自衛のためのサイバー攻撃の仕組み講座（AI時代・エンジニア水準）
区分5 守りを回す仕組みと、学び続ける場所★★セキュリティの国際的な指針にNIST CSF 2.0（米国の標準技術研究所が出した枠組み）があります。 そこでは守りの仕事を「統治・特定・防御・検知・対応・復旧」の6つに分けています。この単元は後ろの3つにあたります。
家の防火にたとえると、火災報知器が検知、初期消火と避難が初動、建て直しが復旧です。 報知器がなければ、火は大きくなってから初めて気づきます。
インシデントは、セキュリティ上の事故や、その疑いのことです。 ログは、いつ・誰が・何をしたかの記録です。防犯カメラの録画のような物で、あとから「何が起きたか」を調べる唯一の材料になります。
被害に気づくきっかけを整理すると、次の3つです。
3つ目に気づいた時は、最も遅い段階です。 ここまで来る前に、1つ目の警報で気づく仕組みを、小さくても用意します。
大企業向けの監視製品は、この講座では扱いません。 あなたの環境で置ける警報を挙げます。
| 守る物 | 警報にするもの | 気づけること |
|---|---|---|
| Googleアカウント・各サービス | 新しい端末・場所からのログインの通知を、見落とさない先に届ける | 乗っ取りの入口 |
| WordPress | 管理者ユーザーが増えた・プラグインが入った・ファイルが変わった時の通知 | 改ざん・乗っ取り |
| VPS | ログインの成功通知、ディスクの急な増え方、見慣れない常駐プログラム | 居座り・盗み出し |
| 控え | 「取れた」の通知。届かない日があることを異常として扱う | 控えが静かに止まっていること |
| 請求・広告・SaaS | 利用料の急な増え方、見知らぬ連携アプリ | 乗っ取った権限の悪用 |
通知を作るだけでは足りません。 通知が届く先を、普段から見ている場所（LINEや、決まったメール）にしておくことが肝心です。誰も開かない箱に届く警報は、鳴っていないのと同じです。
やり方はAIに頼めばよいです。頼み方の例：「このWordPressで、管理者の追加とプラグインの追加があった時に、私に通知が来る方法を、プラグインを増やしすぎない形で教えて」
検知は完璧にはなりません。 攻撃者は、あなたが見ていない夜や休日に動くことが多いと言われます。
だから、警報とは別に、月1回の点検を決めておきます。 管理者の一覧・使っていないアカウント・入っているプラグイン・控えの復元を見直す、地味な作業です。これはAddnessの型に載せて、毎月出るようにするのが続くコツです。
慌てて消したり、再起動したりすると、調べるための証拠も、広がりを止めるための手がかりも消えます。 次の順で動きます。公的機関の資料（JPCERT/CCのFAQ、CISAのガイド）を、小さな会社向けに並べ直した物です。
2〜3は、同時に進めるのではなく、広がっている物から先に切ります。 そして、身代金の要求には返事をしない。交渉も勧められていません（No.14）。
被害の最中に連絡先を探すのは大変です。平時に1枚にまとめておきます。
| 連絡先 | 何のために | 受け方・注意 |
|---|---|---|
| 警察（最寄りの警察署・都道府県警察のサイバー犯罪相談窓口） | 被害の通報・相談。捜査と、被害拡大防止の助言 | 警察庁の全国共通のオンライン窓口もある（e-Gov電子申請）。人命に関わる緊急は110番 |
| IPA 情報セキュリティ安心相談窓口 | 技術的な対処の相談（電話03-5978-7509、平日10〜17時）。ウイルス・不正アクセスの届出も受ける | 企業・組織向けは別の窓口を案内される |
| JPCERT/CC | インシデント対応の調整・助言。被害の相談 | 電話では原則受けない。Webフォームかメール。犯人の特定や捜査は担当外なので、そちらは警察へ |
| 個人情報保護委員会 | 個人データの漏えい等の報告（第3章） | 報告が要るかどうかを、先に判断する |
| 取引先・顧客・スタッフ | 影響を受ける人への連絡 | 誰が何を伝えるかを、先に決めておく |
| 契約している事業者（サーバー会社・保守担当） | 隔離・調査・復旧の支援 | 契約の連絡先を、紙に控える |
警察に出す時は、ログ（通信やアクセスの記録）、不正なプログラム、システム構成図などを求められることがあります。 だから、初動で消さずに保全するのです。
○ よくある勘違い：「警察に言うと、業務が止まるのでは」
→ 各県警は、被害組織の意向を尊重し、業務への影響が小さくなるように捜査すると案内しています。
○ よくある勘違い：「再起動すれば直るかも」
→ 再起動は、証拠を消す可能性があります。まず隔離と記録です。
○ 関係する単元：No.14 控え（復旧の土台）
お客さんやスタッフの個人情報（個人データ）が、漏れた・消えた・使えなくなった（またはそのおそれがある）時、次の4つのどれかに当たると、個人情報保護委員会への報告が必要です。
ランサムウェアで個人データが暗号化されて復元できなくなった場合は、3に当たる例として、委員会のページに載っています。 「外に持ち出されたか」が分からなくても、報告が要る場面があるのです。
期限は次の通りです。
2025年10月1日以降、ランサムウェア事案は、政府の共通様式（Excel）で報告することもできます。
本人への通知も、報告とあわせて必要になる場合があります。 詳しい要件は、委員会の案内で確かめてください。この講座は法律の相談ではなく、仕組みと流れをつかむための物です。
報告義務は、会社の大きさではなく、個人データを扱っているかで決まります。 あなたが経営する複数の会社は、会社ごとに別の事業者として考えます。
介護や医療に近いサービスでは、要配慮個人情報を扱うことが多く、小さな事故でも1に当たりえます。 「どれに当たるかが分からない」と感じたら、当たると仮定して、委員会の相談窓口に聞く方が安全です。
気づく経路は、自分の警報・外からの指摘・脅迫文の3つ。初動は「記録→隔離→控えを守る→鍵を替える→連絡→入口を塞いでから戻す」の順。電源は最後に切る。個人データが絡むなら、3〜5日以内の速報が要るかを先に判断する。
問1 朝、仕事用のパソコンの画面に「ファイルを暗号化した」という文面が出ていました。最初の動きとして最もよい物はどれですか。
問2 JPCERT/CC への連絡の方法として、正しい物はどれですか。
問3 自社のサーバーがランサムウェアに入られ、お客さんの個人データが暗号化されて復元できなくなりました。持ち出された形跡は見つかっていません。個人情報保護委員会への報告について、正しい物はどれですか。
問4 控えの自動バックアップが毎晩届いていたのに、先週から通知が来なくなりました。どう考えるのが適切ですか。
出典：個人情報保護委員会「漏えい等報告・本人通知」（https://www.ppc.go.jp/personalinfo/legal/leakAction/）／警察庁「サイバー事案の通報・相談」（https://www.npa.go.jp/bureau/cyber/soudan.html）／IPA「情報セキュリティ安心相談窓口」（https://www.ipa.go.jp/security/anshin/about.html）／JPCERT/CC「インシデント報告の届出について」（https://www.jpcert.or.jp/form/）／JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」（https://www.jpcert.or.jp/magazine/security/ransom-faq.html）／CISA「#StopRansomware Guide」（https://www.cisa.gov/stopransomware/ransomware-guide）／NIST「Cybersecurity Framework」（https://www.nist.gov/cyberframework）