基礎知識

セキュリティインシデント対応の手順。初動から報告まで

セキュリティ事故は、起きてから考えるのでは間に合いません。この記事では、平時の準備から発生時の手順、事後の対応までを整理します。

起きる前に決めておくこと

対応の質は、平時の準備で決まります。まず決めておくべき項目を挙げます。

• 連絡体制／誰に、どの順で連絡するか。深夜・休日を含めて
• 判断者／システムを止める判断を誰がするか
• 外部の連絡先／専門機関、委託先、保険会社
• 記録の場所／情報を集約する場所をあらかじめ決める
• 公表の方針／誰が、いつ、何を発表するか

2つ目が最も重要です。被害の拡大を防ぐには、システムを止める判断が必要な場面があります。権限が明確でないと、判断が遅れて被害が広がります。

これらを決めていない組織は、実際に起きたときに何もできません。

対応の5段階

起きたときの流れを整理します。

①検知。異常に気づく。監視の通知、利用者からの報告、外部からの指摘。

②初動と封じ込め。被害の拡大を止めます。該当端末の切り離し、アカウントの停止、通信の遮断。原因の究明より優先します。

③調査。何が起きたか、どこまで影響したか、情報が外部に出たか。

④復旧。安全を確認したうえで、システムを戻します。

⑤報告と再発防止。必要な報告を行い、原因に応じた対策を実施します。

②と③を並行して行おうとすると、被害が広がります。まず止めることが原則です。

やってはいけないこと

初動での典型的な誤りを挙げます。

電源を切る。証拠が消える場合があります。ネットワークから切り離すのが原則です。

証拠を消す。ログの削除、ファイルの削除。調査ができなくなります。

1人で判断する。影響範囲の判断は、複数の目で行うべきです。

隠す。報告が遅れるほど、被害も責任も大きくなります。担当者が隠す組織文化のほうが問題です。

身代金を独断で払う。復旧の保証はなく、法的な問題も生じます。経営判断と専門家の助言が必要です。

報告の義務

法令上の義務が生じる場合があります。

個人情報の漏えいでは、個人情報保護委員会への報告と、本人への通知が求められる場合があります。速報と確報で期限が定められています。

業界によっては、監督官庁への報告義務もあります。金融機関では、システム障害についても報告が求められます。

取引先との契約にも、通知義務が定められている場合があります。

これらは事後に確認するのでは間に合いません。自社に適用される義務を、平時に整理しておく必要があります。

法務や専門家への相談経路も、事前に確保しておくべきです。

外部への伝え方

顧客や取引先への説明について整理します。

事実と推測を分ける。確認できたことと、調査中のことを明示します。

分からないことは分からないと言う。推測で断定すると、後で訂正することになり信用を失います。

影響を受ける人に必要な行動を伝える。パスワードの変更、明細の確認など、相手が取るべき対応を具体的に示します。

継続して更新する。調査の進展に応じて情報を出します。沈黙が最も不信を招きます。

初報が遅れるほど、対応の評価は下がります。すべてが分かってから発表しようとすると、手遅れになります。

終わったあとにやること

復旧後の作業が、次の被害を防ぎます。

時系列の記録を残す。いつ何が起き、誰が何をしたか。記憶が新しいうちに書きます。

原因を構造として捉える。個人の誤りではなく、なぜその誤りが可能だったかを問います。

再発防止策を具体化する。「注意する」ではなく、仕組みで防ぐか、検知できるようにします。

訓練に反映する。実際に起きた事象をもとに、手順を見直します。

この記録が、次の担当者にとっての教材になります。

訓練という選択

手順があっても、実際に動けるとは限りません。

机上での確認。想定した事象に対して、誰が何をするかを口頭で追います。費用がかからず、着手しやすい方法です。

実地の演習。実際に手順を実行してみます。連絡が通じるか、権限が機能するか。ここで多くの不備が見つかります。

攻撃を模した検証。専門の事業者に依頼し、実際に侵入を試みてもらう方式もあります。

訓練の目的は、手順の不備を見つけることです。うまくいくかどうかを確認するのではなく、うまくいかない箇所を探すために行います。

事象の種類ごとの初動

何が起きたかによって、優先すべき対応が変わります。

• ランサムウェア／感染端末を即座にネットワークから切り離す。拡大が速い
• 不正アクセス／該当アカウントを停止し、認証情報を変更する
• 情報漏えい／流出の範囲を特定する。公開されている場合は削除を要請
• Webの改ざん／該当ページを一時停止する。閲覧者への被害を防ぐ
• 内部からの持ち出し／証拠の保全を優先。人事・法務との連携が必要

共通するのは、拡大を止めることが最優先だという点です。原因の究明は、止めてから行います。

最後の項目は、技術的対応より組織的対応が中心になります。対応を誤ると、法的な問題に発展します。

外部の力を借りる

自社だけで対応できない場面があります。

専門の調査事業者。侵入経路の特定、被害範囲の確認。専門的な調査が必要な場合、自社での対応には限界があります。

公的な相談窓口。国内には、事故の届出と相談を受け付ける機関があります。助言を得られる場合があります。

法務・弁護士。報告義務の判断、取引先との関係、公表の内容。

保険。サイバー保険に加入している場合、対応費用が補償される場合があります。

これらの連絡先を、平時に確保しておくことが重要です。起きてから探すのでは、初動が遅れます。契約が必要なものは、事前に締結しておく必要があります。