【弁護士解説】サイバー攻撃、中小企業に求められる初動対応

近年、中小企業を狙ったサイバー攻撃が増えており、大企業だけではなく中小企業においても、セキュリティ対策を進める必要性が高まっています（詳しくは、本コラムと同日付で配信されているもう1つのコラムをご覧ください）。

もっとも、どれだけ厳重なセキュリティ対策を実施しても、サイバー攻撃を100％防ぐことは難しく、平時のセキュリティ対策と併せて、実際にサイバー攻撃を受けた際の危機対応について、事前に整理・確認しておくことは、いわば車の両輪として必要不可欠です。

本コラムでは、実際にサイバー攻撃を受けた際の危機対応とその際に必要となるデジタル・フォレンジックについて、概要を解説いたします。

それでは、実際にサイバー攻撃を受けた場合、どのような対応が求められているのでしょうか。

緊急時に取るべき対応については、情報等の漏えい・流出か、それとも改ざん・消失等といった被害の種類や程度等によって異なります。本コラムでは、サイバー攻撃により情報やデータの改ざん・消失、さらにはサービスの停止が発生してしまった場合を念頭に、緊急時に取るべき対応について見ていくことにしましょう。

まず、サイバー攻撃を受けたおそれがある場合は、被害を拡大したり証拠を消してしまうおそれがあることから、セキュリティ会社と直ちに連携することが肝要です。

サイバー攻撃による情報やデータの改ざん・消失等の事実を発見した場合、すぐに自社の緊急時対応マニュアルに従い、対応責任者に報告し、情報の集約と指揮命令系統を確立することが求められます。

そして、速やかに改ざんや消失等が生じた原因を特定するための調査を開始したうえで、被害の拡大を防ぐため、二次被害の防止に向けた措置を講じます。

併せて、対応責任者は、社内に周知するとともに、情報システムの担当部門とも連携し、どの程度で復旧が可能かを見極めることになります。

そのうえで、改ざんや消失をした情報・データ等について、復旧・修復措置を行いつつ、取引先等に迷惑を掛ける場合には、必要な範囲で情報を共有し、その対応に当たります。

そして、データ等の復旧後は、同様の手口のサイバー攻撃に遭わないように、原因対策を実施するとともに、必要に応じて、対応結果や対策について公表することになります。

なお、情報やデータの改ざん・消失等ではなく、漏えいや流出が生じた場合には、上記のフローに加え、被害者への対応や個人情報保護委員会などの監督官庁への届出等の作業も必要になることに注意してください。

デジタル・フォレンジックは、調査・分析をする対象ごとに、上記の3種類に分類されることが一般的です。

前述のとおり、サイバー攻撃を受けた場合、原因の特定等のため、デジタル・フォレンジックが必要となるところ、その費用は、調査の種類と範囲により異なります。比較的軽微な事案でも数十万円、相応の規模の事案ではフォレンジック費用だけで数百万円に及ぶ場合もあり、デジタル・フォレンジックのため、企業には大きな支出が必要となります。

このため、最近では、サイバー攻撃を受けた場合に備え、損害保険を活用する企業も増えてきています。

サイバー攻撃を受けた場合の危機対応は時間との戦いです。攻撃の兆候を察知してから、対策を講じるまでに時間がかかってしまうと被害が拡大してしまいます。

特に、最近では、大企業を攻撃するための侵入口として、取引先や系列先の中小企業が狙われるサプライチェーン攻撃が増えており、被害の範囲は自社だけにとどまりません。

経営者のリーダーシップの下、迅速かつ適切な対応ができるように、日頃から準備を進めておくことが求められています。

（このコラムの内容は、平成31 年3月現在の法令等を前提にしております）。

（執筆）五常総合法律事務所　弁護士　持田 大輔