一律に電源を切ったり再起動したりするのではなく、被害の拡大状況と証拠保全の必要性を踏まえて判断します。まず重要なのは、感染した機器をネットワークから隔離し、他の機器への被害拡大を防ぐことです。
電源を切ると、メモリ上の実行中のプログラムや通信に関する情報が失われます。再起動や不用意な操作によって、調査に必要な痕跡が変化することもあります。そのため、安全に隔離できる場合には、電源状態を維持して専門家に相談することが考えられます。
一方、ネットワークから隔離できない場合など、被害拡大を止めるために電源を切る必要があることもあります。証拠保全のために被害拡大防止を遅らせるべきではありません。
対応した日時、操作内容、画面の表示などを記録し、初期化や復旧作業に進む前に調査担当者と方針を確認してください。
フォレンジック調査ならTMIP＆S
TMI総合法律事務所およびTMIプライバシー＆セキュリティコンサルティングでは、サイバーインシデント対応支援、フォレンジック調査に対応しております。サービス内容の詳細や費用につきまして、お気軽にお問合せください。