中小企業で起こるサイバーインシデントには、どのようなものがありますか？
小規模企業でのサイバーインシデントは、それとすぐに分かる形で現れることはほとんどありません。通常は、誰かが何気なく口にする、ちょっとした不具合のように見えます。NCSCは警告の兆候として、コンピューターの動作が遅い、アカウントやファイルにアクセスできない、身代金を要求するメッセージが表示される、自社ドメインから不審なメールが送られる、予期しない支払いを要求される、といったものを挙げています。
架空の14人規模の会計事務所、ハルデン＆ロウを例に考えます。金曜日の4.40pm、事務所管理者のプリヤに、共同経営者から次のメッセージが届きます。'Outlookから自分が書いてないメールが大量に送られてる？？ 顧客2社から、請求書の新しい銀行口座について問い合わせの返信が来た。あと共有ドライブでまたログインを求められて、パスワードが通らない。学校に迎えに行くので6に戻る'。ITの専任担当者はおらず、IT管理の委託先は5.30pmに営業を終了し、週末が迫っています。
小規模チームのインシデント対応は、どのような手順で進めますか？
少人数チームのインシデント対応は、認識、封じ込め、報告、復旧、学習の順に進み、最初の1時間は主に最初の3つに取り組みます。NCSCの中小企業向け対応・復旧ガイドでも、準備、特定、解決、報告、学習という似た5段階のモデルを使っています。
1. 問題に気づいたら、記録を始めます
その報告を厄介事ではなく、インシデントの可能性があるものとして扱ってください。記録を作成し、時刻、報告者、報告者が確認したこと、実施したすべての対応を残してください。NCSCは、停止したサービス、発生時刻、影響範囲を記録するよう勧めています。
2. 被害の拡大を防ぎます
証拠を失わずに被害の拡大を止めます。CISAは、電源を切るとメモリ内の証拠が失われる可能性があると指摘しているため、被害のある端末は電源を切るのではなく、ネットワークから切り離してください。安全な端末から侵害されたアカウントのパスワードをリセットし、すべてのセッションからサインアウトさせます。
3. 早めに助けを求めます
ITサービス提供会社、またはシステムの管理担当者に、業務時間が終わる前に電話してください。英国では、NCSCは、現在サイバーインシデントの被害を受けている企業、組織、慈善団体に対し、Report Fraudの0300 123 2040に電話し、音声案内で9を押すよう案内しています。米国では、CISAとFBIのIC3が通報を受け付けています。
4. 報告して関係者に知らせます
犯罪を捜査機関に通報し、影響を受けた人に知らせてください。英国で個人データが漏えいした可能性があり、その漏えいが人々にリスクをもたらすおそれが高い場合、ICOは、実行可能な限り72時間以内にICOへの通知が必要だとしています。
5. 復旧し、教訓を得る
安全性を確認し、復元テストを済ませたバックアップから復元し、悪用された脆弱性を修正し、状況が落ち着いたら短い振り返りを行ってください。うまくいった点と、次に変えたい点を書き留めてください。
最初の1時間の対応には、不十分な例と適切な例でどのような違いがありますか？
不十分な初動の1時間では、周囲に知らせず、その場しのぎで対応します。プリヤは不審な送信済みメールを削除し、共同経営者には月曜日にパスワードを変更するよう頼み、顧客には何も伝えません。月曜日までに、攻撃者は週末を通じてメールボックスを利用でき、証拠は失われ、1人の顧客が詐欺師に支払ってしまいます。
適切な初動の1時間では、落ち着いて対応し、記録を残します。午後4.45に、プリヤは対応記録を作成し、共同経営者からのメッセージを一字一句そのまま記録します。午後4.50にIT事業者へ電話し、事業者はメールボックスへのサインインを無効にして、多要素認証を伴うパスワードの再設定を強制します。午後5.05には、事務所が保管している連絡先を使って2人の顧客へ電話し、振込先が変更されても支払わないよう伝えます。午後5.20に、事業者は請求書を外部アドレスへ転送するルールを発見し、調査用に記録します。午後6より前に、プリヤはインシデントを報告し、月曜日の振り返りを予定に入れます。これらの対応に専門的な技術は必要ありません。
インシデント対応でAIツールは役に立ちますか？
AIツールは準備や情報伝達に役立ちますが、被害の封じ込めに関する判断を任せたり、機密性の高い証拠を見せたりすべきではありません。事前に1ページの計画案を作成する、未整理の記録を時系列にまとめる、人が確認する顧客向け通知の下書きを作成するといった用途に使ってください。未承認のツールにログ、パスワード、個人データを貼り付けてはいけません。
インシデント対応が有効だったかどうかは、どう確認しますか？
対応が適切だったかを確認するには、攻撃者のアクセスを遮断できたか、リスクにさらされている人に知らせたか、その場にいなかった人にもすべての判断を記録で説明できるかを確かめます。
アクセス遮断済み
パスワードをリセットし、セッションを終了します。不審なメールボックスのルールや新しい管理者アカウントは、ITサービス事業者が記録し、対処します。
関係者への連絡
影響を受けた顧客と従業員、また必要に応じて規制当局や捜査機関に、信頼できる連絡手段で通知しています。
根拠を保存済み
見た目を整えるために削除したものはなく、ログには時刻、操作、各判断を行った人が記録されています。
記録されたレッスン
レビューでは、すべての環境に多要素認証を導入するなど、実施すべき変更を1つ挙げています。
インシデント対応でよくある間違いは何ですか？
最も多い間違いは、確信が持てるまで待つことです。インシデントだと確定する頃には、被害が広がっています。ほかにも、整理しようとして証拠を削除する、端末をネットワークから切り離す代わりに電源を切る、侵害されたメールボックスから注意喚起する、顧客に知らせない、時間外に連絡できるIT担当の電話番号を用意していない、といった間違いがあります。
このレッスンはTosheo.aiの中でどのように位置づけられていますか?
このレッスンは、サイバーセキュリティカテゴリーとサイバーセキュリティ講座に属します。Tosheo.aiの実習課題では、プリヤの報告書のように整理されていない報告書を基に、最初の1時間の記録と対応を作成し、公開された採点基準に沿って評価を受けます。これはセキュリティ意識を高める研修であり、インシデント対応やデジタル鑑識の専門講座ではありません。また、利用中のITサービス事業者に代わるものでもありません。
出典と対象範囲
NCSC：小規模企業向けガイド：対応と復旧（19 October 2026確認） ↗
NCSC：ステップ2：何が起きているかを把握する（19 October 2026確認） ↗
CISA、ランサムウェアの被害に遭ったら（19 October 2026確認） ↗
ICO、個人データ侵害の報告（2026年10月19日確認） ↗
NCSC：マルウェアとランサムウェアの攻撃による被害を抑える方法、身代金の支払いについて（19 October 2026確認） ↗
NCSC：地域組織犯罪対策部門の連絡先、進行中のインシデントに対応する窓口を含みます（PDF、19 October 2026確認） ↗