1つ目は証跡の消失だ。端末の画面に身代金要求が表示された際、慌てて電源を落としたり端末を初期化したりするケースが散見される。二次被害を防ぐためにLANケーブルを抜いてネットワークから隔離する判断は正しいが、電源を切ってしまうと揮発性メモリやシステムログなどの重要な証跡が消え、後からの原因調査ができなくなる。

　2つ目は、原因を特定しないままの性急な再稼働だ。「前日のバックアップがあるから」と急いでリストアして業務を再開させても、侵入経路がふさがれていなければ、攻撃者がネットワーク内に潜伏したまま再び暗号化を実行する。原因究明前に再稼働しても、被害を繰り返すだけだ。

　3つ目が、情シスによる問題の抱え込みだ。セキュリティ人材が限られる中小企業において、未知のインシデントを自社リソースだけで収拾するのは現実的ではない。初動の段階から外部の専門家やセキュリティベンダーに協力を要請して、共同で初動方針を固める体制が不可欠だ。

「動いた」は復旧ではない　復旧宣言に欠かせない3つの根拠

福田俊介氏（トレンドマイクロ 執行役員 コマーシャルマーケティング本部長 エバンジェリスト 兼 スレット&プロダクトマーケティング部 部長）

　「バックアップからシステムを再稼働させた。問題なく動いているようだ」――。しかし、それは「復旧」とは呼べない。侵入口や根本原因が未特定のままでは再発リスクが残り、取引先や顧客に対してシステムの安全性を客観的に説明できないからだ。社内外に胸を張って復旧宣言を出して、真の意味で事業を再開させるには、脅威が根絶されたことを裏付ける明確な根拠が求められると氏は語る。

　復旧の条件となるのが「初期侵入口の遮断」「攻撃手法への対処」「一定期間の継続監視」の3つだ。

　まずは悪用されたVPNやリモートデスクトップ、未修正の脆弱（ぜいじゃく）性、乗っ取られた管理者アカウントなどの侵入口を突き止め、接続元の制限や多要素認証の導入、不要なアカウントの削除などを実施する。

　次に、侵入後に使われた正規管理ツールの悪用を遮断して、パスワードの全面更新や検体のブロック、不正通信の遮断を終える。

　対策後のIT環境全体を5～10営業日ほど監視して、不審な挙動が再発しない事実を確認できて初めて、社内外に復旧宣言が出せる。

「システムが動いた」だけでは復旧とは言えない（出典：トレンドマイクロ講演資料）

調査の深さと事業停止のトレードオフ　初日の合意形成が企業を救う

　トレンドマイクロのインシデント対応チームの標準フローは、状況把握と合意形成に1日、原因究明のフォレンジック調査に5営業日、再発防止策を講じた後の監視に10営業日、合計で16日間程度の対応期間を目安としている。しかし調査と監視を徹底している間、業務システムは停止したままであり、会社は日ごとに多大な損失を被る。

　「1年間システムを止めて良いなら確かな安全を証明できますが、実際には1日でも早く再開しなければなりません。『調査と監視にどれだけの時間を割くべきか』という問いに正解はなく、経営層や事業部門との合意で決めるしかありません」

　残存リスクを完全にゼロにすることは不可能に近い。だからこそ福田氏が重視するのが、インシデント発生初日の合意形成だ。

　どのシステムからどの順序で再開させるのか、どこまでの調査を終えた段階でリスクを受容して事業を戻すのか。この判断基準を情シス単独で背負い込まず、経営陣や各事業部門の責任者を巻き込み、全員の合意の下で現実的な落としどころを見極めることが、組織のレジリエンスを保つ上での最大の分岐点となる。

有事に迷わないために　今日から着手すべき5つの平時対策

　パニックに陥りがちな感染初日を乗り越えて早期の復旧宣言につなげるためには、平時の備えを整えておくしかない。今日から取り組める対策として、福田氏は5つの準備を挙げる。

1. 外部に公開されているVPNやリモートデスクトップ、管理の目が届いていない通信端末などの棚卸しをして、自社のアタックサーフェスを把握する。
2. EDRや外部の監視サービスを利用して、侵入を素早く検知できる体制を作る。
3. 単にバックアップを取るだけでなく、どの業務システムから順に戻すのかという手順や復旧宣言の条件を文書化して検証しておく。
4. インシデント発生後に慌てて業者を探すのではなく、平時から外部の専門家と連絡体制や契約を取り決めておく。
5. 経営層を巻き込んだ訓練を実施して、リスク受容の判断基準や社内外への説明責任を果たす流れを事前に体験しておく。

　サイバー攻撃を受けた際、単に「以前と同じ状態」に戻すだけでは再発の不安が残る。侵入口をふさぎ監視体制を強化して、攻撃を受ける前よりも強固な運用体制を築いて事業を再開することこそが、取引先や顧客からの信頼回復につながる。