「パソコンのファイルが急に開けなくなった」「取引先から、自社のアカウントによる不審なメールを受信したと連絡があった」。このようなとき、原因を調べ終わるまで報告を待ってはいけません。まず対象端末やアカウントを隔離し、経営者と外部IT業者へ連絡します。この記事では、事故発覚直後の初動、社内外への連絡順序、記録すべき事項を中小企業向けに整理します。
| サイバー攻撃や情報漏えいの疑いを見つけたら、原因の確定を待たず、対象端末やアカウントを隔離し、状態を記録して社内責任者と経営者へ報告します。その後、外部IT業者と影響範囲を確認し、必要に応じて警察、行政機関、取引先、本人へ連絡します。電源断や初期化は証拠を失うおそれがあるため、自己判断で行わないことが重要です。 |
サイバー攻撃・情報漏えいを疑う場面
- ファイルが突然暗号化され、開けなくなった
- 身に覚えのないログイン通知や多要素認証の要求が届いた
- 従業員のアカウントから不審なメールが送信された
- 顧客情報を含むメールを誤送信した
- USBメモリや業務用パソコンを紛失した
- クラウド上のファイルが外部公開されていた
- ホームページが改ざんされた
- ウイルス対策ソフトや監視サービスから警告が届いた
- 取引先や外部IT業者から不正アクセスの可能性を指摘された
- 社内システムやサーバーへ突然接続できなくなった
実際の漏えいが確定した場合だけが対応対象ではありません。漏えいの疑いや、被害につながる異常を発見した段階で、社内連絡と記録を開始します。
| 担当者「原因がまだ分からないので、もう少し調べてから報告した方がよいでしょうか」 |
| 社長「確定するまで待った方が混乱しないんじゃないか？」 |
| 担当者「被害を広げないため、疑いの段階で第一報を入れ、分かった内容を後から更新します」 |
発見直後に行う緊急初動
1．対象端末やアカウントを隔離する
目的：攻撃者による操作、ほかの端末への感染、外部への情報送信を止めることです。
不審な動作が発生しているパソコンは、LANケーブルを抜くかWi-Fi接続を切ります。方法が分からなければ、それ以上操作せず外部IT業者へ連絡してください。クラウドアカウントでは、管理者が対象アカウントの一時停止、サインインセッションの無効化、パスワード変更、不審な転送設定・メールルール・権限変更の確認を検討します。
- 発見者：端末の利用停止と第一報
- 総務・兼任IT担当者：対象者、端末、アカウントの特定
- 外部IT業者：隔離方法と影響範囲の確認
- 経営者：業務停止を伴う判断の承認
完了の目安は、対象端末がネットワークから切り離され、不正利用が疑われるアカウントを継続利用せず、実施日時・実施者・対象が記録されていることです。
2．電源断・初期化・削除の前に相談する
電源を切ったり初期化したりすると、原因調査に必要な情報が失われる場合があります。再起動、電源断、ウイルスやファイルの削除、OS初期化、バックアップからの上書き復元、ログ消去、通常業務への再利用は、外部IT業者や専門会社へ確認してから行います。ただし、発煙や異常発熱など物理的な危険がある場合は安全確保を優先してください。
3．発見時の状態を記録する
- 発見日時と発見者
- 対象端末・アカウント・システム
- 画面に表示されたメッセージ
- 直前に行った操作
- 開いたメール、添付ファイル、Webサイト
- 不審なログイン通知の内容
- 発見後に行った操作
- 社内外へ連絡した日時と相手
- 業務、顧客、取引先への影響
- スクリーンショットや写真の保存場所
記録は判明した内容を時系列で追記し、確認済みの事実と推測を分けて記載します。
社内の緊急連絡フロー
| 発見者 → 総務・兼任IT担当者・情報セキュリティ責任者 → 経営者 → 外部IT業者・クラウド事業者・専門会社 → 関係部門・法務・保険会社・取引先・行政機関 |
第一報に含める内容
| 発見日時： 発見者： 対象端末・アカウント： 発生していること： 画面に表示された内容： 直前に行った操作： 現在の対応： 顧客・取引先への影響： 折り返し連絡先： |
分からない項目は「不明」と記載し、後から追記します。
経営者が判断する事項
- 業務やシステムを一時停止するか
- 外部専門会社へ調査を依頼するか
- 顧客や取引先へ連絡するか
- Webサイト等で公表するか
- 問い合わせ窓口を設けるか
- 警察や行政機関へ相談・報告するか
- 復旧の優先順位
- 法務やサイバー保険会社へ連絡するか
| 社長「技術のことはIT業者へ全部任せればいいだろう」 |
| 担当者「調査は依頼できますが、業務停止や顧客への説明は会社側の判断が必要です」 |
| 社長「技術対応と経営判断を分けて考える必要があるんだな」 |
社外への連絡先と判断の目安
外部IT業者・保守会社
- 緊急対応の契約対象か
- 休日・夜間の連絡先
- 保存すべき端末とログ
- 停止すべきシステム
- 不正アクセス範囲を調査できるか
- 専門調査会社が必要か
- 調査報告書を作成できるか
調査範囲、作業内容、確認結果、未確認事項を記録として受け取ります。
JPCERT/CC・IPA
JPCERT/CCはインシデント初動対応や調査方針などの相談・対応依頼を受け付けています。IPAでは、情報セキュリティ安心相談窓口やウイルス・不正アクセスの届出窓口が案内されています。
参考：JPCERT/CC インシデント対応依頼 https://www.jpcert.or.jp/form/
参考：IPA 中小企業の情報セキュリティ対策ガイドライン https://www.ipa.go.jp/security/guide/sme/about.html
警察
不正アクセス、金銭要求、詐欺、不正送金、脅迫、内部不正、盗難など犯罪性が疑われる場合は、都道府県警察のサイバー犯罪相談窓口へ相談します。ログ、メール、端末を自己判断で削除せず、保存方法を確認してください。
個人情報保護委員会
個人データの漏えい等では、要配慮個人情報、財産的被害のおそれ、不正な目的で行われたおそれ、本人の数が1,000人を超える事態などで報告が必要になる可能性があります。漏えいのおそれがある場合も対象となることがあります。報告対象の場合、速報は速やかに、確報は原則30日以内、不正目的のおそれがある場合は60日以内とされています。実際の要否は公式窓口、所管省庁または弁護士へ確認してください。
参考：個人情報保護委員会 漏えい等の対応 https://www.ppc.go.jp/personalinfo/legal/leakAction/
顧客・取引先・委託元
- 預かり情報が影響を受けた可能性がある
- 相手のシステムへ被害が広がる可能性がある
- 自社アカウントから不審メールが送られた
- 契約で事故通知が定められている
- 相手側でパスワード変更や遮断が必要になる
第一報では確認済みの事実と未確認事項を分け、原因や漏えい範囲が未確定の段階で「漏えいはありません」と断定しません。
発生から復旧までの対応フロー
| 段階 | 主な対応 | 担当者 | 完了の目安 |
| 発見 | 利用停止、第一報、画面記録 | 発見者 | 責任者へ連絡済み |
| 初動 | 端末・アカウントの隔離 | 担当者、外部IT業者 | 被害拡大を抑制 |
| 体制構築 | 責任者、記録係、対外窓口を決定 | 経営者 | 役割と連絡手段が明確 |
| 調査 | ログ、端末、影響範囲の確認 | 外部IT業者、専門会社 | 確認済み・未確認を整理 |
| 報告判断 | 行政、警察、本人、取引先への連絡 | 経営者、法務、担当者 | 要否と期限を記録 |
| 復旧 | 修正、認証変更、復元、監視 | 外部IT業者、担当者 | 再侵入・再感染がない |
| 再発防止 | 原因分析、設定・教育の見直し | 経営者、担当者 | 対策、期限、責任者を決定 |
事象別の初動対応例
ランサムウェアやウイルス感染
- 対象端末の利用を停止
- ネットワークから切り離す
- 表示画面を記録
- 外付け媒体を自己判断で操作しない
- 責任者と外部IT業者へ連絡
- ほかの端末に同じ症状がないか確認
- バックアップを別環境で確認
メールの誤送信
- 送信日時、宛先、添付、本文を記録
- 責任者へ報告
- 送信取消機能を確認
- 誤送信先への削除依頼を判断
- 閲覧状況とパスワード有無を確認
- 個人データと対象人数を確認
- 報告義務・本人通知の要否を確認
クラウドアカウントの不正ログイン
- 対象アカウントの利用停止
- 管理者へ連絡
- セッション無効化と認証情報変更を検討
- ログイン履歴を保存
- 転送・受信ルール・権限変更を確認
- 同じパスワード利用先を確認
- 管理者・共有アカウントへの影響確認
パソコンやUSBメモリの紛失
- 最後の使用日時・場所を記録
- 責任者へ報告
- 遠隔ロックや無効化を検討
- 保存データを確認
- 暗号化・パスワード設定を確認
- 警察への届出を検討
- 個人情報漏えい等への該当を確認
よくある失敗
原因を確定してから報告する
第一報は暫定情報で構いません。調査を優先しすぎると被害拡大や外部報告の遅れにつながります。
感染端末を使い続ける
相談には別の安全な端末を使用します。
慌てて初期化する
初期化により原因調査の記録が消える場合があります。隔離と初期化は別の作業です。
担当者一人で対応する
経営判断、技術対応、記録を少なくとも分担します。
外部IT業者へ任せたままにする
作業内容、確認結果、未確認事項、復旧条件を書面で受け取ります。
全社員へ詳細を一斉送信する
未確認情報の拡散を防ぐため、共有範囲と対外窓口を限定します。
緊急初動・連絡フローチェックリスト
発見直後
□ 対象端末やアカウントの利用を止めた
□ ネットワークから隔離した
□ 電源断・初期化・削除を勝手に行っていない
□ 画面、発見日時、直前操作を記録した
社内連絡
□ 責任者へ連絡した
□ 経営者へ第一報を入れた
□ 対応責任者・技術担当・記録担当を決めた
□ 対外窓口を一本化した
外部連絡・調査
□ 外部IT業者へ連絡した
□ 保存すべきログと端末を確認した
□ 顧客・取引先・個人情報への影響を確認した
□ 警察・行政への相談、報告要否と期限を確認した
□ 契約上の通知義務と保険条件を確認した
復旧・再発防止
□ 原因と侵入経路を確認した
□ 影響範囲を整理した
□ 不審な権限・設定変更を確認した
□ 安全確認後に復旧した
□ 再発防止策の担当者と期限を決めた
よくある質問
小さな会社でも対応フローは必要ですか
必要です。「誰へ連絡するか」「誰が経営判断するか」「技術対応を誰へ依頼するか」を決めます。
漏えいしたか不明でも報告しますか
まず社内責任者と経営者へ報告します。外部報告は情報の種類、原因、人数、漏えいのおそれを確認して判断します。
感染したパソコンはすぐ電源を切りますか
一律に切らず、まずネットワークから隔離し、外部IT業者や専門家へ相談します。
外部IT業者へ任せれば社内対応は不要ですか
技術調査は依頼できますが、業務停止、顧客説明、行政報告、公表は会社側の判断です。
個人情報が1件なら報告不要ですか
件数だけでは判断できません。情報の種類や原因によって、少人数でも対象となる可能性があります。
まとめ
私が金融・データ・IT分野の業務を経験する中で重視してきたのは、問題が発生したときに「すべてを確認してから報告する」のではなく、現時点で分かっている事実を早く共有することです。
セキュリティ事故では、発見者が原因を突き止めようとして端末を操作し続けたり、正確な説明を準備しようとして報告が遅れたりすることがあります。しかし、初動段階で必要なのは完璧な調査結果ではありません。
まず、次の4点を共有できれば対応を始められます。
- いつ発見したか
- どの端末・アカウントで起きているか
- 何が表示・発生しているか
- 発見後に何を操作したか
また、技術対応と経営判断は分ける必要があります。外部IT業者は、端末の隔離やログ調査を支援できますが、業務を停止するか、顧客へ連絡するか、外部へ公表するかは会社側が判断します。
そのため、緊急連絡フローには担当者名だけでなく、「誰が技術対応を行うか」「誰が業務停止を決めるか」「誰が社外説明を行うか」まで記載しておくことが重要です。
