最初の1時間でやることは、①責任者への報告、②被害が広がらないよう、該当端末をネットワークから切り離す、③何が起きたかを時刻つきで記録する、④対応チームと外部の専門家を招集するの4つです。電源を切る・初期化する・攻撃者に連絡するのは避けてください。
初動の手順
- 気づいた人はすぐ担当者・上司に報告（自分で直そうとしない）
- 該当端末のLANケーブルを抜く・Wi-Fiを切る（電源は入れたまま。切り離し方）
- 画面の写真、気づいた時刻、操作の記録を残す（証拠の保全）
- 経営者・情報システム担当・ベンダーを招集
- 被害の範囲（どの端末・サーバー・アカウント）を確認
- 必要に応じて、保険会社・専門業者・警察に連絡（相談先）
やってはいけないこと
- 電源を切る・再起動：メモリ上の調査の手がかりが消える
- 自分でウイルスを削除・初期化：原因が分からなくなる
- 攻撃者に連絡・交渉：経営判断と専門家の助言の前に動かない
- 情報を社外に出す：公表は事実を確認してから、窓口を決めて
平時に連絡網を作っておくことが、1時間を有効に使う唯一の方法です（インシデント対応計画）。