建設会社がサイバー攻撃を受けた最初の24時間に確認すること

朝、出社すると会社のパソコンが開けない。見積書や図面を保存した共有フォルダーにアクセスできず、画面には見慣れない警告が表示されている。

もし自分の建設会社でこんなことが起きたら、社長は何から始めればよいのでしょうか。

サイバー攻撃が疑われるとき、重要なのは被害を広げないこと、証拠を残すこと、工事現場への影響を把握することです。最初の24時間ですべてを解決する必要はありません。まず確認すべきことを整理し、専門家や関係先と適切に対応を進めることが大切です。

1. 最初の24時間で優先すべきこと

サイバー攻撃の疑いが生じた場合、社長が最初に確認したいのは次の4点です。

1. 感染が疑われる機器から被害が広がらないようにする
2. 発生時刻や警告画面などの証拠を残す
3. 図面・工程表・現場連絡など、工事に必要な業務への影響を調べる
4. 社内責任者とIT管理会社、必要な関係先への連絡を始める

以下の時間区分は、対応の優先順位を整理するための目安です。実際には被害状況に応じて同時並行で進めます。専門家や社内の対応手順がある場合は、その指示を優先してください。

IPAの「中小企業のためのセキュリティインシデント対応の手引き」も、初動対応、報告、復旧・再発防止を段階的に整理しています。

2. 発覚直後：感染拡大を防ぐ

「ファイルが開けない」「身に覚えのない警告が表示された」「共有サーバーに接続できない」といった異常があれば、作業を続けず、社内の責任者やIT管理会社に連絡します。

最初に確認する内容

• 異常が起きたパソコンやサーバーはどれか
• 同じ症状がほかの端末にも出ているか
• 社内LAN、Wi-Fi、VPN、クラウドサービスとの接続状況
• 現場事務所や遠隔接続端末にも影響があるか

感染が疑われるパソコンは、社内の手順や専門家の指示に従い、ネットワークから切り離して利用を停止します。一般的にはLANケーブルの取り外しやWi-Fi接続の遮断が考えられます。

ただし、サーバーや現場設備と連動する機器は、停止による安全上の影響を確認する必要があります。証拠を失わないため、自己判断で初期化したり、ファイルを削除したりしないでください。

IPAの「従業員の初動対応の規定」でも、ランサムウェア感染時のネットワーク切断や証拠保全の重要性が示されています。

3. 1時間以内：証拠と発生状況を記録

攻撃を受けた原因や被害範囲を調べるため、発見時の情報を記録します。社長自身が専門的な調査をする必要はありません。まず、分かっている事実を残すことが大切です。

• 異常に気づいた日時と発見者
• 異常が起きた機器の名称と設置場所
• 警告画面の表示内容や写真
• 直前に行った操作や開いたメール
• 利用できなくなったシステムやデータ
• 連絡した相手、連絡時刻、受けた指示

記録は紙や安全が確認できた別の端末で管理します。画面の撮影は有効ですが、機密情報が写っている場合は保存先や共有先にも注意してください。

また、異常が発生した機器を再起動したり、バックアップを上書きしたりすると、調査に必要な情報が失われる場合があります。証拠の取り扱いは専門家に確認しましょう。

4. 3時間以内：工事現場への影響を確認

建設会社では、パソコンの故障や情報システムの停止が、そのまま現場の業務に影響することがあります。

優先して確認したい5つの業務

1. 図面・施工データ：最新の図面や施工指示を確認できるか
2. 工程管理：作業日程や変更情報を共有できるか
3. 現場連絡：現場監督、協力会社、職人への連絡手段が使えるか
4. 資材・発注：納品予定や発注内容を確認できるか
5. 安全管理：当日の危険作業や安全指示に支障がないか

特に、最新の施工図面や安全指示を確認できない現場では、作業を継続してよいか慎重に判断する必要があります。情報が確認できないまま工事を進めることは避けてください。

現場ごとに「継続可能」「代替手段が必要」「一時停止を検討」の3つに分けると、優先順位を決めやすくなります。

5. 6時間以内：連絡体制を整える

サイバー攻撃の初動では、誰が判断し、誰が連絡するかを明確にすることが重要です。

• 社内：社長、情報管理責任者、総務、現場責任者
• 技術対応：IT管理会社、システム保守会社、セキュリティ専門家
• 取引先：影響が考えられる元請会社、発注者、協力会社
• その他：契約内容に応じた保険会社、必要に応じて弁護士や警察

元請会社や協力会社へ連絡する際は、被害が確定していない段階で「情報が流出した」と断定する必要はありません。

例えば「社内システムに異常が発生し、現在影響範囲を確認しています。現場連絡やデータ共有に影響する可能性があるため、判明した内容を順次お知らせします」といった、確認できた事実を中心に伝えます。

ただし、契約で定められた事故報告期限や報告内容がある場合は、それに従ってください。連絡手段としてメールが安全か不明な場合は、電話など別の手段を使います。

6. 12時間以内：復旧と代替業務を検討

被害が判明すると、早くパソコンを元に戻したくなるかもしれません。しかし、原因を確認せずに復旧を急ぐと、再感染や証拠消失につながるおそれがあります。

復旧前に確認すること

• 感染が疑われる機器と安全な機器を区別できているか
• バックアップ自体が影響を受けていないか
• 不正利用された可能性のあるアカウントを把握しているか
• 復旧作業によって調査に必要な証拠が失われないか
• 復旧の優先順位を現場業務に合わせて決めているか

建設会社であれば、給与計算システムよりも先に、当日の施工図面や現場連絡手段の確保が必要になる場合があります。一方で、資金決済や請求処理が止まれば、経営への影響も考えなければなりません。

安全が確認された電話、紙の工程表、事前に保存した図面など、代替手段を整理しましょう。ただし、古い図面や未承認の施工情報をそのまま利用しないよう注意が必要です。

復旧計画の考え方については、関連記事「復旧計画の盲点！公的データで判明したサイバーBCP術」も参考になります。

7. 24時間以内：報告義務と保険を確認

被害の全容が分からなくても、報告や相談の準備は始められます。特に個人情報や取引先情報が関係する場合は、法令や契約上の義務を確認する必要があります。

個人情報が関係する場合

個人データの漏えい等が発生し、法令で定める報告対象事態に該当する場合は、個人情報保護委員会への報告や本人への通知が必要です。報告対象かどうかは、情報の内容や被害状況によって異なります。

報告対象事態の速報は、事態を知った時点から速やかに、概ね3～5日以内が目安とされています。「24時間以内に必ず行政へ報告しなければならない」という一律のルールではありません。ただし、契約や業法による別の期限がある場合は注意してください。

詳しくは個人情報保護委員会「漏えい等報告・本人への通知の義務化について」を確認してください。

サイバー保険を契約している場合

サイバー保険に加入している場合は、事故受付窓口、連絡期限、専門家の手配方法、費用の事前承認の要否を確認します。

• 事故調査費用や復旧費用が補償対象となるか
• 弁護士・専門家への相談費用が対象となるか
• 取引先への賠償責任が生じた場合の補償内容
• 業務停止による損失が補償される条件
• 保険会社の承認前に費用を支出した場合の取り扱い

保険の対象範囲や事故対応サービスは契約ごとに異なります。事故が起きたからといって、すべての費用が補償されるわけではありません。

補償内容の基本については「中小企業が知るべきサイバー保険の全貌と実務ポイント」、保険会社ごとの違いについては「中小企業向けサイバー保険5社を比較！補償内容と選び方を解説」も確認してください。

8. 社長が避けたい5つの行動

1. 原因不明のまま再起動・初期化する：調査に必要な情報が失われる場合があります。
2. 不審な画面の指示に従う：支払いやファイル操作を独断で進めないでください。
3. 感染の疑いがある機器を使い続ける：被害が拡大する可能性があります。
4. 未確認情報を取引先へ断定的に伝える：事実と調査中の内容を分けて説明します。
5. 調査前にバックアップを上書きする：安全性や復旧手順を専門家と確認してください。

最初の判断をすべて社長一人で行う必要はありません。判断責任者を決め、専門家の支援を受けながら進めることが重要です。

9. 初動対応チェックリスト

万一の際は、次の項目を順番に確認してください。すべてが終わるまで次の対応に進めない、という意味ではありません。

• □ 異常が発生した機器と発見時刻を記録した
• □ 感染が疑われる端末の利用を停止し、拡大防止を検討した
• □ 警告画面や発生状況の証拠を残した
• □ 社内責任者とIT管理会社へ連絡した
• □ 図面・工程表・現場連絡への影響を確認した
• □ 現場ごとに工事継続の可否を検討した
• □ 必要な元請・発注者・協力会社への連絡を整理した
• □ バックアップの安全性を確認する担当者を決めた
• □ 個人情報や取引先情報への影響を調査対象に含めた
• □ 保険会社への事故連絡と報告期限を確認した
• □ 対応内容を時系列で記録している

平常時にこのチェックリストを印刷し、社長・総務・現場責任者で共有しておくと、緊急時の混乱を減らす助けになります。

10. まとめ：最初に守るべきもの

建設会社がサイバー攻撃を受けた際、最初の24時間で優先したいのは、感染拡大の防止、証拠保全、現場への影響確認、関係先への適切な連絡です。

特に建設業では、図面や工程情報が使えなくなることで、現場の安全や工事の進行に影響する可能性があります。システムの復旧だけでなく、現場で何が起きているかを把握することが重要です。

今日できることは、社内で「異常が起きたとき、最初に誰へ電話するか」を決めておくことです。その連絡先を紙でも保管しておけば、会社のパソコンが使えない状況でも初動を始められます。

万一のときに慌てないために、まずは自社の連絡体制と、工事現場に欠かせないデータを確認してみてください。