第24回：準備が99％ インシデント発生時の行動【澤円の連載コラム】

こんにちは、澤です。

今回もセキュリティのお話。それも、インシデント発生時の行動について考えてみましょう。

ちなみに「インシデント」という言葉について。
セキュリティの世界では、事故やそのおそれのある出来事をまとめて「インシデント」と呼びます。要するに「なんかヤバいことが起きた（起きたかもしれない）」状態のことです。
被害が出ていなくてもインシデントと呼びますので、覚えておいてくださいね。

前回の記事では、「インシデントが発生した時、『怒られるかも知れない』と思うことで、隠す方向に動く」という話をしました。
これはまさに組織カルチャーの問題で、常日頃からの組織のコミュニケーションのあり方が問われます。
インシデントが起きる前から、いかにしてスムーズなコミュニケーションが取れるか、個人攻撃ではなく問題解決につながる言葉遣いができているかにかかっていると言っても過言ではないでしょう。
と言うことで、まずは普段のコミュニケーションにおいて気をつけていただきたい言葉があります。

「なんで？！」
です。

何か問題が起きた時
「なんでそうなったの？」
「なんで気をつけなかったの？」
「なんですぐ言わなかったの？」
こんな言葉がすぐ出てくる組織では、インシデント発生時に隠蔽する体質が確立しているかも知れません。
ビジネスにおいて「なんで」という思考は、確かに大事です。
売上が伸びたら、「なんで伸びたんだろう？」
売上が落ちたら、「なんで落ちたんだろう？」
お客様が喜んでくれたら、「なんで喜んでもらえたんだろう？」
逆にクレームが来たら、「なんでそうなったんだろう？」

この「なんで？」を繰り返すことで、偶然を再現可能な成功に変え、失敗を次への学びに変えることができます。

しかし、この「なんで？」が他人に向くと、それは鋭い矛先に化けるかも知れません。
だからこそ、最初の言葉を変えてみて欲しいんですよね。

「何があった？」

この問いかけをした途端に、人ではなく問題そのものに全員の思考が向きます。
「なんで変なメールをクリックしたんだよ！」
と問い詰めるのではなく
「そのメールには何が添付されてた？」
「そのメールの内容は何だった？」
「そのメールの送信元のドメインは何だった？」
こう訊けば、すぐに問題解決の方にあらゆる人の思考を向かわせることができます。

この言葉が咄嗟に出るようにするためには、日々のコミュニケーションで意識することが何より大事です。
インシデント発生時は、ついつい感情的になりがちなものです。
そんな時こそ、習慣づけられた言動が現れてきます。
「何があった？」が習慣になっていれば、その言葉が反射的に口に出るかも知れません。
是非普段から「何があった？」を口癖にしてください。

さて、実際にインシデントが起きた時、どのようなプロセスで解決すればいいのかについても是非みなさんには知っておいていただきましょう。
これは、セキュリティを生業にしている人間からしたらDNAレベルで刻み込まれてなければならない内容なのですが、一般の人にはあまり馴染みがないと思います。
全部を覚えなくてもいいので、時々この記事を思い出して見返してもらえると嬉しいです。

【サイバーアタック被害確認時の初動対応】
Step1:記録を始める（発見直後）
何を・いつ・誰が・どのように発見したかを時系列でメモに残します。
手が震えて書けないかも知れないので、同僚に手伝ってもらってもいいです。
この後のすべての判断と報告の土台になるので、初動の記録は超重要です。
スクリーンショットも忘れずに。スマホで写真を撮るだけでもOKです。

Step2:感染端末をネットワークから隔離する
LANケーブルを抜く、Wi-Fiを切るなどして、被害の拡大（横展開）を防ぎます。
ここで大事なのはパソコンなどの電源そのものは切らないこと。
電源を切ってしまうと、メモリ上に残っている攻撃の痕跡（フォレンジック証拠）が消えてしまうためです。
ネット接続だけを遮断します。
多くの現場でやりがちなミスなので、気をつけましょう。

Step3:社内の報告ルートに乗せる
情報システム部門・CSIRT・上長など、あらかじめ決められたエスカレーション先に即報告します。「様子を見てから」は禁物。
判断に迷う段階でも、まず一報を入れるのが鉄則です。
ただ、アタックを受けたパソコンから連絡すると感染広がるのでNGですよ。

Step4:被害範囲の初期把握
ここから先のステップは、社内のセキュリティ担当者とIT管理者の作業になってきます。
どのシステム・アカウント・データが影響を受けた可能性があるかをざっくり洗い出します。この段階では「完璧な調査」より「全体像の速報」が優先です。

Step5:認証情報の保護
侵害された可能性のあるアカウントのパスワード変更、セッションの強制ログアウト、必要に応じてアカウントの一時停止を行います。
特に管理者権限のアカウントは最優先です。

Step6:外部への報告・連絡の判断
被害の内容に応じて、以下への連絡を検討します。

●個人情報漏えいの可能性 → 個人情報保護委員会への報告（条件により義務）
●警察（サイバー犯罪相談窓口）
●IPA・JPCERT/CCなどの専門機関
●取引先・顧客（影響が及ぶ場合）

Step7:証拠の保全と専門家への相談
ログや端末の状態をそのまま保全し、フォレンジック調査の専門業者やセキュリティベンダーに相談します。
自己流で「掃除」してしまうと、原因究明も再発防止もできなくなります。

Step8:復旧は「原因特定後」に
焦ってシステムを戻すと、バックドアが残ったまま再発するケースが多いです。侵入経路を塞いでから復旧、が正しい順番です。

上記の8ステップを覚えていれば完璧なのですが、いきなり全部ってのは厳しいですよね。
ということで、今すぐにやっていただきたいことは「インシデント発生時の連絡先を知っておく」ことです。
Step1 と Step2 が自分でできれば素晴らしいのですが、パニックになってしまうとそういうわけにもいかないと思います。
どこに電話すればいいのか、メールを出せばいいのかを調べておきましょう。
そして、周囲にも助けてもらいながら、連絡を迅速にしましょう。
アタックを受けたあなたが悪いのではありません。アタックしてくるやつが悪いんです。

もしあなたがマネージャーやリーダーを務めている立場なのであれば、報告してきたメンバーに対して「よく報告してくれましたね、ありがとうございます」を一言目にしてください。
これで問題解決までの動きが一気にスムーズになりますので。

いかがでしたでしょうか？
とにかくネットの世界は安心安全とは程遠い世界です。
そんな修羅の世界で組織のIT環境を守ってくれるのは、人の言葉の力がとても大きいものです。
「何があった？」と声をかけられる人がいること。
これが組織を守る鍵になります。

▽最新情報をメールでお届け！メールマガジン（無料）にぜひご登録ください！
メルマガに登録して新着コラムを読む

最新のオフィス構築事例集です

オフィスに新しい価値を持たせるため、さまざまな工夫によってオフィスに進化させた5社の取組み事例を掲載しております。

ダウンロードはこちら