.png)
セキュリティにも「避難訓練」が必要です！中小企業のためのランサムウェア机上演習
- 2 分前
- 読了時間: 10分
社内のパソコンに突然、身代金を要求する画面が表示された
共有フォルダが開けず、複数の社員が仕事を続けられない
取引先から「御社から不審なメールが届いた」と連絡が入った
システム会社へ電話したが、担当者につながらない
このような事態が起きたとき、あなたの会社では誰が何を判断するでしょうか。
「感染したパソコンをネットワークから切り離す」
「保守会社へ連絡する」
といった対処を知っていても、実際の事故では技術的な対応だけでなく、さまざまな判断が必要になります。
業務をどこまで止めるのか
社員には何を伝えるのか
顧客や取引先へ連絡するのか
誰が対応方針を決めるのか
復旧まで仕事をどう続けるのか
こうした判断を、事故が起きてから初めて考えるのは危険です。
そこで役立つのが、ランサムウェアの発生を想定した「机上演習」です。
セキュリティ訓練は、専門家だけのものではない
セキュリティ訓練と聞くと、次のような専門的なものを想像するかもしれません。
社員へ模擬的な標的型メールを送る
実際のシステムを止めて復旧させる
セキュリティ製品を操作する
専門業者が攻撃を再現する
こうした訓練もありますが、すべての会社が最初から大がかりな訓練を行う必要はありません。
机上演習では、ランサムウェアが発生したという架空のシナリオを読み、参加者同士で対応を話し合います。基本的には、会議室やオンライン会議で実施できます。
実際のパソコンを感染させたり、社内システムを止めたりするものではありません。
IPAも、中小企業などが利用できる「セキュリティインシデント対応机上演習教材」を公開しています。教材は、過去のランサムウェア被害事例を参考にしたシナリオを使い、参加者がグループで対応方針や方法を検討する構成です。
机上演習で確認するのは「知識」より「会社としての判断」
ランサムウェア対策の知識を学ぶだけであれば、研修動画や資料でも可能です。
しかし、机上演習の目的は、参加者の知識を試すことではありません。
確認するのは、事故が起きたときに会社として判断し、動ける状態になっているかです。
例えば、感染が疑われるパソコンをネットワークから切り離す必要があることを、総務担当者が知っていたとします。
しかし、実際には次のような問題が起こる可能性があります。
社員が異常を誰へ報告すればよいか分からない
有線LANは抜いたが、Wi-Fiへの接続が残っている
サーバーも止めるべきか判断できない
システムを停止する権限が誰にあるか分からない
保守会社の緊急連絡先が見つからない
経営者が不在で、顧客への連絡を決められない
個別の対策を知っていても、役割や判断基準が決まっていなければ、会社としては動けません。
机上演習では、こうした「知識と実際の対応の間にある穴」を見つけます。
中小企業なら30～60分の簡易版から始められる
IPAが公開している教材では、インシデント対応の基礎を学ぶ座学と、グループで検討・発表する演習が組み合わされています。
一方、社内で初めて実施する場合は、内容を自社向けに絞った30～60分程度の簡易版から始める方法もあります。
これはIPA教材の標準的な所要時間を示すものではなく、ITワークラボが中小企業向けの入口として提案する簡易形式です。
参加者は、3～6人程度でも構いません。
経営者または判断権限を持つ人
総務・管理部門の担当者
ITやシステム会社との連絡担当者
顧客や取引先への対応を担当する人
業務部門の責任者
専任のIT担当者がいない場合でも、事故発生時に判断や連絡に関わる人が参加すれば実施できます。
簡易版の進め方
1．短いシナリオを用意する
最初から複雑なシナリオを作る必要はありません。
例えば、次のような内容です。
月曜日の午前9時、経理担当者のパソコンに身代金を要求する画面が表示されました。
担当者は共有フォルダも開けないと話しています。
別の社員からも、ファイル名が変わっているという報告がありました。
まずは、この状況で何をするかを参加者に考えてもらいます。
2．状況を少しずつ追加する
最初の対応について話し合った後、追加情報を出します。
保守会社へ電話しましたが、担当者は別の対応中で、折り返しまで1時間ほどかかるとのことです。
主要顧客から、今日中に必要なデータを送ってほしいと連絡がありました。
バックアップは取得しているはずですが、最後に復元確認をした時期が分かりません。
状況を段階的に追加すると、連絡先、判断権限、バックアップ、顧客対応などの課題が見つかりやすくなります。
3．参加者で対応を話し合う
進行役は、次のような質問をします。
最初に誰へ報告しますか
社内で誰が対応を取りまとめますか
どのパソコンやシステムを止めますか
誰が停止を決めますか
どの外部事業者へ連絡しますか
顧客や取引先には、誰が何を伝えますか
システムが使えない間、業務をどう続けますか
回答に正解を求める必要はありません。
意見が分かれたり、誰も判断できなかったりした部分こそ、演習で見つけたい課題です。
4．決まっていないことを記録する
演習中に見つかった課題を、簡単に記録します。
例えば、次のような内容です。
緊急時の連絡先が最新ではなかった
経営者不在時の代理判断者が決まっていなかった
システムを停止する基準がなかった
バックアップの復元確認をしていなかった
顧客への連絡文や承認手順がなかった
記録することが多すぎると、その後の改善が進みません。
初回は「影響が大きいもの」「すぐ直せるもの」を中心に、3～5項目程度へ絞ってもよいでしょう。
初回の演習で確認したい5つのポイント
1．最初の報告先
異常を発見した社員が、誰へ、どの方法で報告するのかを確認します。
社内ネットワークやメールが使えない可能性もあるため、電話やチャットなどの代替手段も必要です。
連絡先を文書にしていても、担当者が退職していたり、休日の連絡方法がなかったりする場合があります。
2．被害拡大を防ぐ初動
IPAの「中小企業のためのセキュリティインシデント対応の手引き」では、ランサムウェア感染時の初動として、感染したパソコンやサーバーの利用を停止し、ネットワークから切り離すことが示されています。
一方で、状況を確認せずに電源を切ると、調査に必要な記録が失われる可能性もあります。
社員が現場で迷わないように、
「何をしてよいか」
「何を自己判断でしてはいけないか」
「誰の指示を受けるか」
を決めておく必要があります。
3．停止と復旧を決める人
被害拡大を防ぐためには、サーバーやクラウドサービス、拠点間の通信を止める判断が必要になる場合があります。
しかし、システムを止めれば業務にも影響します。
誰が停止を判断するのか
経営者不在時は誰が代行するのか
どの業務を優先して復旧するのか
復旧したと判断する条件は何か
技術担当者や保守会社だけに任せず、事業への影響を踏まえて判断できる体制が必要です。
4．社外への連絡
インシデントの内容によっては、顧客、取引先、保険会社、警察、所管官庁などへの相談や報告が必要になる可能性があります。
この段階で、被害の全容が分かっているとは限りません。
不確かな情報を断定して伝えないためにも、次の点を確認します。
誰が社外対応を担当するのか
誰が発表内容を承認するのか
どの相手へ、どの順番で連絡するのか
問い合わせ窓口をどこに設けるのか
連絡文を完成させておく必要はありませんが、ひな型と承認手順があれば混乱を減らせます。
5．システムが使えない間の業務
ランサムウェア対応は、データを復元すれば終わりとは限りません。
原因調査、安全確認、端末の再設定などに時間がかかる可能性があります。
受注情報をどのように確認するか
顧客からの問い合わせをどう受けるか
納品や請求を継続できるか
紙や別端末による代替手段があるか
復旧まで何日耐えられるか
この確認は、セキュリティ対策だけでなく、事業継続の見直しにもつながります。
演習で「できないこと」が見つかっても失敗ではない
演習中に誰も判断できなかったり、対応手順の不備が見つかったりすると、担当者は気まずく感じるかもしれません。
しかし、机上演習は社員や担当者を評価するための試験ではありません。
事故が起きる前に問題を見つけることが目的です。
進行役は、次のようなルールを最初に共有すると進めやすくなります。
個人の知識不足を責めない
その場で完璧な結論を出そうとしない
現在のルールで対応できるかを確認する
分からないことは「要確認」として記録する
演習後に改善する項目を絞る
参加者が安心して「分からない」「決まっていない」と言える雰囲気が重要です。
30分と60分の進行例
30分で試す場合
5分：目的とルールの説明
5分：最初のシナリオを確認
10分：初動対応と役割を話し合う
5分：追加状況への対応を検討
5分：課題を3項目に絞る
60分で実施する場合
10分：目的、前提、対応の基本を確認
10分：最初のシナリオを検討
15分：追加状況を踏まえて対応を検討
10分：顧客対応と業務継続を検討
10分：不足しているルールや情報を整理
5分：改善担当者と期限を決める
初回から多くの部署を集めることが難しければ、まず経営者と管理部門だけで試し、次回から対象を広げる方法もあります。
演習後は、分厚い報告書より「次に直すこと」を残す
演習を実施しても、報告書を作っただけでは対応力は変わりません。
演習後は、見つかった課題ごとに、担当者と期限を決めます。
見つかった課題 | 改善内容 | 担当 | 期限 |
保守会社の緊急連絡先が不明 | 契約内容と休日連絡先を確認する | 総務 | 今月末 |
経営者不在時の判断者が不明 | 代理責任者を決めて手順書に追記する | 経営者 | 次回会議 |
復元できるか確認していない | テスト用データで復元確認を行う | IT連絡担当 | 翌月 |
顧客への連絡手順がない | 第一報のひな型と承認者を決める | 営業責任者 | 今月末 |
一度にすべてを改善する必要はありません。
次回の演習で、前回見つかった課題が解消されているかを確認すれば、少しずつ対応力を高めていけます。
机上演習だけでランサムウェアは防げない
机上演習は、事故発生時の判断や連携を確認するものです。
演習を実施しただけで、ランサムウェアへの感染を防げるわけではありません。
OSやソフトウェアの更新
多要素認証
アカウントと権限の管理
ウイルス対策や監視
バックアップ
バックアップからの復元確認
社員への教育
外部相談先の確保
こうした予防・検知・復旧の対策と組み合わせる必要があります。
特にバックアップは、取得していることだけでなく、ランサムウェアから保護され、実際に復元できることの確認が重要です。
事故が起きる前なら、落ち着いて失敗できる
セキュリティ訓練は、専門的なシステムを使う大がかりなものだけではありません。
ランサムウェアが発生したというシナリオを読み、関係者で対応を話し合う机上演習なら、専任のIT担当者がいない中小企業でも始められます。
最初に確認したいのは、次の5点です。
最初に誰へ報告するか
被害拡大を防ぐために何をするか
停止と復旧を誰が決めるか
顧客や取引先へ誰が連絡するか
システムが使えない間、業務をどう続けるか
対応できないことや、決まっていないことが見つかっても問題ありません。
事故が起きていない今なら、業務や顧客へ被害を出すことなく失敗できます。
年に一度でもシナリオを変えて確認すれば、手順書を「作ったままの文書」ではなく、実際に使える仕組みへ近づけられます。
参考資料
💬 ご相談はこちら
ITワークラボでは、IT担当者がいない中小企業向けに
ランサムウェア発生を想定した机上演習の企画・実施
自社の業務に合わせた演習シナリオの作成
緊急連絡網や役割分担の整理
インシデント対応手順の作成・見直し
演習で見つかった課題の改善支援
バックアップや復旧体制を含むセキュリティ対策の確認
などをサポートしています。
「訓練をしたことがない」
「誰を参加させればよいか分からない」
「手順書が実際に使えるか確認したい」
といった段階でも、お気軽にご相談ください。
現時点で対応手順や演習シナリオがなくても問題ありません。
初回相談は無料です。
📖 あわせて読みたい
関連ページ
IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。
実際のご相談事例は、「導入事例」でもご紹介しています。
ITワークラボの考え方は、「ITワークラボについて」をご覧ください。
コメント