ランサムウェア感染時に最も避けたいのは、現場がそれぞれの判断で動き、証拠を消したり、復旧を遅らせたり、説明が食い違ったりすることです。
感染端末の隔離やサーバー停止だけでなく、経営判断、法務確認、顧客説明、外部機関への相談までを一連の流れとして準備しておく必要があります。

ステップ1：発見者は勝手に復旧しない

暗号化されたファイル、身代金要求画面、不審な拡張子、共有フォルダの異常などを見つけた場合、発見者は再起動や初期化を行わず、社内窓口へ連絡します。証拠が消えると、侵入経路や影響範囲の調査が難しくなります。

ステップ2：情シスまたは担当者が一次確認する

一次対応者は、感染が疑われる端末をネットワークから隔離し、画面、時刻、端末名、ユーザー名、発見経緯を記録します。ただし、広範囲に影響がある場合は、単独判断でサーバー停止や大量削除を行わず、事前に定めた判断者へエスカレーションします。

ステップ3：インシデント責任者へ報告する

社内のインシデント責任者は、被害範囲、停止している業務、影響を受けた可能性がある情報、攻撃者からの要求、現時点での不明点を整理します。重要なのは、未確定情報を断定しないことです。調査中の項目を明確にし、経営層へ報告します。

ステップ4：経営判断が必要な事項を切り分ける

サーバー停止、外部専門家への依頼、顧客説明、公表、事業継続方針、身代金への対応などは、現場だけで判断すべきではありません。あらかじめ経営判断が必要な項目を決めておき、判断者と代理者を明確にします。

ステップ5：外部専門家・警察・関係機関へ相談する

被害の規模や情報漏えいのおそれがある場合、セキュリティ専門会社、警察、個人情報保護委員会、所管省庁、保険会社などへの相談を検討します。個人データの漏えいまたはそのおそれがある場合は、個人情報保護委員会への報告が必要になる可能性があります。

ステップ6：社内外への説明内容を統一する

顧客、取引先、従業員、報道機関へ説明する場合、窓口と文面を統一します。説明では、判明している事実、影響範囲、現在の対応、今後の見込み、問い合わせ先を整理します。「漏えいは確認されていない」と「漏えいのおそれがない」は異なるため、表現には注意が必要です。

ステップ7：時系列記録を残す

発見時刻、隔離時刻、判断内容、外部連絡、復旧作業、顧客説明などを時系列で記録します。記録は、原因調査、再発防止、保険申請、対外説明に必要になります。