第12章 ログは眠らない

午前六時二十分。

三枝涼真は、仮眠室の簡易ベッドで目を覚ました。

眠ったのは、二時間にも満たなかった。それでも、目を開けた瞬間に、自分がどこにいるか分かった。

会社だ。

駿河メディカルロジスティクス本社。第三会議室の隣の仮眠室。サイバーインシデント対応の渦中。

天井の白い蛍光灯は消えていた。廊下から、人の声とプリンタの音がかすかに聞こえる。誰かが小走りに通り過ぎる足音。遠くで鳴る電話。倉庫のフォークリフトの警告音。

世界はまだ壊れていない。

三枝は、起き上がった。

スマートフォンには、通知がいくつも来ていた。

西側ライン稼働継続。東側代表端末の設定差分除去テスト開始。取引先問い合わせ分類表更新。行政速報提出完了。警察相談予定確定。ネストリンク追加ログ保全中。日向システムサービス一次回答第二版受領。

そして、山崎行政書士事務所の山崎からのメッセージ。

三枝さん、起床後で構いません。未了事項台帳の初版を確認してください。本日から「閉じる管理」に入ります。

三枝は、その最後の一文を読み返した。

閉じる管理。

事件は、まだ終わっていない。攻撃者も捕まっていない。流出した情報も戻らない。端末も完全復旧していない。

それでも、会社は次の段階に進み始めていた。

守る。止める。戻す。説明する。そして、閉じる。

三枝は顔を洗い、第三会議室へ向かった。

午前六時四十八分。

第三会議室は、昨夜と同じ場所でありながら、少しだけ違って見えた。

机の上には、相変わらず資料が積まれている。飲みかけのペットボトルもある。ホワイトボードには、消し切れなかった文字が残っている。

だが、会議室の中心に、新しい表が映し出されていた。

未了事項台帳_初版

作成者は、山崎行政書士事務所。共同編集者は、三枝、黒崎、秋山、久我、大石。

列は、こう並んでいた。

未了ID分類内容業務影響リスク責任者関係者期限暫定対応恒久対応証跡経営報告要否状態

三枝は、画面を見た。

最初の行。

U-001　退職者アカウント停止未了前島智子アカウントが旧配送管理連携で残存。顧客担当者一覧へのアクセスに利用された可能性。責任者：黒崎期限：本日18:00状態：緊急対応中

次の行。

U-002　保守用アカウント例外恒久化svc-msp-maintenanceが条件付きアクセス例外および端末管理命令に利用。責任者：黒崎・日向システムサービス高瀬期限：48時間以内状態：停止済み、恒久設計未了

次。

U-003　Emergency-Maintenance-Bypass削除未了本番安定後削除予定のまま一年半残存。承認・監視例外に影響。責任者：三枝期限：本日中に影響範囲確定状態：無効化済み、削除判定中

次。

U-004　復元テスト未実施バックアップ取得成功と業務復旧可能性が分離されていなかった。責任者：黒崎・大石・経営企画期限：七日以内に計画、三十日以内に初回実施状態：計画中

次。

U-005　DeviceActionRaw正式運用未了重要な端末管理詳細ログであるにもかかわらず、保持7日、所有者個人、正式運用外。責任者：三枝期限：七日以内に保存延長・所有者移管状態：暫定保全済み

三枝は、深く息を吐いた。

未了が、名前を持っている。責任者を持っている。期限を持っている。状態を持っている。

未了は、もう闇ではなかった。

山崎が、後ろから声をかけた。

「おはようございます」

「おはようございます」

「少しは眠れましたか」

「少しだけ」

「十分ではありませんが、ゼロよりはよいです」

山崎は、いつものように淡々としていた。だが、その目にも疲労はあった。

三枝は画面を指差した。

「これ、全部やるんですね」

「はい。すぐに全部は終わりません。ただし、全部を見える場所に置きます」

「未了事項が多すぎます」

「多いです」

山崎は頷いた。

「ですが、昨日までは見えていませんでした。見えたものは、閉じられます」

三枝は、その言葉を胸に置いた。

見えたものは、閉じられる。

午前七時十二分。

朝の対策会議が始まった。

望月社長は、前夜よりも少しだけ顔色が戻っていた。黒崎は、すでに端末管理権限の棚卸しを進めている。秋山は、行政報告の受理確認と追加資料準備をしている。久我は、DeviceActionRawと一時ワークスペースの突合を続けている。大石は、倉庫からオンラインで参加した。

山崎が、会議の最初に言った。

「今日から、二つの流れを分けます」

ホワイトボードに書く。

一　インシデント継続対応二　未了事項クローズ管理

「インシデント継続対応は、現在進行中の被害、漏えい、復旧、攻撃者対応、警察・行政・取引先対応です。未了事項クローズ管理は、今回見えた統制上の穴を閉じる作業です」

黒崎が言った。

「同時にやるんですね」

「はい。事件が完全に終わるまで未了管理を始めない、という考え方では遅いです。攻撃者は未了を見ています」

久我が頷いた。

「特に、旧アカウントや予約命令は今日中に閉じないと危険です」

望月が言った。

「優先順位を決めましょう」

山崎は、未了事項台帳を優先度順に並べ替えた。

優先度A：再攻撃・二次被害に直結するもの退職者アカウント。端末管理予約命令。保守用アカウント。偽管理先通信。重要ログ保全。顧客担当者情報の二次被害対策。

優先度B：復旧・説明に必要なものバックアップ復元検証。責任分界表。取引先第二報への返信。行政追加報告。SOCアラート再分類。

優先度C：恒久改善SOW見直し。再委託条項。例外承認台帳。経営KPI。机上演習。クラウド統制標準化。

山崎は言った。

「Aは今日動きます。Bは七日以内の計画。Cは三十日から九十日でロードマップ化します」

望月は頷いた。

「それで進めます」

三枝は、未了事項台帳にフィルターをかけた。

Aだけでも、二十件以上ある。

だが、不思議と絶望感は薄かった。

行がある。期限がある。担当がある。

それだけで、昨日までの闇とは違う。

午前八時。

退職者アカウントの緊急棚卸しが始まった。

人事データ。総務の退職手続き票。情シスのアカウント台帳。クラウドのユーザー一覧。旧システム連携アカウント。委託先作業者名簿。

三枝は、画面を見て顔をしかめた。

「一致しません」

黒崎が言った。

「どのくらい」

「退職済みなのに有効なアカウントが、前島さん以外にもあります。対話ログイン不可のもの、共有メールボックスに変わったもの、旧システム連携に残っているもの。分類しないと危険です」

山崎が言った。

「分類しましょう。全部を即時停止すると業務が壊れる可能性があります。対話ログイン可否、個人情報アクセス有無、旧システム連携有無、外部アクセス可否で分けます」

三枝は、分類列を作った。

即時停止一時ブロック後確認連携影響確認後停止共有化済み要整理誤登録の可能性

久我が補足した。

「即時停止対象は、対話ログイン可能で、外部アクセス可能で、個人情報領域へ権限があるものです」

秋山が言った。

「停止したことで業務影響が出た場合の記録も必要ですね」

山崎は頷いた。

「はい。停止理由、対象、影響確認、復旧手順を残します」

大石がオンラインで言った。

「旧連携が止まると現場に影響します。止める前に教えてください」

黒崎が答えた。

「連携影響ありそうなものは、事前に大石さんへ確認します。ただし、危険度が高いものは止めます」

望月が言った。

「止める判断が必要なら、私に上げてください。業務影響があっても、危険度が高ければ止めます」

山崎が記録した。

退職者アカウント対応方針：危険度高のものは業務影響を認識した上で停止。旧連携影響があるものは暫定ブロック・影響確認・代替手段を並行。判断記録を残す。

三枝は、前島アカウントを見た。

状態：停止済み残課題：旧配送管理連携の代替サービスアカウント化期限：本日中

前島智子という名前は、もう単なる容疑の文字列ではなかった。

会社が閉じ忘れた扉の名前だった。

午前九時十四分。

端末管理予約命令の全件確認が進んだ。

Phase2以外にも、不明な予約命令が二つ見つかった。

一つは、定温便ラベルプリンタの構成更新。もう一つは、緊急出荷キオスクの再登録命令。

久我は、DeviceActionRawと照合しながら言った。

「どちらもPhase2ほど明確に危険とは言えません。ただし、作成者と目的が不明です。保全後に停止するべきです」

黒崎が望月を見た。

望月は頷いた。

「停止してください。理由を記録」

三枝は、もう迷わず手順を進めた。

スクリーンショット。命令ID。対象。作成者。実行予定時刻。停止理由。承認者。結果。

ひとつずつ止める。

大石からメッセージが来た。

緊急キオスクの命令停止、了解。現場では手作業ルートを維持します。理由説明済み。

三枝は、そのメッセージを見て思った。

現場が、理由を求めている。そして、理由があれば協力してくれる。

昨日まで、情シスは現場から怒られることを恐れていた。だが、説明しないから怒られていたのかもしれない。

山崎が言った。

「三枝さん、端末管理命令の停止記録は、後で再発防止資料にも使います。単に止めた一覧ではなく、“なぜ予約命令が残っていたか”も後で追いましょう」

「はい」

「作成者、作成目的、承認、期限、削除条件。この五つです」

三枝は、未了事項台帳に追加した。

U-021　端末管理予約命令の作成・削除条件未定義

未了は、まだ増える。だが、増えることを恐れてはいけない。

見つけなければ、閉じられない。

午前十時三十分。

取引先からの返信分類表が、営業部から上がってきた。

分類は、山崎の提案どおりだった。

情報漏えい範囲確認本人通知方法二次被害対策出荷復旧見込み委託先責任再発防止策補償・契約対応追加監査要請

営業部長が言った。

「補償や契約対応の話も出ています」

山崎はすぐに線を引いた。

「補償や紛争性のある交渉は、弁護士と連携してください。山崎行政書士事務所では、事実整理、説明資料、契約条項の確認、再発防止文書の支援までです」

望月が頷いた。

「弁護士へ連絡します。山崎先生、引き継ぎ資料の整理をお願いします」

「はい」

山崎は、弁護士向け資料の目次を作った。

発生経緯被害状況委託契約・再委託契約ログ・証跡一覧各社回答状況取引先からの要請分類当社判断記録未確認事項

三枝は、それを見ていた。

山崎は、自分の範囲を超えようとしない。しかし、範囲外へ投げる時にも、資料を整える。

それが、会社の混乱を減らしていた。

「弁護士に任せます」で放り投げるのではない。「弁護士が判断できる材料」にして渡す。

専門家同士の責任分界も、こうして作られるのだ。

午前十一時二十二分。

警察への相談が行われた。

久我が技術概要を説明する。山崎が時系列と証跡一覧を示す。秋山が個人情報影響と取引先対応を説明する。望月が経営判断と今後の方針を述べる。

警察側からは、ログ保全、脅迫メール、リークサイト、攻撃者との直接交渉の有無、身代金要求の有無、委託先・再委託先環境の調査状況について質問が出た。

山崎は、必要な部分だけ答えた。

「脅迫メールはすべてヘッダー、本文、受信時刻、保全手順を記録しています」「攻撃者の要求には応じていません」「リークサイト掲載内容は、当社第二報で説明済みの範囲と照合中です」「委託先・再委託先については、責任認定ではなく証跡保全と事実確認を優先しています」

久我が補足する。

「技術的には、正規アカウントと端末管理基盤の悪用、ログ転送先変更、詳細ログDeviceActionRawによる命令復元、偽管理先への通信試行を確認しています」

警察側の担当者は言った。

「証跡整理がかなり進んでいますね」

望月は、山崎と久我を見た。

「外部専門家に支援いただいています」

警察相談が終わると、秋山は深く息を吐いた。

「資料がなかったら、何も答えられませんでした」

三枝も同じことを思った。

事件の渦中で、記憶だけで説明することはできない。

時系列表。証跡一覧。判断記録。責任分界表。未了事項台帳。

それらがあったから、会社は説明できた。

午後零時四十五分。

Blue Heronの活動は、少し静かになっていた。

リークサイトには、追加サンプルは出ていない。メールも、午前中は止まっている。久我は油断していなかった。

「相手が静かな時ほど、次の手を準備していることがあります」

三枝は頷いた。

「何を見ますか」

「偽管理先ドメインへの通信、委託先・再委託先の環境、旧テンプレート領域、端末管理基盤の残存命令、前島アカウント以外の旧アカウント」

山崎が言った。

「そして、社内外の説明更新です。攻撃者の動きだけを見ていると、取引先や社員への説明が遅れます」

望月が頷いた。

「十七時の次回報告を予定通り出します」

三枝は、その言葉を聞いて、少し驚いた。

攻撃者が静かでも、会社は説明を続ける。

もう、攻撃者のメールに合わせて動いていない。

会社自身のリズムを作り始めている。

午後二時。

未了事項台帳の初回レビューが行われた。

山崎は、各担当者に一つずつ確認した。

「U-001、退職者アカウント停止未了。黒崎さん、状況は」

「危険度Aの退職者アカウントは全停止。旧連携影響があるものは一時ブロックし、代替アカウントを作成中。前島アカウントの代替は本日中に完了予定です」

「証跡は」

「停止前後の状態、承認、影響確認を保存済み」

「U-003、Emergency-Maintenance-Bypass。三枝さん」

「無効化済み。メンバー一覧と適用ポリシーを保全。削除は、関連ログ保全完了後に実施予定。恒久対応として、緊急保守グループは期限付き・承認付きで再設計します」

「期限」

「設計案を七日以内」

「U-005、DeviceActionRaw」

「保存期間を暫定で九十日に延長。所有者を個人から“Security Evidence Owners”グループへ移管予定。移管作業は本日中。恒久設計は三十日以内」

山崎は頷いた。

「U-008、AI Lowアラート強制確認条件。星野さん、黒崎さん」

星野が答えた。

「SOC側で暫定ルールを設定中です。退職者、委託先、特権、個人情報領域、バックアップ、端末管理、条件付きアクセス例外に関するLowは即時通知対象へ引き上げます」

黒崎が続けた。

「自社側の確認担当を三枝と私に設定。確認できない時間帯はオンコールへ回します」

山崎が言った。

「“誰が見るか”まで入っているのは良いです」

三枝は、その言葉に少しだけ背筋が伸びた。

誰が見るか。

それが決まっていなかったから、Lowは埋もれた。

今度は、決める。

午後三時十六分。

日向システムサービスから、正式な一次報告書が届いた。

内容は厳しいものだった。

小田切引継ぎメモは社内に存在した。前島アカウント残存リスクは認識されていた。顧客への正式共有記録は確認できない。後任担当者への引継ぎはあったが、追加提案化のまま保留。夜間作業では小田切版手順書が参照された。作業終了時のセッション失効確認記録はない。再委託先からの当日未明の警告が日向側へ届いた記録は、現時点で確認できない。

黒崎は、読みながら拳を握った。

だが、怒鳴らなかった。

山崎が言った。

「この報告書は、責任追及の材料にもなり得ます。ただし、今は事実整理として扱います。弁護士へ共有し、取引先向けには必要な範囲で反映します」

望月が頷いた。

「感情的には、言いたいことがあります」

「あると思います」

「でも、今は事実を積みます」

「はい」

三枝は、望月の声を聞いていた。

数日前なら、この会議室は怒号になっていたかもしれない。今も怒りはある。だが、怒りが判断を奪ってはいない。

それも、説明できる会社への一歩だった。

午後四時四十分。

東側端末の安全な復旧手順が、ようやく見えてきた。

偽管理先設定を除去。証明書ストアを正常化。プリンタ構成を検証済みテンプレートから再配布。管理エージェントを再登録。外部通信を監視。代表端末で確認。小規模グループで展開。本番展開前に山崎の判断記録テンプレートへ入力。

大石が、オンラインで言った。

「今日中に東側を一部戻せますか」

久我が答えた。

「一部なら可能性があります。ただし、十台単位です。全台一気には戻しません」

黒崎が言った。

「現場影響は」

大石が即答した。

「十台でも助かります。全台一気に戻して全部死ぬよりいい」

望月が頷いた。

「段階復旧で進めます」

山崎が、確認した。

「判断理由は、Phase1設定差分除去済みテンプレートを代表端末で検証し、小規模展開により再停止リスクを抑えながら出荷能力を回復するため。よろしいですね」

「はい」

三枝は入力した。

16:45　東側端末復旧方針：偽管理先設定除去、証明書・プリンタ構成正常化、管理エージェント再登録後、代表端末検証済みテンプレートを十台単位で段階展開。全面一括復旧は実施しない。判断者：望月社長。

これも、もう自然にできるようになっていた。

判断する。理由を書く。証跡を残す。

会社の新しい癖が、少しずつ生まれている。

午後五時。

取引先向け次回報告が送信された。

今回は、第二報より短かった。

内容は、更新情報に絞られていた。

情報影響の精査状況二次被害防止の注意喚起継続端末管理基盤の緊急制限と段階復旧行政・警察への相談状況委託先・再委託先を含む調査継続次回報告予定

返信は、少し落ち着いていた。

厳しい質問は続く。だが、相手側も「次回報告」を前提に動き始めていた。

説明は、一度で信頼を回復しない。だが、継続すれば、対話の形を作る。

山崎は言った。

「説明にリズムができました」

望月が聞いた。

「リズム？」

「はい。更新予定がある。窓口がある。未確認事項が管理されている。相手が次を待てる状態です」

営業部長が頷いた。

「電話が、少しだけ落ち着いています。まだ厳しいですが」

大石も言った。

「現場も同じです。次に何が来るか分かると、動きやすい」

三枝は、会議室の空気を感じた。

攻撃者のメールに振り回されていた会社が、少しずつ自分のリズムを取り戻している。

ログも、説明も、復旧も、定期更新されている。

ログは眠らない。

だが、会社も眠ったままではなくなった。

午後六時三十分。

東側端末十台の段階復旧が成功した。

ラベルプリンタが動く。管理エージェントが正常に接続する。偽管理先への通信試行はない。ログ転送も中央ワークスペースへ戻っている。

倉庫から、短い動画が送られてきた。

プリンタからラベルが出るだけの動画だった。

ただ、それだけの動画。

大石のメッセージ。

東側10台、稼働確認。現場、拍手しました。まだ全部ではありませんが、大きいです。

三枝は、その動画を何度も見た。

ラベルが出る。

それは、昨日まで当たり前だったこと。今は、会社が踏みとどまった証拠だった。

黒崎が、横で言った。

「泣くなよ」

三枝は慌てて顔を背けた。

「泣いてません」

「そうか」

黒崎も、少し目が赤かった。

山崎は、その動画を見て言った。

「この復旧も記録に入れましょう」

三枝は笑った。

「はい」

入力する。

18:30　東側端末10台の段階復旧成功。偽管理先通信なし。管理エージェント正常接続。ラベル発行確認。現場記録・動画保全。

その一行は、これまでの時系列の中で、最も明るい行に見えた。

午後七時四十二分。

Blue Heronからのメールは、まだ来ない。

リークサイトにも、追加投稿はない。

久我は言った。

「静かですね」

山崎が言った。

「静かな時ほど、こちらの予定を守りましょう」

望月は頷いた。

「二十一時に社内更新。明朝九時に取引先更新。未了事項台帳は毎日十七時に更新。これでいきます」

三枝は、予定表に入力した。

毎日17:00　未了事項台帳更新毎日09:00・17:00　取引先向け更新判断毎日18:00　経営判断レビュー毎日20:00　技術・法務・現場合同確認

それは、攻撃者ではなく会社が決めた時刻だった。

三枝は、ふと気づいた。

時刻を持つということは、主導権を持つことだ。

攻撃者の期限ではなく、自分たちの更新予定で動く。攻撃者の言葉ではなく、自分たちの証跡で語る。

会社は、少しずつ主導権を取り戻している。

午後八時三十分。

望月は、山崎に言った。

「先生。山崎行政書士事務所との正式な継続支援契約を進めたいと思います」

山崎は、少しだけ頭を下げた。

「ありがとうございます。支援範囲を明確にしたうえで進めましょう」

「もちろんです」

望月は続けた。

「今回のインシデント対応だけでなく、再発防止、責任分界表、委託契約、ログ保全、個人情報対応、経営報告まで支援してください」

山崎は頷いた。

「承知しました。技術的調査は久我さんのような専門家、紛争対応は弁護士、警察・行政対応は必要な範囲で各機関と連携しながら、当事務所では文書化、統制設計、クラウド法務、Azure技術支援の観点で支援します」

黒崎が言った。

「先生、Azureの画面名まで突っ込んできますよね」

山崎は淡々と答えた。

「文書だけ整っていても、設定が合っていなければ意味がありませんから」

三枝は笑った。

その通りだと思った。

契約書だけでは守れない。設定だけでも守れない。ログだけでも守れない。

つなげなければ、守れない。

午後九時。

社内向け更新で、望月はこう話した。

「本日、東側端末の一部段階復旧に成功しました。これは、現場の記録、情シスの検証、外部専門家の調査、山崎行政書士事務所の判断記録支援、各部署の協力により実現したものです」

社員たちの表情に、わずかな安堵があった。

望月は続けた。

「ただし、全面復旧ではありません。情報影響の調査も続いています。委託先・再委託先との確認も続いています。未了事項も多く残っています」

そこで、少しだけ間を置いた。

「当社は、未了を隠しません。未了を管理し、閉じます」

三枝は、その言葉を聞いて、胸が熱くなった。

未了を隠さない。

それは、会社の新しい宣言だった。

午後十時十二分。

三枝は、ようやく一人で会議室の窓際に立った。

外には、静岡の夜が広がっていた。遠くに港の灯りが見える。倉庫の照明が、まだ白く光っている。

この数日で、世界の見え方が変わった。

夜のクラウド画面。低優先度のアラート。委託先の沈黙。消された命令。七日保持のログ。リークサイト。取引先への第二報。現場のラベルプリンタ。

全部が、一本の線でつながっている。

三枝は、自分のノートPCを開いた。

未了事項台帳の最後に、新しい行を追加した。

U-999　説明文化の継続未了

内容。

インシデント時だけでなく、平時から技術・法務・現場・経営が同じ事実を見て説明できる文化を維持すること。

責任者。

少し迷ってから、三枝はこう入力した。

全社。初期推進：三枝、黒崎、秋山、大石、望月、山崎行政書士事務所。

期限。

継続。毎月レビュー。

状態。

開始。

保存。

三枝は、画面を見つめた。

これで終わりではない。だが、始まった。

午後十一時三分。

山崎が、会議室に戻ってきた。

「まだ起きていましたか」

「少しだけ」

山崎は、三枝の画面を見た。

「U-999ですか」

「勝手に追加しました」

山崎は、しばらく画面を見ていた。

そして言った。

「良いと思います」

「本当ですか」

「はい。ただ、“継続”だけでは弱いので、レビュー日を入れましょう」

三枝は笑った。

「やっぱり」

山崎も、ほんの少し笑った。

「未了に期限を」

三枝は入力した。

毎月第一営業日レビュー。四半期ごとに経営報告。

山崎は頷いた。

「これで、未了ではなく運用になります」

三枝は、保存した。

午前零時。

新しい一日が始まった。

Blue Heronは、まだ捕まっていない。流出した情報の影響も、これから長く続くだろう。委託先との責任整理も、簡単には終わらない。取引先の信頼を戻すには、時間がかかる。現場の疲労も、すぐには癒えない。

それでも、駿河メディカルロジスティクスは沈黙していない。

ログは眠らない。攻撃者のログも。会社のログも。判断のログも。未了を閉じるログも。

三枝は、最後に時系列表を開いた。

最初の行。

02:13　SOCより中優先度アラート受信。対象：委託先保守用アカウント。

あの夜、すべてはそこから始まったように見えた。

だが今は分かる。

本当は、もっと前から始まっていた。半年前の手順書。三か月前のAIチューニング。三週間前のLowアラート。一年半前の一時グループ。二年前の退職者アカウント。費用調整で外れた復元テスト。本番安定後に消すはずだった例外。

攻撃者は、過去から来た。

会社が閉じなかった過去から。

だから、これからは閉じていく。

一つずつ。

三枝は、時系列表の最後に今日の最終行を入れた。

00:00　未了事項台帳の継続運用開始。毎月第一営業日レビュー、四半期ごとに経営報告。未了を隠さず、期限・責任者・証跡を持って閉じる運用へ移行。

保存。

画面の右下に、小さく表示が出た。

保存しました。

その小さな文字を見て、三枝は静かに息を吐いた。

保存した。

今度は、ただ残したのではない。

使える形で、残した。

会議室の外では、倉庫の夜勤者が静かに作業を続けていた。ラベルプリンタが、短く音を立てた。

紙が一枚、出てくる。

黒い文字。配送先。時刻。確認者。

それもまた、ログだった。

会社は、まだ完全には戻っていない。

だが、もう同じ会社ではなかった。

ログは眠らない。

そして、未了を閉じる人間も、もう眠ったままではいられなかった。