IPAの注意喚起を、今週やる作業に落とした

• IPAが挙げたのは3領域
• 順番がある。洗い出しが先
• 1日で終わる範囲から始める

情報処理推進機構（IPA）が2026年10月9日に出した注意喚起を、実際の作業に落とす。原文は3つの領域に分かれている。

IPAが挙げた3領域

異常を見つけたら「速やかにセキュリティインシデントと判定し、専門のセキュリティベンダーに詳細調査を依頼することを強く推奨」とされている。

先にやるのは洗い出し

順番を間違えると終わらない。

• ログを見るには、どこにログがあるか知っている必要がある
• パッチを当てるには、何が動いているか知っている必要がある
• データを消すには、どこにあるか知っている必要がある

3つとも一覧が前提だ。一覧が無いなら、そこから始める。

1日目 — 外部公開しているものを数える

1. 自社のドメインとサブドメインを列挙する
2. それぞれ何が動いているか書く
3. 管理画面が公開されていないか見る
4. 使っていないものを止める

4つ目で減らせることが多い。止めたものは攻撃されない。

見落としやすい公開物

• 検証用に立てたまま残っているサーバー
• 旧サイトのサブドメイン
• 開発用の管理画面
• ファイル共有の仕組み
• APIの入口

1つ目が危ない。更新されないまま公開され続けている。

2日目 — 外部サービスを数える

IPAが「網羅的」と書いているところだ。

1. 契約しているサービスを全部書き出す
2. 各部署に「使っているものはこれで全部か」と聞く
3. 無料で始めたものも入れる
4. 請求書とカードの明細から拾う

4つ目が確実だ。記憶より支払いの記録のほうが正確。

サービスごとに書く項目

• 預けているデータの種類と規模
• 管理者が誰か
• 多要素認証を有効にしているか
• 退職者のアカウントが残っていないか
• 止まったときの代替

4つ目は今日のうちに消せる。使っていないアカウントは入口になる。

3日目 — ログを見る

IPAは「直近ログの異常確認」を挙げている。何を異常とするかを決める。

• 深夜や休日のログイン
• 見慣れない国からのアクセス
• 短時間に大量の失敗
• 成功した直後の大量のダウンロード
• 管理者権限の付与

4つ目が今回の事案に近い。入ったこと自体より、入った後の動きを見る。

ログが無い場合

これも多い。

• 保存期間が短く、すでに消えている
• そもそも記録していない
• 記録しているが見る手段が無い

まず保存期間を延ばす。見る仕組みは後からでいい。残っていなければ調べようがない。

4日目 — パッチを当てる

• 未適用のものを一覧にする
• 外部公開しているものから当てる
• 手元で試してから本番に当てる
• 当てられないものは理由を書く

4つ目を書いておく。当てない判断も記録すると、後で見直せる。

5日目 — 持っているデータを減らす

IPAの「不要情報の削除」だ。

1. 保有している個人データの一覧を作る
2. それぞれ保持する理由を書く
3. 理由が書けないものを消す
4. 期限を決めて自動で消す

2つ目で詰まるものが出る。理由を書けないデータは、持つ必要が無い。

消す候補

• 退会者のデータ
• 入会手続きが途中で止まった人のデータ
• 確認が済んだ本人確認書類の画像
• 何年も前の問い合わせフォームの送信内容
• 検証に使ったテストデータ（実データの写し）

5つ目を忘れやすい。本番の写しが検証環境に残っていることがある。

アカウントの手当て

IPAは「アカウント異常確認」を挙げている。

• 多要素認証を有効にする
• 管理者権限を持つ人を減らす
• 共用アカウントをやめる
• 退職者のアカウントを消す

3つ目が効く。共用だと、誰がやったか分からない。

委託先に聞くこと

今回の事案で起点になった経路だ。

• 当社のデータをどこに置いているか
• 再委託しているか
• 事故のとき何時間以内に連絡が来るか
• 直近に不正アクセスの被害はないか

3つ目を契約に書く。連絡が遅れると公表も遅れる。

起きたときの段取りを決める

平時に決めておく。

1. 誰が「インシデント」と判定するか
2. 調査を依頼する先をどこにするか
3. 誰が個人情報保護委員会に報告するか
4. 公表の文面を誰が書くか

2つ目を先に決める。起きてから探すと数日かかる。

やってはいけない初動

• とりあえずサーバーを初期化する
• ログを消す
• 攻撃された端末を使い続ける
• 事実が固まる前に件数を発表する

1つ目と2つ目は調査の材料を消す。原因が分からなくなる。

小さい組織での現実的な順番

人が足りない場合はこれだけでいい。

1. 使っている外部サービスを全部書き出す
2. 管理者アカウントに多要素認証を付ける
3. 退職者のアカウントを消す
4. 消せるデータを消す

この4つは費用がかからず、今週できる。

まとめ

1. 洗い出しが先。一覧が無いと他が進まない
2. 公開しているもので、使っていないものを止める
3. ログは保存期間を先に延ばす
4. 保持する理由を書けないデータは消す
5. 調査の依頼先を平時に決めておく

IPAの注意喚起は、侵入を防ぐ話より把握と削減に寄っている。順番もその通りだ。

出典

• 情報処理推進機構「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
• 総務省「国民のためのサイバーセキュリティサイト」

この記事は一般的な整理であり、個別の組織への助言ではない。報告義務の有無は個別の事情で変わるため、所管の規定を確認してほしい。