Incident Response Plan

インシデント対応計画とは何ですか？事後になって対処法を考えることとは何が違いますか？

インシデント対応計画（incident response plan）とは、「平静な状態のうちに、様々な異常事態をあらかじめ想定し、具体的な対応ステップを書き出しておく」文書あるいは頭の中のチェックリストである。カバーする状況には、ウォレットに未承認の取引を発見した場合、秘密鍵やシードフレーズが流出した可能性を疑う場合、スマートフォンが突然電波を受信しなくなった場合（SIMスワップ攻撃の兆候の可能性）、疑わしいフィッシングメッセージを受け取り、既に怪しいリンクをクリックしたり署名したりしてしまったかもしれないと疑う場合などが含まれる。その核心的な価値は「起こりうる全てのことを予測する」ことにあるのではなく、「これらの最も一般的な状況に遭遇したとき、最初に何をすべきかを先に考えておく」ことにあり、実際に事故が発生し極度に緊張した状況の中で、初めて考え始める必要がないようにすることにある。

これは事後に対処法を考えることとの本質的な違いは、意思決定の質にある。平静な状態で下される判断は、通常パニック状態よりも周到で、重要なステップを見落としにくい。多くの資産損失の事例では、被害者の最初の反応は慌てて複数のプラットフォームを行き来し、様々な操作を試みることが多く、かえって操作ミスによる二次的な損失を招いたり、まだ間に合ったはずの重要な行動（承認の取り消し、取引所への連絡によるアカウント凍結など）を逃してしまったりすることがある。平時に考え抜いた計画があるかどうかが、事故発生時にあなたが「リストに従って行動する」のか「ゼロからパニックになりながら考える」のかを直接左右するのである。

なぜ事前に計画を書いておく必要があるのですか？緊急事態における人間の判断にはどのような問題が生じるのですか？

この背後には明確な心理学的根拠がある。急性ストレス下では、脳が情報を処理する方法が体系的に変化し、長期的な結果に対する周到な評価を犠牲にしてでも、すぐに目に見える脅威を優先的に処理する傾向がある。これが、緊急事態において「藁にもすがる」ような行動パターン——目についたツールを片っ端から試そうとし、優先順位に従って筋道立てて対処しないこと——が起きやすい理由でもある。暗号資産分野の事故にはさらにもう一つのプレッシャーの層が重なることが多い。資産が一度オンチェーンで送金されると不可逆であり、利用者はためらう1秒1秒が損失を増やしているかもしれないと痛感しており、この時間的なプレッシャーが合理的な思考の余地をさらに圧縮する。

事前に計画を書いておくことの効果はまさに、ストレスがまだ発生していないうちに、合理的な思考が必要な部分——様々な状況における優先順位の判断、必要となる連絡先やツールのリンクのメモ、各ステップで具体的にどこへ行って操作すべきかを自分が確実に把握していることの確認——を完了させておくことにある。こうすることで、実際に事故が発生した際に利用者がすべきことは「実行」だけであり「思考」ではなくなり、パニックによる判断ミスの確率を大幅に下げることができる。これが、専門的なセキュリティインシデント対応チームや企業の危機対応プロセスが、ほぼ例外なく「平時に訓練し、有事に実行する」という原則の上に成り立っている理由でもあり、暗号資産のリスクに直面する個人利用者にも同じロジックが当てはまる。

個人利用者のインシデント対応計画には具体的に何を含めるべきですか？

第一部は「状況の種類を判断する」ことであり、まず一般的な異常状況を分類する。ウォレットに未承認の取引を発見した場合、優先順位は直ちに全てのトークン承認を確認し取り消すこと（同じ脆弱性が再び悪用されるのを防ぐため）、取引ハッシュと時刻を証拠として記録すること、他に緊急に新しいウォレットに移すべき資産がないかを評価することである。秘密鍵やシードフレーズの流出を疑う場合（かつてスクリーンショットしたことがある、あるいはデバイスが見知らぬ人物に接触されたことがあると判明した場合など）、優先順位は直ちに全く新しいウォレットを作成し資産を移すことであり、「まず異常がないか様子を見る」ことを試みてはいけない。流出後のリスクは確率的なものではなく確実なものだからだ。SIMスワップ攻撃に遭ったと疑う場合（スマートフォンが突然全く電波を受信しなくなり、SMSも着信も一切受け取れない場合）、優先順位は直ちに他の経路（ウェブ版など）を通じて影響を受けうる全てのアカウントにログインし、SMSに依存する二段階認証をアプリ型認証システムやハードウェアキーに切り替え、同時に通信キャリアに連絡して確認することである。

第二部は「あらかじめ準備しておく情報リスト」であり、利用している各取引所のカスタマーサポート連絡先とアカウント凍結手続き（必要になってから慌てて検索するのではなく）、利用している承認取り消しツールのURL（正規の公式サイトであることを確認する。前述の偽の取り消しサイトのリスクを参照）、保有資産の規模が大きい場合、暗号資産詐欺案件を扱う弁護士や機関に事前に相談したことがあるか、そして自分の地域でサイバー犯罪を通報する公式な経路（米国のIC3、台湾の165詐欺防止ホットラインなど）が含まれる。第三部は「実行後の振り返り」であり、対応計画を実際に使うたび（訓練であっても）、プロセスの中で詰まった部分や情報が見つからなかった部分がないかを見直し、計画内容を速やかに更新する。

何か問題が起きてから考えるのではなく、今からどうやって自分自身のインシデント対応計画を作り始めればよいですか？

最も実践的な出発点は、一度時間を確保し（本サイトの別記事「30分間ウォレット安全チェックリスト」と併せて行うことを推奨する）、前述の3つの主要な状況（未承認の取引、秘密鍵の流出疑い、SIMスワップ攻撃）それぞれについて具体的な第一歩、第二歩、第三歩を書き出し、緊急時にも素早く見つけられる場所に保管しておくことである（パスワードマネージャーのセキュアメモ機能などが望ましく、紛失しやすいメモ用紙に書き殴るのではなく）。最初から極めて完璧なものを書く必要はなく、まずは核心的な状況をカバーする大まかなバージョンを作り、その後新しい攻撃手法の報道を見るたびや、四半期ごとの定期安全チェックのたびに、少しずつ補充し更新していけばよい。

もしチームやDAOの共同資産を管理している場合、インシデント対応計画にはさらに「緊急時に誰が決定を下す権限を持つのか」「マルチシグの他の保有者に最短時間で連絡を取る方法」を明確にしておく必要がある。実際に問題が起きた際に、意思決定の責任が不明確なために、まだ間に合ったはずの対応時間が遅れてしまうことを避けるためである。この計画の核心的な価値は「起こりうる全ての悪いことを予測する」ことではなく、「最も冷静さが求められる瞬間に、その場で考える必要のない、すぐに実行できる行動リストを手元に用意しておくこと」にあるということを覚えておいてほしい。