不審メールの通報と初動・証拠保全
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目8 情報セキュリティインシデントの管理：『8-1 発見』『8-2 初動処理』『8-5 証拠の収集』
事例
A 社は、従業員 200 名の印刷会社である。営業部の情報セキュリティ担当者（以下、担当者）は、月曜日の 9 時 40 分に、取引先 B 社の購買担当者から電話を受けた。B 社の購買担当者の話は、次のとおりである。
・営業部の C さんの名前で、「支払先の口座が変わったので、今月分から新しい口座に振り込んでほしい」というメールが今朝届いた。
・文面がいつもと違うので、返信も振込みもしていない。
・同じ送信者の表示で、請求書だけを添付したメールが 12 日前にも 1 通届いていた。そのときは気にしなかった。
担当者が C さんに確認したところ、C さんは口座変更のメールを送っておらず、12 日前の請求書のメールにも覚えがなかった。担当者は、12 日前のメールも不審な事象だったと判断した。C さんは、自分の PC で営業部のメールを使っている。
A 社の情報セキュリティインシデント対応規程のうち、今回の対応に関わる部分を表1に示す。
| 条 | 内容 |
|---|---|
| 第1条（報告） | インシデントの疑いを知った者は、自分で原因の調査や対処を進める前に、所属部門の長と情報システム部の窓口の両方に報告し、指示を受ける。 |
| 第2条（拡大の防止） | 不正な操作や感染の疑いがある端末は、電源を切らずに、ネットワークから切り離す。端末の調査と復旧は、情報システム部が行う。 |
| 第3条（証拠の保全） | メールサーバーの送受信ログとログイン記録は、保管期間の 14 日を過ぎたものから順に上書きされる。インシデントの疑いがあるときは、保管期間が過ぎる前に、不審な事象が最初に起きた日（あとから分かったものを含む）から現在までのログを、情報システム部が別の媒体に複製する。複製した日時と担当者を記録する。 |
| 第4条（社外への連絡） | 取引先などへの連絡は、連絡の内容を部門の長が決めて行う。 |
担当者は、規程に従って対応を進めた。担当者の対応の記録を表2に示す。
| 時刻 | 対応 |
|---|---|
| 9 時 40 分 | B 社から電話を受け、連絡者、日時、話の内容を受付記録に書く。 |
| 9 時 50 分 | 担当者は a |
| 10 時 05 分 | C さんの PC は、不正な操作の疑いがある端末として扱われることになった。担当者は b |
| 10 時 20 分 | 担当者は c |
| 10 時 40 分 | 情報システム部が、ログの複製と、C さんの PC の調査を始める。 |
表2中の a〜c に入れる対応の組合せを、解答群の中から選べ。
正解：コ a：営業部長と情報システム部の窓口に報告し、指示を受ける／b：C さんに、PC の電源を切らずに、ネットワークから切り離すよう指示する／c：不審な事象が最初に起きた 12 日前から現在までの送受信ログとログイン記録を複製するよう、情報システム部に依頼する
ポイント
取引先からの通報を受けた営業部門の担当者が、報告、拡大の防止、ログの保全の順に、規程に従って初動対応を行う事例です。
考え方と解き方
決め手は、表1の第1〜4条と、本文で担当者が不審な事象と判断した 12 日前のメールです。第3条のログは 14 日で上書きされるので、いつからのログを、いつまでに保全するかを読み取ります。調べたい気持ちが先に立って、報告や保全より先に動かないようにします。
- a は、表1の第1条により、自分で調べる前に営業部長と情報システム部の窓口の両方に報告して指示を受けます。第4条により、B 社への連絡の内容は営業部長が決めるので、担当者の判断では伝えません。
- b は、表1の第2条により、疑いのある PC の電源は切らずにネットワークから切り離し、検査や駆除は情報システム部に任せます。
- c は、表1の第3条により、不審な事象が最初に起きた日から現在までのログを複製します。担当者は 12 日前のメールも不審な事象と判断しているので、保全の対象は 12 日前からです。ログは 14 日で上書きされるので、今朝の分だけでも、原因の判明を待つのでも足りません。
- したがって、a、b、c の組合せは コ です。
ほかの選択肢
- ア b は不適切です。表1の第2条は、端末の電源を切らずにネットワークから切り離すと定めています。電源を切ると、メモリー上の記録が消えます。c は不適切です。表1の第3条は、疑いがあるときに、保管期間が過ぎる前に複製するよう定めています。原因が判明するまで待つと、12 日前のログが上書きされるおそれがあります。
- イ b は不適切です。表1の第2条は、疑いのある端末をネットワークから切り離すと定めています。つないだままでは、被害が広がるおそれが残ります。c は不適切です。表1の第3条は、不審な事象が最初に起きた日（あとから分かったものを含む）から現在までを保全の対象とします。12 日前のメールも不審な事象なので、今朝の分だけでは、12 日前のログが 2 日後に上書きされて失われます。
- ウ a は不適切です。表1の第1条は、自分で原因を調べる前に、部門の長と情報システム部の窓口に報告するよう定めています。c は不適切です。表1の第3条は、疑いがあるときに、保管期間が過ぎる前に複製するよう定めています。原因が判明するまで待つと、12 日前のログが上書きされるおそれがあります。
- エ a は不適切です。表1の第1条は、自分で原因を調べる前に、部門の長と情報システム部の窓口に報告するよう定めています。b は不適切です。表1の第2条は、疑いのある端末をネットワークから切り離すと定めています。つないだままでは、被害が広がるおそれが残ります。
- オ a は不適切です。表1の第1条は、自分で原因を調べる前に、部門の長と情報システム部の窓口に報告するよう定めています。b は不適切です。表1の第2条は、端末の電源を切らずにネットワークから切り離すと定めています。電源を切ると、メモリー上の記録が消えます。c は不適切です。表1の第3条は、不審な事象が最初に起きた日（あとから分かったものを含む）から現在までを保全の対象とします。12 日前のメールも不審な事象なので、今朝の分だけでは、12 日前のログが 2 日後に上書きされて失われます。
- カ a は不適切です。表1の第1条は、自分で原因を調べる前に、部門の長と情報システム部の窓口に報告するよう定めています。b は不適切です。表1の第2条は、疑いのある端末をネットワークから切り離すと定めています。つないだままでは、被害が広がるおそれが残ります。c は不適切です。表1の第3条は、疑いがあるときに、保管期間が過ぎる前に複製するよう定めています。原因が判明するまで待つと、12 日前のログが上書きされるおそれがあります。
- キ a は不適切です。表1の第4条は、取引先への連絡の内容を部門の長が決めると定めており、担当者の判断では伝えられません。c は不適切です。表1の第3条は、不審な事象が最初に起きた日（あとから分かったものを含む）から現在までを保全の対象とします。12 日前のメールも不審な事象なので、今朝の分だけでは、12 日前のログが 2 日後に上書きされて失われます。
- ク a は不適切です。表1の第4条は、取引先への連絡の内容を部門の長が決めると定めており、担当者の判断では伝えられません。b は不適切です。表1の第2条は、端末の電源を切らずにネットワークから切り離すと定めています。電源を切ると、メモリー上の記録が消えます。
- ケ a は不適切です。表1の第4条は、取引先への連絡の内容を部門の長が決めると定めており、担当者の判断では伝えられません。b は不適切です。表1の第2条は、疑いのある端末をネットワークから切り離すと定めています。つないだままでは、被害が広がるおそれが残ります。c は不適切です。表1の第3条は、疑いがあるときに、保管期間が過ぎる前に複製するよう定めています。原因が判明するまで待つと、12 日前のログが上書きされるおそれがあります。
覚えておくこと
- インシデントの疑いを知ったら、自分で調べる前に、上位者と関係部署に報告して指示を受ける
- 疑いのある端末は、電源を切らずにネットワークから切り離し、調査と復旧は情報システム部門に任せる
- ログは、保管期間で上書きされる前に、最初に不審な事象があった日からの分を複製して保全し、日時と担当者を記録する