ランサムウェア感染、不正アクセス、情報漏えい、メールの誤送信、クラウドサービスの設定ミスなど、サイバーインシデントは高度な攻撃だけで発生するものではありません。
被害が発生した際に重要なのは、最初からすべての原因や影響範囲を解明することではなく、判明している事実を速やかに共有し、被害の拡大を止めることです。
初動段階で報告が遅れたり、担当者の判断だけでシステムを操作したりすると、被害が拡大するだけでなく、調査に必要な証拠を失う可能性があります。
そのため企業は、情報システム部門だけでなく、経営層、法務、広報、人事、委託先などが共通して使える初動報告体制を平時から整えておく必要があります。初動報告テンプレートは単なる記録用紙ではなく、関係部門を動かすための共通言語として設計することが重要です。
サイバーインシデントの初動対応が重要な理由
サイバーインシデント発生直後は、原因、被害範囲、攻撃経路、漏えいした情報などが十分に判明していないことが一般的です。
この段階で「正確な情報がそろってから報告しよう」と考えると、社内の意思決定や外部への報告が遅れます。
初動対応の目的は、最終的な原因を断定することではありません。現時点で分かっている事実と、まだ分かっていない事項を明確に分け、被害拡大防止に必要な判断を行うことです。
個人情報保護委員会のガイドラインでも、漏えい等事案が発覚した場合には、責任者への報告、被害拡大防止、事実関係の調査、影響範囲の特定、再発防止策の検討、必要な外部報告などを進めることが示されています。
サイバーインシデント発生時の基本的な初動対応フロー
発見者は自己判断で調査を進めず、直ちに報告する
不審なメール、端末の異常、身に覚えのないログイン、ファイルの暗号化、クラウド上の公開設定などを発見した従業員は、自分だけで原因を調べようとしてはいけません。
不用意にファイルを開く、端末を再起動する、ログを削除する、攻撃者と思われる相手に連絡するといった行動により、被害や証拠の状態が変わる可能性があります。
発見者が行うべきことは、発見日時、端末やシステムの名称、画面に表示された内容、直前に行った操作などを記録し、定められた窓口へ報告することです。
被害拡大を防ぐために影響範囲を隔離する
初動担当者は、被害が他の端末やシステムに広がる可能性を確認します。
必要に応じて、対象端末のネットワーク切断、侵害されたアカウントの停止、外部公開の停止、アクセス権限の一時的な制限などを実施します。
ただし、サーバーの電源を直ちに切ることが適切とは限りません。メモリー上の情報や通信記録が調査に必要になる場合があるため、専門家や保守事業者と連携しながら判断します。
証拠を保全して時系列を記録する
インシデント対応では、何が起きたかだけでなく、誰が、いつ、どのような対応を行ったかを残す必要があります。
ログ、メール、画面のスクリーンショット、警告メッセージ、不審なファイル、アクセス履歴などを保存し、担当者が行った操作も時系列で記録します。
証拠保全は原因調査だけでなく、顧客への説明、監督機関への報告、保険会社への申請、委託先との責任分担などにも関係します。
経営層・法務・広報へ段階的に報告する
インシデントを情報システム部門だけの問題として処理すると、外部報告や顧客対応の判断が遅れる可能性があります。
少なくとも次の役割をあらかじめ決めておくことが重要です。
- インシデント対応全体を統括する責任者
- 技術調査と被害拡大防止を担当する部門
- 法令、契約、外部報告を確認する法務担当
- 顧客や報道機関への説明を担当する広報担当
- 従業員情報が関係する場合の人事担当
- 経営判断を行う経営責任者
小規模な企業では一人が複数の役割を兼任する場合もあります。それでも「誰が最終判断をするか」「誰が外部へ連絡するか」は明確にしておく必要があります。
個人情報が漏えいした場合の報告義務
すべての情報漏えいが直ちに個人情報保護委員会への法定報告対象になるわけではありません。
民間事業者が取り扱う個人データについて、次のいずれかに該当する漏えい、滅失、毀損またはそのおそれがある場合は、原則として報告が必要です。
要配慮個人情報が含まれている
病歴、診療情報、健康診断結果、犯罪歴など、本人に対する差別や不利益につながる可能性がある情報が含まれる場合です。
財産的被害が生じるおそれがある
クレジットカード情報、銀行口座情報、決済サービスの認証情報など、不正利用によって金銭的な被害が発生する可能性がある場合です。
不正な目的で行われたおそれがある
サイバー攻撃、内部不正、情報の持ち出し、Webスキミングなど、悪意ある行為による漏えい等が疑われる場合です。
対象となる本人の数が1,000人を超える
漏えい等の対象となった本人の数が1,000人を超える場合です。人数が確定していない段階では、アクセス可能だったデータの最大件数などを基に影響範囲を確認します。
これらの4類型は、実際に漏えいしたことが確定している場合だけでなく、漏えいした「おそれ」がある場合も対象となり得ます。
速報と確報の期限を混同しない
報告対象事態に該当する場合は、速報と確報の二段階で報告します。
速報は、事態を知った後、速やかに行う必要があり、個人情報保護委員会は概ね3～5日以内を目安として案内しています。
確報は原則として事態を知った日から30日以内です。ただし、不正な目的で行われたおそれがある行為による漏えい等については、60日以内となります。
速報の段階ですべての事実が判明している必要はありません。その時点で把握している内容を報告し、不明な項目は「不明」「調査中」として整理します。
確報期限までに一部の事項が判明しない場合も、合理的な調査を行った上で把握している内容を報告し、その後に情報を追完します。
本人への通知が必要な事案では、漏えい等の概要、対象となる情報、原因、二次被害のおそれ、本人が取ることのできる対策などを、状況に応じて速やかに伝える必要があります。
外部への報告先を整理する
サイバーインシデントの報告先は一つではありません。法的義務がある報告と、技術支援や情報共有を目的とした届出を分けて考える必要があります。
個人情報保護委員会または所管官庁
個人データの漏えい等が法定報告の対象となる場合は、個人情報保護委員会または報告権限の委任を受けた所管官庁へ報告します。
金融、医療、通信など、業種ごとの監督ルールが定められている場合もあるため、自社に適用される制度を事前に確認しておきます。
IPA
IPAは、ランサムウェア被害、コンピューターウイルス感染、不正アクセスなどに関する届出を受け付けています。
専用の届出様式が用意されており、すべての情報が判明していない段階でも、把握している範囲で被害状況や対応内容を記載できます。
JPCERT/CC
JPCERT/CCでは、Webフォームや電子メールによるインシデント報告を受け付けています。
攻撃元や関連事業者との調整、被害拡大防止に必要な情報連携を行う際の相談先として活用できます。電子メールで機密性の高い情報を送る場合に備え、PGP公開鍵も案内されています。
警察・保険会社・取引先
犯罪行為が疑われる場合は、法務担当者や専門家と連携し、警察への相談や被害届提出の要否を検討します。
サイバー保険に加入している場合は、契約上の連絡期限や、事前承認が必要な調査会社の有無も確認します。
委託先や取引先のデータが関係している場合は、契約書に定められた通知期限、報告項目、責任分担に従って連絡します。
そのまま使えるサイバーインシデント初動報告テンプレート
次の項目を社内のチャット、チケット管理システム、共有文書などに組み込むことで、初動報告の抜け漏れを減らせます。
基本情報
- インシデント管理番号：
- 報告区分： 初動報告・速報・追加報告・確報
- 報告日時：
- 報告者・所属部署：
- 緊急連絡先：
- 発見日時：
- 発生日時・期間： 不明な場合は「調査中」
- 対象システム・端末・サービス：
発見状況
- 発見のきっかけ： 監視アラート、従業員からの申告、顧客からの連絡、外部機関からの通知など
- 事象の概要：
- 画面表示や警告内容：
- 発見直前に行った操作：
- 現在も事象が継続しているか：
被害と影響範囲
- 影響を受けた業務：
- 停止しているサービス：
- 影響を受けた端末・アカウント数：
- 個人情報・機密情報が含まれる可能性：
- 対象となる情報の項目：
- 対象人数または推計最大件数：
- 顧客・取引先への影響：
- 二次被害の有無またはそのおそれ：
技術情報
- 想定される原因： 不正アクセス、マルウェア、設定ミス、紛失、誤送信、内部不正など
- 推定される侵入経路：
- 不審なファイル名・IPアドレス・URL：
- 取得済みのログ：
- 暗号化の有無と鍵の管理状況：
- 外部専門会社への調査依頼状況：
初動対応
- ネットワーク隔離の実施状況：
- アカウント停止・パスワード変更状況：
- 外部公開停止の状況：
- 証拠保全の状況：
- バックアップへの影響：
- 実施してはいけない操作：
報告・連絡状況
- 経営責任者への報告：
- 法務・広報・人事への共有：
- 個人情報保護委員会への報告要否：
- IPA・JPCERT/CCへの届出状況：
- 警察・保険会社への連絡状況：
- 本人・顧客・取引先への通知状況：
- 次回報告予定日時：
- 未確認事項・今後の調査項目：
初動報告テンプレートを運用する際の注意点
不明な情報を推測で埋めない
初動報告では、正確な数値や原因が分からないことがあります。
その場合は空欄にするのではなく、「不明」「調査中」「最大〇件の可能性」「現時点では確認されていない」など、情報の確度が分かる表現を使います。
事実、推測、未確認情報を明確に区別することが、経営判断や外部説明の誤りを防ぎます。
次回の報告時刻を必ず決める
初動報告を一度提出しただけでは、関係者は状況の変化を把握できません。
新しい事実がなくても、「現在も調査中である」「影響範囲に変化がない」と定期的に共有する必要があります。
初動報告には、次回の更新予定時刻と更新責任者を記載します。
社内システムが使えない場合の連絡手段を用意する
攻撃者が社内メール、Microsoft 365、Google Workspace、チャット、認証システムなどを侵害している可能性があります。
そのため、通常の社内ネットワークから独立した緊急連絡網や連絡手段を準備しておくことが重要です。
連絡先一覧を社内システムだけに保存せず、適切に管理された紙やオフラインデータとして保管する方法も検討します。
委託先との連絡ルールを契約で定める
クラウド事業者、システム開発会社、保守会社などの委託先でインシデントが発生した場合、委託元への連絡が遅れると、外部報告の判断も遅れます。
契約書やセキュリティ特約には、インシデント発生時の通知期限、連絡先、報告項目、ログの提供、調査協力、再委託先での事故に関する責任などを定めておく必要があります。
平時の訓練がサイバーインシデント対応力を左右する
テンプレートを作成するだけでは、実際のインシデント発生時に機能するとは限りません。
担当者が不在の場合、休日や夜間に発生した場合、社内ネットワークが停止した場合、委託先と連絡が取れない場合などを想定した訓練が必要です。
特に効果的なのが、架空のインシデントを設定して対応手順を確認する机上演習です。
例えば、ランサムウェアによってファイルサーバーが暗号化され、顧客情報の持ち出しを示す脅迫文が発見されたケースを設定します。
参加者は、誰に報告するか、どのシステムを停止するか、個人情報保護委員会への報告が必要か、顧客へ何を説明するかを検討します。
訓練後は、判断に時間がかかった箇所、連絡先が不明だった箇所、権限が集中していた箇所を洗い出し、テンプレートと対応マニュアルを更新します。
まとめ
サイバーインシデントの初動対応では、原因を完全に解明してから報告するのではなく、判明している事実と未確認事項を整理し、速やかに関係者へ共有することが重要です。
初動報告テンプレートには、発見日時、事象の概要、影響範囲、個人情報の項目と対象人数、実施した封じ込め、証拠保全、外部報告の状況、次回更新予定などを含めます。
また、個人情報保護委員会への法定報告と、IPAやJPCERT/CCへの技術的な届出・情報共有を混同しないことも大切です。
平時から報告先、責任者、緊急連絡手段、委託先との連携方法を決め、定期的な机上演習によって実効性を確認することが、被害の最小化と事業継続につながります。
コメント