警察庁が2026年3月に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害企業55件のうち、事業継続計画（BCP）を「策定していなかった」企業は28件・51%にのぼります。「サイバー攻撃を想定に含むBCP」を策定済みの企業はわずか16%（9件）で、多くの企業が被害後に初めて対応手順の不備に気づいている実態が示されています。
調査概要
警察庁が令和7年3月13日（2026年3月13日）に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」の資料編データ（P49）をもとにした分析結果です。対象：ランサムウェア被害企業・団体のうちBCP策定状況を回答した55件。BCP策定状況：サイバー攻撃を想定に含むBCP策定済み9件（16.4%）・サイバー攻撃を想定に含まないBCP策定済み18件（32.7%）・BCP未策定28件（50.9%≒51%）。
ひとことで言うと？
被害企業の半数はBCPを持っていませんでした。さらに深刻なのは、BCPを策定していた27件のうちサイバー攻撃を「想定に含んでいた」のは9件（33%）のみで、残りはBCPがあっても「ランサムウェア対応手順」がなかったケースです。ランサムウェアは業務を数週間単位で停止させる「最悪のBCPイベント」であるにもかかわらず、多くの企業のBCPが地震・火災などの物理的災害のみを想定しています。「サイバー攻撃版BCP（Cyber BCP）」の整備が急務です。
インパクトデータ：BCP未策定51%・サイバー対応BCP策定はわずか16%（令和6年・警察庁）
警察庁の資料によると、被害企業55件のうち51%（28件）がBCP未策定で、サイバー攻撃を想定に含むBCPを策定していたのは16%（9件）のみでした。ランサムウェア被害後の業務影響を見ると、被害企業140件のうち81%（114件）が「一部の業務に影響が出た」と回答しており（P49_1）、10%（14件）は全業務が停止しています。BCPがあれば「誰が意思決定するか」「外部への連絡先はどこか」「業務優先順位はどうするか」が事前に定まり、復旧時間を短縮できます。
このデータをプレゼンで使うには？
①誰に向けて話すか②次のスライドで何を話すか、を入力するだけで、このインパクトデータを使ったプレゼン冒頭のトークスクリプトを生成AIに作ってもらうためのプロンプトが自動生成されます。生成されたプロンプトをそのままChatGPTやClaudeなどに貼り付けてください。
よくある質問
Q. サイバー攻撃を想定したBCPには何を盛り込むべきですか？
A. 「サイバー版BCP（Cyber BCP）」に盛り込むべき主な項目は①インシデント発生の判断基準と初動対応手順（システム停止・ネットワーク遮断のタイミング）、②緊急時の連絡体制（社内外の報告ライン・取引先への連絡手順・報道対応窓口）、③業務の優先順位付け（停止できる業務・継続必須の業務の分類）、④外部支援の連絡先リスト（セキュリティベンダー・フォレンジック会社・弁護士・保険会社）、⑤業務継続のための代替手段（紙・電話・別システムへの切り替え）の5点です。IPAが「サイバーセキュリティ経営ガイドライン」でひな形を提供しています。
Q. BCPを初めて策定する企業はどこから始めればよいですか？
A. 最初のステップは①「どの業務が止まると最も困るか」のリスト化（業務影響分析）から始めます。次に②「各業務のシステム依存度」を確認し（クラウド・オンプレミス・紙代替可能か）、③「停止許容時間（RTO）と許容データ損失量（RPO）」を経営レベルで定義します。その後④対応手順書・連絡先リストを作成し、⑤年1回以上の訓練（テーブルトップ演習・シナリオ演習）で実効性を確認します。中小企業は全部一度にやろうとせず、「①重要業務の特定→④連絡先リストの作成」の2ステップから始めることが現実的です。
Q. このデータはどこから取得できますか？
A. 警察庁が令和7年3月13日（2026年3月）に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」の資料編P49から取得できます。CSVデータはR06_jousei_data_P49_3.csv（被害企業・団体等における事業継続計画（BCP）の策定状況）として警察庁のサイバーセキュリティ統計ページで公開されています。
本記事のグラフ・数値・データ表は、出典として本記事へのリンク（「出典：DataSlide」＋記事URL）を明記いただければ、ブログ・資料・SNS等で自由に転載いただけます。事前連絡は不要です。
