中小企業のランサムウェア対応キット｜72時間フローと書式6種（Word・Excel 5点）
月曜の朝9時14分、経理担当のパソコンでファイルが開かなくなる。
拡張子が見慣れないものに変わっていて、開こうとすると「暗号化されています」と出る。
隣の席でも同じことが起きている。
デスクトップの壁紙が、見覚えのない文書に変わっている。
このとき、情報システムを兼任している総務の担当者が最初にすべきことは何でしょうか。
答えは「LANケーブルを抜く」です。
そして、絶対にやってはいけないのが「電源を落とす」ことです。
メモリ上にしか残っていない痕跡が消えて、あとで何が起きたのか分からなくなります。
この2つを、被害が出た朝に思い出せる人は、ごく一部です。
だから紙にして、机の上に置いておく必要があります。
このキットは、従業員10名から100名くらいの会社で、情報システムを兼任している人のために作りました。
総務や経理や製造管理が本業で、パソコンに詳しいという理由で機器の面倒を見ることになった人です。
専任の担当がいない会社では、これがいちばん多い形だと思います。
そういう会社は狙われないのかというと、逆でした。
警察庁が令和8年3月に公表した資料では、令和7年のランサムウェア被害の報告件数は226件。
被害に遭った組織へのアンケートでは、侵入経路のうちVPN機器が6割以上を占めています。
VPN機器は、会社の規模に関係なく、どこにでもある機器です。
大企業には手順書があり、対応する部署があります。
中小企業には、そのどちらも無いのがふつうです。
同じ被害に遭っても、止まる時間の長さがまったく違ってきます。
入っているもの
5点入っています。
Word・Excelのファイルとして添付してあるので、ダウンロードして自社の名前を入れれば、そのまま使えます。
本文にも同じ内容を載せているので、買ったその場で読めます。
初動72時間フローシート
発見時チェックシート
報告・通知の書式集（6種）
事前準備チェックリスト（40項目）
緊急連絡先シート
フローシートは、発見から復旧までを時間帯で区切って、やること、やってはいけないこと、誰が判断するかを並べたものです。
チェックシートは、被害を疑った時点から書き込む記入用紙で、書いた内容がそのまま警察や保険会社や個人情報保護委員会、取引先への説明の材料になります。
書式集の6種は、経営層への第一報、全社への周知文、個人情報保護委員会への速報の記載項目、本人への通知文、取引先への通知文、公表文です。
角括弧の部分を自社の内容に置き換えるだけで出せる形にしてあります。
事前準備チェックリストは、平時に埋めるものです。
被害に遭った会社とそうでない会社の差は、運ではなく、このリストの埋まり具合でした。
緊急連絡先シートは、印刷してネットワークが使えない場所に置いておくためのものです。
被害が出ている最中は、社内のファイルサーバーが開けない状態になります。
根拠と更新について
数字と手続きの根拠は、警察庁、IPA、個人情報保護委員会の公表資料にあたっています。
出典は末尾にURLで並べました。
制度が変わったときは、この内容も更新します。
購入後に追記した分も、追加の費用なしでそのまま読めます。
なぜ「72時間」なのか
2022年4月に施行された改正個人情報保護法で、一定の要件に当てはまる個人データの漏えいが起きたときは、個人情報保護委員会への報告と、本人への通知が義務になりました。
報告の義務が生じるのは、次の4つのどれかに当たるときです。
要配慮個人情報が含まれる個人データの漏えい等
不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
不正の目的をもって行われたおそれがある、当該個人情報取扱事業者に対する行為による漏えい等
個人データに係る本人の数が1,000人を超える漏えい等
ランサムウェアの被害は、このうち3つめに当たる可能性が高いとされています。
そして3つめに当たる場合は、対象が1件であっても報告の義務が生じうる、とされています。
件数が少ないから報告しなくてよい、ということにはならない仕組みです。
報告は速報と確報の2段階です。
速報は、報告の対象になる事態を知った時点から、概ね3日から5日以内。
ここで気をつけていただきたいのが、72時間という数字です。
よく目にしますが、これはEUのGDPR第33条の期限で、日本の個人情報保護法の期限とは別のものです。
日本の期限と取り違えると、速報が遅れるか、逆に慌てて中身の薄い報告を出すことになります。
難しいのは、原因も範囲もまだ分からない段階で、報告するかどうかを判断しなければならないことです。
調べ終えてから判断するのではなく、調べながら判断することになります。
ここが、この72時間でいちばん苦しいところです。
最初の15分にやること
やることは4つです。
順番どおりに進めてください。
感染が疑われる端末のLANケーブルを抜き、Wi-Fiをオフにする
同じ島、同じ部署の端末も、症状の有無にかかわらずネットワークから外す
共有サーバーやNASへのアクセスを止める
情報システムの担当と経営層へ一報を入れる
逆に、やってはいけないことが4つあります。
端末の電源を落とす
ファイルを開き直す、名前を変える、削除する
復号ツールをインターネットで探して実行する
攻撃者に連絡する
電源については、よく間違えます。
止めたい気持ちになりますが、切るのはネットワークだけです。
電源を落とすと、メモリ上にしか残っていない痕跡が消えて、あとから侵入経路をたどれなくなります。
復号ツールも危ないところです。
検索すると出てきますが、復号ツールを装ったマルウェアが多数あります。
被害の上に被害を重ねることになります。
そして、この時点で記録しておくものが3つあります。
最初に症状に気づいた人、時刻、端末名
画面に表示されていた文言
拡張子がどう変わったか
画面の文言は、端末を操作せずにスマートフォンで撮ってください。
操作すると、それ自体が痕跡を上書きします。
ここまでが最初の15分です。
暗号化されるだけでは、終わらなくなりました
ランサムウェアの手口は変わってきています。
もとは、ファイルを暗号化して身代金を求める形でした。
いまは、暗号化する前にデータを盗み出して、「払わなければ公開する」と迫る二重恐喝が中心です。
この変化が何を意味するかというと、バックアップから復旧できても解決しない、ということです。
データが戻っても、盗まれた情報の公開は止められないままです。
つまり、復旧の話と、報告や通知の話が、完全に別の問題になりました。
技術で戻せる部分と、書類で片づけるしかない部分が分かれたということです。
書式が要るのは、このためです。
まとめ
ランサムウェア対応でいちばん難しいのは、技術よりも、判断と書類です。
判断を誤りやすいところは2つあって、最初の15分と、報告の義務が絡む72時間目です。
15分のほうは、電源を落とさずネットワークだけを切ること。
72時間のほうは、72時間がEUの期限であって日本のものではないと知っておくこと。
この2つだけでも、朝の動き方が変わります。
そして、被害に遭った会社とそうでない会社の差は、事前準備チェックリストの埋まり具合でした。
費用をかけずに今日できることのうち、効果がいちばん大きいのは、バックアップを1つ取って、そのケーブルを抜いておくことです。
つないだままのバックアップは、一緒に暗号化されます。
この書式が使われないまま終わるのが、いちばん良い結果です。
ただ、使う日が来たときに手元にないと、半日が電話とネット検索で溶けます。
みなさんの会社では、いま同じ症状が出たら、誰が最初に対応することになっていますか。
参考・引用元
個人情報保護委員会「漏えい等の対応とお役立ち資料」https://www.ppc.go.jp/personalinfo/legal/leakAction/
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
IPA「中小企業の情報セキュリティ対策ガイドライン」https://www.ipa.go.jp/security/guide/sme/
IPA「情報セキュリティ安心相談窓口」https://www.ipa.go.jp/security/anshin/
IPA「ランサムウェア対策特設ページ」https://www.ipa.go.jp/security/ransomware/
警察庁「サイバー犯罪対策」https://www.npa.go.jp/bureau/cyber/
No More Ransom https://www.nomoreransom.org/
