システムが止まったら1日いくら損する?業務停止の損失シミュレーター

ランサムウェアや機器の故障でシステムが止まると、その間の売上が入らず、給与は出ていき、復旧の費用も膨らみます。「1日止まるといくら」が分かっていると、備えにかける費用を決めやすくなります。警察庁の統計で実際の復旧期間と費用を確かめ、損失をシミュレーターで試算する方法をまとめます。

ランサムウェアの被害では、復旧に何日かかっているか

ランサムウェアは、データを暗号化して使えなくし、元に戻す代わりにお金を要求する不正なプログラムです。警察庁によると、2026年上半期の被害の報告は123件で、半期の件数として2020年下半期以降で最も多くなりました。そのうち79件が中小企業です。

被害に遭った組織への警察庁のアンケートでは、復旧にかかった期間は次のとおりでした。

1か月未満で戻ったのは23件で、5割に届きません。調査と復旧にかかった費用は、次のとおりです。

1,000万円以上かかった組織は21件で、全体の6割です。業務への影響を聞いた問いでは、有効回答52件のうち9件が「全部の業務が止まった」と答えました。41件は一部の業務に影響が出ています。

長く止まるほど費用も大きい

警察庁は、復旧期間と費用の関係も過去3年分の回答でまとめています。1週間未満で戻った組織では、費用が100万円未満の割合が34%で最も多くなっています。一方、2か月以上かかった組織では、1億円以上が30%を占めました。

止まる日数と復旧費は、一緒に増えていく傾向があります。

入り口はVPN機器が約5割

警察庁によると、被害組織へのアンケートでは、侵入の経路の約5割がVPN機器でした。VPNは、社外から社内のネットワークに安全につなぐための仕組みです。

攻撃者は、更新されていない機器の弱点や漏れたパスワードを使って入り込みます。VPN機器を使っている会社は、機器の更新が最新か、使っていないアカウントが残っていないかを確かめます。

バックアップがあっても戻せないことが多い

同じアンケートでは、有効回答50件のうち44件がバックアップを取っていました。ところが、バックアップから戻せたかを聞いた40件のうち、戻せたのは11件だけです。

戻せなかった29件の理由は、バックアップも暗号化や消去をされたものが14件、運用の不備が8件、その他が7件でした。バックアップを取っていることと、戻せることは別だと分かります。

故障や障害で止まるときも同じ計算が使える

システムが止まる原因は、ランサムウェアだけではありません。サーバーの故障、停電、クラウドサービスの障害、設定の誤りでも止まります。ランサムウェアは、侵入の経路を調べ、安全を確かめてから戻すため、長引きやすくなります。

そのため、試算は原因ごとに日数を変えて何通りか出します。たとえば、機器の故障なら1日、クラウドの障害なら2日、ランサムウェアなら10日と30日、のように置きます。

止まったときの損失は何でできているか

止まったときに出ていくお金は、大きく3つに分けられます。

復旧費の見積もりがない場合は、先に見た警察庁の調査の費用の分布を参考にします。1つの額に決めず、500万円、1,500万円、5,000万円のように幅を持たせて入れます。備えの判断に使いやすくなります。

このほかにも、取引先への補償、個人情報が漏れた場合の通知や問い合わせ窓口、信用の低下による取引の減少などがあります。こうした損失は会社ごとの差が大きく、シミュレーターには入れていません。

シミュレーターの計算の前提

シミュレーターに1日の売上と止まる日数などを入れると、失う売上、人件費、復旧費と、その合計が出ます。計算は次のとおりです。

止まった後に注文が戻ってくる業種では、失う売上は実際より大きく出ます。会社の利益への影響を見たいときは、1日の売上の代わりに1日の粗利を入れます。

1日の売上と人件費の出し方

1日の売上は、年間の売上を営業日の数で割って出します。季節で売上が大きく変わる会社は、繁忙期の月の売上を、その月の営業日で割った額も入れてみます。

1日の人件費は、給与と賞与に、会社が払う社会保険料を足した年間の額を、営業日で割ります。止まっている間も別の仕事ができる人がいれば、その人の分は引きます。

一部の業務だけが止まる場合は、影響を受ける割合をかけます。受注システムだけが止まり売上の4割に響くなら、1日の売上の4割を入れます。

入力例で読み方を確かめる

年間の売上が5億円、営業日が250日の会社で考えます。1日の売上は200万円です。社員25人で年間の人件費が1億2,500万円なら、1日の人件費は50万円になります。

ランサムウェアで10日止まり、調査と復旧に1,500万円かかった場合を入れます。1,500万円は、警察庁の調査で最も多かった1,000万〜5,000万円の範囲から選んだ例です。

例1の損失は4,000万円です。年間の売上の8%にあたります。

例2は、戻せるバックアップがあり3日で業務を再開でき、復旧費も300万円で済んだ場合です。損失は1,050万円で、例1との差は2,950万円になります。

止まる日数を30日にすると、失う売上が6,000万円、人件費が1,500万円になります。復旧費1,500万円を足すと9,000万円で、年間の売上の18%です。自社の年間の利益と並べると、影響の大きさがつかめます。

同じ例1で、1日の売上の代わりに1日の粗利60万円(粗利率30%)を入れると、合計は2,600万円です。売上で見た4,000万円と粗利で見た2,600万円の間に、実際の損失があると考えます。

損失を小さくするのは「止まる日数」

止まる日数を減らす備えは、大きく3つです。

1. 戻せるバックアップを持つ。ふだんはネットワークから切り離した場所にも1つ置く
2. 戻す手順を書き、年に1回は実際に戻してみる
3. 止まったときの連絡先と、紙や手作業で続ける業務を決めておく

2つ目では、どのシステムから先に戻すかの順番も決めておきます。受注や出荷など売上に直結するものを先にすると、1日あたりの損失が早く小さくなります。

3つ目は見落とされがちです。たとえば、受注は電話とメールで受けて紙の伝票に書き、出荷は前日の一覧で続けると決めておきます。止まっている間も、売上の一部を守れます。

IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」を改訂しました。最初に取り組む対策に「バックアップを取ろう!」が加わっています。警察庁の統計のとおり、バックアップが暗号化されて戻せない被害が多いため、取るだけでなく戻せるかを確かめます。

気づいた直後の動き方で、被害の広がりも変わります。最初の1時間にすることは、ランサムウェアに感染したら最初の1時間にまとめています。

経営層に説明するときの文面の例

備えにかける費用は、止まったときの損失と並べると説明しやすくなります。シミュレーターの結果を使った文面の例です。

当社の基幹システムが10日止まると、売上と人件費で2,500万円の損失になる試算です。復旧費を含めると4,000万円前後です。

いまのバックアップは常につながっているため、ランサムウェアでは一緒に暗号化されるおそれがあります。切り離したバックアップと、年1回の戻す訓練を追加し、止まる日数を3日以内にすることを目標にします。

金額は幅で示し、前提にした1日の売上や人件費も一緒に書きます。前提が見えると、経営層が自分で数字を置き換えて考えられます。

今日からできること

まずは1日の損失の額を出すところから始めます。その額が分かれば、バックアップや訓練にかける費用が高いか安いかを、同じ物差しで話せます。