サイバー事案002｜業務が止まったとき、何から戻すか

バックアップの復元だけでは終わらない、業務再開と代替手段の整理

ある朝、社内の基幹システムがすべて使えなくなったら、現場はどう動くでしょうか。「バックアップを取っているから大丈夫」と聞いていても、いざ被害が起きると、システムの安全確認が終わるまで画面を開くことさえできない期間が生まれることがあります。

今回は、アサヒグループホールディングス株式会社が2026年2月18日に公表したサイバー攻撃事案の説明を題材に、システム停止から業務再開までの道のりをたどります。技術的なデータの復元と、日々の商いを回す業務の再開を切り分け、平時に揃えておきたい判断の軸を整理します。

この記事の要点

• 被害拡大を防ぐ隔離措置により、攻撃を免れたシステムも含め業務アクセスが広く止まることがある。

• バックアップからの復元だけでなく、安全確認や再構築を経るため、手作業での代替期間が生じることがある。

• サーバーの起動と業務の再開は別であり、優先業務・代替手段・再開判定を平時に分けて定めておく。

公表資料に見る事案の経緯と範囲

2026年2月18日付の同社公表文と、2月26日の「2025年12月期 事業進捗説明会」資料に基づき、業務停止と復旧に関わる事実を整理します。以下の時刻や会社別の再開日などの細部は2月18日公表文に依拠し、事業進捗説明会資料は12月のEOS受注再開・2月の物流正常化・出荷品目数拡大の補強として参照します（いずれも各資料の公表時点における会社説明であり、現時点の全社状況を断定するものではありません）。

2025年9月29日午前7時ごろ、同社システムで障害が発生し、その後の調査中に暗号化されたファイルが確認されたと説明されています。調査によると、具体的な日時は特定できないものの、障害発生の約10日前にグループ内拠点のネットワーク機器を経由して外部から侵入を受け、同月29日にランサムウェアが一斉に実行されたと説明されています。同社は、攻撃の影響は日本で管理しているシステムに限られるとしています。

同社は同日午前11時ごろ、被害を最小限にとどめるためネットワークを遮断し、データセンターの隔離措置を講じたと説明しています。封じ込め対応として、リモートアクセスVPN、約300拠点の拠点間ネットワーク、クラウド間接続の専用通信回線を遮断し、さらにインターネット回線も遮断してデータセンターを完全隔離したとしています。これらの細部の措置の時刻は、参照した公表文に記載されていません。データセンターの全システムを停止させたことで業務システムへのアクセスが不可となったほか、バックアップデータの健全性を保持するためバックアップシステムも一時停止したと説明されています（バックアップ自体が暗号化されたとの記述はありません）。

復旧にあたっては、外部専門機関によるフォレンジック調査（原因や経路を突き止める鑑識調査）でシステムごとの健全性を検証し、安全性の確認されたバックアップデータからのシステム復旧や、影響を受けた全サーバーの再構築後の健全性確認、追加対策を実施したうえで、健全性が保証されたシステムから段階的に再開しているとされています（2026年2月18日公表時点）。

事業面では、商品供給に直結する受注・出荷システムが停止し、手作業での対応が続けられました。その後、電子受発注システム（EOS）による受注がグループ事業会社ごとに再開され、制限が残っていた配送リードタイムも2026年2月までに通常化したことで、同公表時点では物流業務全体が正常化したと説明されています。ただし、出荷可能な商品の品目数は順次拡大していく予定とされており、物流業務の正常化が直ちに全システム・全商品の完全復旧を意味するわけではありません。また、再発防止策として復旧手順の定期的見直しや訓練、バックアップの更なる強化などが挙げられていますが、同公表時点でこれらがすべて完了したとは断定されていません。

必要最小限の時系列（会社公表に基づく）

• 日時不明（障害発生の約10日前と説明）：拠点のネットワーク機器経由で外部から侵入（事後調査で判明）

• 2025年9月29日 午前7時ごろ：システム障害が発生（暗号化されたファイルはその後の調査中に確認）

• 2025年9月29日 午前11時ごろ：ネットワーク遮断とデータセンター隔離措置を実施

• 時刻の記載なし（封じ込め対応）：回線別の遮断とデータセンターの完全隔離を実施。データセンターの全システム停止により業務アクセス不可に

• 2025年12月2日：アサヒグループ食品でEOS（電子受発注システム）による受注を再開

• 2025年12月3日：アサヒビール・アサヒ飲料でEOSによる受注を再開

• 2026年2月まで：配送リードタイムが通常化し、物流業務全体が正常化（出荷可能品目は順次拡大予定）

• 2026年2月18日：再発防止策や復旧状況をまとめた公表文を開示

自社の備えを見直す：技術的な復元と業務再開を分ける

ここからは公表事案を離れ、読者の皆さまが自社の事業継続を点検するための一般的な整理に移ります。

サイバー事案の渦中では、被害を受けたサーバーだけでなく、感染拡大を防ぐ隔離によって正常なシステムや通信回線まで使えなくなることがあります。また、バックアップが残っていても、調査や再構築、安全確認が終わるまでは本番環境へ戻せないことがあります。つまり「データが残っていること」と「明日から受注や出荷が回る状態」の間には、空白期間が生まれることがあります。

※以下の概要図および5つの視点は、一般的な業務継続・復旧点検のための整理例です。前述の公表企業の実際のシステム構成や攻撃経路、あるいは特定の公式標準分類を示すものではありません。また、停止時に回線を遮断するかどうかや電源操作の判断は環境ごとにリスクが異なるため、事前に専門家や保守先と手順・判断条件を取り決め、対応時は合意した手順と役割に従います。

[概要図] 技術的な復元と業務再開を分ける5つの点検視点

担当・資料・次の着手

持ち帰り実務シート：5つの確認項目

このページは閲覧専用です。以下の5項目は、手元の社内メモ等に「確認済み」「未確認」「理由あり該当なし」「未回答」の4区分で記録して整理してください。「確認済み」は担当・確認資料・確認日がすべて揃った記録、「未確認」はこれから確かめる項目や一部だけ確認した項目、「理由あり該当なし」は対象外である理由を記した記録、「未回答」はまだ区分を選んでいない未着手の項目として残します。「確認済み」とした記録でも担当・確認資料・確認日のいずれかが欠ける場合と、「該当なし」に理由がない場合は、未確認として扱います。担当は部署名や役割名でも構いません。この画面には入力・集計・送信・自動保存の機能はなく、項目を埋めても安全性や法令適合を保証・認定するものではありません。

項目1：止まると困る業務と依存先の整理

• 確認の問い：主要業務（受注・出荷・決済など）ごとに、依存する社内システム・外部連携・通信回線が一覧化され、停止時の影響範囲を把握できていますか。

• 想定担当：事業部門長・ICT担当

• 確認資料：業務・システム・外部接続先対応表、システム構成図

• 未確認のときの次の着手：主要業務を3つ選び、使っているシステム名と社外とのデータ連携先を書き出す。

項目2：優先して戻す順序とデータの戻り幅の合意

• 確認の問い：全システムを一斉に戻せない前提で、再開を優先する業務・品目の順序と、バックアップ時点までデータが巻き戻った際に手作業等で補う範囲が合意されていますか。

• 想定担当：経営層・事業部門長・ICT担当

• 確認資料：業務復旧優先順位表、バックアップ取得間隔と未反映データの補完方針メモ

• 未確認のときの次の着手：安全性を確認できる直近のバックアップ時点から障害発生までの空白データを、どの伝票や控えから復元できるか現場と確認する。

項目3：システムが使えない間の代替連絡・手作業手順

• 確認の問い：社内ネットワークやメール、受発注画面が使えない状況でも、取引先との連絡や最低限の受注・出荷を回すための代替手段と手作業ルールが用意されていますか。

• 想定担当：事業部門（営業・物流・購買など）・総務広報担当

• 確認資料：緊急時連絡網（社外連絡手段を含む）、手作業による受注・出荷・記録手順書

• 未確認のときの次の着手：社内PCや通常メールが開けない前提で、主要取引先10社へ連絡を取る手段と帳票の控え場所を確認する。

項目4：バックアップの保全と「戻せるか」の検証

• 確認の問い：バックアップは、本番環境が感染しても影響を受けにくい構成で保全され、実際にデータを復元してシステムが動くかどうかの検証記録が残っていますか。

• 想定担当：ICT担当・保守委託先

• 確認資料：バックアップ構成図・保全ルール、復元テスト実施記録（実施日・対象システム明記）

• 未確認のときの次の着手：保守担当者や委託先に「バックアップの隔離状況」と「直近で復元テストを行った日」を質問する。

項目5：技術的な安全確認と、業務側の受入・段階再開の判定

• 確認の問い：サーバーや通信の安全性確認（ICT側）と、データの整合性や手作業分の反映・取引先連携の確認（業務側）を分けて点検し、段階的に再開を承認する手順がありますか。

• 想定担当：経営層・ICT担当・事業部門長

• 確認資料：システム再開判定手順書、業務再開時の受入確認チェックリスト

• 未確認のときの次の着手：「システムが起動した状態」と「取引先との受発注を再開してよい状態」の間に必要な業務確認項目をメモにする。

出典・確認時点

• 確認基準日：2026年11月12日（日本時間）

• 参照した一次資料：

  1. アサヒグループホールディングス株式会社「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日公表） https://www.asahigroup-holdings.com/en/newsroom/detail/20260218-0101.html

  2. アサヒグループホールディングス株式会社「2025年12月期 事業進捗説明会」PDF p4（紙面p2）（2026年2月26日公表）
     https://www.asahigroup-holdings.com/ir_library_file/file/2025_4q_update_presentation.pdf

• 記載範囲に関する注記：本記事の事例パートは上記資料の公表時点における会社説明に基づいています。その後の復旧状況や現在の全社的な稼働状況を断定するものではありません。また、後半の点検フレームおよび確認項目は読者向けの一般的な実務提案です。