Conclusion First
結論：防ぐだけではなく、止めて戻せる企業になる
セキュリティ対策は不可欠です。しかし、完全な防御だけを事業継続の前提にはできません。
不審な通信、異常な認証、予期しない停止、大量のファイル変更などを確認した時点で、 対象をネットワークから切り離し、経営陣、CSIRT、情報セキュリティ責任者へ第一報を入れ、 ログや機器などの証跡を保全します。
初動の判断基準は、「攻撃だと証明できたか」ではありません。 放置した場合に被害が拡大する可能性があるかです。
Limits of Prevention / Evolving Threats / Cybercrime Economy
1. セキュリティ対策だけでは、防ぎきれない
多くの経営者が見落としがちなのは、ファイアウォール、EDR、多要素認証、 バックアップなどの対策を重ねても、サイバー攻撃を完全に防げるわけではないという現実です。 防御技術が進化する一方で、攻撃者も新しい技術、未知の脆弱性、取引先との接続、 人の心理、運用上の例外を利用し、攻撃方法を変化させ続けています。
サプライチェーン攻撃
関連会社、取引先、委託先、保守事業者などを足がかりとして侵入する。
ランサムウェア
暗号化、情報公開、取引先への連絡、サービス不能攻撃などを組み合わせて事業継続を脅かす。
ビジネスメール詐欺
経営者や取引先になりすまし、送金や認証情報の提供を促す。
ゼロデイ攻撃
修正プログラムが提供される前の未知の脆弱性を利用する。
生成AIの悪用
自然な文章、音声、画像を使い、なりすましやフィッシングの精度と速度を高める。
正規機能の悪用
VPN、クラウド共有、遠隔管理、管理者権限など、本来業務に必要な機能を攻撃経路として利用する。
サイバー犯罪は、すでに産業化している
現代のサイバー犯罪は、単独の攻撃者による一時的な嫌がらせではありません。 侵入経路の探索、認証情報の窃取、マルウェア開発、身代金交渉、情報公開までが役割分担され、 攻撃ツールや認証情報がサービスとして流通しています。
完全に侵入を防ぐことだけを目標にすると、 一度突破されたときに、業務全体を守る手段が残りません。
Suspicion Stage / Speed / Lateral Movement
2. なぜ「疑い」の段階で動く必要があるのか
ランサムウェアを含むサイバー攻撃は、侵入後に資格情報を奪い、 端末、サーバー、共有領域、バックアップ環境へ横展開することがあります。 原因究明を優先して接続を維持すれば、その間にも被害範囲が広がる可能性があります。
初動の遅れ
攻撃者が内部で活動できる時間を与え、横展開、権限昇格、情報持ち出しを許す。
接続の維持
侵害された端末や認証情報を経由して、未被害領域やバックアップへ影響が広がる。
報告の先送り
経営判断、外部支援、対外説明が遅れ、組織全体の対応開始が後手に回る。
被害極小化の原則は、「原因が分かるまで待つ」ことではありません。 疑わしい経路を先に遮断し、被害を受けていないシステム、顧客情報、バックアップを守ることです。
Government Guideline / Incident Possibility / CSIRT
3. 政府ガイドラインが示す初動の原則
内閣官房国家サイバー統括室の 「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」は、 情報セキュリティインシデントについて、実際に業務影響が顕在化していなくても、 そのおそれがある場合を含むことに留意が必要だとしています。
つまり、報告や初動の起点は、被害の確定ではありません。 情報セキュリティ方針への違反、不具合の可能性、未知の異常など、 インシデントへ発展し得る事象を認知した時点です。
現場・利用者
不審なメール、未知のエラー、異常な認証、端末の不審動作などを報告窓口へ伝える。
CSIRT・責任者
事実確認と評価を行い、遮断、応急措置、証拠保全、外部支援、復旧判断へ移行する。
One-Hour Reporting / Contractual Requirement / First Notice
4. 1時間以内という基準の意味
政府機関等のガイドラインは、疑い段階で速やかに報告し、組織的対応へ移る原則を示しています。 さらに、政府関連業務の委託契約では、不正アクセス又はそのおそれを認知してから、 遅くとも1時間以内に第一報を求める例があります。
ここでいう第一報は、原因、攻撃者、侵入経路、被害範囲を確定した報告ではありません。 「異常を認知した」「侵害の可能性がある」「現在、対象を遮断している」と伝え、 経営判断、関係機関との連携、外部専門家の投入を開始するための速報です。
1時間は、調査を完了するための時間ではありません。 組織として対応を開始し、遮断と情報共有を実行するまでの時間です。
第一報で伝えること
- 認知した日時
- 対象となる端末、サーバー、業務
- 確認した異常
- 現在の影響
- 実施済みの遮断措置
- 連絡担当者
続報で更新すること
- 侵入経路と原因
- 被害範囲
- 情報漏えいの有無
- バックアップへの影響
- 復旧条件と再開範囲
- 再発防止策
First Actions / Containment / Evidence Preservation
5. 認知直後に実行する5つのアクション
1. 認知
異常を記録し、インシデントの可能性として扱う。
2. 遮断
LAN、VPN、共有領域、外部接続から対象を切り離す。
3. 第一報
CSIRT、責任者、経営陣へ疑い段階で速報する。
4. 証跡保全
ログ、通信記録、端末、認証履歴を保存する。
5. 並行調査
被害拡大防止と原因調査を同時に進める。
遮断は、電源を切れば終わりではない
対象端末やサーバーをネットワークから切り離すことが基本ですが、 安易な再起動や初期化によってメモリ情報やログを失うことがあります。 組織の手順、CSIRT、外部専門家の指示に従い、証跡保全と被害拡大防止を両立させます。
認証情報とバックアップも隔離する
疑わしいアカウントの無効化、管理者権限の見直し、パスワード変更、 VPNや外部公開サービスの制限を行います。 オンライン接続されたバックアップは、攻撃者から到達できない状態へ隔離します。
Active Defense / Containment / Staged Recovery
6. 遮断から段階復旧へ――アクティブディフェンス
本稿でいうアクティブディフェンスとは、攻撃者へ反撃することではありません。 異常を検知した後、システムを能動的に遮断・隔離し、 被害範囲を確認したうえで、安全な領域から段階的に業務を再開する運用を指します。
重要なのは、すべてを一度に止めることでも、一度に復旧することでもありません。 重要業務、顧客情報、認証基盤、バックアップ、拠点間接続を分け、 被害を封じ込めながら、確認できた機能から順に再開することです。
検知
異常を認知し、通常運用から緊急対応へ移行する。
遮断
被害拡大と情報流出の経路を断つ。
調査
侵入範囲、認証、バックアップへの影響を確認する。
安全確保
再開条件、代替手順、監視体制を整える。
段階復旧
安全を確認した業務から順に再開する。
復旧の速さとは、全システムを一度に立ち上げることではありません。 被害を広げず、安全を確認した機能から再開できることです。
Lessons Learned / Supply Chain / Operational Change
7. 過去の大規模障害から初動は変わり始めている
酒類・飲料の製造供給を担う大手企業や、 法人向けECと物流を担う大手企業で発生した大規模なシステム障害は、 サイバー攻撃が情報システム部門だけでなく、受注、製造、在庫、出荷、配送、取引先まで停止させることを示しました。
その後、加工食品事業と低温物流事業を担う大手企業でサイバー攻撃が確認された事案では、 発生当日に緊急対策本部を設置し、顧客情報等の保護を優先してシステムを遮断しました。 外部専門会社と安全対策を講じたうえで、発生から4日後より影響業務を順次再開すると公表しています。
詳細な技術対応は公表されていないため断定はできません。 しかし、公表された時系列からは、全面復旧を急ぐのではなく、 遮断によって被害拡大を抑え、安全確認後に段階的な再開を選択したことが読み取れます。
過去の障害から得られた教訓は、攻撃を完全に防ぐことだけではありません。 疑いを認知した時点で止め、事業停止を受け入れてでも被害を限定し、 安全な領域から再開する判断を経営が行うことです。
Stop / Audit / Restart / Isolation
8. 逆説的に、定期的に止め、監査し、再び動かす
システムを止めないことだけを重視すると、組織は停止、遮断、切離し、再投入の経験を失います。 その結果、異常が発生しても、どこまで止めればよいか、何を残せばよいか、 どの順番で復旧すべきかを判断できません。
必要なのは、無計画に業務を停止することではありません。 対象、時間、責任者を定めて計画的に切り離し、独立状態で監査し、 安全を確認してから段階的に再投入する運用です。
1. 止める
対象機器、通信、認証、共有領域を限定して切り離す。
2. 監査する
ログ、通信、権限、バックアップ、端末状態を確認する。
3. 独立運転する
外部接続を失っても、必要機能がローカルで継続できるか確かめる。
4. 再投入する
安全を確認した機能から、順序を決めて段階的に復旧する。
止められないシステムは、異常時にも止められません。 再起動したことがないシステムは、有事に安全に再開できるとは限りません。
Distributed Architecture / Local Autonomy / Resilience
9. 分散型システムへの移行は、選択ではなく必然になる
受注、在庫、物流、認証、決済、通信を一つのシステムへ集中させるほど、 平時の管理効率は高まります。一方で、その中枢が停止した場合の影響も全体へ広がります。
今後求められるのは、中央システムを廃止することではありません。 中央が停止しても、拠点、設備、現場が最低限の機能を継続できる構造を持つことです。
- 拠点ごとに独立して動作できるローカル機能
- 通信断時にも利用できる認証・操作手段
- 中央システム停止時の手作業・代替運用
- 切り離しても監視とログ保存を継続できる電源
- 安全確認後に部分単位で再接続できるネットワーク
- 一拠点の侵害を全体へ波及させない分離設計
集中型システムの次に必要なのは、全体最適を維持しながら、 一部を切り離しても業務を継続できる分散型システムです。
Preparedness / Authority / Contact Tree / Exercises
10. 1時間以内に報告できる体制を平時に作る
1時間以内の第一報は、発生後に連絡先を探していては実行できません。 平時から、誰が認知し、誰が遮断を判断し、誰が経営陣や関係機関へ報告するのかを定めておく必要があります。
事前に決めること
- 報告窓口と代行者
- 夜間・休日の連絡経路
- 遮断を命じる権限者
- 経営陣へのエスカレーション条件
- 外部専門会社、法務、保険会社の連絡先
- 法令・契約・所管官庁ごとの報告期限
定期的に試すこと
- 不審通信を想定した通報訓練
- ネットワーク遮断訓練
- 第一報の作成訓練
- 証跡保全と機器引渡し訓練
- 手作業・代替拠点への切替訓練
- 段階復旧と監視強化の訓練
1時間以内という基準は、担当者に急ぐよう求めるだけでは実現できません。 1時間以内に報告できる組織、権限、連絡網、手順を事前に設計しておくことが本質です。
Conclusion
結論：防ぐだけではなく、止めて戻せる企業になる
セキュリティ対策は不可欠です。しかし、攻撃経路が取引先、委託先、クラウド、 人、未知の脆弱性まで広がる以上、完全な防御だけを前提にはできません。
これからのBCPに必要なのは、疑いを認知した時点で止め、被害を分離し、証拠を残し、 独立した機能を継続し、安全を確認した領域から再開する設計です。
防御の強さだけでは、企業は守れない。
止める力、分ける力、戻す力が、次の経営基盤になる。
FAQ
よくある質問
なぜ被害が確定する前に報告する必要があるのですか？
サイバー攻撃は短時間で横展開し、暗号化、情報持ち出し、バックアップ破壊へ進む可能性があるためです。原因確定を待たず、疑いを認知した段階で遮断、第一報、証跡保全を開始する必要があります。
すべての企業に1時間以内の報告義務がありますか？
一律ではありません。政府機関等のガイドラインは疑い段階での速やかな報告を求め、政府関連業務の一部契約では認知から遅くとも1時間以内の第一報を具体的に定めています。各組織は法令、契約、所管官庁のルールを確認する必要があります。
第一報では何を報告すればよいですか？
認知日時、発生場所又は対象システム、確認した異常、現在の影響、実施済みの遮断措置、連絡担当者など、現時点で確認できる事実を報告します。原因や被害範囲が未確定であることも明示し、続報で更新します。
最初に行うべき遮断とは何ですか？
対象端末やサーバーをLAN、VPN、共有領域、外部接続から切り離し、疑わしいアカウントや認証情報を無効化します。ただし、証跡を失わないよう、安易な再起動や初期化は避け、組織の手順と専門家の指示に従います。
本稿でいうアクティブディフェンスとは何ですか？
攻撃者へ反撃することではありません。異常を検知した後、能動的に遮断・隔離し、被害範囲を確認し、安全な領域から段階的に業務を再開する運用を指します。
なぜセキュリティ対策だけでは十分ではないのですか？
攻撃経路が、取引先、委託先、認証情報、未知の脆弱性、人へのなりすまし、正規機能の悪用まで広がっているためです。予防策は不可欠ですが、突破された後に止め、分離し、復旧できる設計が必要です。
定期的にシステムを止めるとはどういう意味ですか？
無計画に業務を停止することではありません。対象、時間、責任者を決めて計画的に切り離し、ログ、権限、バックアップ、独立運転、復旧順序を確認した上で段階的に再投入する訓練を指します。
