BLOGIT基礎
業務システムで異常を見つけたら｜最初の30分に確認すること
慌ててデータやログを削除すると、原因と影響範囲を追えなくなります。人命や安全を優先しつつ、事実を時刻順に残して責任者へつなぎます。
先に結論発見、拡大防止、記録、連絡、影響確認、復旧を分け、勝手な公開や断定を避けます。
発見時刻と見えた事実を残す
いつ、誰が、どの画面・端末で、何を見たかを記録します。スクリーンショットは個人情報の扱いに注意し、加工や共有前に保存先を確認します。
原因を推測して断定せず、対象アカウント、データ、期間、操作を事実として分けます。人命、安全、医療介護に関わる場合は現行の緊急手順を優先します。
影響を広げない最小の停止を行う
該当アカウント、端末、APIキー、共有リンクなど、特定できる範囲から停止します。全システム停止が必要かは責任者と技術担当が判断します。
ログや端末を初期化せず、証拠と復旧に必要な状態を保ちます。攻撃が続く場合はネットワーク分離など事前手順に従います。
決めた連絡先へ短く報告する
発見時刻、対象、現状、実施した停止、必要な判断を責任者・保守担当へ伝えます。通常チャットやメールへ顧客情報、パスワード、秘密キーを貼りません。
顧客・関係者・公的窓口への連絡は、法令、契約、影響確認に基づき責任者が決めます。未確認の原因や件数を急いで公表しません。
復旧は複製と照合から行う
安全な環境で原因、影響期間、変更、持出し、バックアップを確認します。パスワードやキーを更新し、修正をテストしてから段階的に再開します。
再開後は異常操作、通知、件数、権限を監視します。初動の所要時間と迷った箇所を振り返り、連絡網、権限、ログ、バックアップ訓練を更新します。
相談前にそろえるもの
- 発見時刻・事実
- 最小範囲の停止
- ログ・端末の保全
- 責任者・保守への連絡
- 複製確認・段階復旧
全部そろっていなくても構いません。分かる範囲を確認し、業務ルールや金額に関わる部分は担当者と一緒に決めます。