セキュリティインシデントが起きたら最初にすべきこと｜初動対応チェックリスト
contech
「もしかして、これは情報漏えいかもしれない」
そう気づいた瞬間、多くの人はパニックに陥ります。
しかし、こういう時こそ、落ち着いた初動対応が被害の拡大を防ぎます。
この記事では、セキュリティインシデントが発生した際に、最初にすべきこと・避けるべきことを、実務目線で整理します。
今まさに対応中の方は、このままチェックリストとして使ってください。
インシデント発生直後にやってはいけないこと
まず、焦って行いがちな「やってはいけないこと」を確認しておきましょう。
やってはいけないこと1：証拠を消してしまう
「早く元に戻さなければ」と、感染した端末をすぐに初期化したり、ログを削除したりしてしまうと、後の原因調査（フォレンジック調査）ができなくなります。
慌てて「元に戻す」作業に入るのは禁物です。
やってはいけないこと2：関係者だけで判断して隠そうとする
「大ごとにしたくない」という心理から、社内の一部だけで処理しようとするケースがあります。
これは後々さらに大きな問題に発展するリスクがあります。
個人情報が関わる場合、法律上の報告義務が生じることもあります。
やってはいけないこと3：ランサムウェアの場合、安易に身代金を支払う
データを人質に取られた場合でも、支払ったからといって復旧が保証されるわけではありません。
支払うこと自体が、攻撃者に「この会社は払う」という情報を与え、再度狙われるリスクを高めることにもなります。
やってはいけないこと4：原因が分からないまま「大丈夫だろう」と放置する
「詳しくは分からないが、とりあえず様子を見よう」という判断は、被害の拡大を防ぐ機会を逃すことになります。
疑わしい段階で、早めに動くことが重要です。
最初の1時間でやるべき初動対応
インシデントに気づいてから、最初の1時間で行うべき対応です。
- ネットワークからの切断
感染・侵害が疑われる端末を、直ちにネットワークから切り離す（電源を切るのではなく、ネットワークケーブルを抜く、Wi-Fiをオフにするなど） - 状況の記録
画面表示、エラーメッセージなどを写真やスクリーンショットで記録する - 社内の責任者への報告
誰が第一報を受け、誰が意思決定するかをあらかじめ決めておくと、この段階がスムーズになる - 影響範囲の仮説立て
どの端末・どのシステム・どのデータに影響が及んでいる可能性があるか、分かる範囲で整理する - 専門家・関係機関への連絡準備
契約している専門家、必要に応じて警察・JPCERT/CCなどへの連絡を検討する
この段階では、「完璧な状況把握」よりも「被害拡大の防止」を優先することが重要です。
社内・取引先への報告フロー
初動対応と並行して、報告のフローを整理する必要があります。
社内への報告
- 経営層への速やかな報告
- 関連部署（現場、システム担当、広報など）への情報共有
- 従業員への注意喚起（必要な場合）
取引先への報告
- 影響が及ぶ可能性のある取引先を洗い出す
- どのタイミングで、どこまでの情報を伝えるかを検討する（調査が不十分な段階での過度な情報開示は、かえって混乱を招くこともあるため、専門家と相談しながら判断することをおすすめします）
報告の判断で迷ったときの考え方
「報告すべきか迷う」場合は、「報告しない」ことのリスクの方が大きいケースがほとんどです。
特に個人情報が関わる場合は、次のセクションで説明する報告義務の有無を確認してください。
個人情報保護委員会への報告が必要なケース
個人データの漏えい等が発生した場合、一定の条件に該当すると、個人情報保護委員会への報告義務が生じます。
主な該当ケースは次の4つです。
- 要配慮個人情報が含まれる場合
病歴、犯罪歴などのセンシティブな情報が漏えいした場合 - 財産的被害のおそれがある場合
クレジットカード番号や、決済サービスのログイン情報などが漏えいした場合 - 不正の目的によるおそれがある場合
不正アクセスなど、悪意ある第三者による行為が原因の場合 - 1,000人を超える漏えいが発生した場合
人数規模による該当
上記1〜3は、対象人数が1人であっても報告義務の対象になり得ます。
報告は「速やかに」行うことが求められており、目安として発覚から概ね3〜5日以内の速報が必要とされています。
なお、高度な暗号化などの秘匿化措置が講じられていた場合には、報告や本人通知が不要となるケースもあります。
これは個別の技術水準や管理状況によって判断が分かれるため、該当するかどうかの見極めには注意が必要です。
「これは報告対象になるのか？」の判断に迷う場合は、自己判断で済ませず、専門家に相談することをおすすめします。
再発防止策の立て方
初動対応・報告が一段落したら、再発防止に取り組みます。
- 原因の特定
何が原因で発生したのか（脆弱性、設定ミス、人為的ミスなど）を明らかにする - 同種のリスクの洗い出し
今回と同じ原因が、他の端末・他の現場にも存在しないか確認する - 再発防止策の実施
設定変更、教育の実施、契約書の見直しなど、原因に応じた対策を講じる - 社内への周知
何が起きて、どう対応したかを、必要な範囲で社内に共有し、教訓として活かす - 記録の保管
今回の対応記録は、将来同様の事態が起きた際の参考資料として保管しておく
インシデント対応は「起きたことへの対処」で終わらせず、次に活かすための材料として捉えることが大切です。
まとめ
セキュリティインシデントが発生した際は、焦って証拠を消したり、隠したりすることが最も避けるべき行動です。
まずはネットワークからの切断と状況の記録という初動対応を行い、その後、報告義務の有無を確認しながら、社内・取引先への報告を進めていきます。
個人情報保護委員会への報告が必要かどうかの判断は、専門的な知識が求められる領域です。
判断に迷う場合は、早めに専門家に相談することをおすすめします。
インシデント対応・初動支援について、無料相談を承っています。
発生時の状況整理から、報告要否の判断、再発防止策の検討まで、実務に即してサポートします。
初回無料相談をご利用ください03-6903-0534営業時間 10:00-18:00 [ 土・日・祝日除く ]
お問い合わせはこちら
