震度7が問う「あなたの会社のBCPは、サイバー攻撃にも対応していますか？」― 令和8年熊本地震とIT-BCPの盲点
サイバーレジリエンス地震もサイバー攻撃も、事業を止める脅威の本質は同じです。
「うちのBCPは自然災害しか想定していない」という方へ、今すぐIT-BCP統合の第一歩をご一緒します。
2026年7月29日（水）｜7月特別号
震度7が問う
「あなたの会社のBCPは、サイバー攻撃にも対応していますか？」
2026年7月28日16時27分、熊本県宇城市氷川町を震源とするM7.1・最大震度7の地震が発生した。停電約3万6千戸、断水、イオンモール熊本爆発・閉じ込め、日本製紙八代工場での被害……。被災された方々への深いお見舞いを申し上げると同時に、私たちはこの惨事を目の前にして、一つの問いを持たざるを得ない。
「停電・断水・物流停止・通信障害 ― これはサイバー攻撃でも、全く同じことが起きている。」
7月に続いたサイバーインシデント（アフラック、バンダイチャンネル、ニチレイ/KFC、RansomHouse）の教訓と、今回の震災が突きつける課題は根本的に同じだ。本記事では「地震BCP」と「IT-BCP（サイバー攻撃BCP）」を統合して考える視点を提示する。
🗒️ この記事の3行まとめ
- 震度7の熊本地震が発生。停電・断水・物流停止が企業活動を直撃し、「事業停止は自然災害だけではない」ことを再認識させた。
- 停電・拠点損壊・通信障害・物流寸断は、ランサムウェアやサプライチェーン攻撃でも全く同じ被害が発生している。地震BCPとIT-BCPは、もはや別物ではない。
- 「自然災害のBCPはある、でもサイバー攻撃は別」という企業こそ、今すぐ統合BCPを点検する絶好のタイミングだ。
🕐 令和8年熊本地震：発生から現在までのタイムライン
7月28日（火）16:27
M7.1・最大震度7の地震発生
震源：熊本県宇城市氷川町、深さ約20km。九州の広い範囲に強い揺れ。有明・八代海に津波注意報（後に解除）。
7月28日（火）18:00頃
イオンモール熊本で爆発・複数名が閉じ込め
熊本県嘉島町のイオンモール熊本で爆発が発生。消防・警察・自衛隊が夜通し捜索活動を実施。警察庁が内部映像を公開。
7月28日（火）夜
日本製紙八代工場で心肺停止2名・不明7名
熊本県八代市の日本製紙工場で煙突が折れ崩落。周辺に救急車・消防車が約20台出動し夜を徹した捜索活動。
7月28日（火）〜翌日
熊本県内約3万6千戸が停電・広域断水
九州電力が停電情報を発表。熊本市・八代市・宇城市・宇土市・氷川町・益城町・嘉島町・甲佐町・芦北町で断水。給水所を設置。
7月28日（火）夜
高市首相が会見「人命第一で全力対応」
関係省庁に早急な被害状況把握・地方自治体との連携・救命救助最優先を指示。内閣府調査チームを派遣。
7月29日（水）以降
救助活動・被害全容の把握が継続中
政府・自治体が被害状況を確認中。今後1週間程度は同規模地震への注意を呼びかけ。
🔍 「地震」と「サイバー攻撃」― 事業への影響は驚くほど似ている
今回の熊本地震で起きたことと、この7月に発生したサイバーインシデントを並べると、企業への被害構造が酷似していることに気づく。
| 被害カテゴリ | 🗾 令和8年熊本地震（7/28） | 💻 7月のサイバーインシデント |
|---|---|---|
| 電力・システム停止 | 広域停電。工場・商業施設・病院が機能停止共通 | ランサムウェアでシステム全停止（ニチレイ・アスクル）。復旧に数ヶ月 |
| 物流・サプライチェーン | 道路損壊・橋崩落で物流断絶。食料・医薬品の配送困難共通 | ニチレイ冷凍物流停止でKFC全1,200店舗・5,000社超が影響 |
| 通信・情報収集 | 停電による基地局停止。被害状況の把握に遅れ共通 | 攻撃検知の遅れ（アフラック：10日間気づかず）。社内外への情報連絡困難 |
| 委託先・拠点の被害 | 委託先工場・倉庫が被災。自社と無関係に操業停止共通 | 自社は無被害でも委託先が攻撃される（サプライチェーン攻撃） |
| 顧客サービス停止 | イオンモール・店舗が閉鎖。顧客対応不能共通 | ECサイト・デリバリー・アプリ発注が全停止（バンダイチャンネル・アスクル） |
| 復旧の長期化 | 断水・停電の復旧に数日〜数週間を要する想定共通 | アサヒGHD：190日かけて物流正常化。アスクル：数ヶ月の操業停止 |
💡 重要な気づき：BCPは「統合」して初めて機能する
多くの企業が「地震対策のBCPはある」と回答する一方、日本企業のBCP策定率は約2割にとどまる（各種調査）。さらに策定済みの企業でも、「自然災害専用で、サイバー攻撃を想定していない」ケースが大多数だ。しかし上表の通り、事業への打撃はほぼ同一構造。地震BCPとIT-BCPを統合しない限り、「BCPがある」とは言い切れない。
⚠️ 企業BCPに潜む3つの盲点
-
1「自然災害BCP」と「IT-BCP」が別々のサイロで管理されている総務部が地震BCPを、情報システム部がITバックアップ計画を、それぞれ独立して管理しているケースが大半だ。しかし今回の熊本地震でも、ニチレイ攻撃でも、最初に止まるのは「電力・通信・物流」という共通のインフラ。部門をまたがった統合対応訓練なしには、いざというとき誰も動けない。
-
2委託先・サプライヤーのBCPが自社計画に含まれていないニチレイへの攻撃でKFCが止まったように、委託先のBCP不備は自社の事業停止に直結する。地震でも、物流委託先・クラウドデータセンター・SaaSベンダーが被災すれば同じことが起きる。自社のBCPに「主要委託先のBCPを確認する」ステップがなければ、それはBCPと呼べない。
-
3「発生後の対応」しか書かれておらず、「発生中のサイバー攻撃防御」が抜けている地震BCPは「発生後の復旧手順」が中心だが、サイバー攻撃は発生中も攻撃が継続している。ランサムウェアは感染拡大が止まるまで、RansomHouseはデータ公開の脅迫を続ける。「検知→封じ込め→復旧→再発防止」というインシデントレスポンス（IR）の4フェーズが、通常のBCPには存在しないことが多い。
🛡️ 今すぐ始める「統合BCP」アプローチ
地震もサイバー攻撃も、根本的な対処法は同じ構造を持つ。以下の5ステップで「統合BCP」の骨格を作ることができる。
🏗️ 統合BCP 5ステップ
-
リスクの棚卸し（地震・サイバーを同一フォーマットで）「停電したら何が止まるか」「委託先がサイバー攻撃を受けたら何が止まるか」を同じ表に書き出す。シナリオを統一することで対策の重複と漏れを可視化できる。
-
重要業務の優先順位付け（RTO / RPO の設定）Recovery Time Objective（目標復旧時間）とRecovery Point Objective（目標復旧地点）を全業務に設定する。地震でもサイバー攻撃でも「何を先に復旧するか」の優先順位は同じだ。
-
委託先のBCP・セキュリティ評価を契約に組み込む主要委託先に「地震BCP策定状況」と「サイバー攻撃対応手順」の双方を確認するアンケートを送付。SLAにインシデント通知義務（例：2時間以内）を明記する。
-
インシデントレスポンス（IR）手順を地震BCPに統合する「地震発生時の緊急連絡ツリー」と「サイバー攻撃発生時のエスカレーションフロー」を一本化する。担当者・連絡先・意思決定者を統一フォーマットで明記。
-
年1回の「統合BCP訓練」を実施する地震シナリオとランサムウェアシナリオを組み合わせた訓練を実施する。「地震で停電中にランサムウェア攻撃を受けた」という複合シナリオが最もリアルな備えになる。
❓ 今すぐ確認してほしい3つの問い
-
自社のBCPに「委託先がサイバー攻撃を受けた場合」のシナリオは含まれていますか？
KFCはニチレイが攻撃されただけで全店舗が止まった。「自社は大丈夫」では不十分。 -
停電時、クラウドサービス・社内システムは何時間で止まりますか？ UPSの設計を確認しましたか？
今回の熊本地震では広域停電が発生。データセンターの非常用電源が何時間持つか把握していますか？ -
インシデント発生時の「第一通報先」と「意思決定者」は全社員が知っていますか？
地震でもサイバー攻撃でも、初動の連絡体制が整っていない組織は被害が拡大する。最後に訓練したのはいつですか？
✅ 今週やるべき3つのアクション
-
自社BCPを開いて「サイバー攻撃」という言葉を検索するまず現状を知ることが全ての出発点。「サイバー攻撃」「ランサムウェア」「不正アクセス」という文言がBCPに1回も登場しない企業は、今すぐ改訂が必要だ。BCPが存在しない場合は、A4一枚の「緊急時連絡先・最重要業務リスト・復旧優先順位」から始めてよい。🎯 今日中に
-
主要委託先3社に「サイバーインシデント発生時の通知手順」を確認するニチレイ→KFCの事例が示す通り、委託先のセキュリティは自社のリスクだ。まず上位3社の取引先に「御社でサイバー攻撃が発生した場合、当社への通知は何時間以内ですか？」と確認するだけでよい。契約書に記載がなければ、次の更新時に必ず盛り込む。📅 今週中に
-
「停電＋システム停止」シナリオで業務影響の洗い出しを行う今回の熊本地震を「自社で起きたら」と仮定して、1時間・1日・3日間の停電シナリオで何の業務が止まるかを書き出す。このリストはそのままITインフラのBCP優先順位になる。クラウドサービス・VPN・電話交換機・ERPの順で確認しよう。📅 今月中に
📋 2026年7月シリーズ総括 ― 1ヶ月で見えた「3つの脅威軸」
- 7/1 第1回 アフラック生命保険 438万件漏洩。「攻撃者が10日間いたことに気づかなかった」組織の内部統制問題。
- 7/8 第2回 バンダイチャンネル事件。15歳がChatGPTで攻撃コードを生成した「攻撃の民主化」。
- 7/15 第3回 ニチレイ攻撃でKFC全店舗停止。「自社を守っても委託先から止まる」サプライチェーンリスクの顕在化。
- 7/22 第4回 RansomHouse犯行声明・WordPress wp2shell・7-Zip脆弱性が同時発生。「アップデート放置が命取りになる週」。
- 7/29 特別号 令和8年熊本地震。「地震BCPとIT-BCPの統合」こそが、今この瞬間に問われている。
🛡️ 統合BCPの第一歩を、一緒に踏み出しませんか
「うちのBCPをサイバー攻撃にも対応させたい」「どこから手をつければいいかわからない」
サイバーレジリエンス株式会社では、中小企業向けにIT-BCP統合の無料初回相談を提供しています。
🔗 ブログ記事一覧：https://cyber-resilience.co.jp/security-measures-lab/
参考・出典
- 気象庁「令和8年熊本地震」震源・規模情報（2026年7月28日）
- 首相官邸・高市内閣総理大臣会見（2026年7月28日）kantei.go.jp
- TBS NEWS DIG「熊本地震 被害状況まとめ」（2026年7月29日）newsdig.tbs.co.jp
- BBC NEWS JAPAN「熊本で震度7の地震」（2026年7月28日）bbc.com
- Reuters「熊本県で最大震度7の地震」（2026年7月28日）jp.reuters.com
- NHK「熊本地震 停電・断水情報」（2026年7月29日）
- 九州電力「停電情報」（2026年7月28日）熊本県内約3万6千戸
- KFC Japan プレスリリース「物流委託先への不正アクセスについて」（2026年7月13日）japan.kfc.co.jp
- Rocket Boys Security Lab「RansomHouseがニチレイ・アスクルへの犯行声明」rocket-boys.co.jp
- Innovatopia「ニチレイ攻撃にランサムハウスが犯行声明」（2026年7月）innovatopia.jp
投稿者プロフィール
