不審なアクセスやデータ漏洩の疑いが生じた際、最初の数時間の対応が被害の拡大を左右します。しかし、インシデント対応の手順を事前に整備している企業は多くありません。この記事では、初動対応で最初に取るべき行動を整理します。
01 まず「封じ込め」を優先する
インシデントが疑われる段階で最初に行うべきことは、被害の拡大を防ぐための封じ込めです。具体的には、不審なアクセスが確認されたアカウントの一時停止、該当システムのネットワークからの切り離し、関連するログの保全が含まれます。
この段階で重要なのは、「証拠を消さない」ことです。不審なプロセスを強制終了したり、システムを再起動したりすると、フォレンジック調査に必要なログや痕跡が失われることがあります。まず状況を記録し、専門家に相談してから対処することを推奨します。
02 社内への報告ラインを確認する
インシデントが発生した際の社内報告ラインが事前に決まっていない企業では、誰に何を報告すればいいか分からず、対応が遅れることがあります。情報システム担当者から経営層への報告ライン、および個人情報が関係する場合の法務・コンプライアンス部門への連絡手順を、事前に文書化しておくことが重要です。
03 個人情報漏洩の場合は報告義務を確認する
個人情報の漏洩が疑われる場合、改正個人情報保護法に基づき、個人情報保護委員会への報告義務が生じる可能性があります。報告が必要かどうかの判断基準と、報告期限（速報は、事態を知った日から概ね3〜5日以内が目安とされています）を事前に確認しておくことが重要です。報告の要否は事案ごとに異なるため、判断が必要な場合は、弁護士などの専門家や個人情報保護委員会の公表資料でご確認ください。
Crystal Ravenのインシデント対応支援では、ログ解析・被害範囲の特定から、社内外への報告文案の作成まで担当者が直接対応します。よくあるご質問のページでも対応の流れについてご説明しています。
インシデント対応の手順は、実際に発生してから考えるのでは遅いです。事前に手順書を整備し、関係者に周知しておくことが、被害を小さく抑えるための、有効な備えのひとつです。