不正アクセスの被害が確認できないとき経営者がすべきこと①

「不正アクセスの可能性があります。ただし、被害が発生したかどうかは、まだ確認できていません」

会社のシステム担当者や外部の管理会社から、このような報告が入ったら、社長はどう判断すればよいでしょうか。

被害が確認できていないから何もしなくてよい、と考えるのは危険です。一方、情報漏えいや顧客被害が発生したと決めつけてしまうことも適切ではありません。

この段階で重要なのは、確認済みの事実と未確認の事項を分け、証拠を残しながら必要な対策を進めることです。

この記事では、不正アクセスの疑いがあるものの被害を確認できない段階で、経営者が優先したい対応を具体的に解説します。

1．被害を確認できないとはどういう状態か

不正アクセスの疑いがあると報告されても、その時点で情報漏えいやシステムの改ざんが確認されているとは限りません。通常とは異なるログインの記録や、不審な通信の検知などをきっかけに調査が始まることもあります。

ここで区別したいのは、「被害が確認されていない」という状態と、「調査の結果、被害がなかったと判断された」という状態です。両者は同じ意味ではありません。

2．社長が最初に確認したい3つの事項

事故の可能性を知った直後は、細かな技術情報をすべて理解する必要はありません。まずは、経営判断に必要な情報を整理することが大切です。

① 何をきっかけに不正アクセスが疑われたのか

不審なログイン通知、異常な通信、セキュリティ製品の警告など、最初に異常が見つかった理由を確認します。検知した日時と報告を受けた日時も記録してください。

② どのシステムや情報が関係するのか

メール、クラウド、社内サーバー、顧客管理システムなど、対象となる範囲を確認します。顧客情報や取引先の資料が含まれているかも重要です。

③ 現在、どのような対応が進んでいるのか

調査の担当者、実施済みの対策、追加で必要な作業を確認します。次に状況報告を受ける予定も決めておきましょう。

3．確認済みの事実と未確認事項を分ける

不正アクセスの疑いがあるときは、情報が錯綜しやすくなります。社内の報告や顧客への説明で誤解を生まないよう、情報を整理してください。

重要なのは、未確認事項をそのまま放置しないことです。誰が、いつまでに、何を確認するのかを決めておけば、調査の進捗を把握しやすくなります。

4．ログや通知などの証拠を保全する

原因調査では、ログイン履歴、システムの操作記録、セキュリティ製品の警告、関係するメールなどが役立つ場合があります。これらを不用意に削除すると、何が起きたのか確認しにくくなるおそれがあります。

証拠を保存する際は、対象のシステムや保存期間を把握し、必要に応じて専門家の指示を受けてください。パソコンの初期化やシステムの再インストールを急ぐと、調査に必要な情報が失われることもあります。

5．被害拡大を防ぐために確認すること

不正アクセスの疑いがある場合、調査と並行して被害拡大を防ぐ対応が必要になることがあります。例えば、不審な通信の遮断、関係する端末の隔離、アカウントの一時停止などです。

ただし、対応の内容によっては業務が停止したり、調査に必要な記録が失われたりする可能性もあります。緊急性と業務への影響を考え、システム担当者や専門家と相談しながら進めましょう。

6．アカウントと認証情報を確認する

不正アクセスの疑いがあるときは、どのアカウントが関係するのかを確認します。特に管理者権限を持つアカウントや、複数のサービスで利用している認証情報には注意が必要です。

認証情報の流出が疑われる場合は、安全な端末からのパスワード変更、多要素認証の確認、不審なログイン状態の無効化などを検討します。関連サービスへの影響も確認しておきましょう。

なお、パスワードを変更するだけで問題が解決するとは限りません。アクセス履歴や設定変更の有無なども、必要に応じて調査してください。

7．社内の連絡体制と責任者を決める

事故対応では、担当部署ごとに別々の判断をすると混乱することがあります。経営者は、情報を集約する責任者と、必要な判断を行う体制を明確にしておきましょう。

例えば、システム担当者が技術的な状況を確認し、総務や管理部門が連絡記録を整理するなど、役割を分担します。外部への説明についても、窓口を統一することが大切です。

8．顧客・取引先への説明をどう判断するか

不正アクセスの疑いがある段階で、すべての顧客や取引先に直ちに同じ説明をする必要があるとは限りません。一方、個人情報の漏えい等について法令上の報告や本人通知が必要になる場合もあり、被害が確定するまで何もしなくてよいとは限りません。

顧客や関係先への連絡の要否は、対象となる情報、事故の状況、契約上の義務などを確認して判断します。説明が必要な場合は、確認済みの事実、現在の対応、今後の連絡予定を分けて伝えましょう。

個人情報に関する制度は、個人情報保護委員会の公式情報を確認してください。

9．調査会社や外部専門家への相談

社内だけでは不正アクセスの有無や影響範囲を判断できない場合があります。その際は、セキュリティ専門会社やシステムの保守会社などへ相談することを検討してください。

相談する際には、異常を検知した日時、対象システム、保存済みのログ、実施した対策などを整理しておくと、状況を伝えやすくなります。

インシデント対応に関する情報は、JPCERTコーディネーションセンターも参考になります。

10．業務を止めるか継続するかの判断

不正アクセスの疑いがあるからといって、すべての業務を停止することが常に適切とは限りません。一方、安全性を確認できないシステムを使い続けることで、影響が広がる可能性もあります。

対象システムの重要性、外部への接続状況、代替手段の有無などを整理し、必要な範囲で利用制限を検討します。安全な代替手段がある場合は、業務を継続できるか確認してください。

業務停止への備えについては、サイバーBCPと復旧訓練の解説記事も参考になります。

11．サイバー保険で確認したいこと

不正アクセスの疑いにより調査費用や専門家への相談費用などが発生する場合は、加入しているサイバー保険の内容も確認しておきましょう。

ただし、被害が未確認の段階で発生した費用が補償対象になるかどうかは、契約内容や事故の状況、保険会社の判断によって異なります。費用の支出前に連絡や承認が必要となる契約もあるため、手続きの条件を確認することが大切です。

補償の基本的な考えについては、中小企業向けサイバー保険の実務ガイドも参考になります。

12．経営者の初動対応チェック表

不正アクセスの被害が確認できない段階では、次の項目を順番に確認してください。すべてを一度に解決する必要はありませんが、未確認のまま残っている事項を把握することが重要です。

13．まとめ｜今日から確認したいこと

不正アクセスの疑いがあるものの被害を確認できない段階では、慌てて被害を断定することも、何もせずに待つことも避けたい対応です。

まずは異常の内容と対象範囲を確認し、証拠を保全したうえで、必要な被害拡大防止策を検討してください。確認済みの事実と未確認事項を分け、次の報告予定まで決めておくことが重要です。

実際の攻撃による業務への影響については、工場のランサムウェア被害に関する解説記事も参考になります。

参考となる公的・専門機関

• 情報処理推進機構（IPA）
• 個人情報保護委員会
• JPCERTコーディネーションセンター

本記事は一般的な初動対応を解説するものであり、特定企業の事故や被害を示すものではありません。実際の対応は、確認できた事実、法令上の義務、契約内容、専門家の判断などを踏まえて検討してください。