セキュリティインシデントの事例に学ぶ　公式発表で確かめた初動の差

公式発表で確かめられるセキュリティインシデントの事例から学べるのは、止める判断の早さと、公表の順番を事前に決めておくことです。一方で、私たちが確かめた発表には初動と被害の差を結びつけたものはなく、因果は断定できません。

今日やることは、次の3つ⁠を紙に書くことです。ネットワークの遮断を決める人、最初に電話する取引先と専門家、最初の発表で「分かっていること」⁠と「調査中のこと」⁠を分ける文面です。

4つ⁠の事例で、初動と公表はどう進んだか？

発表から確かめられる時系列を並べました。

順に見ていきます。

被害の範囲は、あとから分かっていく

アサヒグループホールディングスの発表は、時刻まで書かれた例です。9月29日午前7時ごろに障害が起き、暗号化されたファイルを確認し、午前11時ごろにネットワークの遮断とデータセンターの隔離を行いました。遮断の対象には約300拠点を結ぶ回線も含まれます。

同日の第1報は、受注・出荷とコールセンターの業務が止まっていること、復旧のめどが立っていないこと、流出は現時点で確認されていないことを書いています。分かっていることだけを書く形です。

そのあと発表の内容は変わりました。

• 10月8日：流出した疑いのある情報をインターネット上で確認
• 11月27日：対象者の区分ごとの件数を公表（警察庁の報告では約191万件）
• 2026年2月18日：障害の約10日前の侵入と、再発防止策を公表
• 7月17日：完全に否定できないものも対象に加えて範囲を修正。区分ごとの件数を足すと約229万件（私たちの計算）

受注と物流の面では、12月から電子受発注の受付が順次再開し、配送のリードタイムは2026年2月までに通常化したと説明されています。

カシオ計算機も段階的です。2025年1月7日⁠の調査結果⁠によると、10月8日⁠に障害を、10月11日⁠にランサムウェア被害と情報漏えいに関するお知らせを公表しました。確報は12月3日⁠に個人情報保護委員会へ提出し、1月⁠の発表で流出が確認された人数を示しています。従業員など6,456人⁠、取引先関係者1,931人⁠、顧客91人です。攻撃者の要求には応じなかったとも明記しています。

ここから言えるのは、最初の発表で全容は書けないということです。件数を断定せず、次にいつ何を知らせるかを約束するほうが、あとの修正に耐えられます。

1社⁠の被害は、取引先の生産へ広がる

製造業の例として、小島プレス工業の事案があります。同社の調査報告書（第1報）⁠によると、入口は子会社が独自に外部企業との専用通信で使っていたリモート接続機器でした。不正アクセスを確認して取引先と外部のネットワークを遮断し、緊急対策本部を立てて外部の専門家を起用しています。

この時点で外へ情報が持ち出された形跡は確認されていないと説明されています。攻撃者への連絡も行っていません。一部は二次的な影響を考えて非公表とし、関係官庁と警察には詳細を相談しているとも書いています。公表する範囲と、当局へ伝える範囲を分けた例です。

影響は社外へ広がりました。トヨタ自動車の発表⁠によると、仕入先のシステム障害の影響を受けて3月1日⁠に国内全14工場28ラインの稼働を停止し、翌日の1直から再開しています。

たとえば部品メーカーの場合、自社の被害を「自社のシステムの問題」とだけ考えていると、取引先への連絡が遅れます。納入先の担当だけでなく、夜間や休日につながる連絡先を一覧にしておく理由がここにあります。

準備の差は、どの資料から読み取れるか？

名古屋港の事案は、公的な委員会が問題点と評価点の両方を整理した例です。国土交通省の中間取りまとめの概要は、問題点としてバックアップの対象と保存期間の不足、障害時の対応手順の未整備を挙げました。

同じ概要は、評価点として、丸2日半という短期間で復旧したこと、システムを使わずマニュアル作業で船舶との荷役を続けたことも挙げています。本文では、VPN機器のログを取っていなかったため、感染経路を断定できなかったことも分かります。

手順に不足があった現場でも、システムなしで続ける業務があれば止めずに済む範囲があります。ログを何日分残すかと、紙で回せる業務の洗い出しは、別々の準備です。

初動の差は、被害の差を説明するのか？

時刻を比べたくなりますが、発表からは断定できません。理由は3つです。

• 発表される時刻は「気づいた時刻」⁠で⁠、侵入された時刻ではありません。アサヒの例では、侵入は約10日前でした
• 会社の規模、構成、バックアップの状態が違い、同じ条件での比較がありません
• 早く止めると業務も止まります。アサヒの発表は、データセンターの全システムを止めたことで業務システムにアクセスできなくなったと説明しています

それでも準備を進める根拠はあります。IPAのランサムウェア被害から学ぶ教訓集（2026年9月）⁠は被害組織へのヒアリングをもとに、重要なシステムの停止や対外的な公表の判断に苦慮したという声が多かったと書き、判断の手順と基準の整備を求めています。

警察庁の令和7年の報告では、ランサムウェアの被害報告は226件で、製造業が約4割⁠、中小企業が約6割でした。サイバー攻撃を想定した業務継続計画を策定済みの組織は約18%です。多くの組織は、その場で判断している可能性があります。

自社で今日決めておくこと

初動の動き方は、IPAのセキュリティインシデント対応の手引き⁠に沿って作れます。ネットワークの遮断と機器の隔離を行い、電源を切るなどで記録を消さないよう注意するとあります。パソコンで確かめる場所はWindowsのイベントログの確認方法⁠にまとめました。

個人情報が関係するときは期限もあります。個人情報保護委員会は、報告の対象になる場合、速報は発覚から3〜5日以内⁠、確報は原則30日以内⁠、不正の目的によるおそれがあれば60日以内としています。発表文は、総務省などが公表した情報の共有・公表ガイダンス（2023年）⁠が参考になります。

社内だけで判断や調査を回せないなら、頼む先を事故の前に決めます。インシデント対応・フォレンジックの比較には事前契約の型も載っています。普段の見張りや相談まで任せるならセキュリティ運用代行・顧問サービスの比較、費用の備えはサイバー保険の比較が入口です。調査費の中身はフォレンジック調査の費用の記事⁠、体制全体は監視・運用・社内体制のカテゴリ⁠で確かめられます。