ランサムウェア・情報漏えいの初動手順書をAIで作る：自社の機器構成から連絡先一覧と「最初の1時間」のカードを下書きする

ランサムウェアの被害は、最初に気づいた社員が電源を切ってしまう、誰に連絡すればよいかわからず半日たつ、といった初動の遅れで広がります。IPA（情報処理推進機構）は中小企業向けの手引きで、事故が起きたときの対応手順をあらかじめ決めておくよう勧めていますが、一人で情シスを兼ねる担当者には、手順書を書く時間がなかなか取れません。

この記事では、IPAの手引きの流れに沿って、社内向けの初動手順書と従業員向けの1枚カードを生成AIで下書きする手順を解説します。被害が起きたときの具体的な対応はランサムウェア感染・不正アクセスの初動対応にまとめています。

AIに任せること・任せないこと

手順書は、攻撃者に渡ると弱点の地図になります。AIには「社内サーバー1台（ファイル共有）、UTM1台、ノートPC40台、クラウドのメールとストレージ」程度の粒度で伝え、具体的な設定値は入力しません。個人情報保護委員会も、生成AIに個人情報を入力する場合の注意を呼びかけています。

手順1：前提を書き出す

IPAの手引きは、インシデント対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階で示しています。まず自社の前提を、次の項目で短く書き出します。

• 従業員数と拠点の数、情報セキュリティの責任者と担当者（役職名で書く）
• 主な機器とサービス（種類と台数、用途）
• 保守契約のある業者の有無と、対応時間帯
• 個人データの主な保管場所（給与システム、顧客管理、共有フォルダなど。中身は書かない）
• サイバー保険の加入の有無

手順2：手順書の骨組みを作らせる

中小企業の社内向け「情報セキュリティ事故の初動手順書」の骨組みを作ってください。
IPA「[中小企業のためのセキュリティインシデント対応の手引き](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf)」の3段階（検知・初動対応／報告・公表／復旧・再発防止）に沿ってください。
前提：
（手順1で書き出した内容を貼り付け）
条件：
・想定する事故は、ランサムウェア感染、不正アクセス、メール誤送信による個人情報の漏えい、PCの紛失の4つ
・事故ごとに「最初の1時間でやること」を番号付きで書く
・担当は役職名で書く（氏名は書かない）
・連絡先や報告期限は「＿＿＿＿（要確認）」と空欄にし、推測で埋めない
・各段階で記録すべき項目を挙げる

AIは一般的な手順を出しますが、自社の機器で「何をすれば隔離になるか」は分かりません。たとえば無線LANだけで接続している会社と、有線と無線が混在している会社では、手順が違います。隔離の方法は保守ベンダーと一緒に具体的に決めます。

手順3：従業員向けの1枚カードを作る

事故に最初に気づくのは、たいてい一般の従業員です。手順書とは別に、机に貼れる1枚のカードを作ります。

手順書のうち、従業員全員が知っておくべきことだけを、A4の4分の1に収まるカードにしてください。
・「画面に脅迫文が出た」「ファイルが開けない」「不審なメールのリンクを開いた」「PCをなくした」の4つの場面
・各場面で、やること2〜3行、やってはいけないこと1行
・連絡先は「総務 ＿＿（内線＿＿）／夜間・休日 ＿＿」の欄にする
・専門用語を使わない

カードの要点は、警察庁が呼びかけている「感染した端末はネットワークから隔離し、電源は切らない」です。AIの出した文面がこの点と食い違っていないかを確かめます。

手順4：連絡先と報告の要否を人が埋める

連絡先一覧は、AIに推測させずに、人が公式の案内を見て埋めます。

個人データの漏えい等の報告の要否と期限は、個人情報保護委員会のページで確認します。対応の詳細は個人情報の漏えいが起きたときの初動対応を参照してください。連絡先一覧は、システムが止まっても見られるよう、紙でも保管します。

手順5：訓練で試して直す

手順書は、作っただけでは使えません。年1回、机上で訓練をします。AIに訓練のシナリオを作らせると準備が短く済みます。

手順書を使った机上訓練のシナリオを作ってください。
・月曜の朝、共有フォルダのファイルが開けないと社員から連絡が入る想定
・30分ごとに状況が変わる「付与情報」を5つ
・各時点で参加者に問う質問を2つ

訓練で詰まった箇所（連絡先がわからない、誰が隔離を判断するか決まっていない）を手順書に反映します。不審メールへの備えは不審メール対応訓練の準備をAIで進める、システムが止まったときの業務の続け方はBCPの初版をAIで下書きするも参考になります。

時系列記録の様式もAIで作っておく

IPAの手引きは、対応時に、インシデントの分類、発覚日時と発生日時、発生した事象と影響、時系列の対応経過、想定される原因、被害を受けたシステムの概要を整理しておくよう勧めています。事故が起きてから様式を考える余裕はないため、手順書と一緒に記録の様式も作っておきます。

情報セキュリティ事故の対応記録の様式を作ってください。
・冒頭に、インシデントの分類、発覚日時、発生日時（判明した場合）、発見者、対象の機器・システムの欄
・本体は時系列の表（日時／記録者／事象・対応の内容／連絡した相手／次にやること）
・最後に、想定される原因、影響の範囲、再発防止策の欄
・紙に印刷して手書きでも使えるようにする

記録は、警察への相談、取引先への説明、保険の請求、個人情報保護委員会への報告のすべてで使います。事故の最中は、記録係を1人決めて、判断した人と時刻を残すようにします。

作った手順書の管理

• 手順書と連絡先一覧は、閲覧できる人を限定し、紙の控えを施錠保管する
• 機器の入れ替え、保守契約の変更、担当者の異動があったら更新する
• 情報セキュリティ規程に、事故時の報告ルートと手順書の位置づけを書く

まとめ

• AIには、IPAの手引きの3段階に沿った手順書の骨組みと、従業員向けの1枚カードを作らせる
• IPアドレス・パスワード・構成図・個人情報は入力しない。機器は種類と台数の粒度で伝える
• 連絡先と報告の要否は人が公式の案内で確かめて埋め、紙でも保管する
• 年1回の机上訓練で手順書を試し、詰まった箇所を直す

情報セキュリティの事務や手順書づくりにAIをどう使うか相談したいときは、Otsumu株式会社のAIツール診断をご利用ください。