インシデント対応のフロー｜不正アクセス・ランサムウェアの初動から復旧・報告までの手順

インシデント対応フローは、記録・報告・切り離し・ログの保全の初動のあと、侵入経路を断ってからの復旧と期限のある報告を並行させ、再発防止へ戻す流れだ。

インシデント対応フローの全体像とインシデントレスポンスの各段階

インシデント対応フローの段階の名前は手引きごとに違うが、初動のあと、調査・復旧と報告を並行させ、再発防止へ戻す順番は共通している。

公的機関の手引きが示すインシデント対応の段階

段階は次のとおりだ。

IPAは報告・公表を復旧より前の段階に置き、JPCERT/CCは報告を対応計画の実施と並行して行うとしている。報告の準備は、初動と同じ日に始める。

段階ごとの判断者と担当者の分担

IPAの手引きをもとに、我々は次のように分担を整理した。

IPAの手引きは、CSIRT（組織内の情報セキュリティ問題を専門に扱うチーム）という語を使わず、経営者が責任者と担当者を定めるとしている。専任のチームがなければ、4つの行を誰が兼ねるかを名前で埋めておく。

不正アクセス・ランサムウェア発覚直後の初動対応と証拠保全

不正アクセスやランサムウェアの発覚直後は、発見者が記録して責任者へ報告し、担当者が電源を入れたまま機器を切り離してログを保全する。

発見から責任者への報告までにすること

1. 気付いた日時、見た画面（脅迫文、拡張子の変化、見覚えのないログイン通知）、機器の名前を記録し、画面を撮影する
2. 情報セキュリティ責任者へ報告する。外部から通報を受けたなら、通報者の連絡先を控える
3. 経営者が対応体制を決めるまで、社外やSNSで話さない

記録した日時は報告期限の起点になりうる。個人情報保護委員会のガイドラインは、法人が「知った」時点を、いずれかの部署が知った時点としている。

電源を切らずに切り離す理由と保全するログ

IPAと警察庁は、電源を切ると侵入の痕跡などの記録が失われ、調査が難しくなるおそれがあるとしている。JPCERT/CCは、切り離せるものはすぐにネットワークから隔離するとしている。LANケーブルを抜き、無線を切り、電源は入れたままにする。

NISTのSP 800-86によれば、ログは新しい記録で上書きされていく。先に取り出すのは次のものだ。

• VPN機器：認証と接続の記録、管理画面へのログイン記録
• サーバー：OSのイベントログ、ファイル共有へのアクセス記録
• クラウドの業務サービス：サインイン記録と監査ログ

クラウドでは、ログを保存してからパスワードを変え、セッションを無効にするよう我々は勧める。

インシデント対応の封じ込めと復旧の順番

封じ込めと復旧は、被害の範囲と侵入経路を確かめ、経路を断ってから復元する順で進める。

編集上の想定例として、VPN機器から侵入され、週末にファイルサーバーが暗号化されたとする。担当者が報告先を知らずに再起動と復元を進めると、ログが消え、侵入経路も持ち出しの有無も分からなくなる。

警察庁によれば、2025年のランサムウェアの被害報告は226件で、被害組織へのアンケートでは侵入経路の6割以上がVPN機器だった。攻撃者はバックアップも暗号化することが多く、最後にログを消すという。

被害の範囲と侵入経路を確かめる

範囲の洗い出しで外部へのファイル転送の痕跡が見つかれば、漏えいのおそれとして次章の判断に回す。

JPCERT/CCは侵入経路の候補に、リモート接続の窓口への不正ログイン、SSL-VPNなど外部に公開した機器の脆弱性、保守の委託先、メールによるマルウェア感染を挙げる。考えられる経路をすべて対処してから復旧に進む。

バックアップからの復旧と再開の判断

JPCERT/CCは、無事なバックアップを、安全が確認できるまで切り離すか退避するよう勧めている。自動のバックアップが、暗号化されたファイルで正常な複製を上書きしうるからだ。

使う前に、侵入より前の複製かを確かめるよう我々は勧める。侵入後の複製には、攻撃者が仕込んだ設定やアカウントが含まれうる。

業務を再開してよいのは、JPCERT/CCによれば、マルウェア、攻撃者が残した侵入口、不正な設定を取り除いたと確認できたときだ。IPAも、修復できたと確認してから復旧するとしている。

VPN機器のように外から接続できる自社の機器を平時に洗い出し、直す順番を決める方法は、ASM（アタックサーフェスマネジメント）の解説で扱っている。

個人情報保護委員会・警察・取引先への報告と公表

報告先のうち最初に期限が来るのは、知った時点から概ね3〜5日以内の個人情報保護委員会への速報だ。

個人情報の漏えい等報告の要否と期限

民間事業者の報告の対象は、次のいずれかに当たる個人データの漏えい・滅失・毀損（おそれを含む）だ。

• 要配慮個人情報が含まれる
• クレジットカード番号など、不正に使われると財産的被害が生じるおそれがある
• 不正アクセスなど、不正の目的によるおそれがある行為で起きた
• 本人の数が1,000人を超える

ガイドラインは、ランサムウェアで個人データが暗号化されて復元できない場合を3つ目の類型（不正の目的）の例に挙げている。持ち出しが確認できなくても、復元できなければ報告の対象になる。権限が委任された業種は、委任先の省庁へ報告する。期限は次のとおりだ。

速報の概要には発生日、発覚日、発見者、委託元・委託先の有無、事実経過などを書くので、初動の記録から埋められるようにしておく。

警察・取引先・本人への連絡と公表の順番

警察庁は早期の通報を求め、初動の助言や復号ツールの提供などの支援ができるとしている。不正アクセスやウイルス感染はIPAにも届け出る。

取引先は、契約書の通知条項を先に確かめる。通知の期限や方法を契約で決めている場合がある。委託を受けた業務の情報が含まれるなら、委託元にも早く伝える。

本人への通知は、ガイドラインで「当該事態の状況に応じて速やかに」とされている。公表についてIPAは、被害の拡大を招かないよう時期・内容・対象を考え、顧客に関わるなら問い合わせ窓口を開くとしている。公表文では、確認できた事実と調査中の事項を分けて書く。攻撃者のリークサイトに載ると問い合わせが増えるので、社外への説明は早めに準備する。

インシデント対応を動かす体制と平時の準備

インシデント対応を夜間や休日にも動かすには、連絡先と判断の権限を平時に決め、振り返りと机上訓練で手順書を直しておく。

インシデント対応の連絡網と判断の権限

平時に決めておくのは次の項目だ。

• 夜間・休日にもつながる責任者と担当者の連絡先、代理の順番
• システムやサービスを止める判断を、誰がどこまで単独でしてよいか
• 外部の専門家や警察へ連絡する基準と連絡先
• 異常に気付いた社員の知らせ先（全社員に伝える）

JPCERT/CCは、トリアージ（対応の優先順位付け）の判断基準と、通報を担当へ回す手順を決めておくよう求めている。IPAは、自社で対応が難しければ外部に支援を求めるとしている。外部に調査（フォレンジック）を頼む目安は、侵入経路が特定できない、個人データの持ち出しの有無を判断できない、ログを自社で読み解けないときだと我々は考える。

再発防止の振り返りと机上訓練

IPAは、復旧後に経営者へ結果を報告し、根本原因を分析して技術的対策・ルール・教育・体制・運用を見直すとしている。初動の記録から経緯と原因をまとめ、塞いだ侵入経路と、手間取った手順を手順書へ書き戻す。NISTは、教訓は復旧の完了を待たずに共有するよう勧めている。

NISTの訓練の手引き（SP 800-84）は、机上訓練を、役割を持つ人が集まって想定した状況への対応を話し合う演習としている。

想定例で、次の4点を確かめる。

1. 週末の夜に、責任者へ連絡が届くか
2. VPN機器・サーバー・クラウドのログが、それぞれ何日分残っているか
3. バックアップを、本番と同じ管理者権限で消せないか
4. 速報に必要な項目を、誰が何日目までに集めるか