最新の県内被害件数は、事前発表だけでは分からない。

IPAの調査が映す、中小企業の備えの弱点

IPAが2025年に公表した2024年度の実態調査は、全国の中小企業4191社へのウェブ調査に基づく。過去3期にサイバーインシデントを経験した企業では、被害額の平均が73万円、復旧までの期間は平均5.8日だった。これは被害企業についての平均であり、全中小企業の平均被害額ではない。群馬県だけの統計でもない。

同じ調査では、組織的な情報セキュリティ体制を整備していない企業が約7割、過去3期に対策投資を行っていない企業が約6割とされた。また、被害企業で取引先への影響があったと回答した割合は約7割。発注元も納品先も、情報がつながる時代の停止リスクから無関係ではいられない。

一方、基本策が全く浸透していないわけではない。IPAの詳細報告によれば、OSなどを最新の状態にする対策について「実施」または「一部実施」とした回答は73.0％に達した。しかし事故に備えた緊急体制や手順の整備は39.8％。機器の更新と組織の準備には大きな差がある。

「最大の脅威」と順位の意味を取り違えない

IPAの「情報セキュリティ10大脅威2026」組織編では、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスクだった。AI関連リスクは2026年版で初選出された。ランキングは専門家らによる審議・投票でまとめた重点テーマであり、県内でそれぞれ何件発生したかという発生頻度順ではない。

ランサム攻撃ではファイル暗号化だけでなく、情報を持ち出して公表をちらつかせる二重の脅迫が問題となる。IPAが2026年9月に公表した経営者向けの教訓集は、暗号化が確認された時点では攻撃者の活動が最終段階に入っていることもあると指摘する。発見してから初めて社内の連絡網を作っていては判断が遅れる。

一方で、すべての攻撃が同じ経路で侵入するわけではない。認証情報の悪用、脆弱性、メール、委託先経由など、事業者ごとに確認すべき入口は異なる。「最新の対策ソフトを入れれば安全」という単純な処方箋は成り立たない。

群馬の製造業にとって、供給網の停止は他人事ではない

群馬には自動車関連、機械加工、食品、物流など多様な製造・サービス企業があり、小規模な事業者が取引網の一部を担う。大手の組立工場だけが生産を守ればよいわけではない。部品発注、出荷予定、品質証明、検査記録、請求、物流手配などのデータが止まれば、工程の前後に影響が及ぶ可能性がある。

例えば、部品加工を請け負う企業の管理システムが使えなくなった場合、現場が紙の指示書で一部を続けられても、図面の最新版確認や顧客への納品証明まで代替できるとは限らない。これも想定例であり、実在の特定会社の障害を示したものではない。重要なのはITと生産管理を別々に考えないことだ。

サプライチェーンへの影響に関するIPAの全国調査を、群馬の実際の被害件数へ読み替えることはできない。県警担当者による講座で具体例が示されるか、その出典と期間は何かを確認してこそ地域の実像に近づく。

BCP支援の歴史は2014年にさかのぼる

群馬県のBCP策定支援は今回のサイバーセミナーで突然始まったものではない。県は2014年2月4日、東京海上日動火災保険株式会社と、県内中小企業のBCP策定支援に関する協定を締結した。事業継続の早期復旧を目標に、個別支援や講習などを進めてきた。

現在の「群馬県BCP策定支援プロジェクト」には、県と同社のほか、県内の商工会議所連合会、商工会連合会、中小企業団体中央会、経営者団体、産業支援機構などが関わる。県の案内では、希望する県内中小企業への個別訪問による計画策定支援も紹介されている。

自然災害への備えとして発展してきた事業継続の発想を、データの破壊や業務システムの停止にも応用することには意味がある。ただし、地震で施設が使用不能になる場合と、ネットワークに攻撃者が潜伏している場合では、復旧の手順が違う。バックアップから戻すだけでは再侵入を防げない場合もある。

復旧計画は「元に戻す順番」を決めるところから

初期対応の要は、権限と連絡先を先に定めることだ。誰が被害の疑いを受け付け、システムの隔離を判断し、法務・保険・取引先への連絡を調整するのか。情報システム担当者一人が不在でも対応できるよう、代行者と紙の連絡先を用意する必要がある。

次に、事業の最低限を明確にする。給与支払い、注文受付、製造指示、検査、出荷、顧客通知のどれを何時間以内に戻す必要があるか。復旧時間目標や許容できるデータ損失を、重要度と現実的なコストの間で定める。すべてのサービスを一度に復旧させようとすると、調査や安全確認に必要な時間を奪うおそれもある。

バックアップは保存しただけでは計画にならない。業務に必要なデータが存在し、復元でき、攻撃者に同時に破壊されない構成かを確認する。隔離した環境での復元試験、認証情報の管理、ソフトウェア更新、外部接続の把握を組み合わせることで、初めて再開の見通しが立つ。

AI時代の攻撃と、社内でのAI利用

2026年の特徴は、生成AIをめぐる問題が情報セキュリティの議論に明確に入ったことだ。IPAは、AIの利用に対する理解不足による意図しない情報漏えい、生成結果の無検証な利用、攻撃手口の高度化などを関連リスクとして挙げている。AIを使うこと自体が事故ではない。何を入力し、結果を誰が確認するかが問題になる。

小さな会社でも、社内の原価情報、設計図、顧客名簿、契約書を外部サービスへ入力してよいかを明文化しておく必要がある。利用規約や企業向け設定、データ保存・学習に関する条件は提供事業者によって異なるため、一般論だけで安全性を断言できない。

AIによる効率化とAIを巡るリスク管理は、対立する目標ではない。情報の分類、利用申請、出力の検証、教育を日常業務に組み込むことが、適切な利用と事故防止の共通基盤となる。

「宣言」と「認定」を混同しない

対策に着手する中小企業向けに、IPAは「SECURITY ACTION」という自己宣言制度を用意している。一つ星は基本的な対策への取り組み、二つ星は自社診断と情報セキュリティ基本方針の策定・公表などを求める。これは企業が自ら宣言する仕組みで、IPAによる安全性の第三者認証ではない。

別制度として、中小企業庁の「事業継続力強化計画」は、防災・減災の事前対策に関する計画を経済産業大臣が認定するものだ。中小企業向けの取り組みやすいBCPとして位置付けられ、一定の支援策につながり得る。認定要件と情報セキュリティの自己宣言を同じものとして扱ってはいけない。

制度の名前を知っているだけでは、攻撃が起きた日に役立たない。紙のBCPを実際に机上訓練で試す。復元テストの結果を記録する。外部委託契約に事故報告と復旧責任を盛り込む。書類と現場を結びつけることが実効性を左右する。

セミナーの先に必要な、確かめられる成果

12月11日の講座は無料で、自社の状況を見直す入口になる。だが参加企業の数、参加後の対策実施、被害減少や復旧時間の改善といった効果は、開催前の時点で分からない。公的な啓発活動を評価するには、受講者数よりも業務上の変化が見えるかを追う必要がある。

地域で今後確認したいのは、県内事業者のBCP策定率、訓練の実施状況、製造業特有の操業停止リスク、情報セキュリティ対応を担う人員の確保、県が支援した後の改善度合いだ。今回の公式発表だけでは、そうした成果指標は提示されていない。

最後に問われるのは、攻撃を完全に防げるかという達成不能な約束ではない。被害を小さくし、取引先への説明責任を果たし、必要な業務を安全に再開できるか。群馬の講座が投げかけるのは、デジタル化した地域経済の持久力という経営の課題である。