第3部 守りと経営
第10章 インシデント対応と経営との対話
いつか必ず、何かが起きます。そのとき慌てず動けるか、そして日頃から経営と対話し、味方を得られているか。このコースの総仕上げとして、「起きた後」と「経営との関係」を扱います。
🎯 この章で学ぶこと
- インシデント初動の基本(慌てない・記録・封じ込め・報告・証拠保全)
- よくあるインシデントごとの、最初にやること
- 経営・関係部署・専門機関(IPA、JPCERT/CC)への報告と連携
- 経営との対話 — 予算を「事業への影響と金額」で語る技術
- 見えない仕事の可視化(KPI)と、燃え尽きずに続けるために
10.1 インシデントはいつか必ず起きる
どれだけ対策を尽くしても、セキュリティのインシデント(事故・事案)をゼロにすることはできません。攻撃の手口は日々進化し、人はミスをし、機器はいつか壊れます。だから、優れた情シスと、そうでない情シスを分けるのは「事故を起こさないこと」ではありません。「起きたときに、被害を最小限に抑えて立ち直れるかどうか」です。
そして、その差を生むのは「事前の準備があったか」の一点に尽きます。パニックの最中に、正しい手順を初めて考えている余裕はありません。連絡先を探し回っている数時間の間に、被害はどんどん広がります。この章では、「起きる前」に準備しておくべきことを中心に扱います。第6章で作った「初動カード」の中身を、ここで具体化していきましょう。
10.2 初動対応の基本
何が起きても共通する、初動の5原則です。順番も含めて、頭に入れておいてください。
| 原則 | やること | なぜ |
|---|---|---|
| ① 慌てない | まず深呼吸。焦った操作が事態を悪化させることが多い | パニックでの誤操作(証拠の消去、感染拡大)が二次被害を生む |
| ② 記録する | いつ・何が起きて・何をしたかを時系列でメモする | 後の報告・原因究明・再発防止にすべて必要になる |
| ③ 封じ込める | 被害の拡大を止める(感染端末をネットワークから切り離す等) | 広がってから対処するより、まず止血が先 |
| ④ 報告する | 経営層・関係者・(必要なら)外部支援先へ速やかに連絡 | 一人で抱え込むと判断も対応も遅れる |
| ⑤ 証拠を保全する | ログや感染端末の状態を、むやみに消さず・初期化せず残す | 原因究明や、当局・保険対応の証拠になる |
感染に気づくと、とっさに「電源を切りたい」「初期化して元に戻したい」と思うものです。しかし、電源を切るとメモリ上に残っていた重要な証拠が消えることがあり、初期化すると原因究明が不可能になります。基本は「電源は入れたまま、ネットワークからだけ切り離す(LANケーブルを抜く・Wi-Fiを切る)」。ただし判断に迷う場面も多いので、事前に外部の専門支援先(セキュリティベンダー等)を決めておき、いざというとき電話一本で相談できる状態にしておくことが、一人情シスにとって最大の備えです。一人で完璧に判断しようとしないでください。
この「外部支援先を事前に決めておく」は、本当に重要です。事故が起きてから慌てて業者を探し、契約交渉し…では、貴重な初動の時間を失います。平時のうちに、頼れるベンダーやセキュリティの相談先、加入している保険の連絡先を調べ、初動カードに書いておきましょう。
10.3 よくあるインシデントと初動
代表的なインシデントごとに、「まず何をするか」をまとめました。詳細な手順は状況によりますが、方向性を頭に入れておくだけで初動が変わります。
| インシデント | まずやること(初動) | やってはいけない/注意 |
|---|---|---|
| ランサムウェア感染 | 感染端末をネットワークから切り離す。被害範囲を確認。バックアップの無事を確認(第6章)。外部支援先へ連絡 | 身代金は安易に払わない。慌てて初期化して証拠とバックアップ復旧の機会を失わない |
| 情報漏えい | 何が・どれだけ・誰の情報が漏れたか把握。漏えい経路を止める。経営へ即報告。影響を受ける取引先・顧客への対応を検討 | 隠さない。事実確認前に断定的な公表をしない |
| フィッシング被害(ID・パスワードを入力してしまった) | 該当アカウントのパスワードを即変更、MFAを確認。不正ログインの有無を確認。同じパスワードを使い回している他サービスも変更 | 「大丈夫だろう」と放置しない。乗っ取りは静かに進む |
| 端末の紛失・盗難 | 遠隔ロック・データ消去(MDM、第4章)。中のアカウントのパスワード変更。何のデータが入っていたか確認 | 「見つかるかも」と対応を先延ばしにしない |
共通するのは、「まず広がりを止める(封じ込め)」→「事実を把握する」→「報告する」という流れです。そして、どのケースでも「隠さない・一人で抱えない」が鉄則です。第8章で「報告した人を責めない文化」を強調したのは、この初動を早めるためでもあります。
10.4 報告と連携
インシデント対応は、情シス一人で完結するものではありません。適切な相手に、適切なタイミングで報告・連携することが、被害の抑制と会社の信頼維持につながります。
- 経営層・関係部署 — まず最優先。会社としての意思決定(公表するか、取引先に連絡するか、業務を止めるか)は経営が行うもの。情シスは事実と選択肢を整理して上げる
- 専門機関 — IPA(情報処理推進機構)は相談窓口を持ち、JPCERT/CCはインシデント対応の調整・助言を行う公的な組織です。困ったとき、これらの専門機関に相談できることを知っておくだけで心強い。「サイバー保険」に入っていれば、その相談窓口も使えます
- 取引先・顧客 — 情報漏えいなどで影響が及ぶ場合、誠実で速やかな連絡が信頼を左右する
- 当局・警察 — 個人情報の漏えいは、内容によって個人情報保護委員会への報告義務が生じる場合があります。犯罪被害は警察(サイバー犯罪相談窓口)への相談も検討する
事故の最中に連絡先を調べるのは、最悪のタイミングです。平時のうちに、経営層/関係部署/外部ベンダー/IPA・JPCERT/CC/加入保険/(必要に応じて)弁護士・警察の連絡先を1枚にまとめ、ネットが使えなくても見られる形(紙・オフライン)で保管しておきましょう。これは第6章の「初動カード」と一体で用意すべきものです。
10.5 経営との対話
ここからは、インシデントを「起こさない・小さく抑える」ための、日頃の最重要スキル——経営との対話です。一人情シスがセキュリティ対策やバックアップに投資しようとすると、必ず「予算」の壁にぶつかります。そして多くの情シスが、ここでつまずきます。理由は「経営に伝わらない言葉で話してしまう」からです。
経営層は、技術用語では動きません。「ランサムウェア対策のためにイミュータブルバックアップを…」「MFAとEDRを…」と説明しても、多くの経営者にはピンと来ません。彼らが判断できる言葉は、「事業への影響」と「金額」です。だから、リスクをこう翻訳します。
| 技術の言葉(伝わらない) | 経営の言葉(伝わる) |
|---|---|
| 「バックアップが3-2-1になっていない」 | 「今サーバーが壊れたら、受注データが失われ、復旧に◯日、その間の売上が止まります。対策費は◯万円です」 |
| 「退職者のアカウントが残っている」 | 「辞めた社員が今も社内データにアクセスできる状態です。情報が持ち出されれば、賠償や信用失墜のリスクがあります」 |
| 「MFAを導入したい」 | 「パスワードが1つ盗まれるだけで乗っ取られます。同業のA社は同じ手口で◯万円の被害が出ました。防ぐ費用は月◯円です」 |
ポイントは、「もし対策しなければ、どんな損失(金額・事業停止・信用)が起きうるか」と「対策にいくらかかるか」をセットで示すこと。これが投資対効果(ROI)の説明です。「◯万円の投資で、◯百万円になりうる損失の可能性を下げられます」——この形なら、経営は判断できます。稟議を通す技術とは、技術を経営の言葉に翻訳する技術なのです。
脅すだけでは、経営は「また情シスが不安を煽っている」と身構えます。効果的なのは、選択肢とその費用対効果を並べて、判断を経営に委ねる形です。「対策A(◯万円・リスク大幅減)/対策B(◯円・部分的)/何もしない(無料・◯百万円の損失リスク)。どれにしますか?」と示せば、意思決定の責任は経営が負い、あなたは「冷静に選択肢を整理する頼れる専門家」になります。感情ではなく数字と選択肢で対話しましょう。
10.6 成果を見せる
第1章で挙げた落とし穴の一つが「評価されにくい」——うまく回っていると「何もしていない」ように見え、トラブルが起きると責められる、という構造でした。これを乗り越える鍵が、「見えない仕事を、見える数字にする」ことです。
セキュリティやインフラ運用は、「何も起きなかった」ことが成果です。しかし「何も起きなかった」は、放っておくと「仕事をしていない」と誤解されます。だから、日頃の守りの仕事をKPI(数値指標)として定期的に報告し、価値を可視化します。
| KPIの例 | 何を示すか |
|---|---|
| インシデント件数(検知・対応した数) | 「これだけの脅威を捌いて事業を止めなかった」実績 |
| 復旧時間(平均・最大) | 止まってもすぐ立ち直れる体制があること(RTO、第6章) |
| パッチ適用率・更新の実施状況 | 既知の穴をどれだけ塞げているか |
| バックアップ成功率・復旧訓練の実施回数 | 「最後の砦」が機能していること(第6章) |
| 問い合わせ件数と自己解決率、削減したSaaSコスト | 効率化の成果(第7章・第9章) |
月次や四半期で、こうした数字を1枚のシンプルな報告にまとめて経営へ上げましょう。「今月は◯件の脅威を検知・対処し、重大な事故ゼロを維持。バックアップ成功率100%、無駄なSaaS契約を整理し年間◯万円を削減」——このように語れば、あなたの仕事は「見えないコスト」から「見える価値」に変わります。これが第1章の「評価されにくさ」への、具体的な答えです。
10.7 続けるために
一人情シスの仕事は、マラソンです。短期的に燃え尽きては、会社にとっても自分にとっても損失です。最後に、長く健やかに続けるための心構えをお伝えします。
- ベンダー・外部委託を賢く使う — 全部を自分でやるのは美徳ではありません。自社でやるべきこと(判断・統制・優先順位づけ)と、外に任せるべきこと(専門的な構築・24時間監視・高度なインシデント対応)を切り分ける。外注は「逃げ」ではなく「戦略」です
- 社外コミュニティとつながる — 一人情シスの勉強会やオンラインコミュニティには、同じ悩みを抱える仲間がいます。孤独に戦わない。相談できる相手がいるだけで、判断の質も心の余裕も変わります(第1章「味方を作る」)
- 学び続ける — 技術も脅威も変わり続けます。このコースはゴールではなく出発点です。Pythonで自動化の幅を広げたいなら「入門コース(🐍 Python × セキュリティ)」、セキュリティをより深く極めたいなら「セキュリティ中級・上級コース」が、あなたの次の一歩になります
- 燃え尽きを防ぐ — 完璧を目指さない。休む。属人化を解消して「自分がいなくても回る」状態を作る(第9章)。それは会社のためであると同時に、あなた自身の人生を守るための、最も重要なセキュリティ対策です
どんなに優れた対策も、続かなければ意味がありません。頑張りだけに依存した運用は、あなたが疲れた瞬間に崩れます。だから、これまで学んできたこと——記録する、自動化する、外部に頼る、経営を味方につける、無理なく守れるルールにする——はすべて、「あなた一人の頑張りに依存しない、続けられる守りの体制」を作るためのものでした。セキュリティは瞬発力ではなく持久力です。あなたが健やかに続けられること自体が、会社の最大のセキュリティ資産なのです。
ここまで、10章にわたってお疲れさまでした。一人でIT全部を任される——それは孤独で、時に理不尽で、しかし会社を根っこで支える、かけがえのない仕事です。最初の章で「完璧を目指さない、着実に前進する」とお伝えしました。このコースで学んだことを、一度に全部やる必要はありません。できることから、一つずつ。60点の対策を積み重ねていけば、会社は着実に強くなります。そして、あなたは決して一人ではありません。ベンダーが、コミュニティの仲間が、そして経営という味方がいます。どうか、無理をせず、学び続け、長く健やかにこの仕事を楽しんでください。あなたの毎日の地道な仕事が、会社を守っています。その価値を、まず自分自身が誇りに思ってください。
まとめ
- インシデントはいつか必ず起きる。差を生むのは「起きた後、被害を最小限に立ち直れるか」と「事前準備」
- 初動の5原則:慌てない・記録する・封じ込める・報告する・証拠を保全する。外部支援先を平時に決めておく
- 報告と連携は「隠さない・一人で抱えない」。経営・専門機関(IPA、JPCERT/CC)・取引先・当局を平時に一覧化
- 経営とは「事業への影響と金額」で対話する。リスクと対策費をセットで示し、選択肢を経営に委ねる
- KPIで見えない仕事を可視化する。そして、続けられる仕組みと自分の健康こそが最大のセキュリティ資産
演習(自社の点検)
いま自社でランサムウェア感染が起きたら、あなたは最初の30分で何をしますか。連絡すべき相手(経営、外部支援先など)の連絡先は、すぐに取り出せる形で手元にありますか。
考え方
点検の視点は「初動カードと連絡先が、平時に準備できているか」です。理想の手順を暗記することより、慌てる場面で見られる1枚(封じ込め手順+連絡先)が用意されているかが実務では決定的です。とくに「外部の専門支援先を事前に決めてあるか」は要。決まっていなければ、それが今すぐ着手すべき最優先事項です。一人で完璧に判断しようとせず、電話一本で相談できる先を確保しておきましょう。
自社で今いちばん必要だと感じているセキュリティ投資(例:バックアップ強化、MFA導入など)を1つ選び、それを経営層に「事業への影響と金額」の言葉で説明する2〜3文を書いてみてください。
考え方
点検の視点は「技術の言葉を、経営が判断できる言葉に翻訳できているか」です。「◯◯を導入したい」ではなく、「対策しない場合の損失(金額・事業停止・信用)」と「対策の費用」をセットにするのがコツ。さらに選択肢(やる/部分的にやる/やらない)とそれぞれの費用対効果を並べれば、経営は判断しやすくなり、あなたは頼れる専門家として信頼されます。数字と選択肢で語る練習を重ねましょう。
あなたの日頃の「見えない仕事」を経営に示すとしたら、どんなKPI(数値)が使えそうですか。3つ挙げ、それを月1回報告する形をイメージしてください。
考え方
点検の視点は「何も起きなかった、を成果として語れているか」です。検知・対処したインシデント件数、バックアップ成功率と復旧訓練の実施、削減したSaaSコスト、問い合わせの自己解決率など、自社で取りやすい数字から選びましょう。完璧な指標より、続けて報告できる簡単な指標を。月次1枚の報告を習慣にするだけで、第1章で挙げた「評価されにくさ」は着実に改善していきます。