Ransomware Frontline Report
13. 役割別実践ガイド：同じ事実を、役割ごとの行動へ落とす
ランサムウェア対応では、全員に同じ教育をしても行動が揃わない。経営、業務責任者、インフラ、アプリ、クラウド、ヘルプデスク、調達、法務、広報、委託先には、それぞれ異なる決定と証拠が必要である。本章は、各役割が最低限持つべき責任境界を示す。
13.1 経営層・事業責任者
担うこと
- 守るべき業務と許容停止時間を決める。
- 例外・技術債務・復旧能力に伴う残存リスクを受容または是正する。
- 有事の意思決定権、予算、外部支援、対外説明の責任を明確にする。
- 演習結果と改善状況を継続的にレビューする。
毎四半期に受け取るべき報告
| 問い | 望ましい報告 |
|---|---|
| 最も重要な業務を戻せるか | 最新の復元演習日、実測時間、未解決の前提 |
| 最大の入口は何か | 未所有公開資産、期限超過の重大例外、是正計画 |
| 管理面は守られているか | 特権ID、緊急ID、委託先権限、MFA例外の推移 |
| 事案時に説明できるか | 連絡網・初報・法務・外部支援の演習結果 |
| 改善は止まっていないか | 期限超過の改善項目、受容済み残存リスク |
避けるべき指示
「絶対に止めるな」「身代金を払えばよい」「報道されるまで知らせるな」といった、技術・法務・事業継続の判断を短絡させる指示。代わりに「安全、顧客、法令、事業継続の優先順位を示し、確認済み事実で判断する」と定める。
13.2 業務部門・サービスオーナー
担うこと
- 何が止まると困るか、誰に影響するか、どの順に戻すかを明確にする。
- 手作業・代替サービス・優先顧客対応を現実的に設計する。
- 復旧したシステムが業務として使えるかを検収する。
- データの所有者として、保持・共有・外部提供の必要性を説明する。
実践質問
- 金曜夜に停止した場合、月曜朝まで何を手作業で維持できるか。
- 取引先や顧客へ、どの順番で、どのチャネルで状況を伝えるか。
- 復元されたデータが正しいと、誰がどの帳票・取引・残高で確認するか。
- 業務委託先が止まった場合、別の手順や優先順位はあるか。
13.3 インフラ・ネットワーク担当
担うこと
- 資産、到達性、ネットワーク境界、管理経路、DNS・証明書・時刻同期を管理する。
- 外部公開面、境界機器、リモートアクセスの更新とログを維持する。
- 侵害時にセグメント・接続を止める手順と業務影響を把握する。
- 復旧環境のネットワーク、名前解決、監視、管理経路を提供する。
実践チェック
13.4 IAM・クラウド担当
担うこと
- 人・サービス・特権・委託先・緊急IDのライフサイクルを管理する。
- MFA、条件付きアクセス、特権昇格、監査ログ、アプリ同意を設計する。
- クラウド設定変更とデータ共有を観測し、緊急時にセッション・権限を無効化する。
- ID基盤が疑われた際の信頼回復手順を、独立した根拠で用意する。
実践チェック
13.5 アプリケーション・データ担当
担うこと
- アプリケーション依存、データ分類、復旧順序、データ整合性を管理する。
- 秘密情報、サービスアカウント、API、外部連携の権限を最小化する。
- バックアップ・復元におけるアプリ固有の注意点を文書化し、演習に参加する。
- 外部共有・データ出力の監査可能性を確保する。
実践チェック
13.6 SOC・ヘルプデスク・CSIRT
担うこと
- 利用者からの報告と技術アラートを、重大度・資産・ID・業務影響でつなぐ。
- 事実・仮説・未確認を分け、対応タイムラインを維持する。
- 封じ込めの判断を、定められた権限で迅速に実行またはエスカレーションする。
- 事案後、検知・手順・連絡の改善を追跡する。
初報テンプレート
件名：［暫定／高］セキュリティ事象の確認開始
確認済み：時刻、対象ID・端末・サービス、観測した事実。
未確認：影響範囲、データ窃取、管理面・バックアップへの到達性。
実施済み：隔離・アカウント無効化・ログ保全等と、その業務影響。
次の判断：次回更新時刻、必要な承認、外部支援の要否。
初報は「原因の断定」ではない。不確実性を隠さずに、組織が必要な資源を動かせるようにする文書である。
13.7 調達・委託先管理
担うこと
- 重要な委託先・SaaSのデータ、権限、接続、通知、終了を契約・運用で追跡する。
- サプライヤーが侵害された場合の代替・共同対応の条件を整える。
- 安全性を一度の審査で固定せず、契約更新・重大変更・演習に反映する。
契約・運用の質問
- インシデントの定義、初期通知、継続報告、協力義務は明確か。
- ログ・証拠・影響範囲の共有を受けられるか。
- 再委託、データ所在地、アクセス権、保管期間を把握できるか。
- 契約終了後のデータ削除・アクセス無効化を検証できるか。
- 事業者停止時のデータ移行・代替サービス・優先連絡があるか。
13.8 法務・プライバシー・広報
担うこと
- 事実確認と対外説明の境界を保つ。
- 通知義務、契約、保全、制裁・法令、保険、捜査連携を整理する。
- 顧客・取引先・従業員・報道へのメッセージを、確認済み情報と更新予定で構成する。
- 後から説明できる決定記録を保全する。
避けるべき表現
- 「漏えいは絶対にない」：調査が完了していない段階では断定しない。
- 「すべて安全に復旧した」：復旧範囲・検証条件を示せないなら言わない。
- 「攻撃者はXである」：公式・捜査上の根拠がなければ帰属しない。
望ましい表現の型
「当社は、○月○日に○○の異常を認識し、影響を受けたシステムを隔離して調査・復旧を進めています。現時点で確認済みの事項は○○です。データへの影響は調査中であり、追加の事実が確認され次第、○月○日までに更新します。」
13.9 利用者全員
利用者は防御の最後の砦ではなく、早期発見の重要なセンサーである。求める行動は複雑にしない。
- 不審なメール、認証要求、ファイル、画面、電話を見たら、自己判断で処理を続けず報告する。
- パスワード、MFAコード、承認操作を他者の指示で渡さない。
- 想定外の支払変更、共有招待、アプリ同意、管理者要求は別経路で確認する。
- 端末が異常に遅い、ファイルが開けない、警告が出た場合は、必要に応じてネットワークを切り、窓口へ連絡する。
- 失敗や誤操作を隠さない。早い報告は被害を小さくする。
13.10 「人に教えられる」ための確認問題
問1
バックアップが毎晩成功している。なぜランサムウェア対策として十分とは言えないか。
回答の要点：バックアップ管理面が本番と同じID・ネットワーク・管理者に依存している可能性、暗号化や改変前の世代が残らない可能性、復元が業務として検証されていない可能性、ID・設定・鍵等の周辺要素が戻らない可能性があるため。
問2
MFAを導入した。なぜ特権IDの設計を別に考える必要があるか。
回答の要点：特権IDは到達可能な範囲が広く、例外・セッション・トークン・共有運用・緊急IDが残ると影響が大きい。日常IDとの分離、強い認証、時間制限、監査、専用管理端末を組み合わせる必要があるため。
問3
暗号化の痕跡がない。情報漏えい対応は不要か。
回答の要点：不要とは言えない。データ窃取のみの恐喝や、暗号化前の持出しがあり得る。攻撃者の主張だけで確定もしないため、アクセスログ、共有履歴、データ分類、外部調査を通じて確認する。
問4
最初に隔離すべきは何か。
回答の要点：固定の一答はない。安全・業務影響・証拠保全・攻撃拡大を評価し、侵害が疑われるID、端末、接続、管理面への到達を優先して判断する。全電源断のような一律対応は、証拠や業務に別の損害を与え得る。
問5
身代金を払えばよい、という提案の問題は何か。
回答の要点：復号、データ削除、再発防止を保証しない。法令・制裁・保険・捜査・契約・倫理・事業継続を含む経営判断であり、バックアップ・復旧計画の代替ではない。[S01]