Ransomware Frontline Report

補遺F　ファクトチェックの方法

V2 | 日本語版 | Full Report

F.1 事件記述の三層

層	例	本書での扱い
被害組織・政府の公式開示	停止、隔離、通知、公式に確認したデータ影響	事実として記載可能。
捜査・政府機関の共同勧告	特定グループの確認済みTTP、被害範囲	出典と対象範囲を併記して記載。
報道・攻撃者主張・二次分析	侵入経路、支払額、帰属、リーク主張	補助情報。公式裏付けなしには断定しない。

F.2 事件を記述するときの三つの層

インシデントを記録・説明するときは、確認できた事実、そこから導いた判断・分析、まだ確認できていない事項や見通しを分けて扱う。これらを混在させると、推測が確認済み事実として扱われたり、後から判断の根拠を検証できなくなったりする。

層	何を記述するか	記述上の注意
確認できた事実	ログ、設定、観測結果、公式発表などから確認できる事項	推測や評価を混ぜず、確認した時点と根拠を残す
判断・分析	確認済みの事実を基にした評価、解釈、対応上の判断	根拠となる事実と、判断時点での確度を分かるようにする
未確認・見通し	まだ確認できていない事項、調査中の仮説、今後確認すべき点	事実として断定せず、何が未確認かと次の確認方法を明示する

「分かっていること」と「そう考えていること」と「まだ分からないこと」を分けて残すことは、技術調査だけでなく、経営判断、法務対応、対外説明の一貫性を保つうえでも重要である。

F.3 数字の扱い

IC3の苦情件数・損失額、DBIRの割合、IPAの順位は、いずれも有用だが異なる母集団・定義・期間を持つ。たとえばIC3の損失額は届出に含まれた調整後損失であり、全世界の被害総額、身代金総額、復旧費総額を意味しない。[S02][S12][S13] DBIRの割合は分析標本の侵害に関する指標であり、あらゆる企業の発生確率ではない。[S03][S04]

数字は「重要でない」という結論を否定する強い材料にはなるが、「当社は何円損する」「来年は何件起きる」という精密な予測には使わない。

F.4 更新時の手順

調査基準日を更新する。
2026年版DBIRなど新しい年次資料の定義・母数・公開日を原文で再確認する。
既存の統計と比較する場合、同じ定義かを確認する。
事件の新情報は、被害組織・政府・捜査機関の一次資料を優先する。
新しい脅威名を本文へ追加する前に、既存の防御原則と重複しないかを確認する。
出典台帳に資料、確認事実、限界、参照箇所を追加する。

この手順により、流行したニュースをただ追加して報告書を肥大化させず、事実・定義・実務価値を維持できる。