昨年もニュースで報道されていたように、企業からの情報漏洩事件が多く発生している状況が続いています。

　今回は、情報漏洩事件が起きてしまった時に、具体的にどんな影響があるのか、どう動くことになるのかを知っていただければと思います。あなたの会社にセキュリティインシデント（以下、インシデント）が起こってしまった時を想像して、万が一に備えるようにしてください。

１．インシデントによる被害

　直近の事件としては、動画配信サービス提供会社で身代金要求型マルウェア（ランサムウェア）を含めたサイバー攻撃による情報漏洩事件があり、株価下落率は20％超、前年度利益ベースで考えると15％もの特別損失を計上する事態となりました。

　JNSA（日本ネットワークセキュリティ協会）の調査レポートによれば、情報漏洩で被る被害額の平均は３千～４千万円という結果が出ており、場合によっては数億円という被害が出ることもあります。損害には直接的な対処に関わる事故対応損害のほか、賠償損害、利益損失、訴訟に関わる費用、企業の信用低下などの無形損害等があり、事故後は非常に厳しい企業経営を強いられることになります。

２．インシデント発生時の対応

　インシデント発生時の対応を、「(1) 検知・初動対応 → (2) 調査→ (3) 封じ込め→ (4) 復旧 → (5) 事後対応」と段階的に状況を分け、対応例を交えて説明していきます。

(1) 検知・初動対応

　インシデント発生の検知ですが、よくあるケースとして外部から「不正な通信が出ている」「御社に渡した個人情報が洩れている」などと連絡が来ます。連絡が来た時に気を付けなければいけないのは、管轄の警察署や公的機関へ「コールバック（かけ直し）」をして、情報の確からしさを確認することです。そうするのは、イタズラや偽の脅迫があるためです。

　情報漏洩が確実となってしまったら、速やかに組織関係者に連絡し、招集して緊急体制を取ります。落ち着いて行動することや、対策チームで動くために何をどこまでやったかの行動履歴（ログ）を取ること、報告形式などの緊急時の行動ルールを確認します。

　初動対応としては、速やかにインターネットを遮断するなど外部への情報漏洩を止める措置、マルウェア感染などの影響を受けた端末の隔離による被害拡大の防止、各種機器やシステムについてのログを保全し、スムーズな原因究明のための手がかりや犯罪の証拠（デジタルフォレンジックス）にすることが挙げられます。

(2) 調査

　外部への情報漏洩をひとまず止めた後は、漏洩した情報や影響を受けているシステムの範囲、原因、被害について調査をします。正確なログやシステムへの影響の調査などは高度なスキルを要しますので、専門の会社に調査を依頼して、漏洩した情報や影響を受けた範囲、漏洩の原因を明らかにします。中途半端な調査、不十分な対応で再開してしまうと漏洩が再発して、被害が拡大するので気を付けましょう。

　また、たとえばクレジットカード情報のような悪用が推測できる情報が漏洩した場合は、速報としてホームページでの公表や場合によっては記者会見などにより、外部関係者へ連絡して被害を最小限にするように対処します。

(3) 封じ込め

　調査により情報漏洩の原因や範囲が明らかになったら、次は原因に対して根本的に対応します。攻撃者に悪用されたセキュリティの弱点を塞いだり（機器設定等の是正）、情報を外部に漏洩させる攻撃者のプログラムを駆除したりするなど、再開したときに同じ事象が発生しないような対策を実施します。

(4) 復旧

　原因を取り除くことができたら、対応に漏れがないことを確認し、インターネットの再開やバックアップからのシステムの復旧などを行い、業務再開を進めていきます。

(5) 事後対応

　最後に、同様のインシデントを起こさないための再発防止策（日頃の監視や体制の見直しなど）を策定し、確報としてホームページでの公表などにより関係者へ一連の対応について報告します。また、ビジネス上の影響を受けた取引先への謝罪や損害賠償などに対応していきます。

　インシデントにはさまざまなパターンがありますが、IPA（情報処理推進機構）では『中小企業の情報セキュリティ対策ガイドライン』に含まれる『中小企業のためのセキュリティインシデント対応の手引き』という資料を用意していますので、こちらも参考に対応を検討するとよいでしょう。（https://www.ipa.go.jp/security/guide/sme/about.html）

３．インシデントへの備え

　万が一、インシデントが起こったとしても企業が事業を継続させるには、被害とその影響範囲を最小限に抑える必要があり、そのためには以下のような準備がとても重要です。

　このような準備を行うほかに、サイバー保険を契約することも有用です。

　インシデントを100％防ぐことは不可能ですが、事前に準備をしておけばスムーズに対応することができ、その結果として、被害や影響を小さくすることが可能になります。ですので、サイバーセキュリティは守る対策だけではなく、「備え（手順と訓練）」もしっかりしておきましょう。

ご案内

組織・人的セキュリティ対策特化型支援サービス「CYBER Healthcare」

https://www.sakura-is.co.jp/solution/ps-000-163.html

この記事はPDF形式でダウンロードできます

SMBCコンサルティングでは、法律・税務会計・労務人事制度など、経営に関するお役立ち情報「Netpress」を毎週発信しています。A4サイズ2ページ程にまとめているので、ちょっとした空き時間にお読みいただけます。

PDFはこちら