IPAが経営者向けランサムウェア対策ハンドブックを公開

独立行政法人情報処理推進機構（IPA）は9月8日、「ランサムウェア被害から学ぶ教訓集～経営者のためのランサムウェア対策ハンドブック～」を公開しました。国内で発生したランサムウェア攻撃による被害組織へのヒアリング調査をもとに、教訓を取りまとめた資料です。

ランサムウェア被害は、ひとたび発生すれば業務の停止や取引先への影響、対外説明まで含めた経営判断が同時に求められる点で、他のセキュリティ事案とは性質が異なります。本資料は、実際に被害に遭った組織の経験を「教訓」として整理した点に特徴があり、対策の優先順位を考えるための材料として活用できます。

資料の作成背景と体制

同資料は、国内でランサムウェア攻撃の被害にあった複数の組織を対象に、株式会社野村総合研究所の協力を得てヒアリング調査を実施し、被害組織の知見・経験を実践的な対処・対応に関する教訓として取りまとめたものです。作成に際しては、八雲法律事務所の山岡裕明弁護士が監修・加筆しています。

ランサムウェア事案は他の事案に比べ、発覚時に経営者や現場に緊急性の高い判断・対処が求められることが多く、事後的な検証が難しいケースも考えられるとしています。IPAでは作成の過程で、ランサムウェア脅威に立ち向かうには経営者の明確な関与が不可欠であることを確信したため、サブタイトルに「経営者のためのランサムウェア対策ハンドブック」と名付けたとしています。

ここで押さえておきたいのは、本資料が「対策技術のカタログ」ではなく、被害組織の実体験を出発点にした教訓集だという点です。どのような判断が現場を救い、どのような準備不足が対応を難しくしたのかという視点でまとめられているため、自組織の体制を見直す際のチェックリストとしても読むことができます。

想定読者と構成

想定読者は、経営者、経営・リスク管理に関わる部署の担当者（総務部門、経営企画部門、法務部門、広報部門、各事業部門等）、インシデント対処に関わる部署の担当者（情報システム部門、セキュリティ部門等）です。

資料では、経営者やリスク管理部門にとっての教訓として、ランサムウェア事案対応には時間の猶予がなく、発覚直後から業務中断や脅迫への対応、メディア対応等における経営判断を迫られるため、事前に発生し得るリスクを認識し、緊急時に迅速な意思決定を行えるよう、判断基準や意思決定プロセスをあらかじめ整備しておくことが重要であるとしています。

目次は「概要」「ランサムウェア事案の特性」「経営・リスク管理編」「インシデント対処編」「まとめ」などで構成されています。PDFは47ページで、IPAのウェブサイトからダウンロードできます。

経営層と実務担当者の双方を想定読者に含めている点も、本資料の特徴です。経営判断の話と現場の技術的な対応の話が同じ文書の中で扱われているため、部門をまたいだ読み合わせや、社内での対策方針のすり合わせにも使いやすい構成になっています。

今回の公表で判明していること

本資料は、被害組織へのヒアリングを通じて得られた教訓を、今後のランサムウェア事案への備えや、インシデント対応計画・事業継続計画（BCP）の充実強化に役立てる目的で作成されたものです。経営判断の基準や意思決定プロセスの整備、インシデント対応体制の整備、事業継続計画への反映、データの現状把握、バックアップとログの整合性確保、EDR導入と定期ログ監査、セキュリティベンダーとの関係構築といった項目が示されています。

目次には、経営者による迅速な経営判断と明確な関与、経営者主導の意思統一、窃取されたデータの暴露への備え、基本的な対策の徹底、「漏えいなし」の証明は困難、といった項目も並んでいます。技術的な対策だけでなく、意思決定や対外対応の準備が教訓として整理されている点が、本資料を読む際のポイントといえます。

なお、資料の内容や構成の詳細については、公開されているPDF本体で確認する必要があります。自組織への当てはめを検討する際は、まず目次を確認し、自組織で不足している項目から優先的に読み進めるのが現実的です。

実務担当者にとっての意味

本資料が想定読者として情報システム部門やセキュリティ部門の担当者を挙げている点は、実務の立場から見ると重要です。経営層向けの資料でありながら、現場の担当者が日頃から準備しておくべき事項にも触れられているため、経営層への説明資料としても、社内の対策計画を見直す際の根拠としても利用できます。

特に、判断基準や意思決定プロセスを事前に整備しておくこと、バックアップとログの整合性を確保しておくこと、セキュリティベンダーとの関係を構築しておくことといった項目は、平時からの準備が問われる内容です。事案発生後に慌てて整えることが難しいものだからこそ、平時のうちに検討しておく意義があるといえます。

まとめ

IPAが公開した「ランサムウェア被害から学ぶ教訓集～経営者のためのランサムウェア対策ハンドブック～」は、国内の被害組織へのヒアリングをもとに、経営判断と現場対応の両面から教訓を整理した資料です。経営者の関与が不可欠であるというメッセージがサブタイトルにも表れており、経営層と実務担当者が同じ資料を参照しながら、事前準備の不足を確認するきっかけになります。まずは目次に目を通し、自組織で手当てできていない項目を洗い出すところから始めてみてはどうでしょうか。