ランサムウェアの攻撃方法は、エンドポイントコンピュータのデータ暗号化だけではなくなった。クラウドサービスのサーバ、アプリケーション、データまでをも暗号化して、身代金の要求をする場合もある。詳細な事例は感染するシステムによって異なる。しかし包括的なランサムウェア感染時の対策ガイドラインをあらかじめ準備しておくことで、それぞれのシステムへの攻撃の影響を軽減できる。

　感染時の対策ガイドラインは、バックアップ計画、事業継続計画（BCP）、災害復旧計画を組み合わせて相互に補完する必要がある。感染直後の対応と感染からの復旧にはこれら3つの計画の全てが必要となる場合もある。

　ランサムウェア感染時の標準的な対策ガイドラインには、記録しておくべき感染の痕跡、エスカレーション方法の詳細、連絡先情報、根本原因の分析、感染データレポート、将来の感染を防止するためのセキュリティ管理、法的機関への連絡タイミングなどの事項が記載されている。このガイドラインに記載された内容が実際の感染に対して十分でない場合、または、さらに詳細な項目を追加する必要がある場合は、企業固有の感染時対策のガイドラインに追加記載すればよい。

　ランサムウェア感染時対応計画を策定する際に、ランサムウェア感染や破壊的攻撃からの復旧に関するNIST（アメリカ国立標準技術研究所）のガイダンスが参考になる場合がある。事案ごとに、対策の文書化、実際に起こった場合の対応、事後のフォローアップは異なり、それぞれに独自の課題がある。優れたランサムウェア感染時のガイドラインは事案ごとの差異を網羅する。ガイドライン策定の際は、以下のような諸状況に考慮する必要がある。

• 痕跡の確保：ランサムウェアに感染した際は痕跡が見つかるが、それは時間が経過すると消滅する可能性がある。ランサムウェアが関与している場合、痕跡には暗号化を解除できる暗号鍵が含まれている可能性がある。ただし暗号鍵が見つかる可能性があるのは、この暗号鍵が削除される前に調査が開始された場合に限られる。感染直後に検出できた場合は、暗号化を停止することさえ可能な場合がある。
• 徹底的な調査：ランサムウェアが弱い暗号化を使用している場合は、セキュリティベンダーや研究者によって公開されている解読ソリューションを使用して解除できる場合がある。
• 法的機関への連絡：対応担当者は、影響の大きい事案やデータ漏えいの場合、法的機関に届け出ることができる。法的機関の専門家は、攻撃に関わった犯罪組織やその組織の前歴に基づいて身代金を支払う際のガイダンスを提供できる。

ランサムウェアへの企業の対応

　ガイドラインに記載される、感染時の最初のステップは、感染の範囲と影響度を特定することだ。ガイドラインに従って対応することで、感染の範囲と影響度に応じて複数の対策を同時に実施できるようにする。

　ガイドライン策定作業と実際の感染時対策に加えて、ガイドラインの検証作業も必要だ。検証作業は、ランサムウェア感染時の対応を検証することに焦点を当てた机上の検証作業により、既存のツールが感染時対応に十分か、追加のツールが必要かどうかを確認するために実施する。検証作業の頻度は、企業によって年次、四半期ごと、月次など適宜定めればよい。作業には、技術スタッフ、コミュニケーションチーム、法務部門などの関係者全てを含める必要がある。

　企業は、ランサムウェア攻撃から復旧する際のバックアップの利用方法と、セキュリティツールに脅威に対する防御機能や回復機能が備わっているかどうかを確認した方がよい。既にある正常時のバックアップを使用して、ランサムウェアに感染したテストシステムが復元可能であることを確認できる。システムによっては、最新バージョンのファイルのみ、または、直近の数バージョンしか保存していないものもあるため、データとシステムの復元と、全ての重要なシステムへのアクセスをテストすることをお勧めする。

　一部のエンドポイントセキュリティツールには、ランサムウェアの機能を検出してブロックする機能も追加している。サイバー保険に加入している場合は、ランサムウェア感染も保険の対象になっているかどうか確認しておくとよい。

　感染防御と感染時対策のそれぞれに、どのくらい費用をかけるかのトレードオフを見直すことは、情報セキュリティの向上につながる。ランサムウェア感染時対策にかかるコストは、身代金を差し引いても、企業にとって重大かつ破壊的な規模になる可能性がある。そのため攻撃を受ける前に損失コストを評価し、ガイドラインに反映することがますます重要になる。