補遺D　意思決定資料：よくある難問を分解する

この補遺は、現場で判断が割れやすい論点を、事実、判断基準、避けるべき短絡の順に整理する。個別組織の法務・保険・契約・規制判断を置き換えるものではない。

D.1 「全社ネットワークを止めるべきか」

事実として集める情報

• 異常は単一端末か、複数のセグメントか。
• 侵害が疑われるIDは、どの管理面・業務システムにアクセスでき、何を操作できるか。
• 異常な認証、権限変更、外部通信、データアクセス、保護停止が続いているか。
• 事業停止により、安全、患者・利用者、契約、社会サービスにどんな直近影響が出るか。
• 部分隔離、特定IDの停止、外部公開停止、管理経路遮断でどこまで拡大を止められるか。

判断基準

全面停止は拡大を止め得る一方、重要業務・証拠・復旧を損なうことがある。部分隔離は業務を残せる一方、攻撃者の移動を許すおそれがある。正解を事前に一つに固定するのではなく、資産の重要度、到達経路、権限、代替業務、専門家の助言で段階的に決める。

避けるべき短絡

• 「端末一台だから大丈夫」：IDや管理面を確認しないまま範囲を狭める。
• 「証拠が必要だから止めない」：実害拡大を放置する。
• 「止めれば安全」：侵害済みのID、バックアップ、クラウド管理面を見ない。

D.2 「どのバックアップを戻すべきか」

事実として集める情報

• 最初の侵害兆候、異常認証、設定変更、データ操作の時刻。
• 各世代のバックアップ作成時刻、保持状態、変更履歴、管理ログ。
• 復元先の環境が本番侵害から分離されているか。
• 復元後に必要なID、証明書、DNS、鍵、ライセンス、外部連携。
• データを失う場合の業務補正手順と許容範囲。

判断基準

最も新しいバックアップが最も安全とは限らない。侵害や改変がいつ始まったか、バックアップ管理面が疑われるか、復元後に検証できるかを合わせて選ぶ。復旧点は技術担当だけで選ばず、失われる業務データの意味を業務責任者と確認する。

避けるべき短絡

• 「ジョブ成功だから健全」：復元・整合性・削除履歴を確認しない。
• 「古ければ安全」：業務が戻せないほどデータを失う影響を無視する。
• 「本番へ戻してから考える」：再侵入・改変・未検証データを持ち込む。

D.3 「データが盗まれたか、どう判断するか」

事実として集める情報

• 重要データの所在、分類、通常のアクセス・共有経路。
• 異常なアカウント、権限、検索、圧縮、共有設定、外部転送の記録。
• クラウド・SaaS・委託先・プロキシ・ネットワークの監査ログ。
• 攻撃者が提示したサンプルの真偽、公開情報との一致、時刻。
• ログ欠損、調査不能な領域、保全済み証拠。

判断基準

データ窃取は、暗号化有無だけで判定できない。反対に、攻撃者の主張やサンプルだけで、全範囲の漏えいを確定してはならない。確認済み範囲、合理的に疑われる範囲、未確認範囲を明記し、法務・プライバシー・契約の要件と照合する。

避けるべき短絡

• 「リークサイトにないから安全」：掲載しない恐喝、未掲載期間、別経路を無視する。
• 「外部通信がないから安全」：正規SaaS・委託先・暗号化通信を無視する。
• 「ログがないから漏えいなし」：観測不能と無発生を混同する。

D.4 「復旧済みと発表してよいか」

最低限の確認

「全復旧」は強い言葉である。実際には、限定再開、重要業務復旧、通常運用復帰、調査完了、再発防止完了は別々のマイルストーンになり得る。事実に合う言葉を選ぶ。

D.5 「攻撃者に連絡するか」

攻撃者との連絡は、技術的な問題だけではない。証拠保全、法務・制裁、保険、捜査機関、被害組織の安全、交渉の専門性、対外説明と関係する。CISAは支払いが復旧を保証しないこと、関係機関との連携を検討することを示す。[S01]

このため平時に、誰が連絡権限を持つか、どの情報を渡してよいか、記録をどう保全するか、外部専門家・法務・保険・捜査機関へどうエスカレーションするかを決める。現場の技術者が善意で独自に連絡を始める構造は避ける。