ランサムウェア対策は何から始める？中小企業の初動対応と事前準備

ランサムウェアが疑われるとき、現場が迷わないために。端末の隔離、社内外への連絡、証拠の保全、復旧判断を整理し、平時に準備しておきたい実務チェックを解説します。

ランサムウェア対策は業務を止めない準備から

ランサムウェア対策では感染を防ぐことに加え、被害が疑われた際の判断と連絡を用意しておく必要があります。ファイルが開けない、拡張子が変わった、身代金要求が表示されたといった異常を、従業員が一人で解決しようとすると対応が遅れます。

この記事は平時の体制づくりを目的とした整理です。すでに被害が疑われる場合は、社内の対応責任者と契約している保守会社へ速やかに連絡し、警察等の専門窓口への相談も進めてください。自社の機器・事業に合った指示を優先します。

経営側が先に決めたいのは、止まると困る業務、停止を判断できる人、代替の連絡手段です。メールや社内チャットが使えなくなった場合にも連絡できるよう、必要な窓口を安全な方法で別途保持します。

警察庁は、感染が疑われる端末をLANケーブルの取り外しや無線の停止などでネットワークから隔離するよう案内しています。感染端末を業務ネットワークへつなぎ直して確認したり、共有フォルダーを次々に開いたりする行為は避けます。

初動では、発見時刻、画面表示、機器名、利用者、直前に行った操作、実施した隔離を記録します。被害端末から証拠を集めようとして新たなツールを入れる前に、専門担当へ確認してください。自己判断での初期化・再インストール・ログ消去は、原因調査を難しくする可能性があります。

電源操作も一律に決めつけず、ネットワーク隔離を優先し、証拠保全と被害拡大の状況を踏まえて専門担当の指示を受けます。制御機器などを停止すると安全に影響する現場では、現場責任者との連携が欠かせません。

初動を迷わないための準備を表すAI生成のコンセプト画像

電話帳だけでは、担当者不在時に対応が止まります。発見者、IT担当、経営責任者、外部の保守・調査担当について、役割と代行者まで決めます。

情報流出の有無は、ファイルが復旧しただけでは判断できません。顧客への説明や届出の要否は、判明した事実と適用される契約・制度に基づき、法務等も含めて確認します。未確認情報を確定事項として社外に発信しないため、発表内容の確認者も決めておきます。

バックアップを戻すだけで元の環境を再開すると、侵入経路や盗まれた認証情報が残るおそれがあります。復旧対象の優先順位と、再接続・再開を認める条件を調査担当と決めます。

たとえば、受注登録を再開する場合は「システムが起動する」以外に、隔離中の手入力分との重複、欠落した受注、外部連携の再送まで確認します。復旧完了の判断に業務担当者を加えると、技術面と実務面の食い違いを減らせます。

バックアップの復旧検証については、業務システムの復旧テストで確認することも参考にしてください。復旧手順書には、使用する認証情報の管理者と、作業の記録場所も含めます。

最初の訓練は、実機を止める必要はありません。「月曜朝、経理担当のPCに不審な画面が出た」という架空の想定で、発見者から経営責任者まで連絡を通してみます。

訓練で見つかった不明点を一つずつ修正する方が、読まれない大部の手順書を作るより運用に結び付きます。For fのシステム管理・保守では、対象システムと必要な運用範囲を相談できます。