14. 最終チェックリスト：明日から始める十項目

1. 最重要業務を一つ選び、停止影響と復旧順序を業務責任者と記録する。
2. その業務に届く外部公開面、特権ID、委託先接続、バックアップ管理面を列挙する。
3. 所有者不明の公開資産と期限のない例外をゼロに近づける。
4. 特権IDを日常IDから分離し、MFAと操作ログを確認する。
5. 重要な境界機器、VPN、リモートアクセス、クラウド管理面の更新責任を決める。
6. バックアップを隔離環境へ復元し、業務検収まで実施する。
7. ID・端末・ネットワーク・クラウド・バックアップの重要ログを保全する。
8. インシデント初報、連絡網、隔離判断、外部支援を机上演習で試す。
9. 委託先の接続・権限・通知・終了手順を最重要先から確認する。
10. 演習や点検で出た課題に所有者・期限・検証方法を付け、完了まで追跡する。

この十項目は、脅威を完全に消すための約束ではない。侵害の成立条件を減らし、被害を早く見つけ、広がりを抑え、説明可能な形で業務を戻すための最小の出発点である。