データの暗号化に気づいた時点では、事案は最終段階に達しています。IPAが公開した被害組織へのヒアリング調査では、意思決定の基準やプロセスの不備によって決定に時間を要した実態が記録されています。経営層と情報システム部門の認識共有や他部門を含めた役割分担など、平時の準備が事後対応の現場に直接影響しています。

この記事の要点

  • 暗号化の発覚時点で事案は最終段階にあり、二重脅迫への対処も含めて即座の経営判断に直面します。
  • 判断基準の不在や依存関係の未把握により、システムの停止判断に迷いが生じた事例が見られます。
  • 災害向けの手作業手順や台帳整備、安全な復元時点を特定するためのログ保存が実効的な備えになります。

発覚した時点で、対応の時間はほとんど残っていない

被害組織に対するヒアリング調査によると、何らかのデータが暗号化されてから被害に気づいた場合、事案発覚時において既にインシデントフェーズの最終段階となっており、対応の時間的猶予は限られています。侵入から暗号化に至るまでの活動が水面下で進行してしまっているため、発覚した直後から対応に残された時間は極めて短くなります。

さらに、二重脅迫のように、脅迫者が身代金支払いのために後追い的に窃取データの暴露脅迫といった揺さぶりをかけてくるケースが存在します。暗号化されたシステムの復旧作業と並行して、外部への情報流出という事態への対応を迫られ、組織全体の対応負荷は大幅に増大します。

こうした状況において、経営層と情報システム部門の間で、発生している事態やリスクについての認識共有と意思疎通が困難だったとする組織が多く見られました。技術的な状況や直面している脅威について平時から共通理解が形成されていない場合、危機発生時の意思疎通そのものが対応の大きな障壁となっています。

事態の全容が把握しきれない状況下で、業務中断や脅迫への対応、メディア対応といった重大な判断が次々と求められます。事前の想定や合意形成がないまま最終段階を迎えた組織では、限られた時間の中で関係者間の調整に追われ、初期対応の遅れにつながる傾向が記録されています。

経営者に向けた6つの教訓

教訓集の経営・リスク管理編では、初動から復旧までの判断に関する6つの教訓が提示されています。第一に、ランサムウェア事案対応には時間の猶予がなく、発覚直後から業務中断や脅迫への対応、メディア対応等における経営判断を迫られるため、経営者は事前に発生し得るリスクを認識し、緊急時に迅速な意思決定を行えるよう判断基準や意思決定プロセスをあらかじめ整備しておく教訓が挙げられています。

第二に、ITインシデントという特徴から情報システム部門に負荷が集中する傾向があるものの、ランサム事案は公表対応、法務対応、取引先対応、外部連携組織を含めた多方面の対応が必要となるため、経営者は事前に情報システム部門、総務部門、広報部門、法務部門、営業部門を含めて全社的に役割分担を明確にしておくことが示されています。第三に、ランサムウェア攻撃によるシステム停止は業務停止に直結し得るため、システムの停止・復旧の判断には事業部門の関与が必須であり、経営者は事前に情報システム部門と事業部門の協力のもとサイバー攻撃に対応した事業継続計画の策定を指示しておく点が挙げられています。

第四に、流出・暗号化されたデータの内容を後から特定するのはフォレンジック調査を行っても困難であることが多いため、経営者は事前にデータを管理する部署に向けて個人情報を含むデータの台帳を整備するよう指示しておく教訓が指摘されています。第五に、組織内の意識のずれが大きいと混乱を招き円滑な事案対応を阻害するため、経営者は情報発信や権限委譲等の工夫を凝らし、組織の意思統一やスピード感のある対応を実現することが挙げられています。

第六に、身代金を支払ってもデータの回復や暴露中止は保証されないという前提に立ち、経営者はこの前提で窃取されたデータがダークウェブ上で暴露されるリスクに備えつつ、データ及びシステムの復旧を図る備えが示されています。

判断に迷った場面は、判断基準がなかった場面だった

多くの被害組織において、意思決定のプロセスに不備があったり、判断基準がなかったために決定に時間を要するなど、準備が不十分だったとする状況が報告されています。平時には想定しない緊急時において、どのような基準に基づいて方針を決めるのかがあらかじめ定まっていない組織では、検討そのものに時間を費やす実態が見られました。

特に判断に迷いが生じた場面として、意図的にシステム構成要素の一部または全てを停止させるといった、平時では行わないオペレーションへの着手が挙げられています。システム間の依存関係が事前に把握できていないことにより、ある要素を停止させた際の影響範囲が判断できず、全面停止や切り離しの判断を躊躇するケースが生じていました。製造業においては、生産管理システムが停止すると、在庫があっても納品できない事態となった事例が報告されています。

一方で、ランサムウェア被害を認知した際に取るべき初動対応としては、インターネット経路の切断、感染箇所の切り離しが挙げられており、ネットワークからの切り離しは必須の対応とされています。被害の拡大を防ぐためには資料が必須の対応とする即座の切り離しについても、業務停止の影響範囲が予測できない状態では、現場での決断が遅れる要因となります。

システム間の依存関係を平時から把握しておくことや、緊急時における停止の判断基準をあらかじめ定めておく準備の有無が、初動の決定速度を左右する要因として観察されています。技術的な切り離し手順の確認とあわせて、どのような条件でシステム停止に踏み切るかという基準の整理が事前準備の課題となっています。

情報システム部門に対応が集中すると、復旧が止まる

中小規模程度の組織では、「ITインシデントだから情報システム部門で対応」となるケースが見られました。技術的な調査や切り離し作業だけでなく、経営層への報告、関係機関への届出、取引先対応についても情報システム部門中心になり、貴重な時間や人手が奪われることで、本来の事案対処に集中できなくなってしまう事態が発生しています。

限られた担当者の時間と人手が対外的な連絡や報告業務に奪われると、感染範囲の特定やシステムの復旧作業そのものが滞ることになります。各部門から情報システム部門に問合せや苦情が殺到すると現場の復旧作業が滞ることを懸念して、経営層がそうした直接の問合せを控えるよう指示したケースが複数見られました。

経営者の中には、対応の長期化に伴う業務過重や責任追及によって、情報システム部門の社員が離職してしまうことを懸念したと語る例もありました。インシデント対応を情報システム部門だけの問題とせず、他部門からの連絡窓口を整理するなど、過度な負荷集中を防ぐための配慮が現場の維持に関わっています。

こうした体制整備を活かせたと語った組織では、2回目の攻撃時であったり、近い状況を経験していたりと、過去の経験を活かせていたことが要因として挙げられていました。一度経験した事態を通じて、情報システム部門にすべての業務を集中させず、全社的な役割分担の必要性を認識していたことが対応の背景にあります。

平時に決めておく事項として読む

事業継続計画を事前に策定していた組織において、サイバー攻撃は想定していなかった場合であっても、自然災害時のシステム停止に備えて手作業での業務継続手順を整備していた組織では、ランサムウェア事案にも実効的に対応できていました。システムの停止原因が災害であれサイバー攻撃であれ、代替となる手作業手順が存在していれば、業務の継続において有効に機能することが示されています。

また、個人情報を含むデータの台帳をあらかじめ整備しておく指示も、平時に経営者が行える事項の一つです。顧客や取引先に対して「情報漏えいがなかったこと」を証明することは極めて困難であり、フォレンジック調査を行っても流出データの特定には困難が伴います。事前に作成された台帳が存在することが、影響範囲の把握や対外説明における判断の材料となります。

さらに、身代金の支払いに関しては、殆どすべてのヒアリング対象組織で、経営層が「身代金は払わない」という決断を早期に判断していました。支払ってもデータの回復や暴露中止が保証されない前提のもとで、不当な要求には応じず、データがダークウェブ上で暴露されるリスクに備えながら復旧作業を進める方針が一貫して取られています。

バックアップからの復元においては、汚染された可能性があるとシステム復旧に活用できません。少なくとも侵入開始時期よりも前の時点のバックアップは安全であることから、侵入開始時期を特定することの重要性は高く、必要なログを保存しておくことが安全な復元時点を判断するための前提となります。なお、本教訓集はあくまでランサムウェア被害組織に対するヒアリング調査の結果をベースとしており、近年のランサムウェア攻撃に即した事案対処の全体像やそれを推進するための包括的・体系的な方法論を示すものではない点に留意が必要です。

閉域AI・社内データ活用を相談する

閉域AI、社内データ活用、拠点間ネットワーク、音声・録音データ、クラウド接続など、AIを業務環境に組み込むためのインフラ構成についてご相談ください。

既存ネットワーク、PBX、データセンター、業務システムとの接続を前提に、実装しやすい構成を整理します。

要件を相談する