ランサムウェアと情報漏えい復旧後も残る被害に備える
ランサムウェアは、業務で使うファイルを暗号化して利用できなくする攻撃として知られています。しかし、情報を持ち出して公開を脅す被害もあります。池上通信機の公表を手がかりに、復旧と情報漏えいへの対応の違いを整理します。
池上通信機の続報が示した変化
池上通信機は9月30日、一部サーバーのファイル暗号化を確認し、社内ネットワークを切断した状態を継続していると発表しました［1］。10月2日の第3報では、同社が保有していたと思われる情報が攻撃者のリークサイトに公開されていることを確認し、内容と範囲を精査しているとしています［2］。暗号化と情報公開の双方が公表された事例ですが、情報の全容や侵入経路を、この段階の発表だけで確定することはできません。
復旧と漏えい対応には違う準備が要る
暗号化は、手元のファイルを読めなくし、業務の利用を妨げます。情報漏えいは、情報が権限のない相手に渡る問題です。バックアップでファイルを戻しても、外部に出た情報を回収できるとは限りません。機密情報の悪用、取引先へのなりすまし、問い合わせ対応など、業務再開後にも負担が続く可能性があります。IPAの教訓集も、窃取データの暴露への備えと、「漏えいなし」の証明の難しさを扱っています［3］。情報の保管場所と責任者を把握し、誰に何を説明するかを準備しておく必要があります。
持ち出せる情報を減らす
優先したいのは、不要な情報を保管し続けないことと、担当業務に必要な範囲へアクセスを絞ることです。広い共有領域に顧客情報や過去の案件を集めている場合は、利用者、保存期限、管理者を確認します。検知の面では、通常と異なる大量閲覧や外部送信を調べられる記録が必要です。ただし、記録を残すだけで漏えいの有無を証明できるわけではありません。保存期間、対象システム、調査に使える粒度を確認することを提案します。
分かっていることと未確認事項を分ける
漏えい範囲が分からないときは、確認済みの事実、未確認事項、実施中の措置を分けて整理します。ログは調査のための記録ですが、残っている範囲や期間に限界があります。「証拠が見つからない」ことを、そのまま「漏えいしていない」と解釈しないことが大切です。専門家に相談するための連絡先も平時に確認しておきます。まず、顧客情報を扱う共有領域を一つ選び、保存目的、必要な情報、閲覧権限、保存期限を点検してみてください。
次に読む
基礎から実践へ進む学習の順序を考えます。
サイバーセキュリティを体系的に学ぶには CyBOKを地図として使う
Knowledge Areaを使って、自分の学ぶ位置と関連分野を確認できます。