サイバー攻撃を受けたら？担当者がまず取るべき初動対応と復旧手順

「サイバー攻撃を受けたかもしれない」という緊急事態では、パニックに陥らず冷静な初動対応をとることが被害拡大を防ぐ鍵となります。対応の遅れは、情報漏洩や事業停止といった深刻な事態を招き、企業の存続を揺るがしかねません。この記事では、サイバー攻撃発覚直後に行うべき具体的な手順、外部機関との連携、そして復旧から再発防止策までを順を追って解説します。

サイバー攻撃発覚後の初動対応フロー

ステップ1：被害の確認とネットワークからの隔離

サイバー攻撃が疑われる場合、被害拡大を防ぐため、影響を受けたシステムのネットワークからの隔離が最優先事項です。異常な通信やシステムの挙動を検知したら、直ちに該当する機器を物理的または論理的にネットワークから切り離します。この際、電源を切断するとメモリ上の攻撃の痕跡（揮発性データ）が失われるおそれがあるため、電源は入れたままネットワークのみを遮断するのが原則です。

ステップ2：証拠保全（ログやデータの確保）

ネットワーク隔離後、被害状況の正確な把握と、将来の法的措置や原因究明に備えるため、証拠保全を行います。証拠保全とは、攻撃の痕跡を示すログやデータなどの電磁的記録を、改ざんされないように確保する手続きです。システムを不用意に再起動すると重要な証拠が失われるため、現状を維持したまま専門的なツールで保全作業を進める必要があります。

ステップ3：社内報告とインシデント対応体制の構築

証拠保全と並行して、経営層への迅速な報告と全社的なインシデント対応体制の構築を進めます。サイバー攻撃は、事業停止や情報漏洩を通じて企業の財務や信用に直結する重大な経営課題です。発見者は定められた報告ルートに従い、速やかに情報システム部門やセキュリティ担当部署へ報告し、そこから経営陣へ状況をエスカレーションします。経営トップの指揮のもと、法務、広報、人事など関連部門を含めた横断的な対応チームを組織し、役割分担を明確にして一貫した危機対応を行います。

ステップ4：外部関係者への初期連絡

社内体制が整い次第、被害の影響が及ぶ可能性のある外部の利害関係者（ステークホルダー）へ速やかに初期連絡を行います。サプライチェーンを通じて取引先や顧客に被害が波及するリスクがあるためです。連絡が遅れると、取引先からの信用を失い、損害賠償請求などの法的トラブルに発展するおそれがあります。透明性のある情報開示と迅速な連絡は、企業の社会的責任を果たす上で不可欠です。

攻撃の種類別：具体的な対処法

ランサムウェアに感染した場合

ランサムウェア感染時は、感染範囲の特定とバックアップデータの保護を最優先します。ランサムウェアはデータを暗号化して身代金を要求するマルウェアであり、ネットワークを通じて他のシステムにも感染を広げます。攻撃者はバックアップデータも標的にするため、その安全性を直ちに確認し、隔離する必要があります。身代金を支払ってもデータが復元される保証はなく、犯罪組織への資金提供とみなされるリスクもあるため、支払いは原則として避けるべきです。

不正アクセス・乗っ取りが発覚した場合

不正アクセスやアカウント乗っ取りが判明した場合、侵入経路の遮断と不正利用された権限の無効化を直ちに行います。攻撃者は脆弱性や窃取した認証情報を悪用してシステムに侵入し、機密情報を盗み出したり、バックドア（不正な侵入口）を仕掛けたりします。侵入の根本原因を特定し、セキュリティ対策を施した上でシステムを復旧させることが二次被害を防ぐ鍵となります。

情報漏洩が疑われる場合

個人情報や機密情報の漏洩が疑われる場合は、事実関係の調査と影響を受ける対象者への通知を迅速に進めます。情報漏洩は外部からの攻撃だけでなく、内部の不正や設定ミスによっても発生します。特に個人情報が漏洩した場合、個人情報保護法に基づき、個人情報保護委員会への報告と本人への通知が義務付けられています。正確な被害状況の把握と誠実な対外対応が、企業の信頼を維持するために重要です。

外部専門機関への相談と連携

警察（サイバー犯罪相談窓口）

不正アクセスやランサムウェア被害など犯罪性が明らかな場合は、速やかに各都道府県警察のサイバー犯罪相談窓口へ通報します。警察へ相談することで、専門的な助言や捜査協力を得られるほか、他社での類似被害など、警察が持つ情報を得られる可能性があります。被害届の提出は法的手続きの第一歩であり、企業の社会的責任を示す上でも重要な対応です。相談の際は、確保したログやスクリーンショットなどの証拠資料を準備しておくとスムーズです。

IPA・JPCERT/CC

技術的な助言や被害拡大防止の支援が必要な場合は、IPA（独立行政法人情報処理推進機構）やJPCERT/CC（一般社団法人JPCERTコーディネーションセンター）などの公的機関への相談が有効です。これらの機関は、サイバーセキュリティに関する高度な知見を持ち、インシデント対応に関する中立的な立場からのアドバイスを提供しています。特にIPAの「情報セキュリティ安心相談窓口」では、初動対応に関する技術的な相談を無償で行えます。

セキュリティ専門企業（調査・復旧支援）

自社のみでの対応が困難な場合は、セキュリティ専門企業へ調査や復旧支援を依頼します。専門企業は、高度な技術を用いて攻撃の痕跡を分析するデジタルフォレンジック調査を行い、侵入経路や被害の全容を解明します。また、システムに残存する脅威の完全な駆除や、安全な環境の再構築、再発防止策の立案まで、総合的な支援を提供します。インシデント発生直後から専門家と連携することが、迅速な事態収拾につながります。

サイバー保険会社への報告と連携のポイント

サイバー保険に加入している場合、インシデント覚知後、直ちに保険会社へ報告することが極めて重要です。保険契約によっては、保険会社への事前報告なしに調査や復旧作業を進めると、その費用が補償の対象外となるケースがあるためです。保険会社に連絡することで、補償内容の確認だけでなく、提携する専門調査会社や弁護士の紹介を受けられる場合もあります。保険金を請求する際に必要となるため、インシデント対応にかかった費用や経緯に関する記録は、漏れなく保管しておきましょう。

復旧と業務再開までのプロセス

復旧計画の策定と優先度の決定

システムの復旧は、事前に策定された事業継続計画（BCP）に基づき、事業への影響度を踏まえた復旧計画を策定してから着手します。全システムの同時復旧は非現実的なため、中核事業を支える重要システムから優先的に復旧させるのが一般的です。どのシステムを、いつまでに、どのレベルまで回復させるかという目標（目標復旧時間・目標復旧時点）を明確にし、具体的な作業スケジュールを立てます。

システムのクリーンアップとデータ検証

復旧計画に基づき、影響を受けたシステム環境の完全な無害化（クリーンアップ）と、リストアに用いるバックアップデータの検証を行います。攻撃者が仕掛けたバックドアなどを残したまま復旧すると、被害が再発する危険性が高いためです。感染した端末は初期化し、OSやアプリケーションをクリーンな状態から再インストールします。バックアップデータも、マルウェアが潜んでいないか、データが破損していないかを厳密に検証した上で復元作業を進めます。

業務再開の判断基準：事業継続とリスク受容のバランス

業務の再開は、セキュリティ上の脅威が排除され、残存するリスクが許容できる水準まで低減されたと経営陣が判断した時点で行います。リスクが完全にゼロになるまで事業を停止し続けることは現実的ではありません。事業停止による経済的損失と、業務再開に伴う潜在的なリスクを比較衡量し、監視体制の強化などの緩和策を講じた上で、経営判断として再開を決定します。

恒久的な対策で再発を防ぐ

技術的セキュリティ対策の再点検・強化

インシデントの根本原因を分析し、同様の攻撃を防ぐために技術的なセキュリティ対策を再点検・強化します。インシデントの教訓を活かし、組織全体のサイバーレジリエンス（回復力）を高めることが目的です。

全従業員へのセキュリティ教育の徹底

技術的な対策と同時に、全従業員を対象としたセキュリティ教育を徹底し、組織全体のセキュリティリテラシーを向上させます。従業員一人ひとりが「組織を守る最前線」であるという意識を持つことが、人為的なミスによるインシデントを防ぐ上で不可欠です。

インシデント対応計画（IRP）の見直し

今回のインシデント対応プロセス全体を振り返り、課題や反省点を洗い出してインシデント対応計画（IRP: Incident Response Plan）を改訂します。計画は一度作って終わりではなく、実際の経験を通じて得られた知見を反映し、継続的に改善していくことが重要です。改訂した計画が実用的であるかを確認するため、定期的な机上演習や訓練を実施し、対応体制の実効性を検証するサイクルを構築します。

よくある質問

ランサムウェアの身代金は支払うべきか？

原則として、身代金を支払うべきではありません。支払いに応じても、データが復元される保証はなく、反社会的な攻撃者グループの活動を資金面で支援することになるためです。また、支払い行為が外国の制裁関連法令に抵触するリスクも指摘されています。専門機関に相談し、安全なバックアップからの復旧を最優先に検討してください。

顧客・取引先への公表は必要か？

情報漏洩の有無や事業への影響度に応じて、適切なタイミングでの公表が必要です。特に個人情報が漏洩した場合、個人情報保護法に基づき、監督官庁への報告と本人への通知が義務付けられています。また、取引先に被害が及ぶ可能性がある場合は、企業の社会的責任として、二次被害を防ぐためにも透明性のある情報開示が求められます。

社内に専門担当者がいない場合の相談先は？

自社にセキュリティ専門家がいない場合は、外部の専門機関へ速やかに相談することが重要です。

サイバー保険の補償範囲は？

サイバー保険は、主に自社が被る「第一者損害」と、第三者への賠償責任に関する「第三者損害」を補償します。ただし、具体的な補償範囲は保険契約によって異なるため、個別の契約内容を確認する必要があります。

まとめ：サイバー攻撃の被害を最小化する初動対応と備え

サイバー攻撃が発覚した際は、まず「ネットワークからの隔離」と「証拠保全」を徹底し、被害拡大を防ぐ初動対応が極めて重要です。同時に、経営層へ迅速に報告し、法務や広報を含む全社的な対応体制を構築することで、組織として一貫した行動をとることができます。自社のみでの対応には限界があるため、警察やIPA、セキュリティ専門企業といった外部機関へ早期に相談し、専門的な知見を活用することが事態の迅速な収拾につながります。インシデントの収束後は、根本原因を分析して技術的対策を強化するとともに、インシデント対応計画（IRP）を見直し、全社的なセキュリティ教育を徹底することが再発防止の鍵となります。本記事で解説した内容は一般的な対応策であり、実際の状況は個々のケースで異なりますので、必ず弁護士やセキュリティ専門家の助言を仰いでください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ