社員のPCに突然、身代金を要求する画面が表示された。顧客情報を添付したメールを別の会社へ送ってしまった。不審なログイン通知が届いた。
このようなとき、発見した人は「自分で直したほうがよいのか」「PCの電源を切るべきか」「誰に伝えればよいのか」と迷います。連絡先を探している間に被害が広がったり、慌ててメールやファイルを削除して調査に必要な情報を失ったりすることもあります。
中小企業のインシデント対応で最初に必要なのは、高度な技術ではありません。発見者が行う初動と、その報告を受けた責任者が判断することを分けておくことです。
この記事では、異変を見つけた直後の行動から、社内外への報告、復旧、SCS★3に向けた手順書と訓練までを順番に整理します。
インシデントを見つけた人が最初に行う3つのこと
インシデントの種類や影響範囲を、発見した社員がその場で正確に判断するのは困難です。最初から原因を突き止めようとせず、次の3つを共通の初動として決めておくと動きやすくなります。
| 最初に行うこと | 具体的な行動 |
|---|---|
| 報告する | 決められた社内窓口へすぐ連絡する |
| 記録する | 画面、発見時刻、直前の操作、表示内容を残す |
| 隔離する | 感染が疑われる端末をネットワークから切り離す |
一方、発見者がメールやファイルを削除したり、PCを初期化したり、取引先へ独断で連絡したりするのは避けます。調査や公表は、第一報を受けた責任者へ引き継ぎます。
決められた窓口へすぐ報告する
異変を見つけたら、正常な動作かどうかを一人で調べ続けず、情報セキュリティ責任者や上司など、会社で決めた窓口へ連絡します。
報告する段階では、インシデントだと確定していなくても構いません。
- 見覚えのないログイン通知が届いた
- 添付ファイルを開いた後、PCの動作がおかしくなった
- 顧客情報を違う宛先へ送った可能性がある
- 端末やUSBメモリが見つからない
- Webサイトが書き換えられている
- 共有ファイルを開けなくなった
このような兆候を報告対象にしておけば、「確証がないから黙っておこう」という判断を減らせます。
連絡先は一人だけでなく、その人が不在のときの代行者も決めておきます。夜間や休日に業務を行う会社では、時間外の連絡方法も必要です。
画面・時刻・操作を記録し、メールやファイルを消さない
第一報では、次の内容を分かる範囲で伝えます。
- いつ気づいたか
- どの端末、アカウント、システムで起きたか
- どのような画面や通知が表示されたか
- 直前にどのメール、ファイル、Webサイトを開いたか
- 自分が行った操作
- 現在も異常が続いているか
スマートフォンなど安全な別の端末で画面を撮影できれば、表示内容も残します。怪しいメール、ファイル、警告画面、アクセス履歴は、自己判断で削除しません。原因や影響範囲を調べる手がかりになるためです。
分からないことを推測で埋める必要はありません。「確認できた事実」と「まだ分からないこと」を分けて伝えるほうが、その後の判断がしやすくなります。
感染が疑われる端末をネットワークから切り離す
ランサムウェアの要求画面が表示された、ファイルが次々に開けなくなったなど、感染が疑われる場合は、被害の拡大を防ぐために対象端末をネットワークから切り離します。
- 有線LANなら、対象PCのLANケーブルを抜く
- Wi-Fiなら、対象端末のWi-Fiをオフにする
切り離す対象は、まず異常が発生している端末です。Wi-Fiルーターや社内ネットワーク全体を止めるかは、業務や他の機器にも影響するため、責任者とIT担当者が判断します。
PCの電源とネットワークはどう扱うか
インシデント発生時に迷いやすいのが、「PCの電源を切るべきか」という問題です。
LANケーブルを抜くか端末のWi-Fiをオフにする
感染が疑われる端末をネットワークから隔離するときは、PC本体の電源ではなく、通信を切ります。
対象PCからLANケーブルを抜くか、その端末のWi-Fiをオフにします。これにより、他の端末やサーバーへ感染が広がることや、外部との通信が続くことを抑えます。
PCやルーターの電源は切らない
感染が疑われるPCやネットワーク機器の電源は、その場で切りません。電源を切ると、メモリ上の情報やログなど、原因調査に必要な記録を失うことがあります。
「ネットワークから切り離す」と「電源を切る」は別の操作です。社内の緊急カードや手順書にも、次のように分けて書いておくと誤解を防げます。
LANケーブルを抜く、または端末のWi-Fiをオフにする。PCやルーターの電源は切らず、担当者へ連絡する。
ネットワーク全体やサービスの停止は責任者が判断する
攻撃が複数の端末へ広がっている場合は、ネットワーク全体の遮断、クラウドサービスの一時停止、アカウントの無効化などが必要になることもあります。
ただし、全体を止めると、受注、出荷、顧客対応なども停止します。どこまで止めるかは、被害拡大の可能性と業務への影響を見ながら、責任者、IT担当者、保守事業者が判断します。
発見者には「どの条件なら自分の端末を切り離してよいか」を伝え、会社全体を止める判断者は別に決めておきます。
第一報を受けた責任者が確認すること
報告を受けた責任者は、すぐに全容を確定させようとする必要はありません。まず、被害が継続しているか、誰の支援が必要かを判断できる情報を集めます。
何が起き、いつ気づいたか
発見者から、発見時刻、対象端末、表示内容、直前の操作を聞き取ります。別の社員や外部の取引先からも同様の報告が来ていないか確認します。
対応中に分かったことや行った操作は、時刻とともに記録します。後から取引先へ説明するときや、原因を調べるときにも役立ちます。
影響する端末・アカウント・情報・取引先
次に、影響する可能性がある範囲を確認します。
- 異常が起きた端末と利用者
- 同じネットワークに接続する端末やサーバー
- 利用していたメールやクラウドサービスのアカウント
- 端末やサービスに保存されていた情報
- 共有先、委託元、取引先
- 現在止まっている業務
最初から漏えい人数や侵入経路を確定できなくても、現時点で分かる範囲を記録して更新していきます。
被害が継続・拡大しているか
他の端末でも同じ症状が出ている、外部から不正なログインが続いている、Webサイト上で情報が公開されたままになっているなど、被害が継続していないかを確認します。
必要に応じて、対象アカウントの一時停止、公開ページの停止、通信の遮断などを検討します。ここから先は、ログやシステム構成を確認できる担当者と一緒に進めます。
社内だけで抱えずIT事業者へ連絡する
専任の技術担当者がいない会社では、PCの保守会社、システム開発会社、クラウドサービス事業者、セキュリティ事業者などへ連絡します。
契約している事業者が複数ある場合は、「PC」「ネットワーク」「業務システム」「Webサイト」など、担当範囲を平時に整理しておくと迷いません。緊急対応が契約に含まれるか、夜間や休日にも連絡できるかも確認しておきましょう。
インシデント対応手順書に決めておく項目
手順書は、事故が起きてから読む説明書ではなく、迷いやすい判断を事前に決めておくための文書です。
発見報告から最終報告までの流れ
IPAの中小企業向け手引きでは、インシデント対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階で整理しています。IPA「中小企業の情報セキュリティ対策ガイドライン」から、付録8の手引きを入手できます。
自社の手順書には、少なくとも次の流れを入れます。
- 発見報告
- 初動
- 調査・対応
- 復旧
- 最終報告
それぞれについて、誰が受け取り、誰が判断し、何を記録するかを決めます。
社内の責任者・担当者・代行者
次の役割を決め、氏名だけでなく連絡方法も記載します。
- 第一報を受ける人
- 対応全体を指揮する責任者
- 技術調査を行う社内担当者または外部事業者
- 業務停止や復旧を判断する経営者
- 取引先、本人、関係機関への連絡担当者
- 各担当者が不在のときの代行者
情報セキュリティに関する役割を規程へまとめる方法は、「中小企業のセキュリティポリシーの作り方」で解説しています。
IT事業者・保守会社・関係機関の連絡先
社外の連絡先は、会社名だけでなく、窓口、電話番号、メールアドレス、受付時間、契約番号などをまとめます。
クラウドサービスでは、通常の問い合わせ窓口とセキュリティ事故の連絡窓口が異なることもあります。事故が起きてからWebサイトを探すのではなく、契約中のサービスごとに確認しておきます。
業務やサービスを止める判断者
ネットワークや業務システムを止めれば被害拡大を抑えられる一方、事業も止まります。
- 異常が起きた端末だけを隔離する条件
- 対象アカウントを止める条件
- システムやネットワーク全体を止める判断者
- 判断者が不在のときの代行者
- 停止中に行う代替業務
これらを決めておくと、「勝手に止めてよいのか」という迷いを減らせます。
第一報と経過記録のフォーマット
第一報のフォーマットには、次の項目を入れます。
- 発見者と連絡先
- 発見日時
- 対象端末、アカウント、システム
- 症状や表示内容
- 直前に行った操作
- すでに行った対応
- 影響が疑われる情報や業務
- 現在の状態
未確認の項目は空欄のままでも構いません。報告を遅らせず、調査で分かった内容を追記できる形式にします。
PCが使えなくても手順を確認できる場所
手順書を感染したPCや停止中のサーバーにしか保存していないと、必要なときに開けません。
緊急時の連絡先と最初の行動は、紙の緊急カードや別の管理環境にも用意しておきます。個人の携帯番号やシステム構成などを来訪者にも見える場所へ掲示する必要はありません。対象者が、PCを使えない状態でも確認できる場所を決めます。
事故の種類別に追加する対応
報告、記録、被害拡大防止という共通初動の後は、事故の種類に応じた対応へ進みます。
| 事故の例 | 発見者が行うこと | 責任者・IT担当者が判断すること |
|---|---|---|
| ランサムウェア・マルウェア | 報告、画面の記録、対象端末のネットワーク隔離 | 侵害範囲の調査、ネットワークやサービスの停止、警察・専門事業者への相談 |
| メール誤送信 | 送信日時、宛先、添付内容を報告する | 送信取消しの可否、受信者への削除依頼、漏えい報告の要否 |
| 端末・記憶媒体の紛失 | 最後に確認した場所と時刻を報告する | 遠隔ロック、アカウント停止、保存情報と影響範囲の確認 |
| アカウント乗っ取り | 不審な通知や操作履歴を報告する | セッションの無効化、認証情報の変更、他アカウントへの影響調査 |
| Webサイト改ざん | 表示内容と発見時刻を記録して報告する | 公開停止、ログ保全、侵入経路と改ざん範囲の調査 |
ランサムウェアへの備えや復旧方法は、「中小企業のランサムウェア対策」も参考にしてください。
個人情報漏えいやランサムウェアはどこへ報告するか
外部への報告先は、事故の種類、対象となる情報、契約、業種によって変わります。発見者が個別に連絡するのではなく、社内責任者が影響を確認し、必要な窓口へつなぎます。
個人情報保護委員会への報告が必要になる事態
個人データの漏えい等が起きた場合でも、すべての事案が一律に委員会への報告対象になるわけではありません。個人の権利利益を害するおそれが大きい一定の事態では、個人情報保護委員会への報告と本人への通知が必要になります。
報告対象となる場合は、発覚日から概ね3～5日以内に速報し、原則30日以内に確報します。不正な目的で行われたおそれがある場合の確報は60日以内です。
対象事案や最新の手続きは、個人情報保護委員会「漏えい等の対応とお役立ち資料」で確認できます。
漏えいまたはそのおそれに気づいた時点で、対象情報、人数、原因、二次被害のおそれを整理し、社内の責任者や専門家へつないで報告要否を判断します。
本人・取引先・委託元への連絡
個人情報保護法上の本人通知に加え、取引先との契約で事故報告の期限や方法が定められていることがあります。委託元から預かった情報が関係する場合は、契約書や連絡ルールを確認します。
原因や被害範囲が確定するまで何も伝えないのではなく、第一報で分かっている事実と未確認事項を分け、追加情報をいつ報告するかを示します。
委託先と事前に決めておく内容は、「委託先とのインシデント連絡ルール」で確認できます。
警察・所管省庁・保険会社への連絡
ランサムウェア、不正アクセス、データ窃取などの被害では、警察への通報・相談も検討します。利用しているサービスの事業者、セキュリティ事業者、所管省庁、加入しているサイバー保険の窓口など、事案に応じた連絡先も確認します。
外部連絡を一つの順番に固定するより、責任者と技術支援先が被害範囲を確認しながら、必要な連絡を並行して進められる体制を作ることが重要です。
復旧を急ぐ前に確認すること
業務が止まると、一刻も早くバックアップから戻したくなります。しかし、侵入経路や影響範囲を確認せずに復旧すると、同じ攻撃を受けたり、安全なデータまで再び暗号化されたりするおそれがあります。
原因と侵害範囲を確認する
異常が起きた端末だけでなく、同じアカウント、ネットワーク、サーバー、クラウドサービスに不審な痕跡がないか確認します。
ログや端末の調査が必要な場合は、復旧作業で証拠を上書きしないよう、IT担当者や専門事業者と順番を決めます。
安全な復旧時点と優先順位を決める
どの時点のデータなら安全か、どの業務から戻すかを決めます。売上、受注、出荷、請求、顧客対応など、止まったときの影響が大きい業務から優先順位をつけます。
バックアップを実際に戻せるか確認する方法は、「バックアップ実効性の確認方法」で解説しています。
同じ侵入経路を塞いでから業務を再開する
脆弱性、漏えいした認証情報、設定不備など、攻撃に使われた経路を確認し、必要な更新、設定変更、パスワード変更を行います。
業務再開の速さだけでなく、同じ方法で再侵入されない状態にしてから復旧することが大切です。
対応経過と判断を記録する
誰が、いつ、何を判断し、どの作業を行ったかを残します。対応後には、連絡が遅れた理由、必要なログがなかった箇所、復旧で詰まった作業などを振り返り、手順書へ反映します。
SCS★3で整える手順・体制・訓練
SCS★3では、インシデント対応手順を作るだけでなく、連絡体制、報告フォーマット、教育・訓練、記録なども整えます。
対応手順に含める5段階
対応手順には、次の5段階を含めます。
- 発見報告
- 初動
- 調査・対応
- 復旧
- 最終報告
現場の社員が行う内容と、責任者やIT担当者が判断する内容を分けて記載すると、実際の事故でも使いやすくなります。
連絡ルート・役割・報告フォーマット
社内外の連絡先、報告・情報共有ルート、統括する役員と担当部署の役割・責任を決めます。関係当局や所管省庁など、必要になる外部窓口も含めます。
また、口頭連絡だけで情報が抜けないように、第一報と経過記録に使う報告フォーマットを用意します。
新規受入時と年1回以上の教育・訓練
役員、従業員、派遣社員、受入出向者を対象に、新規受入時と年1回以上、インシデント発生時の教育・訓練を行います。
資料を配布・掲示するだけで終わらせず、eラーニングや集合教育を実施し、内容、方法、時期、受講状況を記録します。
体制点検・訓練記録・事例共有
インシデント発生時の連絡先と役割は、年1回以上点検します。退職、異動、委託先変更などで、古い連絡先が残っていないか確認します。
教育・訓練の実施内容も点検し、社内外で重大なインシデントが起きたときは、事例と対応策を社内へ共有します。
インシデント対応はSCS★3の一領域です。資産管理、認証、バックアップ、委託先管理などを含む全体の準備は、「SCS★3の要求事項と準備項目」で確認できます。
小さく始めるインシデント対応訓練
訓練は、大規模な模擬攻撃から始める必要はありません。「社員のPCにランサムウェアと思われる画面が表示された」という想定で、連絡と判断を順に確認するだけでも課題が見つかります。
想定を一つ決めて連絡を回す
参加者の一人を発見者とし、社内窓口へ第一報を送ります。報告を受けた人は、責任者、IT事業者、経営者へ連絡します。
実際の連絡先を使わない場合でも、「どの番号へ、誰が、何を伝えるか」を声に出して確認します。
連絡先・代行者・手順書の場所を確認する
訓練では、次の点を確認します。
- 第一報の窓口を社員が知っているか
- 担当者が不在でも次の人へ連絡できるか
- IT事業者の緊急連絡先が分かるか
- PCが使えなくても手順書を確認できるか
- 業務やシステムを止める判断者が決まっているか
詰まった箇所を手順書へ反映する
うまく進まなかった箇所は、参加者の失敗として扱うのではなく、手順書や体制の改善点として記録します。
連絡先が古かった、専門用語が分からなかった、誰が判断するか曖昧だったといった点を直すことで、次の対応が早くなります。
インシデント対応についてよくある質問
感染が疑われるPCの電源は切りますか？
電源は切らず、LANケーブルを抜くか端末のWi-Fiをオフにして、ネットワークから隔離します。画面や発見時刻を記録し、社内の担当者へ連絡してください。
Wi-Fiルーターの電源も切りますか？
発見した社員が一律にルーターの電源を切る運用にはしません。まず異常が起きた端末を切り離し、ネットワーク全体を止めるかは責任者とIT担当者が判断します。
何をインシデントとして報告すればよいですか？
被害が確定した事故だけでなく、不審なログイン通知、端末紛失、メール誤送信、見覚えのない画面、Webサイトの異常なども報告対象にします。「普段と違うが判断できない」場合も、窓口へ確認できるルールにしておくと早期発見につながります。
個人情報の漏えいはすべて委員会へ報告しますか？
すべてが一律に報告対象になるわけではありません。個人の権利利益を害するおそれが大きい一定の事態では、個人情報保護委員会への報告と本人通知が必要です。対象情報や原因、二次被害のおそれを確認し、最新の基準に沿って判断します。
インシデント対応手順書は紙でも必要ですか？
PCやサーバーを使えない状況でも確認できるように、緊急連絡先と最初の行動はオフラインでも参照できる状態にします。紙にする場合も、携帯番号やシステム情報を誰でも見える場所へ掲示せず、対象者だけが確認できる場所で管理します。
SCS★3では訓練も必要ですか？
必要です。新規受入時と年1回以上、対象者へ教育・訓練を実施し、内容、方法、時期、受講状況を記録します。手順書を配布するだけでなく、連絡や判断を実際に確認できる内容にします。
まとめ｜発見者の初動と会社の判断を分けて決める
インシデント対応で発見者が最初に行うことは、報告する、記録を残す、感染が疑われる端末をネットワークから切り離すという3つです。PCやルーターの電源は切らず、メールやファイルも削除しません。
その後の調査、ネットワーク全体の停止、外部報告、復旧は、責任者、経営者、IT担当者が判断します。この役割分担が決まっていれば、社員は難しい技術判断を抱え込まずに動けます。
まずは、第一報の連絡先、担当者不在時の代行者、IT事業者の連絡先を決めてください。そのうえで一つの事故を想定して連絡を回してみると、手順書で不足している箇所が見えてきます。
コメント