脆弱性と情報漏えいに備える、組織と個人の対応

FOR ORGANIZATIONS

組織向け：脆弱性への対応と、漏えい後の備え

会社や店舗でウェブサイトや業務システムを運用する方に向けて、脆弱性が公表されたときの確認・更新から、侵害の確認、復旧までの基本を整理します。緊急時に慌てないためには、平時から保守を依頼し、対応できる関係と手順を整えておくことも欠かせません。

専任のIT担当者がいない会社や店舗でも、対応の流れを決めておけば、緊急時に「誰が何を確認するのか」で迷う時間を減らせます。まずは、使っているウェブサイト、CMS、プラグイン、サーバー、業務用端末を洗い出し、管理者と保守窓口を記録しておきましょう。

1. 対象を確かめる：公表情報と、利用中の製品名・バージョン・設定を照合する。
2. 公式の案内を確認する：提供元や保守事業者が示す修正版、回避策、作業上の注意に従う。
3. 影響と優先順位を判断する：インターネットから接続できる機器や、重要な情報を扱うシステムを優先して確認する。
4. 更新と動作確認を行う：可能な範囲でバックアップや復旧手順を確認してから適用し、サイトや業務が正常に使えるか確かめる。
5. 記録を残す：対象、対応日時、実施した変更、確認結果、未対応の項目を記録する。

ウェブサイトを制作会社やサーバー会社に任せている場合は、「対応済みですか」だけでなく、対象の製品やバージョン、実施した更新、侵害の兆候を確認したかを尋ねると、状況を把握しやすくなります。管理画面やプラグインを長期間放置しているサイトは、今回の対応だけでなく、今後の更新担当や保守体制も見直す機会にできます。

更新による影響が心配な場合も、根拠のないまま先延ばしにせず、提供元や専門家に相談して安全な適用方法を決めましょう。

脆弱性が公表されてから保守先を探し始めても、すぐに対応できるとは限りません。システムの構成や契約範囲がわからず、管理用アカウントや作業権限の確認、影響範囲の調査から必要になるためです。平時から保守を依頼し、システムの構成・担当窓口・緊急連絡先を共有しておけば、状況確認や更新の判断を始めやすくなります。

保守契約では、定期的なOS・PHP・CMS・プラグインの更新だけでなく、緊急の脆弱性情報を誰が確認するか、緊急時の連絡方法と対応時間、バックアップや復旧の範囲、追加費用の条件も明確にしておきましょう。契約しているだけで自動的に安全になるわけではないため、保守の対象と実施記録を定期的に確認することも大切です。

小規模な事業者は、IPAの「SECURITY ACTION」や、各都道府県の「よろず支援拠点」など、公的な情報や相談窓口も活用できます。最新の受付方法や支援内容は各公式サイトでご確認ください。

顧客情報などの漏えいが疑われる場合は、専門家や関係機関と連携し、必要な報告や本人への連絡を関係法令・公的機関の案内に沿って判断します。

FOR INDIVIDUALS

個人向け：情報漏えいに備え、被害を広げない

利用している企業やサービスから情報が漏れたとき、個人ができる対策をまとめます。届いた連絡を落ち着いて確かめ、アカウントや支払いを守り、心当たりのない被害には早めに相談することが大切です。

氏名やメールアドレス、電話番号、住所などが外部に出ると、偽の請求やフィッシング、本人を装った連絡に使われる可能性があります。複数の情報が結びつくほど、もっともらしい文面を作られやすくなるため、「自分の情報がどこかから漏れているかもしれない」という前提で、連絡を慎重に確認することが役立ちます。

ただし、漏えいの知らせが届いたからといって、必ず金銭被害や身元の悪用が起きるわけではありません。逆に、流出元を装った偽の通知で、ログイン情報やカード番号を入力させようとする手口も考えられます。メールやSMSのリンクを急いで開かず、公式アプリや、以前から把握している公式サイトのアドレスから案内を確かめましょう。

• サービスごとに異なるパスワードを使い、パスワード管理ツールなどで安全に管理する。
• 利用できるサービスでは、多要素認証やパスキーを設定する。
• 漏えいの案内があったサービスのパスワードを変更し、同じパスワードを使い回していた他のサービスも変更する。
• クレジットカードや銀行口座の利用通知・明細を確認し、心当たりのない取引は発行元や金融機関に連絡する。
• 使っていないアカウントや保存した支払い情報を整理し、必要のない情報を預け続けない。

連絡の相手が詳しい個人情報を知っていても、本人や公式窓口である証拠にはなりません。いったん連絡を止め、別の経路で確認してください。