【連載第9回】インシデント対応の基本手順 ― 攻撃を受けた後の30分・数時間・数日
どれだけ対策をしても、サイバー攻撃を100%防ぐことはできません。重要なのは「攻撃を受けた後にどれだけ早く適切に対応できるか」です。
本記事は現場で手を動かす人向けの実作業手順です。報告義務や社内体制の整え方といった組織面は、IPAガイドライン準拠シリーズの第8回で扱っています。あわせてご覧ください。
インシデント対応の4フェーズ
フェーズ1: 検知・判断（最初の30分）
やること:
- 何が起きたのかを可能な範囲で把握する
- 影響範囲を推定する（どのシステム、何台の端末、何人のユーザーに影響か）
- インシデントの重大度を判断する
判断基準の例:
- 重大: ランサムウェア感染、個人情報の外部流出、基幹システムの停止
- 中程度: 1台の端末のマルウェア感染、フィッシングによる1アカウントの侵害
- 軽微: 不審なログイン試行（成功していない）
この段階で時間を使いすぎないこと。 原因の特定より、拡大の停止が優先です。「よく分からないが様子がおかしい」段階でも、隔離してから調べて構いません。誤検知だった場合の損失（端末1台が数十分使えない）より、判断を待って感染が広がる損失のほうが大きくなります。
フェーズ2: 封じ込め（最初の数時間）
やること:
- 感染端末をネットワークから隔離（LANケーブルを抜く、Wi-Fiを切断する）
- 侵害されたアカウントのパスワードをリセットし、セッションを無効化する
- 影響が拡大しないよう、必要に応じてシステムを一時停止する
やってはいけないこと:
- 感染端末の電源を切る（フォレンジック調査ができなくなる）
- 自力で復旧を試みてログを消してしまう
- 事態を隠そうとする
- 感染端末でウイルススキャンを実行する（ディスクが書き換えられ、証拠が上書きされる）
パスワードリセットで見落としやすい点： パスワードを変えただけでは、既に確立されているセッションは切れません。攻撃者がログイン状態を維持したままになるため、サインインセッションの無効化（Entra ID なら「サインインセッションの取り消し」）まで実施してください。あわせて、攻撃者が追加したMFA登録や、設定されたメール転送ルールがないかを確認します。
アカウント侵害時に必ず確認する4点
- メールの自動転送ルール（外部への転送が設定されていないか）
- 受信トレイのルール（特定の送信元を既読・削除する設定がないか）
- MFAの登録デバイス（見覚えのない端末が追加されていないか）
- アプリのアクセス許可（不審なアプリが連携されていないか）
これらは侵害後に仕込まれ、パスワード変更後も残ります。
フェーズ3: 復旧
やること:
- バックアップからのデータ復旧
- クリーンな環境での端末再セットアップ
- 全アカウントのパスワード変更（必要に応じて）
- セキュリティ設定の見直し・強化
復旧の順序と条件：
- 侵入経路を塞いでから復旧する。 経路が残ったまま戻すと再感染します
- バックアップが感染前の時点か確認する。 感染後に取得したものにはマルウェアが含まれる可能性があります
- 復旧の優先順位はメール・認証基盤 → 基幹システム → ファイルサーバー。 連絡手段が使えないと復旧作業自体が滞ります
- 感染端末はクリーンインストール。 駆除ツールで消したつもりでも残存の可能性があります
フェーズ4: 報告・再発防止
やること:
- 経営層への報告
- 必要に応じて関係機関への届出（警察、IPA、個人情報保護委員会）
- 顧客・取引先への通知（個人情報漏洩の場合）
- 原因分析と再発防止策の策定
報告先ごとの期限や要件は法令で定められています。 詳細は第8回（組織・報告義務編）を参照してください。
証拠を残すための最低限の作業
自社でフォレンジック調査まで行う必要はありませんが、外部の専門業者に依頼できる状態を保つことは重要です。次を実施してください。
- 画面の撮影 — 脅迫文やエラー画面をスマートフォンで撮る。最も確実で早い
- 時刻の記録 — 発見時刻、隔離した時刻、各作業の実施時刻をメモする
- ログの保全 — ファイアウォール、プロキシ、Active Directory、VPN機器のログを別の場所にコピーする
- 端末はそのまま保管 — 電源を入れたまま隔離した状態を維持できるとより望ましい
ログは上書きで消えていきます。特にVPN機器やファイアウォールのログは保存期間が短く、数日で失われることがあります。復旧作業より先に確保してください。
インシデント対応チェックシート
事前に以下を整理しておくと、いざというときにパニックにならずに対応できます。
- 緊急連絡先一覧（経営者、顧問弁護士、セキュリティベンダー、保険会社）
- システム構成図（どのサーバーに何のデータがあるか）
- バックアップの場所とリストア手順
- 過去のインシデント記録
このシートは印刷して保管してください。 ランサムウェア被害では、社内のファイルサーバーもメールも使えない可能性があります。手順書が暗号化されたPCの中にしかない、という事態は避けてください。
まとめ
- 最初の30分は原因究明より拡大の停止を優先する。「よく分からない」段階でも隔離してよい
- 電源は切らない、ウイルススキャンもしない。どちらも証拠を失う
- パスワード変更だけでは不十分。セッションの無効化まで行う
- アカウント侵害時は転送ルール・受信トレイルール・MFA登録・アプリ連携の4点を必ず確認する
- 復旧は侵入経路を塞いでから。バックアップが感染前のものかを確認する
- 復旧順序はメール・認証基盤 → 基幹システム → ファイルサーバー
- ログは上書きで消える。復旧作業より先に保全する
- チェックシートは印刷して保管する。有事にはPCが使えない
次回（最終回）は、セキュリティ体制の継続的な改善方法を解説します。
← 前回: 【連載第8回】クラウドセキュリティ ｜ 次回: 【連載第10回】セキュリティ体制の継続改善 →
より詳細な時系列マニュアルはランサムウェア感染時のインシデント対応マニュアル、組織体制と報告義務はIPA準拠シリーズ第8回で解説しています。
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。