ファイル転送の侵害に備えるインシデント対応計画

ファイル転送侵害のインシデント対応計画は、NIST SP 800-61 Rev. 2のライフサイクルをファイル共有固有のリスクに適応させたものです。準備、検知と分析、封じ込め、根絶と復旧、事後活動の五段階で構成されます。2026年の実用的な計画は、対応リードの指名、重大度ティアの定義、GDPR第33条とHIPAA侵害通知規則に対応した24〜72時間の通知SLAの設定、リンク失効や鍵のローテーションなどの封じ込め手順、証拠の法的証拠収集、そして規制機関のレビューに備えて少なくとも3年間保持する書面による事後分析の締めくくりを含みます。

一般的なファイル転送インシデントの種類

ファイル転送インシデントはパターンに集約されます。送信者が誤ったメールアドレスを入力して30 MBのPHI書き出しを誤った受信者に送る誤配信転送。送信者のアカウントがフィッシングされて攻撃者がファイルのアップロードまたは取得に使用する認証情報の侵害。共有可能なURLが公開投稿または意図した受信者を超えて転送されるリンク漏えい。転送プラットフォーム自体が侵害されるベンダー側の侵害（2023年のMOVEitや2023年のGoAnywhereが典型的な例）。権限を持つユーザーが機密ファイルを不正に転送する内部者の流出。計画は各パターンに対して特定の検知シグナルと対応アクションで対処する必要があります。

準備：インシデント前に必要なもの

準備はレスポンスを迅速にする目に見えない作業です。連絡先情報（プライマリとバックアップ）を含むインシデント対応リードと代理を指名します。24時間365日到達可能な社内のsecurity@アドレスと電話によるエスカレーションツリーを公開します。特定の対応アクションを事前承認します。リードは追加承認を待たずにユーザーアカウントの無効化、転送リンクの失効、APIキーのローテーションができます。副プロセッサーのリストとベンダー連絡先を最新の状態に保ち、1時間以内にファイル転送ベンダーのセキュリティチームに連絡できるようにします。各報告先の規制機関（CNIL、ICO、HHS OCR、州の司法長官）向けに通知テンプレートを弁護士レビュー済みで事前に作成しておきます。最低でも年に2回テーブルトップ演習を実施します。

監視すべき検知シグナル

効果的な検知は自動アラートとユーザー報告の組み合わせです。自動シグナル：1人のユーザーまたは1つのリンクからの異常なダウンロードボリューム、予期しない地理やIPからのダウンロード、転送アカウントへの認証失敗のバースト、業務時間外の大量送信転送、会社のデータを受け取るべきでない外部ツールへのファイルアップロード。Splunk、Sentinel、Elasticのようなシステム内のSIEMルールがファイル転送ログをプルしてこれらのパターンを適用します。ユーザーの報告も重要です。「このファイルが届いたが理由が分からない」という受信者は、誤配信転送の最初のサインであることが多いです。

数分以内の封じ込め手順

潜在的なインシデントが確認されたら、封じ込めは迅速に動きます。誤配信転送の場合：ツールがサポートするならすぐにリンクを失効させ、意図しない受信者に削除を求め確認を要請する書面を送り、受信者の対応を文書化します。認証情報の侵害の場合：アカウントを無効化し、そのアカウントが保持していたAPIトークンをローテーションし、最近のアップロードとダウンロードをレビューし、新しいMFA登録でパスワードリセットを強制します。リンク漏えいの場合：リンクを失効させ、誰がアクセスしたかを監査し、ファイルがまだ意図した受信者に届く必要がある場合はより厳しい管理策で再発行します。ベンダー側の侵害の場合：ベンダーの指示に従い、自身の認証情報とAPIキーをローテーションし、未失効のリンクはすべて漏えいしていると仮定します。すべての封じ込め手順はタイムスタンプと実行者とともにログに記録されます。

証拠の法的収集

状態を変更する前に証拠を収集します。影響を受けたファイルについて：メタデータ（サイズ、ハッシュ、作成時刻、所有者）、転送リンクとその履歴（作成、アクセス者、ダウンロード者、IPアドレス、タイムスタンプ）、ファイルの内容（多くの場合ハッシュで十分ですが、ファイル自体は保全規則に該当する場合があります）。ユーザーアカウントについて：認証ログ、セッション履歴、SIEMを通じたシステムをまたぐ最近の活動。ログをエクスポートして改ざん防止のストレージに保存します。重大なケースでは、Mandiant、CrowdStrike Services、Kroll Cyberなどの法的証拠調査専門家を早期に関与させます。彼らのチェーン・オブ・カストディのプロセスは、インシデントが訴訟または規制機関の措置に発展した場合に重要です。

通知のタイムラインと義務

規制機関は厳しい時計を設定しています。GDPR第33条：個人に対するリスクをもたらす可能性が高い個人データ侵害について、監督機関への72時間通知。HIPAA：500人以上に影響するPHI侵害について60日以内のHHS通知と場合によっては報道機関への通知。GLBAセーフガードルール：500人以上の消費者に影響する侵害について30日以内のFTC通知。NIS2第23条：重大なインシデントについて24時間以内の早期警告と72時間以内の完全通知。PCI DSS：特定のカードブランドタイムライン（一般的にはすぐに）。個人情報保護法（APPI）：漏えいした情報の内容、事象の概要、対処状況について個人情報保護委員会（PPC）への迅速な報告。計画は誰が通知を起草し、誰が承認し、どの配布メカニズムを使うかを名指しします。ウィンドウを逃すと罰金が増加するため、クロックの追跡は完了分析ではなく検知時に始まります。

復旧と通常業務への復帰

封じ込めが安定したら、復旧は通常業務を回復します。影響を受けたシステムがクリーンであることを確認します。認証情報の変更が伝播し、侵害されたアカウントが閉鎖または再保護され、インシデントが脆弱性を悪用した場合は脆弱なソフトウェアにパッチを当てます。復旧後30日間は強化された監視を実施します。攻撃者は同じベクターから戻ってくることが多いためです。スタッフ（適切にスコープを絞り、将来の攻撃を助ける詳細は露出しない）と、データが影響を受けた顧客に対してコミュニケーションを取ります。追加の技術的管理策がインシデントを防止またはより早く検知するのに役立ったかをレビューし、優先順位をつけます。

事後レビューと文書化

復旧から2週間以内に書面による事後分析を作成します。タイムスタンプ付きのタイムライン、根本原因分析（「ユーザーがフィッシングリンクをクリックした」だけでなく、なぜフィッシングリンクが届いたのかと検知が見逃した理由）、何が機能したか、何が機能しなかったか、所有者と期限を持つ具体的な改善コミットメントを含めます。インシデント対応チーム、セキュリティ責任者、法務に配布します。重大なインシデントについては取締役会または監査委員会に報告します。取得可能なストレージに事後分析をアーカイブします。数年後に苦情を調査する規制機関がそれを要求します。SOC 2 Type II監査担当者もインシデント対応管理策の証拠として事後分析をサンプリングします。

HexaTransferはリンク単位の失効をサポートし、インシデント対応のアプローチを公開し、クライアント側暗号化を使用しているためサーバー侵害が発生しても平文ファイルは漏えいしません。試してみるなら https://hexatransfer.com へ。無料、アカウント不要、最大10 GB。

インシデント対応計画は実態に対してテストされるものであり、テンプレートに照らして監査されるものではありません。機能する計画には三つの共通点があります。行動を権限付けられた指名リード、承認を待たない事前承認された封じ込め手順、セキュリティ・法務・コミュニケーションをまたぐ実践された連携です。他のすべて（プレイブック、通知テンプレート、法的証拠手順）はこれら三つを支援するために存在します。まずこれら三つを構築し、次に詳細を埋めます。