8. ランサムウェアを人に伝える方法

8.1 三分で説明する台本

ランサムウェアは、PCを暗号化するウイルスというより、会社の業務停止と情報公開を材料に金銭を要求する犯罪の運用です。攻撃者はメール、認証情報、公開機器、委託先接続などから入る可能性があり、入った後に管理者権限、サーバー、バックアップ、クラウドを調べます。暗号化の前にデータを持ち出す場合もあるため、バックアップだけでは十分ではありません。

守る順番は、外部に見えている資産を把握し、IDと管理者権限を強くし、端末・サーバーを更新・監視し、ネットワークとバックアップを分離し、実際に業務を戻す訓練をすることです。もし起きたら、感染PCの対応だけでなく、ID、データ、取引先、事業継続、法務・広報を同時に扱います。支払いは復旧を保証しないため、平時の復旧能力を持つことが最も重要です。

8.2 経営層に説明する五つの質問

1. 最も止められない業務は何か。何時間止まると誰にどんな影響が出るか。
2. その業務に必要なID、データ、外部サービス、委託先、バックアップは何か。
3. それらを一つの管理者IDや一つの端末で同時に失う構造になっていないか。
4. 今週末に暗号化・データ窃取が疑われたら、誰が止め、誰が調べ、誰が説明するか。
5. 一つの重要業務を、侵害されていない根拠を持って何時間で戻せるか。

8.3 エンジニアに説明する五つの質問

1. 外部公開資産と所有者を、今日の状態で列挙できるか。
2. 特権ID、サービスID、緊急ID、委託先IDを区別し、認証とログを確認できるか。
3. バックアップの削除・改変に、本番と同じ権限で到達できないか。
4. ID、端末、クラウド、ネットワーク、バックアップのログを同じ時刻基準で相関できるか。
5. 復旧手順を、作成者以外が隔離環境で実行し、業務検収まで終えたことがあるか。