" Cyber Crisis Management " 最高情報責任者・黒木 厳の責任 " UN POUR TOUS, TOUS POUR UN."

第五話 社長のアクセスログ

第五話　社長のアクセスログ

午後二時二十分。

サイバーナイト株式会社、本社二十階。

臨時のインシデント対応室では、複数のモニターにログの一覧が表示されていた。

認証サーバーの記録。リモートアクセスの履歴。社内サーバーのイベントログ。ネットワーク機器が保持していた通信記録。

普段なら、それぞれの管理担当者が必要に応じて確認する情報だった。

しかし今は、一つの障害を理解するために、それらを時系列で突き合わせる必要があった。

「まず、社内側に残っている記録から整理します」

外部のデジタルフォレンジック担当、藤井が言った。

「ここでは、誰が犯人かという話はしません。どのアカウントが、いつ認証され、どのシステムに接続し、何が記録されたのか。それを確認します」

CIOの黒木厳は、会議室の椅子に腰を下ろした。

「お願いします。確認できた事実と、まだ確認できないことを分けて報告してください」

「承知しました」

藤井は画面を切り替えた。

最初に表示されたのは、事件発生前後の認証記録だった。

時刻。

アカウント名。

認証結果。

接続元の情報。

アクセス先。

記録された処理。

一行ごとに、細かな情報が並んでいる。

「今回、最初に異常が確認されたのは午前九時十二分です。ただし、これは黒木さんの端末に警告が出た時刻です。攻撃が始まった時刻と同じだとは、まだ言えません」

藤井は、画面の一部を拡大した。

「それより前の記録も含めて確認したところ、社長のアカウントに関連するアクセスが見つかりました」

会議室の空気が、わずかに変わった。

佐伯直人が、画面に目を向ける。

「社長のアカウントですか」

「はい。通常の社内端末からの接続とは異なる接続元情報が記録されています。アクセス先は、会社の業務環境に属するシステムです」

黒木は、すぐには口を開かなかった。

社長のアカウント。

通常とは異なる接続元。

業務環境へのアクセス。

それらは調査すべき事実だった。

しかし、その三つを並べただけでは、何が起きたのかは分からない。

「接続元は、特定できていますか」

黒木が尋ねた。

「現時点では、接続元の情報を記録上で確認できている、という段階です。そこから実際の端末や利用者を特定できるかは、追加の記録との照合が必要です」

藤井は答えた。

「接続元のIPアドレスだけで、操作した人物や端末を断定することはできません。ネットワークアドレスの記録と、端末の識別情報は別です」

「社長本人が操作したかどうかも、まだ分からない」

「はい。アカウントが使われた事実と、本人が操作した事実は区別する必要があります」

黒木はうなずいた。

その説明に、異論はなかった。

むしろ、最初からそこを明確にしておく必要があった。

経営トップのアカウントが記録に現れたからといって、特別扱いして調査から外すことはできない。

同時に、その記録だけで社長本人を疑う理由が確定したわけでもない。

「では、そのアクセスの時刻と、社内端末の異常が始まった時刻を比較してください。前後関係が分かるように」

「すでに整理を始めています。ただし、各システムの時計にずれがないかも確認します」

「お願いします」

藤井は、再び画面に向き直った。

午後二時三十五分。

佐伯は、自社の認証基盤について説明を始めた。

「社長のアカウントは、業務システムへのアクセスに使われています。ただ、アクセス先によって認証方式や記録の残り方が違います。今回の記録だけで、どの端末から、どのような経路で接続したのかをすべて再現できるわけではありません」

「会社のPCにリモート接続した可能性は？」

高瀬美紀が尋ねた。

「可能性としてはあります。ただし、現時点では確定していません。クラウドサービスへの直接アクセスと、社内PCを経由するアクセスでは、調べるべきログも異なります」

藤井が補足した。

「そこは、認証ログだけで決めず、接続先のイベント記録やリモートアクセスの履歴も確認します」

黒木は、ホワイトボードに書かれた項目を見た。

認証。

接続経路。

接続先。

端末。

実行された操作。

暗号化の開始。

一つの線でつながっているように見えても、証拠がなければ、途中の線を勝手に引くことはできない。

「今の段階で、社長のアクセスが暗号化を引き起こしたと考えられますか」

黒木は尋ねた。

藤井は、少し考えてから答えた。

「現時点では、そう結論づけられません。アクセスがあったことと、そのアクセスが暗号化を実行したことは別です。操作の記録、接続先の状態、実行時刻、ほかの端末との関係を確認する必要があります」

「分かりました。報告書でも、その区別を明記してください」

「承知しました」

黒木は、社長の名前が表示された画面を見た。

そこには、まだ人物の物語はなかった。

あるのは、記録されたアカウントと時刻、そして接続に関する情報だけだった。

午後二時五十分。

「社長に確認する必要がありますね」

高瀬が言った。

「出張中の業務アクセスについて、本人の説明と記録を照合する必要があります。ただし、先に質問の範囲を整理したほうがいいと思います」

黒木はうなずいた。

「技術的な調査と、本人への確認は並行して進めましょう。まず、何時にどのアカウントが使われたのか。アクセス先はどこか。こちらから確認したい事項を明確にする」

「社長の予定も確認しますか」

「はい。秘書に出張日程と宿泊先の記録を確認してもらいます。社長の業務アクセスと照合するためです」

佐伯が言った。

「社長が出張中に仕事をすること自体は、不自然ではありません。問題は、記録されたアクセスが何を意味するのか、ということですね」

「そのとおりです」

黒木は答えた。

出張中に会社の資料を確認する。

それだけなら、特別なことではない。

しかし、事件の前後に通常とは異なる接続記録があり、その先で複数の端末に異常が発生しているのなら、調べないわけにはいかない。

それが社長であっても、営業社員であっても、同じだった。

「社長だから調べない、ということにはしません。反対に、社長だから疑う、ということにもしたくありません」

黒木は、会議室にいる全員を見渡した。

「記録に基づいて確認する。それだけです」

午後三時十分。

秘書室から、最初の回答が届いた。

社長の出張日程は確認できる。

宿泊先についても、予約関連の資料が残っているという。

黒木は、必要な範囲で記録を確認するよう依頼した。

宿泊先の名称が分かれば、社長のアクセス記録にある時刻と、出張中の行動予定を照合できる。

ただし、出張日程とホテル名が一致したとしても、それだけで接続元の端末を特定できるわけではない。

また、社長がホテルに滞在していたことから、そこで何をしていたかを推測することもできない。

確認できるのは、まず日程と宿泊先。

次に、会社側のアクセス記録。

その先は、記録が残っているかどうかによって変わる。

黒木は、秘書室への依頼文を読み直し、余計な詮索につながる表現がないことを確かめてから送信した。

午後三時二十五分。

藤井が、新しい一覧を表示した。

「社長のアカウントに関連する記録は、今回が初めてではありません。ただ、過去の通常時の記録と比較するには、同じ条件で記録が取れているか確認する必要があります」

「過去のアクセスと、今回のアクセスは違うのですか」

佐伯が尋ねた。

「接続元の情報には違いがあります。ただし、その違いが何を意味するかは、まだ判断できません。端末が変わったのか、接続経路が変わったのか、ネットワーク環境が変わったのか。それぞれ可能性があります」

「個人所有の端末という可能性も？」

「あります。しかし、今の記録だけで端末の所有者まで確定することはできません」

藤井は、一覧の脇に注記を加えた。

接続元の端末は未特定。利用者本人も未確認。

「このように、確定していない点は明記します」

黒木は、その一行を見た。

危機の最中には、誰もが早く答えを欲しがる。

経営陣は、原因を知りたい。

社員は、誰が何をしたのか知りたい。

顧客は、何が起きたのかを知りたい。

だが、答えを急ぐことと、事実を急いで決めることは違う。

黒木は、その線を越えないようにしなければならなかった。

午後三時四十分。

青木タツオ社長が、臨時対応室に入ってきた。

「黒木君、何か分かったか」

「はい。社長のアカウントに関連するアクセス記録が確認されました。事件発生前後の記録です」

青木は、藤井のモニターに視線を向けた。

「私のアカウント？」

「はい。ただし、現時点では、どの端末を誰が操作したのか、また、そのアクセスが今回の暗号化とどう関係しているのかは確定していません」

青木は腕を組んだ。

「出張中に仕事をすることはある。それだけで問題だと言われても困るぞ」

「出張中に仕事をすること自体を、問題だとは申し上げていません」

黒木は、落ち着いて答えた。

「会社のシステムに異常が発生した時刻の前後に、通常とは異なる接続記録が残っています。そのため、業務上のアクセスだったのか、どの端末が使われたのか、何が行われたのかを確認する必要があります」

「なるほど」

青木は短く答えた。

「確認には協力する。ただ、私のアカウントが使われたからといって、私が何かしたと決めつけないでくれ」

「そのような判断はしていません」

黒木は、社長をまっすぐ見た。

「記録が示していることと、示していないことを分けて調べています」

青木はしばらく黙っていた。

それから、秘書室に出張記録を確認してもらっていることを聞き、うなずいた。

「必要な記録は確認してくれ。業務に関係することなら、協力する」

そう言って、青木は部屋を出た。

ドアが閉まると、佐伯が小さく息を吐いた。

「社長のアカウントが出てくるとは、思いませんでした」

「アカウントが出てきた。それが、今分かっていることです」

黒木は答えた。

「そこから先は、記録を確認してからです」

藤井は、分析用の一覧に新たな確認項目を加えた。

社長アカウントのアクセス記録。

出張日程との照合。

接続元端末の特定。

アクセス先の操作履歴。

暗号化開始時刻との前後関係。

どれも、まだ調査の途中だった。

午後四時を過ぎても、社内システムの一部は停止したままだった。

復旧の見通しも、完全には立っていない。

それでも、記録の一部は確実に集まり始めていた。

黒木は、会議室の窓の外に目を向けた。

社長のアカウントが記録に残っていた。

それは、無視できない事実だった。

しかし、それだけで事件の答えが出たわけではない。

記録は、誰かを有罪にするためにあるのではない。何が起きたのかを、確かめるためにある。

黒木は、その原則を忘れないようにしながら、次の報告を待った。