被害を受けたら、どのように対処すべきか？（Q1-3）

　この資料では、ランサムウェアの被害を受けたとき、どう対処すべきかを3つの方針を紹介しています。それが下記の3つです。

（A） 攻撃の被害範囲を把握し、被害の最小化を図る
（B） 攻撃の原因を解消するため、考えられる侵入経路をふさぐ
（C） 攻撃者の要求には応じず、バックアップから復旧する

　ランサムウェアに限らず、マルウェアによる侵害を受けた際には、それを「検知／認知」し、「初動対応」を行い、「被害を最小化」することが求められます。このためには、社内体制の確保が必須で、被害の規模、範囲などの情報を社内で適切に共有することが重要でしょう。これはランサムウェアの被害を受ける前に、しっかりと行っておく必要があるものです。上記3つの方針をすぐに立てられるように、事前に体制を作っておくことこそが、いまできる最善の策といえるでしょう。

　加えて、FAQの中では「外部組織と連携する担当者を確保するなどの社外向けの体制確保も検討」すべしと述べています。外部と相談をするにしても、外部からの情報を受け入れるにしても、そこに「担当者の名前」が必要となるでしょう。情報のコントロールこそが、私たちが持つ武器でもあるわけです。これも、事前に整えるべきものの一つです。

攻撃者に身代金を払うべきか？（Q3-2-1）

　ランサムウェア特有の事象としては、「攻撃者に身代金を支払うべきか？」という命題があります。FAQ内では、「JPCERT/CCは、（中略）身代金の支払いを選択するべきではないと考えます」と明言しています。さらに、攻撃者と交渉を行うことも推奨していません。

　これについては、専門家も判断が分かれているところです。JPCERT/CCのような組織の立ち位置を考えれば、攻撃者という反社会的勢力との関わりは御法度とするのは自然でしょう。しかし、こちらもその被害から復旧しなければ、場合によっては命に関わることになるわけです。これについては、交渉に応じないか、それとも何らかの条件が合致すれば身代金を支払うかについては、事前に組織の意見を統一しておく必要があるでしょう。

　お気付きかもしれませんが、この判断はシステム担当者、セキュリティ担当者だけで判断できるレベルの命題ではありません。まさにこれは経営判断であり、社長、会長レベルの判断が必要です。これも、いますぐできるランサムウェア対策の一つです。同時に、どのようなレベルの被害が発生したら、工場やシステム全体を止めるかという点も意識をあわせておくとよいでしょう。有事のときに悩んでも仕方がないことですから。