ランサムウェアの対応マニュアルの作り方　社内で使える1枚⁠の連絡表

ランサムウェアの対応マニュアルは、分厚い手順書より先に、誰が誰へ連絡するかを書いた1枚⁠の連絡表から作ります。

今日やることは、下の表をA4に写して、役割の横に名前と電話番号を入れることです。埋まらない欄が、今の自社の穴です。手順書はそのあとで足りない所から足していけば間に合います。

なぜ手順書より連絡表が先なの？

被害の場面では、読む時間も、読む場所もないことが多いからです。IPAの教訓集（2026年9月）⁠は⁠、データが暗号化されてから気づいた場合、発覚時点ですでに攻撃の最終段階にあり、対応の時間的な猶予が限られると説明しています。

もう1つ⁠の理由は、連絡が一人に集まることです。同じ教訓集には、警察への相談、個人情報保護委員会への報告、取引先への説明から復旧作業まで、情報システム部門がすべて受けた例が出てきます。支援していた専門会社から、報告業務を分担しないと復旧が進まなくなると指摘されても、事前の取り決めがなく割り振れませんでした。教訓集は、事前に体制を整えない限り実効的な役割分担は難しいとしています。

連絡表は、この割り振りを先に済ませておくための紙です。

1枚には何を書く？

上半分は社内の連絡順です。流れはIPAの手引きの説明資料（2026年6月）⁠に沿っています。発見者が情報セキュリティの責任者へ報告し、責任者が経営者へ報告して、経営者が体制を立ち上げます。

「誰へ」⁠の欄には、役職だけでなく名前と電話番号を入れ、代わりの人も必ず書きます。JPCERT/CCのFAQも、社内連絡体制のほか、社外の問い合わせを受ける一元窓口と、外部組織と連携する担当者の確保を挙げています。

下半分は社外の連絡先です。公的な窓口は次のとおりで、2026年11月⁠に確かめました。

IPAの窓口は、連絡先に迷ったら企業組織向けの相談窓口へ、と案内しています。サイバーセキュリティお助け隊サービスのサイト⁠によると、IPAは2026年10月16日に、不正アクセスによる情報漏えいの初動を支援する特別相談窓口も開設しました。

このほか、自社だけが知っている連絡先を空欄で用意します。保守会社、調査会社、保険会社、顧問弁護士、ネットワーク回線の会社、設備メーカーです。調査会社の決め方は復旧業者に確かめる質問⁠を見てください。

表の一番上に書く指示は？

連絡より先に、見つけた人が迷わないための指示を3行書きます。

1. LANケーブルを抜く、無線を切る
2. 電源は落とさない。再起動もしない
3. 画面の連絡先に返事をしない。支払いの話を誰ともしない

1と2は警察庁のページ⁠の案内です。ログが消える場合があるので電源は落としません。IPAの説明資料も、不用意な操作で記録を消さないよう注意しています。3はJPCERT/CCのFAQに沿っています。攻撃者から連絡が届いても反応せず、交渉も検討しないよう書かれています。

もう1行足すなら「脅迫の画面をスマートフォンで撮る」⁠で⁠す⁠。警察庁は提供を求める情報の例にランサムノート（脅迫文）⁠を挙げています。JPCERT/CCも、種類を調べる手がかりとして脅迫メッセージのファイルや壁紙を挙げています。

人が足りない会社はどう割り振る？

役割は分けて、人は兼ねます。少人数の会社でも、次の5つ⁠を紙の上で分けておきます。

• 指揮：止める、公表するなどを決める。社長か、社長から任された人
• 技術：機器の切り離し、保守会社や調査会社とのやり取り
• 社外報告：警察、IPA、個人情報保護委員会、保険会社への連絡
• 取引先の窓口：説明の内容を1つ⁠にそろえて伝える
• 業務の継続：手作業で回す範囲を決める。工場長や各部門の責任者

避けたいのは、技術の担当者に社外報告を重ねることです。上で挙げた例と同じ状態になります。

問い合わせの受け方も決めておきます。教訓集には、各部門から情報システム部門への直接の問い合わせを禁じたり、課題管理表で依頼を一元化したりした組織の例があります。同じ取引先へ営業、情報システム部門、経営層から別々の説明が届かないよう、統制が要るという声も紹介されています。

期限がある連絡は何？

表の余白に、期限のある連絡を書き足します。個人データの漏えい等については、個人情報保護委員会の案内が、速報を発覚から3〜5日以内⁠、確報を30日以内としています。不正の目的で行われたおそれがある場合の確報は60日以内です。教訓集は、ランサムウェアで個人データが暗号化され復元できなくなった場合も報告対象に含まれると整理しています。自社が該当するかは専門家と確かめてください。

保険に入っている場合は、報告の条件も書き写します。国際的なガイダンスの文書は、保険の報告条項に従うよう求めています。

警察への通報をためらう声もありますが、警察庁は、公表を求めることはなく、被害情報の秘密を守り、復旧作業にも配慮すると説明しています。社長が迷わないよう、この点も一言添えておくと動きやすくなります。

夜間と週末はどうする？

受付時間を必ず表に入れます。公的な窓口はいつでもつながるとは限りません。たとえばIPAの情報セキュリティ安心相談窓口⁠の電話は、土日祝日と年末年始を除く10時から17時です。JNSAの緊急対応企業一覧でも、24時間受付の会社と平日だけの会社があります。

教訓集には、管理者宛ての警告メールが週末の深夜に出ていたのに、すぐ受け取れなかった例が出てきます。夜間に受ける人を自社で用意できないなら、外部に任せる方法もあります。セキュリティ運用代行の比較で、夜間の窓口と連絡の流れを見比べられます。

どこに保管して、どう配る？

社内のファイルサーバーだけに置かないでください。暗号化されると表も一緒に読めなくなります。私たちは、紙で配り、責任者の手元にも控えを置く形が確実だと考えています。

電話番号が載る紙なので、配る範囲は決めておきます。全社員には上の3行⁠の指示と最初の連絡先だけを渡し、全体の表は責任者だけが持つ、という分け方もできます。

社内のメールが使えない場合の連絡手段も1行決めます。教訓集によると、被害後に短期間で導入できるクラウドのメールやチャットを社外との連絡に使った例が多くありました。

製造業なら何を足す？

たとえば、夜勤のある部品工場の場合です。夜中に生産管理の端末で脅迫文を見つけるのは、情報システムの担当者ではなく、現場のリーダーかもしれません。1番の連絡先は工場の当番にし、当番からシステム責任者へつなぐ形にします。

業務の継続の欄には工場長を入れ、設備メーカーの連絡先も足します。教訓集は、生産管理システムが止まると在庫があっても納品できなくなる例を挙げ、システムの停止と復旧の判断には事業部門の関与が必須だとしています。手作業の継続手順を整えていた組織は実効的に対応できていた、とも書かれています。

作ったあとに確かめることは？

連絡表は、鳴らしてみるまで完成しません。警察庁のページも、関係者との連絡、警察への通報と相談、広報対応、バックアップからの復旧手順を訓練で確かめるよう案内しています。

最初の訓練は30分⁠で足ります。週末の夜を想定して1番から順に電話し、つながらなかった行を直します。人事異動の時期には番号を見直します。

表が回るようになったら、手引きの「整理しておくべき事項」⁠をメモ欄に足します。発覚日時、発生事象、対応経過、想定される原因などです。外から見てもらうならインシデント対応とフォレンジックの比較で平時の契約の有無を確かめ、体制づくりから相談するならセキュリティコンサルとCSIRT支援の比較⁠を見ます。読む資料は公的資料の読む順番⁠、対策全体はランサムウェア対策のカテゴリ⁠にまとめています。