中小M&Aで使えるサイバーセキュリティDDの実務——ランサムウェア時代の最低ライン・脆弱性スキャン・AD管理まで整理します

2024年から2025年にかけて、中小製造業・地方中堅企業を直撃するランサムウェア被害が報道で相次いでいます。サプライチェーン経由で侵入され、生産システムが停止、復旧に数週間〜数ヶ月を要する事例は、もはや珍しくありません。報道で大きく取り上げられる数十億円規模の被害は大手・準大手の事例が中心ですが、中小企業でも生産停止・復旧費用・取引先対応を積み上げると、譲渡対価に対して無視できない金額の損失に膨らむのを筆者は現場で見ています。攻撃者は「中小だから狙われない」のではなく「中小だからセキュリティが手薄で狙いやすい」という構造で標的を選んでいて、企業規模に関係なく被害が広がっています。

こうした状況下で、買収案件の中にも「譲渡実行直後にランサムウェア被害が顕在化した」「過去にインシデントがあったが開示されていなかった」「退職者のアカウントが残存して情報流出していた」といった事例が増えています。買い手としては、買収シナジーが消えるどころか、被害対応コスト・取引先への信用毀損で買収価値が大きく下がる事態に直面することがあります。サイバーセキュリティDDは、もはやIT企業限定の論点ではなく、製造業・物流・サービス業など中小M&Aの広い領域で必要性が増しています。

一方で、フルスケールのサイバーセキュリティDD（外資系コンサル・専門ファームによる包括的調査）は数千万円〜億円規模で、中小M&Aには予算的に過剰です。中小M&Aの予算感で実効性のあるサイバーDDの設計、フル版との線引き、簡易ペネトレ・AD管理・バックアップ・サプライチェーンセキュリティの確認、譲渡実行前後の対応までを、限られた予算で被害を防ぐ順序に並べていきます。

サイバーセキュリティの脅威環境は、ここ数年で構造的に変化しました。中小企業を直撃する典型的な攻撃パターンは、おおむね次のようなものです。

中小企業が直撃されやすい攻撃パターン

最も被害が大きいのはランサムウェア攻撃です。VPN脆弱性・RDP公開・フィッシングなどで侵入され、ファイルが暗号化されて身代金を要求される。生産や業務が止まり、復旧コストがそのままのしかかります。これと地続きなのがサプライチェーン攻撃で、取引先・委託先の脆弱性を経由して侵入され、中小サプライヤーから大手取引先へ横展開されるケースもあります。攻撃は技術的な侵入に限りません。取引先を装った偽メールで送金先変更を依頼し、振込先を偽口座にすり替えるビジネスメール詐欺（BEC）も中小企業を狙います。

内部に起因する経路も見逃せません。退職した従業員のアカウントが残存し、情報漏洩や内部犯行に悪用される退職者アカウント悪用は典型例です。加えて、クラウドサービス（SaaS）の共有設定・公開範囲の誤りで顧客データが外部からアクセス可能になる設定ミス、工場の制御システム・センサー・複合機などのIoT機器・OT機器が侵入経路になるケースも、製造業を中心に増えています。

譲渡実行後にインシデントが顕在化するパターン

M&Aの譲渡実行直後に、過去に潜伏していたサイバーリスクが顕在化することがあります。攻撃者がすでに侵入済みで活動を抑えていたケース、退職者アカウントから情報流出が継続していたケース、譲渡実行に伴う組織変更で従業員のセキュリティ意識が緩んだ隙を狙われるケース——譲渡実行は攻撃者にとっても「混乱しやすいタイミング」として認識されています。

譲渡実行前のサイバーDDで、こうした潜伏リスク・運用の弱点を確認しておくことが、譲渡後の被害顕在化を防ぐ実務的な防御線になります。

サイバーセキュリティDDのフル版は、外資系コンサル・専門ファームが手掛けると数千万円〜億円規模の予算が必要です。中小M&Aの譲渡対価が数億円規模の案件で、フル版を実施するのは予算的に成立しません。一方で、まったくサイバーDDを実施しないと、譲渡実行後の被害顕在化リスクが残ります。

フル版サイバーDDと中小版の比較

中小版で外せない4つの最低ライン

予算を圧縮するなかで、ランサムウェア時代に外せない最低ラインを4つに集約すると、次のようになります。まず外部公開資産の脆弱性スキャンで、VPN・公開Webサーバー・メールサーバー等の既知脆弱性を確認します。次にAD・特権アカウントの確認として、退職者アカウントの残存、特権権限の付与状況、多要素認証の運用を見ます。三つ目はバックアップ運用と復旧体制で、バックアップ頻度・保管先（ネットワーク分離）・直近の復旧テスト実績を押さえる。そして四つ目が過去のインシデント履歴開示——譲渡側から過去のサイバーインシデント・情報漏洩・行政指導を開示してもらう、という4点です。

これら4つは、外注した場合でも中小M&Aの予算で十分対応可能な範囲です。フル版サイバーDDの代替にはなりませんが、ランサムウェア攻撃のリスクが高い領域に絞って優先的に確認することで、最も大きな被害を防ぐ実務的な防御線になります。

サイバーDDの最初のステップは、対象企業の外部公開資産（VPN・公開Webサーバー・メールサーバー・FTPサーバーなど）に対する脆弱性スキャンです。攻撃者が最初に当たる入口の状態を確認することで、即時に対応すべきリスクを洗い出します。

脆弱性スキャンの確認項目

スキャンで最初に当たるのはVPN機器の既知脆弱性で、主要ベンダーの製品で公表されているCVE（共通脆弱性識別子）への対応状況を見ます。次に公開Webサーバーの脆弱性として、Webサーバー・CMSの既知脆弱性やApache/Nginx/IIS等のバージョンを確認する。メールサーバーは、SMTP認証、SPF/DKIM/DMARC、メールリレーの不正利用可能性が論点です。あわせて、インターネット公開されているリモートアクセスポート、すなわちRDP・SSHの公開状況、SSL/TLS証明書の有効期限切れや脆弱な暗号方式の利用も確認します。

技術的なスキャンだけでなく、OSINT（公開情報からの脅威情報）の視点も加えます。過去にダークウェブで漏洩した認証情報がないか、対象企業が攻撃対象として言及されていないか——外から見える兆候を拾うことで、すでに攻撃者の射程に入っている可能性を早めに把握できます。

簡易ペネトレ（侵入テスト）

脆弱性スキャンで発見した脆弱性が、実際に悪用可能かを確認するのが簡易ペネトレです。フル版のRed Team演習と異なり、外部公開資産の限定的な範囲で、既知脆弱性を活用して内部に侵入できるかを検証する設計です。期間は1〜2週間、費用は100〜200万円規模で実施可能なケースもあります。ここで費用感を整理しておくと、中小版の最低ライン4項目（脆弱性スキャン・AD監査・バックアップ確認・履歴開示）だけなら200万〜300万円程度に収まることが多く、簡易ペネトレはその上に乗せるオプションです。スキャンで重大な脆弱性が出て「実際に侵入できるか確かめたい」となった案件でペネトレを追加し、結果として全体が400万〜500万円に近づく——という積み上げが現実的です。最初から全部盛りで500万円を組むより、スキャン結果を見てペネトレの要否を判断する順序を勧めています。

簡易ペネトレで実際に侵入が成功した場合、その経路を譲渡側に開示し、譲渡実行前のパッチ適用・設定変更をクロージング条件として要求できます。譲渡側にとっても、自社のセキュリティ状態を客観的に把握できる機会で、譲渡実行後のインシデント発生リスクを下げる作業になります。

外部からの脆弱性スキャンで見える「攻撃面」と並行して、内部のID・アクセス管理の状態を確認するのが、サイバーDDの第2の柱です。Active Directory（AD）の運用、特権アカウントの付与状況、退職者アカウントの残存、多要素認証（MFA）の運用——これらは中小企業で形骸化しがちな領域です。

ID・アクセス管理のDD観点

まず確認するのは退職者アカウントの残存状況です。過去2〜3年に退職した従業員のADアカウント・SaaSアカウントが削除されているかを突合します。次に特権アカウント（管理者権限）の数として、Domain Admins・Enterprise Adminsなどの数と付与の合理性を見る。システム間連携用のサービスアカウントについては、パスワードの変更頻度と権限が最小化されているかが論点です。あわせて多要素認証（MFA）の運用も押さえます。VPN・SaaS・特権アカウントへのMFA適用状況を確認する。パスワードポリシーは、長さ・複雑さ・有効期限の設定に加えて、パスワード使い回しの実態まで踏み込んで見る必要があります。最後に外部委託・派遣社員の権限管理として、外注先・派遣社員のアクセス権限と契約終了時の削除運用を確認します。

典型的な発見

ID・アクセス管理のDDで実際によく見つかる問題は、おおむね次のパターンです。最も多いのは退職者アカウント残存で、過去3年に退職した5〜10名のアカウントが削除されないまま残っているケースです。次いで特権アカウントの過剰付与——「念のため管理者権限」が10〜20アカウントに付与されている状態がよく見つかります。「admin」「shared_user」など複数人で共用されている共用アカウントも典型例です。MFA未導入も多く、VPN・主要SaaS・特権アカウントにMFAが入っていないまま運用されている。加えて、サービスアカウントのパスワードが固定され、5年以上同じパスワードが使い回されている例も珍しくありません。

これらは、譲渡実行後すぐに対応すべき問題として優先順位を整理し、PMI 100日プランの最優先項目に組み込みます。退職者アカウント削除・MFA導入・特権アカウント整理は、外注しなくても譲渡先のIT担当が対応できる範囲で、譲渡実行直後の3〜4週間で大半を終わらせるのが現実的なスケジュール感です。

ランサムウェア対策で最後の防衛線になるのが、バックアップとBCP（事業継続計画）です。攻撃を受けてシステムが暗号化されても、適切なバックアップが保全されていれば、身代金を払わずに復旧できます。中小M&Aのサイバー DDで、バックアップ運用の実態を確認することは、譲渡後の被害シナリオでの復旧可能性を見極める作業です。

バックアップ運用のDD観点

最初に見るのはバックアップの頻度です。日次・週次・月次の組み合わせと、業務影響を最小化するRTO/RPOの設計を確認します。次にバックアップの保管先として、ネットワーク分離（オフライン・別セグメント）と地理的分散（オフサイト）の有無を見る。ここで指標になるのが3-2-1ルール——3つのコピー・2種類のメディア・1つはオフサイトという原則がどこまで適用されているかです。とりわけ重要なのがバックアップ自体の暗号化耐性で、ランサムウェアが拡散してもバックアップが影響を受けないネットワーク分離になっているかを確かめます。加えて、過去6〜12ヶ月で実際の復旧テストが行われているかという復旧テストの実施履歴、そしてサイバー攻撃を含むBCP（事業継続計画）が文書化され訓練まで実施されているかを押さえます。

過去のインシデント履歴の開示

サイバーDDで譲渡側に開示を求めるべき重要な情報が、過去のインシデント履歴です。マルウェア感染、不正アクセス、情報漏洩、ランサムウェア被害、フィッシング被害、行政指導など、過去3〜5年の出来事を網羅的に開示してもらいます。

開示してもらう中身としては、まず過去のインシデントそのものの内容——発生日、影響範囲、原因、対応経緯、再発防止策です。あわせて、個人情報漏洩時の報告義務に基づく個人情報保護委員会への報告履歴、インシデント発生時の取引先・顧客への通知の有無と内容を確認します。第三者監査・診断の結果として、セキュリティ診断の実施履歴と指摘事項・是正対応も見ておく。そしてサイバーインシデントに起因する係争中の訴訟・損害賠償の有無を押さえます。

過去のインシデント履歴は、譲渡側にとって開示しにくい情報ですが、譲渡実行後に発覚すると表明保証違反として大きなトラブルになります。SPAの表明保証で「過去のサイバーインシデントの網羅的開示」を譲渡側に求め、開示書類（Disclosure Schedule）に記載させる構造で、譲渡実行前の確認を制度化します。

ここがサイバーDD固有の難しさで、財務や法務と違って「隠していても証拠が残りにくい」ため、正面から「過去にインシデントはありましたか」と聞いても「特にない」で終わりがちです。筆者が使うのは、ヒアリングではなく痕跡から逆算する聞き方です。たとえばセキュリティ製品の導入時期を確認して「なぜこの時期にEDRを入れたのか」を尋ねると、その裏に未開示のインシデントが隠れていることがある。サイバー保険の加入・更新時の告知内容、過去の臨時のIT支出、急なパスワード一斉変更の記録なども、開示されていないインシデントの間接的な手がかりになります。「無い」を額面どおり受け取らず、運用の変化点から拾いにいくのが、開示を渋る売り手に対してDDとして効く現実的なやり方です。

サイバーセキュリティのリスクは、自社単独では完結しません。取引先・委託先・利用しているSaaS・クラウドサービスといった、外部接点全体でリスクが発生する構造です。中小M&AのサイバーDDでも、サプライチェーンとSaaS利用の確認は、現代的な必須項目になっています。

サプライチェーン・SaaSのDD観点

まず主要SaaSの利用状況を押さえます。会計・人事・営業・コミュニケーション等で利用しているSaaSの一覧、契約形態、利用権限を整理する。そのうえでSaaSの設定状況として、共有設定・公開範囲・MFAの適用と過去の設定ミス履歴を確認します。外部に目を向けると、主要委託先のセキュリティ対策水準と契約上の情報管理義務を見る外部委託先のセキュリティ、取引先がVPN・専用線で対象企業のシステムにアクセスする経路の有無を見る取引先からのアクセスが論点になります。受発注のEDI・電子取引システムのセキュリティも確認対象です。最後に、SaaSのデータセンターが海外にある場合の越境データ規律対応——個人情報の越境移転を押さえます。

個人情報保護法の遵守状況

個人情報保護法は2022年4月施行の改正以降（出典: 個人情報保護委員会『漏えい等報告・本人への通知の義務化について』2022年）、漏洩時の本人通知・個人情報保護委員会への報告義務、外国にある第三者への提供の規制強化など、運用が厳格化されています。M&AのDDでは、対象企業の個人情報取扱いの実態を確認することが、譲渡後の規制リスクを下げる作業です。

確認の起点になるのは、個人情報保護方針・利用目的の整備、すなわちプライバシーポリシーの内容と実態が整合しているかです。次に第三者提供の管理として、第三者提供記録と本人同意の取得状況を見る。外国にある第三者への提供の遵守状況、いわゆる越境データ移転も論点です。漏洩時の対応体制についても、漏洩発生時の本人通知・委員会報告の体制が整っているかを確認します。加えて、個人情報漏洩の発生履歴と委員会・他省庁からの指導という過去の漏洩・指導履歴を押さえます。

SaaSの利用が広がる現代では、自社のシステムだけでなく、利用しているSaaSの設定ミス・データ越境・サードパーティアクセスが情報漏洩の経路になりえます。中小M&AのサイバーDDで、主要SaaS（おおむね10〜20件程度）の利用状況を網羅的に整理することは、現代的な確認項目として欠かせません。