最近、気になっているサイバーインシデントについて。
今すぐやる（優先度：高 — まず着手）
1.多要素認証（MFA）を全員に必須化（メール、VPN、管理者アカウント等）。攻撃で最も効く対策の一つです。
2.重要データのオフライン／隔離バックアップを作る（バックアップは定期化・検証・バックアップからの復元テストを必ず実施）。Ransomware対策の基本。
3.脆弱性とパッチ管理の仕組みを確立する（OS・FW・アプリ・ファームウェアを遅滞なく適用する運用フロー）。
4.管理者権限の最小化（Least Privilege）とアカウント分離（日常業務で管理者権限を使わせない）。
5.メール／Webのフィルタリング、アンチウイルス／EDR導入（標的型やマルウェアの初期侵入を減らす）。
30日で整える（短期計画）
1.インシデント対応計画（IR計画）を作る（連絡先、役割、権限、エスカレーション経路、外部通報先を明記）。NISTのインシデントハンドリング原則を参考に。
2.**CSIRT/インシデント窓口の設置（社内担当チーム）**と外部パートナー（JPCERT/CC、警察、セキュリティベンダー、法律顧問）の連絡先一覧を作る。国内インシデントはJPCERT/CCへの相談経路を確保。
3.**ログ収集と監視（SIEMやログの長期保存）**を整備し、異常検知ルールを最低限設定する。
4.**従業員向けセキュリティ教育（フィッシング訓練含む）**を実施。人的ミス防止は重要。
中期（3〜6ヶ月で取り組む）
1.ネットワーク分割（セグメンテーション）とゼロトラスト的制御（重要資産を分離し横移動を防止）。
2.ビジネス継続（BCP）／復旧（DR）計画と復旧目標（RTO/RPO）を定義、復旧手順書と定期的なリハーサルを行う。
3.サプライヤー（クラウド含む）セキュリティ評価と契約上の要件整備（サードパーティ経由の侵害を防ぐ）。
4.**脅威インテリジェンスの受け取り体制（公的機関やベンダーから）**を整備する。
具体的な成果物（テンプレで即作れる）
・インシデント連絡先カード（例：CSIRT代表、CTO、法務、広報、JPCERT連絡先、警察、契約SOC）
・最小権限チェックリスト（管理者アカウント数・サービスアカウント一覧）
・バックアップ検証シート（最終バックアップ日時・復旧テスト結果）
・フィッシング訓練レポート形式（開封率、クリック率、報告率）
初動インシデント対応ワークフロー（短いテンプレ）
1.検知 & 通報：検知者→CSIRTへ報告（時間・検知内容・影響範囲を記録）。
2.一次評価（トリアージ）：インシデントの種類（ランサム/漏えい/不正アクセス等）・影響度判定（業務停止・個人情報含むか）。
3.封じ込め（Contain）：感染端末隔離、ネットワーク区切り、被害拡大防止のためのACL/VPN切断など。※証拠保全（ログ・イメージ）の優先。
4.根絶 & 復旧（Eradicate & Recover）：マルウェア除去、脆弱性修正、バックアップからの復旧、段階的にサービス再開。復旧は事前に定めたRTO/RPOに従う。
5.事後対応（Lessons Learned）：原因分析、対策実施、役員と顧客への報告、外部通報（JPCERT/CC・関係当局）を実施。
テーブルトップ演習（必須）
年1回以上、実際に手を動かす模擬演習を。シナリオ：ランサム、顧客データ漏洩、DDoSなど。発見から通知までの時間を計測し改善点を洗い出す。
