情報セキュリティとインシデント対応

IPA の「情報セキュリティ10大脅威」で毎年の傾向を確認できます。技術の対策だけでなく、訓練メールと「怪しいと思ったらすぐ報告してよい」文化づくりが効きます（報告した人を責めない）。

フィッシングは、本物そっくりのメールやログイン画面で、パスワードや MFA のコードを入力させる攻撃です。ビジネスメール詐欺（BEC）は、取引先や役員になりすまして、振込先の変更や送金を依頼します。どちらも完全には防げないので、「入力させない技術」と「早く報告される仕組み」を組み合わせます。

マルウェアは、ウイルス・ワーム・トロイの木馬・ランサムウェア・情報窃取型（インフォスティーラー）など、悪意のあるソフトウェアの総称です。メールの添付・偽サイトからのダウンロード・脆弱性・USB メモリなどから入ります。

感染が疑われたときの初動は、次の「ランサムウェアの初動」を見てください。下の障害対応の演習で、ランサムウェアの初動を体験できます。

ランサムウェアは、社内に広がるほど被害が大きくなります。最初の1時間は「広げない・証拠を消さない・知らせる」に集中します。

感染が疑われたら：端末をネットワークから隔離（EDR か、LAN ケーブル・Wi‑Fi を切る）し、電源は切らずに証拠を残す。使われたアカウントのパスワード変更とセッションの無効化。影響範囲を調べ、経営層・CSIRT に報告します。

身代金を払っても、復旧やデータの削除は保証されません。払うかどうかを現場で決めず、経営層と専門家、警察に相談します。

インシデント対応は、検知 → 初動（封じ込め） → 調査 → 復旧 → 報告・再発防止の流れで進めます。最初の数時間の判断と連絡で被害の大きさが変わるので、慌てないように手順と連絡先を前もって決めておきます。ランサムウェアの場合の具体的な初動は、マルウェア対策の項目と下の演習も見てください。

初動のチェックリスト

終わったら、原因・対応・時間の流れ・再発防止をまとめ、関係者で振り返ります（人を責めず、仕組みを直す）。

マルウェア対策（感染が疑われたら）

インシデントの調査は、残っているログが頼りです。ログは時間がたつと消えたり上書きされたりするので、気づいた時点ですぐに確保します。

• 消える前に書き出す：SaaS・IdP のログは見られる期間が限られ、端末のログは上書きされます。気づいたらすぐ、対象の期間（念のため広めに）のログを書き出します。
• 集めるもの：IdP のサインインのログ、メール（送受信・転送のルール）、Google Workspace / Microsoft 365 の監査ログ、EDR の記録、ファイアウォール・VPN・DNS のログ、AD の DC のイベントログ。
• 改ざんされない場所に：攻撃者が消せないよう、別のアカウントで管理するストレージに保存し、誰がいつ取ったかを記録します。
• 時刻をそろえる：機器の時計がずれていると流れを追えないので、ふだんから NTP で時刻を合わせ、ログのタイムゾーン（UTC か日本時間か）を確かめます。
• 端末の調査が要りそうなら、メモリやディスクの保全を専門家に頼みます。そのためにも電源を切らずに隔離します。

個人情報の漏えい（またはそのおそれ）が起き、法令で決められた条件に当たる場合は、個人情報保護委員会への報告と本人への通知が必要です。情シスは事実を集める役で、報告するかどうかは法務・個人情報の担当・経営層と一緒に判断します。

ほかにも、取引先（契約で報告の期限が決まっていることが多い）、警察、サイバー保険の保険会社、外部の専門家への連絡を判断します。連絡先と判断する人を、ふだんから手順書に書いておきます。

ログは、事故に早く気づくためと、起きたあとに何があったかを調べるために集めます。集めても見なければ役に立たないので、「何に気づきたいか」から決めます。

何のログを集めるか

保存期間は、規程・法令・調査に必要な長さで決めます（1年をひとつの目安にする会社が多い）。サービス側で見られる期間が短いものは、定期的に書き出して保管します。

SIEM（Security Information and Event Management）は、ばらばらのログを1か所に集め、検索・相関・アラートを行う仕組みです（Microsoft Sentinel・Splunk・Google Security Operations など）。「IdP で海外からログイン → 直後にメールの転送ルールを作成」のように、複数のログをつなげて初めて分かる攻撃に気づけます。

落とし穴：なんでも入れると費用（取り込む量で課金されることが多い）とアラートが増え、誰も見なくなります。まず上の表の重要なものから入れ、アラートは「見たら何をするか」が決まっているものだけにします。夜間・休日まで見る人がいなければ、監視を外部（MDR・SOC）に任せることも考えます。