中国拠点のセキュリティ対策について伺うと、「EDRは全端末に入れています」という答えが返ってくることがあります。では、その通知は誰が見ているでしょうか。夜間や連休中に異常が検知されたとき、何時間以内に気づける体制になっているでしょうか。そして万一被害が起きたとき、中国の法令が定める期限内に、当局へ報告できるでしょうか。
これらの問いにすぐ答えられない場合、導入した製品が「入れただけ」の状態になっている可能性があります。2025年11月に事件報告の新しいルールが施行され、中国拠点に求められる対応は、製品の導入から運用体制の整備へと軸足が移っています。
今のランサムウェアは「暗号化される前」に勝負がついている
そもそもランサムウェアとは、社内のファイルを鍵なしでは読めない状態に書き換えたうえで、元に戻すための鍵と引き換えに金銭を要求する攻撃です。狙われるのは個人のPCだけではありません。共有のファイルサーバーや、生産管理・受注・会計といった基幹システムのデータも同時に書き換えられるため、被害は「誰かのPCが使えない」ではなく、「出荷の指示が出せない」「請求書が発行できない」という形で現れます。業務そのものが止まるということです。
そして現在の主流は、暗号化だけで終わりません。「二段階」になっています。
情報処理推進機構（IPA）は、この手口について「暗号化する前にデータを窃取しておき、支払わなければデータを公開する等と二重に脅迫する攻撃方法である」と説明しています。企業がバックアップの整備やオフライン保存を進めてきたことへの対抗策として、攻撃者がデータの窃取と公開による脅迫を取り入れたものと位置づけられています。
つまり、画面に身代金要求のメッセージが表示された時点で、攻撃はすでに終わっているということです。そして、バックアップで復旧できるのは暗号化されたデータだけであり、すでに持ち出されたデータは取り戻せません。
この手口は例外ではなく、すでに主流です。日本の警察庁が公表した令和6年の統計では、対価を要求する手口が確認された被害134件のうち、111件が二重恐喝によるもので、82.8%を占めています。
侵入経路も、統計上ははっきりしています。同じ資料では、感染経路が判明した事案のうちVPN機器を経由したものが55.0%、リモートデスクトップサービス経由が31.0%を占めています。合計で8割以上が、外部から社内ネットワークへの入口を突かれたケースです。日本本社と中国拠点を結ぶVPN、現地スタッフがリモート接続に使う環境は、まさにこの入口にあたります。
2025年11月から、報告には期限が定められた
ここが、日系企業にとって最も見落とされやすい変更点です。
2025年11月1日、《国家網絡安全事件報告管理弁法》が施行されました。ネットワーク運営者は、自社に関わるネットワークセキュリティ事件を発見または知った時点で、《網絡安全事件分級指南》に照らして等級を判定し、「較大」以上に該当する場合には、定められた期限内に当局へ報告する義務があります。
同弁法第四条が定める報告先と期限は、以下のとおりです。
・重要情報インフラに関わる場合：保護工作部門および公安機関へ、最も遅くとも1時間以内
・中央・国家機関の各部門等：所管の網信工作機構へ、最も遅くとも2時間以内
・その他のネットワーク運営者：所在地の省級網信部門へ、最も遅くとも4時間以内
多くの日系企業の中国拠点は、3番目に該当します。起算点は事件の「発生時」ではなく「発見または知った時」です。そして、該当するかどうかの等級判定は、自社で行う必要があります。
この弁法は、ランサムウェアを明確に想定しています。報告内容を定めた第七条には、ランサムウェア攻撃事件については、要求された身代金の金額・支払方法・期日等も報告内容に含める旨が明記されています。
実務上重要なのは、報告を怠った場合と、きちんと対応した場合とで、扱いに差が設けられている点です。第十条は、規定どおりに報告しない、遅れる、漏らす、虚偽の報告をする、隠蔽するといった行為により重大な危害が生じた場合、法に基づいて加重して処罰すると定めています。一方で第十一条は、合理的で必要な防護措置を講じており、緊急時対応計画に沿って処置し、事件の影響と危害を有効に抑え、規定どおり速やかに報告した場合には、状況に応じて処罰を軽減し、または責任を追及しないことがあると定めています。
平時の備えと事後の対応が、処罰の判断材料として条文に書き込まれているということです。
中国では、被害を受けた側の体制も問われる
公安部が公表した「护网—2025」専項工作の行政執法典型案例には、攻撃を受けた企業自身が、備えの不備を理由に処罰を受けた事例が含まれています。
安徽省合肥市の電子商取引企業は、ネットワークセキュリティ管理制度を策定せず、等級保護の取り組みも実施していない状態で、旅客の購入情報を大量に不正取得される被害を受け、行政処罰と是正命令を科されています。貴州省の政務サービスシステムの事例では、防護措置の未実施に加えてログ保存の不備と脆弱性の未対応が指摘され、システムの構築側・運用側が行政処罰を受けました。
攻撃を受けたこと自体ではなく、受ける前にどう備えていたかが問われる。これが中国での実務です。
EDRを入れただけでは埋まらない穴
ここまでを踏まえると、必要なのは侵入を防ぐことだけではなく、「侵入されたことに早く気づき、法令が求める対応を取れる」仕組みだと分かります。
EDR（Endpoint Detection and Response）は、端末上の不審な挙動を検知して対処する仕組みで、ランサムウェア対策の中核です。ただし、導入しただけでは埋まらない穴があります。
IPAが公開している「ランサムウェア被害から学ぶ教訓集」では、被害組織へのヒアリングから導かれた教訓の一つとして「EDR導入と定期ログ監査」が挙げられています。導入そのものではなく、導入と継続的なログの監査がセットで教訓として示されている点が重要です。EDRが異常を検知しても、その通知を見て、判断し、対処する人がいなければ、検知機能は活かされません。夜間や連休中に検知が上がったとき、誰がどれだけの時間で気づけるのか。ここが決まっていなければ、製品は導入したが運用されていない、という状態になります。
ログについては、中国の法令上の要求もあります。網絡安全法第二十三条は、等級保護制度に基づく義務として、ネットワークの運行状態とセキュリティ事件を監視・記録する技術的措置を講じ、関連するネットワークログを6か月以上保存することを定めています。ログが取れていない、あるいは保存されていない状態は、事件発生時に等級を判定できず報告内容も示せないという実務上の問題であると同時に、それ自体が義務を満たしていない状態にあたります。前述の貴州省の事例で、ログ保存の不備が指摘事項に含まれていたことは、この点を裏づけています。
SOC（Security Operation Center）は、24時間365日の監視と、検知後の判断・対処、そしてログの収集・分析を担う運用体制です。EDRが「検知するための道具」であるとすれば、SOCは「検知を対応につなげる仕組み」にあたります。
まず確認すべきポイント
・中国拠点のVPN機器・リモートデスクトップの公開状況と認証方式（侵入経路の8割以上がここです）
・夜間や連休中に異常が発生した場合、何時間以内に、誰が気づける体制になっているか
・ネットワークログを6か月以上保存できているか、また事件発生時に追跡できる粒度で取得できているか
・セキュリティ事件が発生した際、等級を判定し、期限内に報告する手順と担当者が決まっているか
・報告に必要な基本情報（システム構成、影響範囲、扱っているデータの種類）を事前に整理してあるか
・緊急時対応計画が現行の規定に対応した内容に更新されているか
これらは、日本本社のセキュリティ基準をそのまま当てはめても答えが出ない領域です。中国の規制要件を踏まえた確認が必要になります。
NRI北京のご支援
NRI北京は、貴社の中国拠点のセキュリティ状況の可視化から、EDRの導入設計、SOCによる24時間365日の監視・運用、インシデント発生時の対応まで一貫してサポートします。日本本社との調整が必要な場面にも対応しており、体制の整備から日々の運用までをワンストップで支援します。
中国の規制要件と現地の運用実務の双方に精通した専門家が対応するため、現在の監視体制で法定の期限に間に合うのかという確認から始められます。「何から手をつければよいかわからない」という段階からでもご相談ください。
出典
・国家网络安全事件报告管理办法（2025年11月1日施行）／中央网络安全和信息化委员会办公室
第四条（「较大」以上の事件についての報告先と期限）、第七条（ランサムウェア事件では身代金の金額・方式・日付も報告内容に含む）、第十条（未報告・遅報・漏報・虚偽報告・隠蔽による重大な危害は加重処罰）、第十一条（防護措置・緊急時対応計画に沿った処置・影響の有効な低減・適時報告があれば軽減または責任を追及しない）
https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm
・中华人民共和国网络安全法（2026年1月1日施行版）第二十三条／中央网络安全和信息化委员会办公室
等級保護制度に基づく義務として、監視・記録の技術的措置とネットワークログの6か月以上の保存を規定
https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
・公安部公布"护网—2025"专项工作6起行政执法典型案例／中华人民共和国公安部（江苏省委网信办 公式掲載）
安徽省合肥市・貴州省の各事例
https://www.jswx.gov.cn/zhengce/zhifa/202509/t20250918_3571499.shtml
・令和7年警察白書 第3項 ランサムウェアの情勢／警察庁
対価要求型134件中111件（82.8%）が二重恐喝、感染経路はVPN機器55.0%・リモートデスクトップサービス31.0%
https://www.npa.go.jp/hakusyo/r07/honbun/html/bb3313000.html
・事業継続を脅かす新たなランサムウェア攻撃について ～「人手によるランサムウェア攻撃」と「二重の脅迫」～／独立行政法人 情報処理推進機構（IPA）
二重の脅迫の定義、バックアップ対策への対抗として窃取・公開が用いられるようになった経緯
https://www.ipa.go.jp/archive/files/000084974.pdf
・ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～／独立行政法人 情報処理推進機構（IPA）
教訓の一つとして「EDR導入と定期ログ監査」を提示
https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html