情報セキュリティインシデント発生時の初動対応とは？従業員教育で伝えたい３つの行動とNG行動
ご自身の組織では、セキュリティインシデントやヒヤリハットがきちんと報告されていると思いますか？
インシデントの報告は少ないに越したことはありませんが、「報告がない＝安全」とは限りません。
「大したことではないと思った」
「自分の勘違いかもしれない」
「忙しくて後回しにした」
「怒られるのが怖かった」
などの理由で、報告されないまま、埋もれてしまうケースもあるのが実情です。
セキュリティ事故は、発生そのものよりも、初動対応の遅れによって大きな問題へ発展するケースが少なくありません。今回は、組織が従業員に周知しておきたい、インシデント発生時の初動対応と、報告を促すための仕組みづくりについて解説します。
インシデントとは何か？
インシデントとは、機密情報の漏えいや紛失、改ざんや不正利用、利用不能など、組織の情報や情報が管理されているシステムの安全性が損なわれる出来事を指します。
よくあるインシデントには次のようなものが挙げられます。
- メールを間違った相手に送信した
- 不審なメールのリンクをクリックした
- 偽サイトに誘導され、認証情報を入力した
- 顧客に送るファイルのフォルダの閲覧権限を間違えた
- USBメモリやノートPCを紛失した
- 不審なアクセスや挙動を発見した
上記でもわかるとおり、被害が発生していなくても、発生するおそれがある状態もインシデントに含まれます。また、サイバー攻撃によるものだけではなく、日常業務でのミスや不注意もインシデントにつながる可能性があります。
インシデントは、どんなに予防対策をしても完全に防げるものではありません。「起こさない」ための努力とともに、「起こり得る」ことを前提に教育・準備することが重要です。
なぜ「すぐに報告」されることが重要なのか
インシデントの発生現場で最も重要なのは、できるだけ早く組織の窓口に報告してもらうことです。
例えば、不審なメールのリンクをクリックした場合、その時点では被害が発生していないように見えるかもしれません。しかし、認証情報の漏えいやマルウェア感染などが進行していた場合、時間の経過とともに被害が拡大する可能性があります。
また、メールの誤送信や機密ファイルの共有設定ミスといったケースでも、早期に発見・報告できれば影響を最小限に抑えられる場合があります。逆に、報告が数時間、数日と遅れることで被害が拡大し、影響範囲の把握や対処が難しくなってしまうこともあります。
報告された結果インシデントではなかったとしても、問題がないことを確認できればそれも組織にとっては有益な情報です。「報告をためらった結果、被害が拡大してしまった」、などを防ぐためにも、「迷ったら報告する」を基本原則として浸透させることを推奨します。
従業員教育で伝えたいインシデント発生時の３つの行動
インシデントが発生、またはその可能性がある、と気付いたときは、あわてずにすぐ決められた手順に従って対応することが大切です。
ここでは、従業員に最低限覚えてもらいたい３つの行動をご紹介します。
1. 作業を止める
異変に気付いたら、まずはそれ以上の操作を行わないようにしましょう。
例えば、
- 不審なメールのリンクをクリックしてしまった
- 共有設定のミスに気付いた
- 覚えのないログイン通知が届いた
などのが発生した場合、状況を確認しようと追加で操作することで、かえって被害を拡大させてしまうことがあります。まずは作業を中断し、それ以上の操作を行わないようにしましょう。
マルウェアなどの感染が疑われる場合は、感染を拡大させないためにネットワークから切り離すことも重要です。
2. 状況を記録する
何が起きたのかの事実を正確に把握することが重要です。気付いた時点で状況を記録しておきましょう。
例えば、
- いつ
- 何をしていたときに
- どのような画面やメッセージが表示されたのか
- どのような操作を行ったのか
などをメモしておくと、その後の調査や対応がスムーズになります。
スクリーンショットが取得できる場合は保存しておくことも有効です。
3. すぐに報告する
インシデント対応で最も重要なのが、できるだけ早く報告することです。2の「状況の記録」が完全でなくても、報告を優先します。
- 本当にインシデントなのか分からない
- 自分の勘違いかもしれない
- 現状被害は発生していない
といった理由で報告をためらう必要はありません。
やってはいけないNG行動
インシデント発生時に避けるべきNG行動をご紹介します。
自己判断で操作や対応を続けない
被害の拡大を防ぎたい一心で、自己判断で行動した結果、かえって状況を悪化させてしまうことがあります。あわてて設定を変更したり、原因を自分で調べようとしたりすることで、例えばマルウェア感染が拡大したり、調査に必要な証拠が消えてしまう可能性があります。
対象のメールやファイル、履歴を削除しない
不審なメールを削除したり、操作のログを消してしまうと原因の調査が難しくなります。
PCの初期化も、調査に必要な情報が失われてしまう可能性があるので避けましょう。
ためらわない
「自分の勘違いかもしれない」「報告するほどのことではないかもしれない」「怒られたくない」 とためらって報告が遅れたり、報告しなかった場合、本当のインシデントを見逃して被害が拡大する可能性があります。
インシデント発生時は、不安や焦りから普段とは異なる行動を取ってしまいがちです。しかし、自己判断で対応したり、報告をためらったりすることが、被害の拡大につながる場合があります。
異変に気付いたら抱え込まず、まずは組織が定める手順に従って行動することが大切です。
組織が作るべき「報告しやすい環境」
インシデント発生時の初動対応の浸透には、「報告してください」と呼び掛けるだけで報告が増えるわけではありません。
従業員が報告をためらう背景には、
- 何をどのように報告すればよいか分からない
- 誰に連絡すればよいか分からない
- インシデントかどうか判断できない
- 報告すると怒られるのではないかという不安がある
といった課題があります。
そのため、インシデントの適切な初動対応を実現するには、従業員への教育だけでなく、組織側が報告しやすい環境を整えることも重要です。
報告窓口を明確にする
インシデント発生時に誰へどのように連絡すべきかが分からなければ、報告は遅れてしまいます。
情報システム部門やセキュリティ担当者だけでなく、時間外や担当者不在時の連絡先も含めて、全従業員がすぐに確認できる状態にしておきましょう。
「迷ったら報告」を組織の文化にする
「インシデントかどうか分からないから報告しなかった」というケースは少なくありません。そのため、「確信がなくても報告してよい」「結果的に問題がなくても構わない」という考え方を組織全体で共有することが大切です。
従業員に求めるべきなのは正しい判断ではなく、異変に気付いた事実を共有することです。
報告した人を責めない
報告したことで叱責されたり評価が下がったりすると、次回以降の報告は行われなくなります。
インシデント対応では、ミスを責めるのではなく、被害拡大を防ぐために早期報告してくれたことを評価する姿勢が重要です。
定期的に教育・訓練を行う
インシデントが発生した際、配布している資料を読んだだけで適切な対応ができるとは限りません。
不審メールを受信した場合や情報漏えいが発覚した場合などを想定した教育や訓練を従業員に対して定期的に実施したり、日頃から言葉にして注意喚起するなど、意識付けしておくことが重要です。
また、同時に「報告を受けた側」がインシデント対応について訓練しておくことも大切です。誰が何を判断するのか？などの対応をルール化するだけでなく、実際のインシデントを想定した訓練をすることで、迅速な判断に足りない部分やボトルネックが明らかになります。
まとめ
情報セキュリティインシデントは、どれだけ対策を講じていても発生する可能性があります。重要なのは、インシデントをゼロにすることではなく、発生した際に被害を最小限に抑えることです。
そのためには、従業員が「作業を止める・記録を残す・報告する」といった初動対応を理解し、実践できるよう教育しておく必要があります。また、実際の場面で迷わず行動できるよう、継続的な訓練を実施することも重要です。
一方で、報告を受けるセキュリティ担当者や情報システム担当者も、判断や連携の手順を明確にし、定期的な訓練を通じて対応体制を整えておかなければなりません。
そして何より大切なのは、「迷ったら報告する」「報告した人を責めない」という文化を組織に根付かせることです。従業員教育、対応体制の整備、そして報告しやすい文化づくり。この3つを継続的に取り組むことが、重大なセキュリティ事故の防止につながります。
神戸デジタル・ラボのインシデント対策サービス
神戸デジタル・ラボでは、情報セキュリティインシデントの予防から事後対策まで、支援させていただいています。お役に立てることがございましたら、お気軽にお知らせください。
メール訓練・情報セキュリティ教育サービス「Selphish」
神戸デジタル・ラボが提供する「標的型攻撃メール訓練・情報セキュリティ教育サービス「Selphish（セルフィッシュ）」では、標的型攻撃メール訓練に加え、情報セキュリティ全般を網羅したeラーニング教育機能を提供しています。
メール訓練に組み合わせて活用することで、訓練による気付きにとどまらず、情報セキュリティ意識と知識の定着、行動変容を促進します。
継続的な人的セキュリティ対策をご検討中の方は、ぜひご活用ください。
標的型攻撃メール訓練・情報セキュリティ教育サービス「Selphish（セルフィッシュ）
インシデント対応トレーニング
企業の情報システム管理者として、弊社のセキュリティ専門家が提供する架空のインシデントに対応いただく訓練です。実際にインシデントが発生した際に迅速に対応できるように訓練することを目的とします。インシデントに対応していきながら、貴社での課題を洗い出すことで、インシデント対応に備えた環境の改善を支援します。
フォレンジック事前調査
起こってしまった事故の被害拡大を食い止め、事後対応をスピーディに図るための事前準備を目的として、弊社がお客様環境などについて事前ヒアリングを実施します。
サービスはこちら
