復旧作業を3層で捉える：システム・事業・信頼
ここまでの議論を踏まえると、復旧を1つの作業として捉えるのではなく、複数の層に分けて考える必要が見えてきます。この章では、DXportal®編集部が推奨する「システム」「事業」「信頼」の3層モデルを解説します。層を分けて考えることで、どこまで進んだのか、何が残っているのかを経営者と現場で共有しやすくなります。
第1層：システム復旧
第1層は、技術的な復旧です。
- マルウェアの除去
- 脆弱性のパッチ適用
- バックアップからの復元
- 認証情報や暗号鍵のローテーション
こうした対応が含まれます。これまでの復旧概念はここで終わることが多かったのですが、認証基盤の再構築を含めるかどうかで作業量が大きく変わります。中小企業では、この層を自社だけで完結させるのは難しく、外部の専門事業者と役割分担を決めておく前提で設計するのが現実的です。
第2層：事業復旧
第2層は、業務の再開に関する判断です。
- 受発注
- 顧客対応
- 生産
- 物流
これらの止まった業務のどれをいつ再開するかを決めます。ここで注意すべきは、システムが動く状態と業務を再開してよい状態は必ずしも一致しないことです。認証基盤が完全に信頼できる状態に戻っていない段階で業務を再開すると、攻撃者が正規利用者として活動を継続するリスクを抱えたまま取引先とデータをやり取りすることになってしまいます。
経営者は、システム部門からの「動きます」という報告と、「安全です」という判断を分けて受け取る必要があります。
第3層：信頼の再構築
第3層は、顧客、取引先、従業員に対する信頼の再構築です。
- 個人情報保護委員会への報告
- 本人通知
- 取引先への説明
- 従業員への内部説明
- 対外広報
などがここに含まれます。海外の危機コミュニケーションの議論では、事案発生後の完全な信頼回復には、セキュリティへの継続的な取り組みと具体的な強化策の実装を示し続ける必要があるとされています。復旧完了を宣言した後も、一定期間は情報開示と関係者コミュニケーションが続くという前提で計画を立てることが求められます。
出典・参照：
発覚後72時間で経営者が判断すべきこと
インシデント発覚から最初の3日間は、技術対応と並行して法的対応、対外対応が集中する時間帯です。この時期の判断が、後の信頼回復の難易度を大きく左右します。この章では、経営者が発覚後72時間の間に押さえておくべき3つの判断領域を整理します。
個人情報保護委員会への報告義務
2022年4月に施行された改正個人情報保護法により、個人データの漏えい等で個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人への通知が義務化されました。速報は事態を知ってからおおむね3〜5日以内、確報は原則30日以内という期限が設けられています。
中小企業では、そもそも自社が報告対象に該当するかの判断に時間を要することもあり、平時のうちに顧問弁護士や委託先の個人情報保護担当窓口と連絡経路を確認しておくことが現実的な備えとなります。
出典・参照：
取引先・顧客への説明順序
取引先と顧客への説明は、順序を誤ると信頼を大きく損ないます。原則として、被害の可能性がある関係者へは、報道や噂で知られる前に一次情報として自社から伝えることが最善の策です。
順序としては、直接影響の可能性が高い取引先、業務委託先、顧客、その他関係者の順で連絡経路を設計し、伝える内容は「何が起きたか」「何が確認されていて何が未確認か」「相手側で必要な対応は何か」「今後の連絡予定」の4点を明確にします。分からないことを「調査中」と伝える誠実さが、後の信頼再構築の起点になります。
従業員への内部コミュニケーション
見落とされがちですが、従業員への内部説明は対外対応と同じ比重で扱う必要があります。従業員が状況を正確に把握できていないと、取引先や顧客からの問い合わせに対して個々に異なる回答をしてしまい、混乱が広がりかねません。
経営者は、事案の概要、現在の対応状況、社員がしてよい発言と控えるべき発言、問い合わせ窓口の一本化について、書面またはイントラでの通知を早期に行うことが求められます。従業員が自社の対応を理解し納得している状態は、外部への説明力そのものを支える基盤です。
経営者が「復旧完了宣言」を出す前に確認する視点
経営者が復旧完了を宣言する前に確認すべき視点は、技術面ではなく判断面にあります。次の問いに答えられるかを確認してください。
- 認証情報や暗号鍵の再発行を、影響範囲を洗い出したうえで完了させたか
- 業務再開の判断は、システムが動くという事実と別に、安全であるという判断を経ているか
- 取引先、顧客、従業員に対して、事実と対応状況を一次情報として伝えたか
- 個人情報保護委員会への報告義務の該当性を法務・専門家と確認したか
- 復旧完了後も継続する情報開示と関係者コミュニケーションの計画を持っているか
これらの問いに「はい」と答えられない状態で復旧完了を宣言してしまうと、後の追加開示や取引先からの追及によって、信頼回復がさらに難しくなります。
IPAと経済産業省は『サイバーセキュリティ経営ガイドラインVer3.0実践のためのプラクティス集／第4版』を2025年10月31日に発行し、経営者の関与によるインシデント後対応と情報開示を経営リスクとして位置付けました。中小企業においても、経営者が復旧の最終判断に責任を持つ姿勢が、社内外の信頼を支えるのです。
出典・参照：
まとめ：復旧とは信頼を再構築することである
本記事では、サイバー攻撃後の復旧が「システムを直す」ことから「信頼を再構築する」ことへ拡張している世界的な潮流を、CISAのSharePoint脆弱性警告と国内統計を通じて整理しました。要点は次のとおりです。
- システムが動作することと安全であることは、認証情報が盗まれた場合には一致しなくなる
- 復旧は「システム」「事業」「信頼」の3層で捉え、経営者は各層の完了基準を分けて判断する必要がある
- 中小企業のサイバー被害の約7割が取引先へ波及するため、復旧は自社だけの判断で完結しない
- 発覚後72時間の法的対応・対外説明・内部コミュニケーションが、後の信頼回復の難易度を左右する
- 平時のうちに判断基準の文書化と外部専門事業者との接点確保を進めることで、事後の混乱を減らせる
DXによって業務や取引先との接続が増えるほど、信頼を失った際の影響範囲も広がります。これからのDX推進の前提は、復旧を技術部門の後処理ではなく、企業活動の信頼を再構築する経営判断として捉え直すことにあるのです。
執筆者
DXportal®運営チーム
DXportal®編集部
DXportal®の企画・運営を担当。デジタルトランスフォーメーション（DX）について企業経営者・DX推進担当の方々が読みたくなるような記事を日々更新中です。掲載希望の方は遠慮なくお問い合わせください。掲載希望・その他お問い合わせも随時受付中。