因非法访问导致个人信息泄露等安全事件急剧增加。在电子商务和邮购行业，也发生了如宅急便（Yamato Transport）和佐川急便的非法访问事件，以及因对所用云服务进行非法访问而导致库存联动系统停止等情况，出现了通过外部服务影响实际业务的情形。信息泄露或系统停止不仅可能发生在公司直接遭受攻击时，也可能由所使用的第三方服务的故障或安全事件引发。当公司面临非法访问、信息泄露、病毒感染或系统停止等事件时，应优先处理什么，按何种步骤应对？本文基于日本经济产业省公布的指南内容，梳理为防止损害扩大、实现快速恢复及防止再发的基本应对措施。
关键在于“发生后如何行动”
非法访问、勒索软件受害、信息泄露、系统停止等安全事件很难完全避免损害。因此，“发生后如何行动”变得尤为重要。
如果初期响应迟缓或判断失误，可能导致损害范围扩大、恢复时间延长以及企业信誉下降。
在日本经济产业省发布的面向中小企业的事故应对资料中，也强调事故发生时应将损害和影响范围控制在最小限度，迅速恢复并致力于防止复发。
应对的目的是“损害最小化”、“快速恢复”、“防止复发”
在发生信息泄露、篡改、系统停止等事件时，重要的是在将损害和影响范围降至最低的同时确保业务连续性。此外，还需查明原因并采取防止相同问题再次发生的预防措施。
损害不仅仅体现在金钱方面。作为直接损失，可能会产生应对非法转账或金钱要求的费用、调查与恢复的外部委托费、社内及社外应对所需的人力成本、向交易伙伴和客户道歉的费用以及律师费等。
此外，还可能引发对客户和交易伙伴的影响、企业信誉下降、因服务停止导致的商机损失等间接损害。
应对分为“检测·初期响应”、“报告·公布”、“恢复·防止复发”三个阶段
发生事件时的应对大致可分为三个阶段。重要的是不要临时应付，而是按照预先确定的程序行动。
1. 检测·初期响应
检测到异常或收到通报时，首先应立即向信息安全负责人等报告，并建立包括经营者在内的应对体制。尽早明确谁负责决策、谁负责调查、谁负责对外联络等角色分工。
在初期响应阶段，优先采取防止损害扩大的措施。具体措施包括切断网络连接、隔离目标设备、必要时停止服务等。
然而，随意执行关闭终端电源等操作可能会导致日志等证据丢失。在原因和损害情况尚不明确的情况下，需要在应对中注意证据保全。
2. 报告与公布
接下来，推进与相关人员的联络及必要的信息公布。除了通知受影响本人外，通过网站或新闻发布等形式进行首次信息公布，以及设置咨询窗口也至关重要。
即使案件内容和损害情况尚未确定，也需要进行适当的信息发布，例如将已查明的事实与正在调查的事项分开传达。
此外，根据案件内容的不同，可能需要向行政机关等机构报告或备案。在发生个人信息泄露等情况时，可能属于向个人信息保护委员会报告的对象；若怀疑遭受犯罪侵害，则需联系警方；针对网络攻击或病毒受害情况，需确认如日本情报处理产业协会（IPA）等相应的咨询与备案渠道。若存在基于行业法规等的报告义务，还需向主管省厅报告。
3. 恢复与防止再发
在完成初步应对和必要报告后，需以5W1H整理现状，同时开展原因调查与系统恢复工作。
实施补丁程序应用、配置更改和数据恢复等措施；若仅靠自身难以应对，可寻求系统供应商或外部专业机构的支援。
与此同时，证据保全同样重要。为后续查明原因、对外说明以及在必要时采取法律措施做准备，需妥善保存日志、终端设备及配置信息等。
根据需要利用取证调查，对计算机硬盘、内存、服务器和网络设备等中残留的信息进行调查。在分析根本原因的基础上，制定规则完善、技术对策和运营改进等防止再发的措施。
【按类型】主要安全事件的应对要点
尽管都称为安全事件，但针对信息泄露、恶意软件感染和系统停止，应采取的应对措施各不相同。以下对三种典型类型进行整理。
发生信息泄露时
信息泄露的原因不仅限于非法访问。还存在内部舞弊、邮件误发、网站上错误公开、终端设备丢失等多种模式。
非法访问
若怀疑发生非法访问，应将目标系统与网络隔离，并在必要时停止服务。若怀疑账户信息或信用卡信息泄露，则需根据信息种类采取相应措施，如暂停或重新发行相关账户、联系发卡公司等。
内部舞弊
若怀疑存在内部舞弊行为，应限制相关人员的访问权限，同时保存所使用的电脑和日志，确保证据链完整。
若是邮件误发或网站信息误公开，应立即向收件人请求删除、删除公开信息或实施访问限制等。
邮件误发、网站信息误公开
为防止再次发生，需根据原因采取相应措施：针对非法访问，应加强漏洞对策并重新审视设置；针对内部舞弊，应强化访问控制和日志管理；针对误发和误公开，则应建立双重检查及发送前确认机制等。
疑似病毒或勒索软件感染时
若怀疑电脑或服务器感染了病毒等恶意软件，为防止损害扩大，基本做法是将涉事设备从网络中隔离。若使受感染设备继续连接网络，可能会导致公司内部其他设备或系统受到波及。
在确认感染类型和情况后，应使用安全软件进行检查和清除，更新操作系统和软件，必要时重建设备。不应仅凭公司自身判断，咨询网络安全专业公司也很重要。
对于勒索软件，虽然有时可以使用解密工具，但并非总能恢复数据。如果可以使用备份，应在确认备份未受感染影响后，考虑从备份中恢复数据。
此时需要注意的是备份的存储方式。如果备份设备始终连接在网络中，备份数据也可能被加密。因此，将备份存储在多种介质和不同位置，并进行假设故障或攻击的运营至关重要。
发生系统停机时
系统停机的原因广泛，包括软件故障、硬件故障、设置错误以及网络攻击等。
因此，即使在初期阶段无法查明原因，也不应简单判定为普通系统故障，而需谨慎区分是否涉及安全问题。
若优先保障业务连续性，可尝试通过切换至冗余配置等方式维持运行。但是，若存在信息泄露风险或无法确认安全性，则不应强行维持运行，也需要做出选择系统停机的判断。
在恢复期间，应利用替代手段继续开展业务，同时推进原因调查。事态平息后，为防范类似停机事件，还需重新审视业务连续性计划（BCP）和IT-BCP。
事故发生时首先应整理的10项内容
事故实际发生时，现场容易陷入混乱。为了便于与外部机构咨询及内部共享，希望尽快整理好以下项目。
- 事件分类（信息泄露、病毒感染、系统停机等等）
- 运营商名称（包括委托方和受托方）
- 负责人/经办人的所属部门、姓名、联系方式
- 发现时间
- 发生时间（通过调查确认的时间）
- 发生的事件、损害内容、影响范围
- 截至目前的应对进展
- 推测原因
- 受损系统的状况
- 系统构成、运营状况、安全工具的使用情况
能否整理好这些信息，将直接影响初期应对的质量以及从外部获得支援时的速度。
主要咨询窗口/报告对象
如果仅靠自身难以应对，或需要依据法律法规进行报告时，也应考虑向外部机构咨询。主要的咨询对象如下。
- IPA（信息处理推进机构）：为企业提供安全咨询，并设有针对非法访问、计算机病毒等问题的咨询与申报窗口。
- 警察厅网络案件在线受理窗口：接受有关犯罪受害和网络案件的咨询与举报。
- 个人信息保护委员会：针对个人信息或特定个人信息的泄露等情况，根据事件性质可能需要报告。
- JPCERT/CC：就网络攻击等事件的应对提供技术咨询与支持。
- JNSA（日本网络安全协会）：提供负责事件应对、调查及恢复工作的网络安全相关企业等信息。
重要的是“事先决定事后的应对措施”
完全杜绝非法访问或恶意软件造成的损害是困难的。因此，重要的不仅是采取防止受害的措施，还要事先确定一旦发生损害时应如何行动。
若能整理好联络体制、初期处置流程、外部咨询对象、证据保全方法以及对外公布流程等，便能在关键时刻提高判断速度。
为了防止事态扩大并将对业务连续性的影响降至最低，平时就应确认事件应对流程并定期审查。