会社が止まるのは、工場が止まる時ではない─ニチレイのサイバー攻撃が示した「情報が止まる経営リスク」【診断ノート】

冷凍食品大手のニチレイでサイバー攻撃によるシステム障害が発生し、冷蔵倉庫からの出庫や冷凍食品の出荷など、幅広い業務に影響が出ました。

さらに、身代金要求型ウイルス「ランサムウェア」を使った攻撃で知られるハッカー集団が犯行声明を出し、一部の内部データを盗んだと主張しています。

このニュースを見て、「サイバー攻撃は怖い」「セキュリティー対策を強化しなければならない」と感じた方も多いのではないでしょうか。

もちろん、それは重要な視点です。

しかし、今回の出来事を経営という視点から考えると、もう一つ見逃せない問題があります。

ニチレイの工場や倉庫が、物理的にすべて使えなくなったわけではありません。
冷凍食品そのものが、突然なくなったわけでもありません。

それでも、商品の出庫や出荷といった企業活動が大きく止まりました。
その理由は、商品、注文、在庫、倉庫、配送をつないでいた情報の流れが止まったからです。

現代の会社は、工場や店舗、商品、車両といった目に見える資産だけでは動いていません。

・どの商品を、どれだけ、いつ、どこへ届けるのか
・誰から注文を受け、在庫がどこにあり、どの順番で処理するのか

こうした情報が人や設備をつなぐことで、初めて仕事が動いています。

つまり、これからの経営では、会社が止まる原因を「機械の故障」や「災害」だけで考えることはできません。

設備が動いていても、情報が止まれば会社は止まる。

そして、効率化やシステム化が進んだ会社ほど、一つの情報システムの停止が、受注、在庫、出荷、請求、顧客対応へと広がりやすくなっています。

今回の記事では、ニチレイへのサイバー攻撃を単なるセキュリティー事故として見るのではなく、企業活動の中心がどこにあるのか、そしてシステムが止まったときに何を守るべきなのかという視点から考えていきます。

守るべきなのは、パソコンやデータだけではありません。
情報が止まっても、会社の大切な機能まで止めないための経営設計が求められているのです。

ニチレイのサイバー攻撃障害から学ぶ！一社のシステム停止が及ぼす経営リスク

2026年7月13日、ニチレイグループで不正アクセスによるシステム障害が発生しました。
この影響により、同社の事業を支えるさまざまな業務に支障が出ました。

• 冷蔵倉庫における商品の入出庫
• 冷凍食品の出荷
• 取引先への商品供給

ニチレイは、被害の拡大を防ぐために対象となるシステムを遮断し、緊急対策本部を設置しました。
さらに、外部のセキュリティー専門会社の支援を受けながら、被害範囲の確認やシステムの安全確認、業務の復旧を進めています。

サイバー攻撃と聞くと、パソコンの画面が使えなくなったり、社内のデータが閲覧できなくなったりする状況を想像するかもしれません。
しかし、今回止まったのは、社内の事務作業だけではありませんでした。

在庫がどこにあるのか。
どの商品を、どの取引先へ、いつ出荷するのか。
その情報を確認し、倉庫や配送へ指示を出す仕組みが影響を受けたことで、現物の商品を動かす業務にも支障が生じました。

そして、その影響はニチレイ一社の中だけにはとどまりません。
ニチレイの商品や物流機能を利用している外食企業や小売企業では、商品が予定どおり届かないことによって、品切れや販売メニューの制限、営業時間の短縮などにつながる可能性が生じました。

つまり、一社のシステム障害が、その会社の取引先や店舗、さらにその先にいる消費者へと連鎖していったのです。

これは、単に「ニチレイがサイバー攻撃を受けた」という話ではありません。

一社の情報システムが止まることで、複数の会社の店舗運営や顧客サービスまで止まり得る。

今回の出来事は、企業同士が情報と物流によって深くつながっている現在の事業構造を、あらためて浮かび上がらせました。

ここで注目したいのは、攻撃の手口だけではありません。

なぜ一つのシステム障害が、倉庫、出荷、店舗、そして消費者まで巻き込む大きな問題になったのか。

その構造を考えると、現代の会社が何によって動いているのかが見えてきます。

工場は無事でも出荷不能？「情報の停止」が事業を止める真のメカニズム

冷凍食品を出荷するためには、商品が倉庫に保管されているだけでは足りません。
実際に商品を動かすには、さまざまな情報が必要です。

• どの商品を出荷するのか
• どれだけの数量を用意するのか
• どの取引先へ届けるのか
• いつ出荷するのか
• どの在庫を引き当てるのか
• どの車両や配送経路を使うのか

こうした情報が正しくつながり、倉庫や配送の現場へ伝わることで、初めて現物の商品が動きます。
商品そのものが存在していても、何を、どこへ、どの順番で動かせばよいのかが分からなければ、出荷することはできません。

つまり、現代の企業活動では、モノが情報に従って動いているともいえます。

以前、会社が止まる原因として想像されやすかったのは、目に見える問題でした。

• 工場の火災
• 機械の故障
• 停電
• 地震や水害などの災害
• 原材料の不足

こうした出来事が起きれば、設備を動かせなくなり、生産や出荷が止まります。

しかし現在は、工場や倉庫が物理的に無事であっても、情報の流れが止まるだけで事業が動かなくなります。

• 受注情報を確認できない
• 現在の在庫数や保管場所が分からない
• 倉庫へ出荷指示を出せない
• 顧客情報や取引履歴にアクセスできない
• 社内で連絡や承認を進められない

このような状態では、設備が動かせる状態であっても、現場は何をすればよいのか判断できません。

仮に担当者の経験や記憶を頼りに一部の業務を進めようとしても、在庫の重複出荷や誤配送、請求の間違いなど、新たな問題が生じるおそれがあります。
そのため、情報を確認できない状態では、安全性や正確性を優先して、業務そのものを止めざるを得ない場合があります。

ここに、現代の企業が抱える新しい経営リスクがあります。

現代の会社は、設備の上に立っているのではなく、設備と人をつなぐ情報の上に立っています。

工場、店舗、倉庫、車両、商品といった目に見える資産は、もちろん事業に欠かせません。
しかし、それらが単独で利益を生み出しているわけではありません。

注文を受け、在庫を確認し、人や設備へ指示を出し、商品を顧客へ届ける。
その一連の流れをつないでいる情報があって、初めてそれぞれの資産が事業として機能します。

だからこそ、会社の重要資産を考えるときには、建物や機械、商品だけを見るのでは不十分です。

それらを動かす情報と、その情報を正しく扱い続ける仕組みもまた、事業を支える中核資産なのです。

設備が動いていても、情報が止まれば会社は止まります。

もし自社でも、「どこが止まると本当に事業が止まるのか」を整理できていないと感じたなら、一度立ち止まって考えてみる価値があるかもしれません。

価値の伝え方を整理してみる

DX・効率化の落とし穴！「単一システムへの依存」が招く全社停止リスク

企業がシステムを導入することで、業務は大きく効率化されます。

• 在庫をリアルタイムで把握できる
• 受注と出荷を自動で連携できる
• 人手による転記や確認作業を減らせる
• 複数の拠点を一つの画面で管理できる
• 少ない人数で大量の業務を処理できる

これは、企業にとって大きな経営上の進歩です。
処理速度が上がり、ミスが減り、人がより重要な仕事に時間を使えるようになります。
また、拠点ごとに分かれていた情報が一つにつながることで、経営者も全体の状況を把握しやすくなります。

しかし、その一方で見落とされやすいことがあります。

効率化が進むほど、会社は一つの仕組みに依存するようになるということです。

以前は、各拠点や担当者がそれぞれ個別に処理していた仕事も、現在では共通のシステムを通して動くようになっています。
平常時には、その方が速く、正確で、無駄もありません。

けれども、その中心となるシステムが止まれば、複数の業務が同時に影響を受けます。

つまり、以前は局所的だった問題が、システムの集約によって全社的な問題へ広がりやすくなっています。

これは、DXやシステム化が悪いという話ではありません。
むしろ、事業を成長させ、人手不足に対応し、限られた経営資源を有効に使うためには、効率化は欠かせません。

ただし、経営者はその成果を「作業時間が減った」「人員を削減できた」「処理件数が増えた」という面だけで評価してはいけません。

同時に見なければならないのは、その効率が、どの一点に依存して成立しているのかということです。

一つのシステムに在庫、受注、出荷、請求、顧客情報が集まっているのであれば、そのシステムは単なる便利な道具ではありません。
会社全体を動かす中枢になっています。

そして、中枢である以上、止まったときの影響も大きくなります。

効率化とは、仕事を速くすることであると同時に、仕事を一つの仕組みに依存させることでもあります。

だからこそ、効率化を進めるときには、便利さだけではなく、依存の集中にも目を向ける必要があります。

・その仕組みが止まったら、どこまで影響が広がるのか
・代わりに動かせる方法はあるのか
・どの業務だけでも残すべきなのか

こうした視点を持って、初めて効率化は経営の強みになります。
必要なのは、効率化をやめることではありません。

効率化によって生まれた新しい依存関係を、経営者自身が認識しておくことなのです。

サイバー攻撃の恐怖は「情報漏えい」だけじゃない！業務停止による莫大な損失

サイバー攻撃と聞くと、多くの方が最初に思い浮かべるのは、情報漏えいではないでしょうか。

• 顧客情報が漏れる
• 個人情報を盗まれる
• 身代金を要求される

もちろん、これらは企業にとって重大な問題です。
しかし、今回のニチレイの事例から見えてきたのは、それだけではありません。

情報を盗まれる前に、業務が止まるだけで企業は大きな損失を受けるということです。

たとえデータが外部へ流出していなかったとしても、受注や出荷、在庫管理などの業務が止まれば、会社は通常どおり事業を続けることができません。

サイバー攻撃による損失は、決して一つではなく、さまざまな形で企業へ広がっていきます。

① 直接的な損失

• システム復旧費用
• 原因調査費用
• 外部の専門会社への依頼費用
• システムの再構築や再設定にかかる費用
• 法的対応や顧客対応に必要な費用

目に見えやすいのは、こうした支出です。しかし、実際にはこれだけでは終わりません。

② 業務停止による損失

• 商品を出荷できない
• 売上を計上できない
• 商品が欠品する
• 従業員が通常業務を進められない
• 取引先が営業や販売を制限せざるを得なくなる

設備や商品が無事であっても、情報が止まれば企業活動そのものが止まります。その結果、本来得られるはずだった売上や利益まで失われていきます。

③ 将来的な損失

• 取引先からの信頼低下
• 顧客離れ
• 取引条件の見直し
• 新規取引への影響
• ブランドイメージの低下

こうした影響は、システムが復旧した後も残る可能性があります。

つまり、サイバー攻撃による損失は、一時的な復旧費用だけでは測れないのです。

さらに、もう一つ重要な視点があります。
それは、自社だけ対策していれば十分とは限らないということです。

企業活動は、自社だけで完結しているわけではありません。
仕入先、物流会社、委託先、システムベンダーなど、多くの企業と連携しながら成り立っています。

そのため、自社が十分なセキュリティー対策を講じていても、依存している企業のシステムが止まれば、自社の事業まで止まる可能性があります。

今回のニチレイの事例でも、物流機能の停止によって、多くの取引先や小売店、外食企業へ影響が広がりました。
つまり、サイバーリスクは一社だけの問題ではなく、取引先全体へ連鎖するリスクでもあります。

自社が攻撃されなければ安全なのではありません。自社が依存している誰かが止まるだけでも、事業は止まります。

だからこそ、サイバーリスクを「情報システム部門の仕事」と考えるだけでは十分ではありません。
仕入れ、生産、販売、物流、顧客対応など、企業活動全体がどのようにつながっているのかを見直すことが、これからの経営には求められています。

中小企業のBCP対策は「完全防御」を目指すな！非常時の事業継続力（レジリエンス）の育て方

ここまでの話を読むと、「では、中小企業も大企業と同じように、高額なセキュリティー対策を導入しなければならないのか」と感じるかもしれません。

しかし、現実には人員も予算も限られています。
大企業と同じ規模のシステム投資や、専門人材の配置をそのまま再現することは、多くの中小企業にとって簡単ではありません。

また、どれほど対策を重ねても、サイバー攻撃やシステム障害の可能性を完全にゼロにすることは困難です。

だからこそ、経営者が持つ問いを少し変える必要があります。

たとえば、中小企業で販売管理システムが止まったとします。
そのとき、確認すべきなのはシステムの復旧時間だけではありません。

• 顧客からの注文を受け付けられるか
• 過去の受注内容を確認できるか
• 現在の在庫数を把握できるか
• 顧客へ納期を回答できるか
• 請求書を発行できるか
• 取引先へ状況を連絡できるか

こうした業務のうち、どこまでなら別の方法で続けられるのかを考えておくことが重要です。

もちろん、平常時とまったく同じ量、同じ速さ、同じ精度で業務を続けることは難しいかもしれません。
しかし、すべてが通常どおりでなければならないわけではありません。

たとえば、次のような対応が考えられます。

• 重要顧客からの注文だけを電話で受け付ける
• 出荷する商品や数量を限定する
• 紙や表計算ソフトを使って一時的に受注内容を管理する
• 代替拠点から最低限の商品を出荷する
• 復旧するまで新規注文の受付件数を制限する

こうした方法では、通常時の100％の業務を維持することはできません。
それでも、重要な顧客との取引をつなぎ、必要な商品を届け、事業の完全停止を避けることはできます。

ここで大切なのは、非常時にも普段どおりの業務をすべて再現しようとしないことです。

守るべきなのは、平常時の業務を完全に再現することではありません。非常時にも失ってはいけない業務を残すことです。

・どの顧客との取引を優先するのか
・どの商品やサービスだけは止めてはいけないのか
・どの業務なら数日待ってもらえるのか
・どの仕事は、システムを使わずに一時的に続けられるのか

こうした優先順位を事前に考えておけば、障害が起きたときにも、限られた人員と情報の中で判断しやすくなります。

セキュリティー対策は、もちろん必要です。
しかし、入口を守る対策だけでは十分ではありません。

万一止まったときに、何を残し、どのように事業をつなぐのかという事業継続の設計も、同時に必要なのです。

会社を止めるリスクを「設備」だけで考えていませんか

この記事を読んで、
「うちもシステムが止まったら仕事が止まるかもしれない」
と感じた方も多いのではないでしょうか。

問題は、システムそのものではなく、
会社の重要な業務が、どこに依存しているのかが整理されていないことです。

情報が止まる経営リスクについて相談してみる

下のフォームは、「メールアドレス」と「お名前」「一言」だけで送れます。
相談内容は、まだまとまっていなくて大丈夫です。たとえば、こんな一文で十分です。

• 「システムが止まったら、どこまで事業が止まるのか整理したい」
• 「BCPを考えたいが、何から手を付ければいいか分からない」
• 「自社が依存している仕組みや業務を一度見直したい」

※営業電話はいたしません。まずは状況の整理からご一緒します。
ソング中小企業診断士事務所
井村淳也が直接お話を伺います。

データ保存だけでは復旧できない！「手順・人・取引経路」を含めた真のバックアップ

「バックアップ」という言葉を聞くと、多くの方はデータの複製を思い浮かべるのではないでしょうか。

確かに、顧客情報や受注データ、会計データなどを失わないように保存しておくことは非常に重要です。
しかし、それだけで会社は元どおり動き出せるでしょうか。

たとえデータが無事に保存されていたとしても、

• 復旧方法が分からない
• 操作できる担当者が一人しかいない
• 代わりに使える端末がない
• 顧客へ連絡する手段が確保できない
• 手作業で業務を続ける方法が決まっていない

このような状態では、データそのものは残っていても、仕事を再開することはできません。

だからこそ、バックアップはデータだけを対象に考えるのではなく、会社の機能全体へ広げて考える必要があります。

① データのバックアップ

顧客情報、受注情報、在庫情報、契約書、会計データなど、事業に必要な情報を復旧できる状態にしておくことです。定期的なバックアップや、別の場所への保管などが基本になります。

② 手順のバックアップ

システムが使えなくなった場合、誰が、何を、どの順番で行うのかを事前に決めておきます。代替業務の手順が明文化されていれば、慌てることなく最低限の業務を続けやすくなります。

③ 人のバックアップ

一人しか分からない業務を減らし、複数の人が判断・実行できる体制をつくることも重要です。担当者が不在になっただけで仕事が止まる状態は、システム障害と同じくらい大きなリスクになり得ます。

④ 取引経路のバックアップ

仕入先、物流会社、通信手段、決済方法などを一社・一経路だけに依存しないことも重要です。代替手段を検討しておくことで、一つの障害が事業全体の停止につながるリスクを抑えられます。

バックアップ対象	平常時の備え	停止時に守れるもの
データ	複製・分離保存	顧客・受注・在庫情報
手順	代替業務の明文化	最低限の業務継続
人	複数人への共有	属人化による業務停止の回避
取引経路	代替先の確保	仕入れ・配送・決済の継続

このように考えると、「バックアップ」はファイルをコピーする作業だけではありません。

データを戻せることと、仕事を再開できることは同じではありません。

本当に重要なのは、システムが止まっても、会社として必要最低限の機能を維持できることです。
そのためには、データだけでなく、人、手順、取引先とのつながりまで含めて備えておく必要があります。

真のバックアップとは、ファイルのコピーを残すことではありません。

会社の機能を、別の方法でも動かせる状態をつくること。
それが、これからの時代に求められる事業継続の備えなのです。

中小企業診断士の視点｜システム障害時に経営者が最優先で判断すべき「復旧順位」

システム障害やサイバー攻撃が発生したとき、すべての業務を同時に復旧することはできません。
人員にも時間にも限りがあり、システムごとに復旧の難しさも異なります。

そのため、障害が起きてから「できるところから戻す」のではなく、あらかじめ何を優先して戻すのかを決めておく必要があります。

ここで重要なのは、その判断をIT担当者や外部の専門会社だけに任せないことです。

システムを技術的に復旧するのは専門家の役割です。
しかし、どの業務を最初に動かし、どの業務を後回しにするのかは、会社全体を見なければ決められません。
だからこそ、復旧の優先順位は経営者が整理する必要があります。

① 止まると最も大きな影響が出る仕事は何か

最初に考えたいのは、どの業務が止まると最も大きな影響が出るのかということです。
このとき、売上の大きさだけで判断してはいけません。

• 人命や安全に関わるか
• 顧客へ大きな不利益が生じるか
• 取引先の事業まで止めてしまうか
• 法的な責任や契約上の問題が生じるか
• 会社の信用に大きな影響を与えるか

たとえば、売上規模は小さくても、安全や法令に関わる業務であれば優先度は高くなります。
一方で、売上が大きい業務でも、数日待ってもらえるのであれば、より緊急性の高い業務を先に戻す判断も必要です。

経営者には、金額だけではなく、事業全体への影響を見て優先順位を決める視点が求められます。

② どれくらいの時間なら止められるか

次に、それぞれの業務をどれくらいの時間なら止められるのかを整理します。
業務によって、許容できる停止時間は異なります。

• 数時間止まるだけでも大きな問題になる業務
• 1日程度であれば待ってもらえる業務
• 数日後の復旧でも事業への影響が小さい業務

こうして分けておけば、障害発生時にすべてを同時に戻そうとして、現場が混乱することを避けられます。
また、重要な業務ほど、代替手段や緊急時の対応手順を優先して整えるべきだということも見えてきます。

何を先に戻すかを考えるには、まず何時間、何日までなら止められるのかを明確にすることが必要です。

③ どこまでの水準なら最低限継続できるか

非常時に、通常時の100％を目指す必要はありません。
むしろ、限られた人員や情報の中で、最低限どこまでなら事業を続けられるのかを決めておくことが大切です。

• 取り扱う商品数を絞る
• 対応する顧客を限定する
• 1日に処理する件数を減らす
• 一部の業務を手作業へ切り替える

たとえば、通常は100件の注文を処理している会社でも、障害時には重要顧客の20件だけを受け付けるという方法があります。
すべてを守ろうとするのではなく、会社にとって失ってはいけない取引や機能を残すことが重要です。

最低限の継続水準が決まっていれば、現場も何を優先すべきか判断しやすくなります。

IT担当者や外部の専門会社は、システムの原因を調べ、安全を確認し、技術的な復旧を進めます。
しかし、

・何を優先して復旧するのか
・どの顧客との取引を先に守るのか
・どこまでの損失を受け入れるのか
・どの業務を一時的に停止するのか

こうした判断は、技術だけでは決められません。
会社の方針、顧客との関係、資金繰り、信用への影響まで含めて考える必要があるからです。

復旧とは技術の問題ですが、復旧の順番は経営判断です。

サイバー攻撃への備えというと、セキュリティーソフトの導入やパスワード管理、データのバックアップが注目されがちです。
もちろん、それらも欠かせません。

しかし、経営者が最初に取り組むべきことは、自社にとって本当に止めてはいけない仕事を明確にすることです。
何を守るのかが決まっていなければ、どれほど対策を導入しても、非常時の判断はできません。

サイバー攻撃への備えは、システムを守ることだけではなく、会社として何を最初に守るのかを決めることから始まるのです。

まとめ｜「システムを止めない」ではなく「情報が止まっても事業を止めない」経営設計を

今回のニチレイの事例で止まったのは、商品を作る力そのものではありませんでした。
工場や倉庫がすべて失われたわけでもなく、商品そのものが突然なくなったわけでもありません。

それでも、出荷や商品供給といった企業活動に大きな影響が出ました。
その理由は、商品、在庫、注文、倉庫、配送をつないでいた情報が機能しなくなったからです。

現代の企業は、

• 人
• モノ
• お金

だけで動いているわけではありません。

誰が、何を、いつ、どこへ、どのように動かすのか。
こうした情報が人や設備をつなぐことで、初めて事業として機能します。

つまり、情報は単なる記録ではありません。
会社を実際に動かすための経営資産です。

だからこそ、システム障害はIT部門だけの問題ではありません。
受注が止まり、在庫が分からなくなり、出荷できず、顧客へ連絡できなくなれば、会社全体の活動が止まります。
それは、経営そのものが止まるということです。

もちろん、サイバー攻撃を防ぐための対策は欠かせません。
しかし、どれほど対策を重ねても、攻撃や障害の可能性を完全にゼロにすることは困難です。

一方で、止まったときに何を守るのかは、あらかじめ決めることができます。

・どの業務を最優先で戻すのか
・どの顧客との取引を残すのか
・どこまでなら手作業で続けられるのか
・誰が代わりに判断し、どの取引先へ連絡するのか

こうしたことを平常時から考えておけば、障害が起きたときにも、会社の機能をすべて失わずに済みます。

これからの事業継続で大切なのは、システムを一度も止めないことではありません。
情報が止まっても、会社の大切な機能まで止めないことです。

セキュリティーソフトを導入する。
データをバックアップする。
それだけでなく、人、手順、取引先とのつながりまで含めて、別の方法でも事業を動かせる状態をつくる。

そこまで考えて初めて、会社を守るための備えになります。

会社を守るとは、すべてを止めないことではありません。止まっても、もう一度動き出せる会社にしておくことなのです。

今回のニュースは、サイバー攻撃そのものだけではなく、
「会社は何によって動いているのか」を見直すきっかけでもあります。

自社ではどの情報や業務が止まると、本当に事業が止まってしまうのか。
その構造を整理することが、これからの備えにつながります。

価値の伝え方を整理してみる