利用しているクラウドサービスや業務委託先でセキュリティ事故が起きると、自社のシステムが直接侵害されていなくても、顧客情報や日常業務に影響することがあります。

委託先から第一報を受けた段階では、原因や影響範囲が確定していない場合もあります。届いた内容をそのまま社外へ転送せず、自社に関係する範囲と、次の情報が届く予定を確認してください。

第一報で確認したい項目

自社への影響を判断するため、委託先には次の内容を確認してください。分からない項目がある場合は、回答できる時期と次回の連絡予定も確認します。

• 事故を検知した日時と、影響が始まった可能性がある期間
• 対象となるサービス、システム、データ
• 自社の個人データや機密情報が含まれている可能性
• 停止している機能と、利用できる代替手段
• すでに行った封じ込めと、今後の調査予定
• 自社側に求められている操作やサービスの利用停止

連絡を受けた担当者だけで情報を抱えず、影響に応じて情報システム、法務・個人情報保護、広報、顧客対応などの担当部署へ共有してください。委託先とのメールや会議資料に加え、連絡を受けた時刻と社内で判断した内容も残します。

自社側の接続状況も確認してください

委託先のサービスと自社のシステムが連携している場合は、接続に使用しているアカウントやAPIキー、自社側のログに異常がないか確認してください。委託先で使用している認証情報が、ほかのサービスでも使われていないか確認することも必要です。

認証情報の変更やサービスの停止を急ぐと、調査や業務へ影響する場合があります。緊急性と調査への影響を委託先と確認し、対応の順番を決めてください。

個人データと契約上の役割を確認してください

個人データが関係する場合は、個人情報保護委員会への報告や本人への通知が必要になることがあります。「委託先が対応する」と決めつけず、データの取扱いと契約関係を確認し、自社が担う対応を判断してください。

事故が起きてから役割を決めようとすると、顧客対応や復旧が遅れることがあります。平時から、事故の連絡期限と連絡先、ログや調査結果の共有方法、再委託先で事故が起きた場合の扱いを契約で確認しておくことが大切です。復旧や顧客対応、費用負担、契約終了時のデータ削除・返却についても確認しておくと、緊急時の判断がしやすくなります。

関連リンク

• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• IPA「中小企業の情報セキュリティ対策ガイドライン」
• IPA「中小企業のためのセキュリティインシデント対応の手引き」

メールの誤送信、端末の紛失、不正アクセスなどによって個人情報が外部へ漏れた可能性がある場合は、事実が確定するまで待たず、社内の責任者へ報告してください。

発覚直後は、確認できた事実と、まだ確認できていない内容が混在しやすい状況です。推測で説明せず、分かっている範囲を記録しながら、被害の拡大を防ぐための対応を進めます。

発覚時の状況を記録してください

その後の調査や報告では、いつ、どのような経緯で、どの情報に影響した可能性があるかを確認します。発見時には、次の内容を分かる範囲で記録してください。

• 発覚した日時、発見者、発生した経緯
• 関係するシステム、端末、記憶媒体
• 漏えいした可能性がある情報の種類と人数
• 要配慮個人情報、認証情報、決済情報が含まれる可能性
• 第三者による取得や不正利用の可能性
• アクセス停止や誤送信先への削除依頼など、すでに行った対応

紛失した端末の遠隔ロックや、誤送信先への削除依頼が必要な場合は、社内規程と利用しているサービスの手順に沿って対応してください。調査に必要となるメールやアクセスログは削除せず、保存場所と保存期間を確認します。

報告と本人通知の要否を確認してください

個人情報保護委員会は、個人の権利利益を害するおそれがある漏えい等について、委員会への報告と本人への通知が必要になる場合を示しています。要配慮個人情報を含む場合、不正利用や財産的被害のおそれがある場合、一定規模を超える場合などが対象になり得ます。

必要な報告の時期や通知内容は、事案によって異なります。原因の確定を待つことで連絡が遅れないよう、社内の個人情報保護・法務担当者と、個人情報保護委員会の最新案内を早めに確認してください。

委託先で起きた事故も確認が必要です

個人データを預けている委託先やクラウドサービスで事故が起きた場合も、自社の顧客や従業員の情報が影響を受ける可能性があります。調査、行政への報告、本人対応を誰が担当するのか、契約内容と社内規程を確認してください。

問い合わせを受ける可能性がある場合は、社内の窓口と回答方法を決めます。確認できていない内容を断定せず、判明した事実と今後の連絡予定を分けて案内してください。

関連リンク

• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
• IPA「中小企業のためのセキュリティインシデント対応の手引き」

見覚えのない管理者アカウントや設定変更、不審なログイン通知、Webサイトの改ざんが見つかった場合は、外部から不正にアクセスされた可能性があります。

早く元の状態へ戻そうとしてデータを消去すると、侵入経路や影響範囲を調べるための情報まで失われることがあります。設定を変更したり初期化したりする前に、発見時の状態を記録してください。

発見時の状態を記録してください

画面の表示と管理画面のログは、できるだけ元の状態を保ったまま保存します。社内の責任者や保守事業者へ連絡する際には、次の情報があると状況を伝えやすくなります。

• 異常を発見した日時、発見者、対象のシステム
• 不審なIPアドレス、ログイン履歴、権限や設定の変更
• 改ざんされたURL、ファイル名、表示画面の画像
• クラウド事業者や保守事業者へ連絡した内容と時刻
• 影響する可能性がある個人データや取引先情報

公開サイトが改ざんされた場合は、Webサイトの管理画面だけでなく、サーバー、DNS、CDN、委託先の環境が関係している可能性もあります。目に見える表示の変化と、管理者権限や設定の変更履歴を分けて確認してください。

認証情報と外部連携も確認してください

パスワードを変更する場合は、同時にログイン中のセッション、管理者権限、APIキー、連携アプリ、多要素認証の設定も確認してください。古いソフトウェアの脆弱性や過剰な権限が侵入経路になっている場合、パスワードの変更だけでは再侵入を防げません。

サービスを停止したり認証情報を変更したりすると、調査に影響することがあります。緊急性を確認したうえで、社内の担当者や保守事業者と対応の順番を決めてください。

個人データへの影響を確認してください

個人データが漏えいした、または漏えいしたおそれがある場合は、個人情報保護委員会への報告や本人への通知が必要になることがあります。関係するデータの内容、不正利用のおそれ、対象となる人数を確認し、社内の個人情報保護・法務担当者と最新の公的資料に沿って判断してください。

安全を確認してから復旧してください

復旧前には、OS、CMS、プラグイン、ネットワーク機器の更新状況を確認してください。不要な管理者アカウントや過剰な権限を見直し、多要素認証を設定します。バックアップを利用する場合も、侵入前の安全なデータか、復旧後に同じ問題が再発しないかを確認してから接続してください。

復旧後も、しばらくは不審なログインや設定変更がないか監視を続けます。必要なログを一定期間保存できるよう、保存期間や監視方法も見直してください。

関連リンク

• IPA「被害に遭ったら」
• IPA「安全なウェブサイトの運用管理に向けての20ヶ条」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」

ファイルが突然開けなくなった、見覚えのない拡張子へ変わった、身代金を要求する画面が表示された。このような異常が見つかった場合は、ランサムウェアに感染している可能性があります。

感染した端末をそのまま使い続けると、社内の共有フォルダーや接続中の機器へ被害が広がるおそれがあります。異常に気付いた時点で作業を止め、端末をネットワークから切り離してください。

端末をネットワークから切り離してください

有線LANを利用している場合はLANケーブルを抜き、無線LANを利用している場合はWi-Fiを切断してください。ほかの端末や共有フォルダーへのアクセスは避け、社内の責任者や情報システム担当者へ連絡します。

警察庁は、調査に必要なログなどが失われる場合があるため、感染が疑われる端末やネットワーク機器の電源を落とさないよう案内しています。社内の対応手順や保守事業者から別の指示を受けている場合は、その指示に従ってください。

発見時の状況を記録してください

表示された画面や発見時の状況は、その後の影響調査や復旧方法を検討する手掛かりになります。可能な範囲で、次の内容を記録してください。

• 異常に気付いた日時、端末名、利用者
• 身代金要求やエラー画面の写真
• 開けなくなったファイルや共有フォルダー
• 異常の直前に開いたメール、ファイル、USBメモリ
• 端末をネットワークから切り離した時刻と対応者

画面を保存するために、感染が疑われる端末へ新しいUSBメモリを接続するのは避けてください。スマートフォンなど別の機器で画面を撮影すると、端末へ新たな操作を加えずに記録を残せます。

復旧は関係者と相談して進めてください

暗号化されたファイルの削除や端末の初期化を急ぐと、侵入経路や影響範囲を調べるための情報を失うことがあります。安全を確認していないバックアップを接続すると、バックアップ側まで被害が広がる可能性もあります。

復旧方法は現場の担当者だけで決めず、社内の責任者、情報システム担当者、経営層、保守事業者などと相談してください。警察庁は、身代金を支払ってもデータが元に戻る保証はないと案内しています。判断が難しい場合は、警察やIPAの相談窓口、セキュリティの専門事業者へ相談できます。

関連リンク

• 警察庁「ランサムウェア被害防止対策」
• IPA「ランサムウェア対策特設ページ」
• IPA「サイバーセキュリティ相談・届出窓口一覧」