取引先を装ったメールの添付ファイルを開いてしまった、パソコンの画面に身代金を要求する文面が表示された、あるいは退職予定の社員が顧客データを持ち出したかもしれない——。こうしたセキュリティ上の事故が起きたとき、あるいは起きる前の備えとして、「何を・どの順で対応すればいいのか」を把握できているでしょうか。
専任のセキュリティ担当を置きにくい企業では、いざ事故が起きてから手順を調べ始めることになりがちです。初動を誤ると被害が広がり、原因を調べるための証拠まで失われてしまうこともあります。
いざというときに落ち着いて動けるよう、この記事ではインシデント対応の全体像を、定義から事後対応・再発防止までひととおり整理します。
目次
一括ダウンロードする
インシデント対応とは
インシデント対応とは、情報セキュリティ上の事故（インシデント）が発生した、または発生したおそれがあるときに、被害を最小限にとどめ、復旧と再発防止までを行う一連の活動を指します。英語では「インシデントレスポンス」とも呼ばれます。マルウェア感染や不正アクセスといった外部からの攻撃だけでなく、社内で起こる事故も対象に含まれる点が、まず押さえておきたいところです。
インシデント対応が対象とする範囲
「インシデント」と聞くと、ランサムウェアやサイバー攻撃を思い浮かべがちですが、対象はそれだけではありません。独立行政法人情報処理推進機構（IPA）が中小企業向けにまとめた手引きでは、事象ごとの対応ポイントとして、ウイルス感染・ランサムウェア感染、情報漏えい、システム停止の3類型を挙げています。
これを実務の場面に広げると、対象には次のようなものが含まれます。外部からの攻撃としてのマルウェア感染や不正アクセス、メールの誤送信や書類・記憶媒体の紛失といったうっかりミス、退職者や在籍社員による情報の持ち出しなどの内部不正、そしてシステム障害による業務停止です。攻撃を受けた場合に限らず、自社の不注意や内部の行為で情報が外に出るおそれが生じた場合も、インシデント対応の出番になります。
インシデント管理・障害対応との違い
混同されやすい言葉に「インシデント管理」と「障害対応」があります。インシデント管理は、IT サービス運用の枠組みで使われる用語で、日々発生するサービスの不具合や問い合わせを記録し、通常の状態へ戻すまでを管理するプロセスを指します。障害対応は、システムが正常に動かなくなった状態を復旧させ、可用性を回復させることに主眼があります。
これに対して本記事で扱うインシデント対応は、セキュリティの観点から、攻撃や情報漏えいといった事故に向き合い、被害の封じ込めや証拠の保全、原因の調査、関係先への報告までを担います。システムを動かし直すことがゴールの障害対応とは異なり、「何が起きたのか」「どこまで影響したのか」を明らかにしながら進める点が特徴です。
なぜ「インシデントは起きる前提」で備えるのか
近年のセキュリティ対策は、攻撃を完全に防ぎきることを前提にせず、「侵入される・事故は起こる」ことを前提に、起きた後にいかに素早く気づき、被害を抑えるかを重視する考え方へと移ってきました。防御をすり抜ける攻撃や、社内から生じる事故を完全にゼロにすることは難しいためです。
この「侵入されることを前提に備える」考え方は、近年のセキュリティ対策の土台になっています。完全に防ぐことを目指すのではなく、起きた後の気づきと初動の速さで被害を抑えるという発想です。次の章からは、実際にインシデントが起きたときの対応の流れを順に見ていきます。
インシデント対応の流れ
インシデント対応は、我流で進めるのではなく、公的機関が示す枠組みに沿って段階を踏むことで、抜け漏れを防げます。ここでは、検知・分析から封じ込め、根絶・復旧、事後対応までの流れを、代表的な枠組みと対応づけながら解説します。事故に備える「準備」は、後の「インシデントが起きる前に決めておくこと」で扱います。
事故が起きてからの流れを、各段階ですることとあわせて整理すると次のとおりです。
- 検知・分析：連絡窓口に情報を集約し、影響範囲を把握して証拠を保全する
- 封じ込め：感染端末の隔離やアカウント停止で、被害の拡大を止める
- 根絶・復旧：原因を取り除き、クリーンな状態とバックアップから業務を戻す
- 事後対応：対応を振り返り、必要な報告・公表と再発防止を行う
対応フローが依拠する公的枠組み
対応フローの代表的なよりどころには、米国国立標準技術研究所（NIST）のガイドライン、JPCERT コーディネーションセンター（JPCERT/CC）のマニュアル、IPA の手引きがあります。呼び方や区切り方に違いはあるものの、「異常に気づき、被害を抑え、元に戻し、振り返る」という大きな流れは共通しています。
| 枠組み | NIST SP 800-61 Rev.2 | JPCERT/CC インシデントハンドリングマニュアル | IPA 中小企業向け手引き |
|---|---|---|---|
| 示している段階 | 準備／検知・分析／封じ込め・根絶・復旧／事後対応 | 検知／連絡受付／トリアージ／インシデントレスポンス（対応）／報告／情報公開 | 検知・初動対応／報告・公表／復旧・再発防止 |
| 位置づけ | 広く参照される4フェーズのモデル（2012年公開のRev.2。現行はRev.3に置換） | 国内のインシデント対応の調整機関が示す手順 | 中小企業が実務で使いやすいよう3ステップに整理 |
※各枠組みの段階区分は発行元の公開資料に基づきます（2026年11月時点）。
上記の4フェーズは2012年公開の SP 800-61 Rev.2 が示したモデルで、2025年4月に新版へ置き換えられました。現行の Rev.3 は、サイバーセキュリティフレームワーク（CSF）2.0 に沿って、インシデント対応を組織のリスク管理全体に位置づけ直す構成へ再編されています。
4フェーズの考え方は現在も実務で参照されていますが、最新版では捉え方が見直されている点も押さえておくと役立ちます。
出典・参考資料（3件）
検知・分析
最初の段階は、異常に気づき、それが本当にインシデントなのかを見極める検知・分析です。ウイルス対策ソフトの警告、見慣れない通信、取引先からの「不審なメールが届いた」という連絡など、きっかけはさまざまです。連絡を受け付ける窓口を社内で一本化しておくと、情報が担当者に集まりやすくなります。
気づいた後は、どの端末・どのシステムで何が起きているのか、影響がどこまで及んでいるのかを把握します。このとき大切なのが、証拠を残すことです。あわてて端末を初期化したり、ログを消したりすると、後から原因や被害範囲を調べられなくなります。感染が疑われる端末は、被害の広がりを止めるためにネットワークから切り離しつつ、調査に使う記録は保全しておく、という両立が初動の要点です。
封じ込め
封じ込めは、被害がそれ以上広がらないよう手を打つ段階です。感染した端末を隔離する、不正に使われているおそれのあるアカウントを停止する、外部と共有していたファイルのリンクやアクセス権をいったん止める、といった対応が含まれます。
どこまで強く封じ込めるかは、業務への影響とのバランスで判断します。ネットワーク全体を遮断すれば被害は止めやすい一方、事業も止まります。あらかじめ「どの事態なら何を優先するか」を決めておくと、この判断を素早く下せます。
根絶・復旧
根絶は、インシデントの原因を取り除く段階です。マルウェアを駆除し、悪用された脆弱性を修正し、不正に作られたアカウントや設定を元に戻します。原因を残したまま復旧を急ぐと、再び同じ攻撃を受けるおそれがあります。
復旧は、業務を通常の状態へ戻す段階です。クリーンだと確認できた状態からシステムを立ち上げ直し、必要に応じてバックアップからデータを復元します。ランサムウェアの被害では、感染前の世代のバックアップから戻せるかどうかが復旧の鍵になります。戻した後も、再発していないかをしばらく注意して見守ります。
事後対応（報告・再発防止）
事故が収まったら、対応の記録を整理し、何が起きて、どう対応し、なぜ防げなかったのかを振り返ります。この振り返りが、手順の見直しや追加の対策につながり、次のインシデントへの備えになります。
あわせて、必要な報告や公表を行います。情報漏えいが絡む場合は、法律で定められた報告義務が生じることがあり、期限も決まっています。これについては後の章で詳しく解説します。
一括ダウンロードする
インシデントが起きる前に決めておくこと
事故が起きてから手順を考えていては、初動が遅れます。被害を抑えられるかどうかは、平時にどれだけ決めておけるかにかかっています。ここでは、あらかじめ整えておきたいことを整理します。
| 決めておくこと | インシデントの定義と深刻度の基準 | 対応体制と役割分担 | 報告・連絡ルートとエスカレーション基準 | 検知と記録の仕組み | 訓練による手順の確認 |
|---|---|---|---|---|---|
| 具体的に決める内容 | 何を事故とみなすか、どの程度の被害で誰まで報告を上げるか | 誰が指揮を執り、誰が調査・連絡・広報を担うか | 社内の誰に、外部のどこに、どの段階で連絡するか | ログの取得範囲と保存、バックアップの取り方と保管場所 | 想定した手順を実際に動かして試す機会を設ける |
| 決まっていないと起きること | 事故かどうかの判断が人によってぶれ、報告が遅れる | 対応の抜け漏れや重複が生じ、動きが止まる | 経営層や関係先への連絡が遅れ、対応と公表が後手に回る | 原因を調べられず、復旧にも使えるデータが残らない | いざというとき手順が形だけになり、機能しない |
対応体制と役割分担（CSIRT）
インシデント対応を担う社内の体制は、CSIRT（シーサート、Computer Security Incident Response Team）と呼ばれます。事故が起きたときに誰が指揮を執り、誰が調査・連絡・広報を担うかをあらかじめ決めておく仕組みです。
専任の担当を置きにくい企業では、「大がかりな専門チームを作らなければならないのか」と身構えてしまうかもしれません。JPCERT/CC が公開する CSIRT マテリアルは、体制づくりを構想・構築・運用の3つのフェーズに分けて示したうえで、次のように述べています。
一連の資料では組織内CSIRTが一般的に備えるべき機能や能力等について説明していますが、すべての組織内CSIRTがそれらを達成しなければならないというものではありません。それぞれの組織の状況に応じた適切なCSIRTの形があり、本資料がそれを見つける際の助けとなれば幸いです。
出典：CSIRTマテリアル｜JPCERT コーディネーションセンター
この考え方に沿えば、まずは兼任の担当者と連絡網を決めるところから始め、自社の規模に合った形を整えていけば十分です。経済産業省と IPA が公開するサイバーセキュリティ経営ガイドラインも、緊急時の対応体制の整備を経営者が取り組むべき項目として挙げています。
検知と記録の仕組み（ログ・バックアップ）
事故が起きたとき、原因や影響範囲を調べられるかどうかは、平時にどれだけ記録を残せているかで決まります。各種機器やシステムのログを適切な範囲で取得・保存しておくこと、そして被害から復旧するためのバックアップを用意しておくことが基本になります。
とくにバックアップは、保管場所にも注意が必要です。通常のネットワーク上に置いたバックアップは、ランサムウェア攻撃を受けたときに一緒に暗号化されてしまうことがあります。本番環境から切り離した場所に保管する、書き換えできない形で残すといった工夫が、いざというときの復旧を左右します。
なぜ通常のバックアップが被害に巻き込まれてしまうのか。この点について、株式会社SYNCHROの北口氏は次のように述べています。
情報漏えい時の報告義務（誰に・いつまでに）
インシデントのなかでも、個人データの漏えいが絡む場合は、法律で定められた報告義務が生じることがあります。個人情報保護法は、一定の事態が生じたときに、個人情報保護委員会への報告と、本人への通知を求めています（第26条）。どのような漏えいが対象になり、いつまでに報告するのかを、条文に沿って確認します。
報告の対象となる漏えい
報告義務の対象となるのは、個人の権利利益を害するおそれが大きい事態です。個人情報保護法施行規則第7条は、これを次の4つの類型として定めています。
出典：個人情報の保護に関する法律施行規則 第7条｜e-Gov 法令検索
- 一 要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態
- 二 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態
- 三 不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ（当該個人情報取扱事業者が取得し、又は取得しようとしている個人情報であって、個人データとして取り扱われることが予定されているものを含む。）の漏えい等が発生し、又は発生したおそれがある事態
- 四 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態
要配慮個人情報の漏えい、財産的被害につながるおそれ、不正の目的による行為、そして本人の数が千人を超える漏えいが、それぞれ対象です。いずれも、実際に漏えいした場合だけでなく「漏えいしたおそれがある」段階でも対象になる点に注意が必要です。自社に当てはまるかどうかの判断に迷う場合は、早めに専門家や窓口に相談するのが安全です。
報告・通知の期限
報告は、速報と確報の2段階で行います。施行規則第8条は、速報と確報についてそれぞれ次のように定めています。
（速報）個人情報取扱事業者は、法第二十六条第一項本文の規定による報告をする場合には、前条各号に定める事態を知った後、速やかに、当該事態に関する次に掲げる事項（報告をしようとする時点において把握しているものに限る。次条において同じ。）を報告しなければならない。
（確報）前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあつては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
出典：個人情報の保護に関する法律施行規則 第8条｜e-Gov 法令検索
速報は、規則上は「速やかに」と定められています。個人情報保護委員会は、この目安として発覚日から3〜5日以内を示しています。確報は、事態を知った日から30日以内、不正の目的による行為（前述の第3号）に該当する場合は60日以内が期限です。あわせて、漏えいの対象となった本人への通知も、事態の状況に応じて速やかに行う必要があります（施行規則第10条）。
速報の期限は数日と短いため、「誰が、どのデータに触れたのか」を短い時間で確定できる記録の仕組みを、平時から整えておくことが対応の前提になります。
出典・参考資料（3件）
自社でできること・外部に頼ること
インシデント対応は、すべてを自社でまかなう必要はありません。初動の判断や社内の連絡は自社で担いつつ、被害の調査や復旧といった専門性の高い部分は、公的な窓口や専門事業者に頼る選択肢があります。相談先と費用の目安を整理しておきましょう。
相談窓口・報告先
事故が起きたときに相談・届出できる公的な窓口は、内容によって分かれています。IPA の手引きは、相談窓口と報告先を次のように案内しています。
- 技術的な相談：企業組織向けサイバーセキュリティ相談窓口（IPA）
- 犯罪性がある場合：サイバー事案に関する通報等のオンライン受付窓口（警察庁）
- インシデント対応の相談：一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）
- ウイルス感染・不正アクセスの届出：IPA
- 個人情報漏えいの報告：個人情報保護委員会
自社だけでは原因調査や復旧が難しい場合は、有償で被害調査や復旧を請け負う専門事業者に委託する方法もあります。日本ネットワークセキュリティ協会（JNSA）は、緊急対応を請け負う企業の一覧を公開しており、委託先を探す手がかりになります。契約は、事故が起きてから依頼することも、平時に結んでおくこともできます。
出典・参考資料（2件）
外部委託の費用の考え方
外部に委託する場合の費用は、被害の規模と委託する範囲によって幅があるため、各社への見積もり依頼が基本になります。参考として、復旧にかかる費用の規模感は、警察庁の調査から読み取れます。
令和７年にランサムウェア被害に遭った企業・団体等に対して実施したアンケートの結果によると、令和６年に引き続き、ランサムウェア被害に関する調査費用、復旧費用が高額化しており、復旧に総額 1,000 万円以上を要した組織の割合は全体の５割を超えている。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
ランサムウェアの被害では、復旧に総額1,000万円以上を要した組織が半数を超えています。同じ調査では、被害に遭った企業・団体の約6割が中小企業だったことも示されています。平時のログ取得やバックアップに投じる費用は、こうした復旧費用を抑えるための備えと位置づけられます。
事後の調査にあたるフォレンジック（端末のログ解析による原因調査）の費用感について、CoWorker株式会社の一ノ瀬氏は次のように述べています。
出典・参考資料（1件）
インシデント対応に役立つサービス
事故の発生時に緊急で調査・復旧を依頼する先は、前章で触れた相談窓口やJNSAの緊急対応企業一覧が入り口になります。ここで紹介するのは、平時に備えておく、あるいは事後に自社で痕跡を調べるための手段です。侵害の調査や通信の遡及、脆弱性の把握と復旧に役立つサービスを取り上げます。
| サービス名 | Network Blackbox | CoWorker 端末侵害診断 | KATABAMI |
|---|---|---|---|
| インシデント対応での役割 | ネットワークを流れる通信（パケット）を保存し、事後にさかのぼって調べる | 端末のログを調べ、すでに侵害や情報の持ち出しが起きていないかを事後に確かめる | 弱点を定期的に点検し、感染前の状態に戻せる備えを用意する |
| 主に役立つフェーズ | 検知・分析（調査） | 検知・分析（調査） | 事前準備（予防）・復旧 |
| 調べられること・主な機能 | 全パケットを保存し、通信の宛先・時系列・転送されたファイルを検索して確認 シグネチャ・ユーザー行為・コンテンツ分析での検知 EDR・SIEMと連携（Syslog／REST API） | マルウェア感染の痕跡、認証情報の漏えいリスク、クラウド・USB経由のデータ持ち出しを調査 AI（Blue Agent）＋専門家のハイブリッド解析 Windows・Mac対応、最大100台 速報は1週間以内 | ネットワーク内部からの月次の脆弱性診断（VDP） 隔離した経路でのバックアップ（CRA、24時間前まで復旧） サイバー保険を自動付帯 |
| 提供形態 | ミラーリング方式で導入（通信を複製して収集） | 実行ファイルをオンライン送付→ダブルクリックでデータ収集する遠隔診断（スポット／定期） | リモートでの脆弱性診断＋隔離バックアップ（最短2週間で利用開始） |
| 料金目安 | 要お問い合わせ | 1台あたり20万円（税別）〜 台数に応じて割引 | 100ノード以下で年額90万〜150万円が目安 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackbox は、ネットワークを流れる通信そのもの（パケット）を収集・保存し、脅威の検知から事後の調査までを担う NDR（Network Detection and Response）ソリューションです。
株式会社クワッドマイナージャパンが提供しています。ログ（イベントの記録）だけでなく通信の中身まで保存するため、インシデントが起きた後に「いつ・どこへ・何が送られたのか」を通信記録までさかのぼって調べられる点が、調査フェーズでの強みになります。
ミラーリング方式で導入するため既存ネットワークへの影響を抑えやすく、保存したパケットを高速に検索したり、通信内容を再構成したりする機能を備えています。
外部からの侵入、内部の不審な通信、感染端末から横へ広がる動き、データの持ち出しといった、ネットワーク上に痕跡が残る事象の検知と事後調査に向いています。EDR や SIEM など他のツールとも連携できる設計です。料金は要お問い合わせとなっています（2026年11月時点）。
CoWorker 端末侵害診断サービス（CoWorker株式会社）
対象のパソコンからログを収集し、すでに侵害や情報の持ち出しが起きていないかを事後に調べるのが、CoWorker株式会社の端末侵害診断サービスです。
自社開発の AI とセキュリティ専門家が解析を担い、マルウェア感染の痕跡、認証情報の漏えいリスク、クラウドや USB を経由したデータの持ち出しなどを確認します。退職者のパソコンの調査や、在籍社員の端末の定期チェックといった、内部不正や情報漏えいの調査に使える点が特徴です。
実行ファイルをオンラインで受け取り、ダブルクリックするだけで調査に必要なデータが集まる仕組みのため、現地対応や機器の受け渡しの手間を抑えられます。深刻な脆弱性が公表されたときに「自社の端末がすでに侵害されていないか、まず手早く確かめたい」といった使い方にも向きます。料金は1台あたり20万円（税別）で、診断する台数に応じたボリュームディスカウントが用意されています（2026年11月時点）。
KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMI は、株式会社SYNCHRO が国産技術を用いて提供する、脆弱性診断とバックアップを組み合わせたパッケージです。独自の通信経路を使い、サーバーやネットワーク機器、複合機といったオフィス内の機器の脆弱性を、リモートで診断できます。従来は専門家が現地を訪問して調べていた内部の診断を外から実施できるため、立ち会いの手間を抑えながら、毎月といった頻度で継続的に点検できる点が特徴です。
診断では、複合機が初期パスワードのまま使われている、管理者権限に簡単に入れてしまうといった問題が見つかりやすく、問題の指摘だけで終わらず、対策の方法まで案内して自社で対応できるよう伴走する姿勢を掲げています。
あわせて、バックアップの経路と保管先を独自の仕組みで隔離し、攻撃者から到達しにくい形で残すサービスも提供しています。料金は100ノード以下で年額90万円〜150万円が目安です（2026年11月時点）。
ここで取り上げたのは、調査・復旧の場面で役立つサービスです。インシデント対応に限らず、守りたい対象（端末・ネットワーク・データなど）に応じて社内のセキュリティ対策を見直したい場合は、以下の記事で代表的なサービスのタイプと選び方を解説しています。全体像をつかんだうえで自社に合うものを検討したい方は、あわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
インシデント対応は、外部からの攻撃だけでなく、誤送信や紛失、内部不正、システム停止までを対象に、検知・分析から封じ込め、根絶・復旧、事後対応までを段階を追って進める活動です。NIST や JPCERT/CC、IPA が示す枠組みに沿うことで、抜け漏れを防げます。
被害の大きさを左右するのは、平時の準備と初動です。インシデントの定義と深刻度の基準、対応体制と連絡ルート、ログとバックアップの仕組み、そして訓練を、自社の規模に合わせて整えておきましょう。情報漏えいが絡む場合は、個人情報保護法に基づく報告義務の期限も踏まえた備えが必要です。自社だけで対応しきれない調査や復旧は、公的な窓口や専門サービスに頼る選択肢もあります。
MCB FinTechカタログでは、インシデントの調査・復旧や脆弱性診断に役立つサービスの資料を無料で請求できます。自社に合った備えを検討する材料として、ぜひご活用ください。
一括ダウンロードする
よくある質問（FAQ）
Q. インシデント対応とは何ですか？
A. インシデント対応とは、情報セキュリティ上の事故が発生した、または発生したおそれがあるときに、被害を最小限に抑え、復旧と再発防止までを行う一連の活動です。
対象は外部からのマルウェア感染や不正アクセスだけでなく、メールの誤送信、書類や記憶媒体の紛失、退職者や在籍社員による情報の持ち出し、システム停止まで含まれます。検知・分析から封じ込め、根絶・復旧、事後対応（報告・再発防止）までを段階を追って進めるのが基本の流れです。
Q. インシデント対応は外部に委託できますか？
A. インシデント対応は、初動の判断や社内の連絡を自社で担いつつ、被害の調査や復旧といった専門性の高い部分を外部の専門事業者に委託できます。日本ネットワークセキュリティ協会（JNSA）が、被害調査や切り分け、復旧などを有償で請け負う企業の一覧を公開しており、委託先を探す手がかりになります。
契約は、事故が起きてから依頼することも、平時に結んでおくこともできます。ただし、業務を止めるかどうかの判断と社外への公表は、自社に残る役割です。
Q. インシデント対応の計画や体制づくりのテンプレートはどこで入手できますか？
A. インシデント対応の計画や体制づくりの手引きは、JPCERT/CC と IPA が無償で公開しています。JPCERT/CC の CSIRT マテリアルは、体制づくりを構想・構築・運用の3つのフェーズに分けて示し、インシデントハンドリングマニュアルも含みます。
IPA の「中小企業のためのセキュリティインシデント対応の手引き」は、対応の3ステップに加えて相談窓口や報告先の一覧まで収めています。いずれもそのまま流用するのではなく、自社の規模に合わせて必要な項目を選び直すことが前提になります。
Q. 専任のセキュリティ担当がいない中小企業でもインシデント対応はできますか？
A. 専任のセキュリティ担当がいない企業でも、大がかりな専門チームを作る必要はなく、まずは兼任の担当者と連絡網を決めるところから始められます。JPCERT/CC の CSIRT マテリアルも、すべての組織が同じ体制を達成する必要はなく、組織の状況に応じた形でよいと述べています。
実際、警察庁の調査ではランサムウェア被害に遭った企業・団体の約6割が中小企業であり、規模にかかわらず備えが求められています。自社だけで調査や復旧が難しい部分は、公的な相談窓口や外部の専門事業者に頼る選択肢もあります。
Q. インシデント対応はどこまで自動化できますか？
A. インシデント対応は、検知や通知、感染端末の隔離といった初期対応の一部を仕組みに任せられますが、業務を止める判断と社外への公表は人が決める領域として残ります。
各所のログを集約して SIEM や SOAR で監視し、特定のアラートが出たときにチケットを自動で作成して担当者に割り当てる、といった運用で初動を速められます。一方で、どこまで業務を止めるか、いつ・どのように社外へ公表するかといった判断は、自動化になじまず人が担う部分です。
Q. 個人データが漏えいした場合、個人情報保護委員会への報告はいつまでに必要ですか？
A. 報告義務の対象に当たる漏えいの場合、速報を発覚から概ね3〜5日以内、確報を30日以内（不正の目的による行為のおそれがある場合は60日以内）に個人情報保護委員会へ報告する必要があります。速報は施行規則上は「速やかに」と定められており、3〜5日以内という目安は個人情報保護委員会が示しているものです。
報告の対象となるのは、要配慮個人情報、財産的被害が生じるおそれ、不正の目的による行為のおそれ、本人の数が千人を超える、の4類型で、いずれも本人への通知も必要になります。速報の期限は数日と短いため、誰がどのデータに触れたかを短時間で確定できる記録の仕組みを、平時から整えておくことが前提です。
出典・参考資料（3件）
Q. インシデント対応にかかる費用はどれくらいですか？
A. インシデント対応の費用は、被害の規模と外部へ委託する範囲によって大きく変わり、見積もりは各社へ直接依頼するのが基本です。参考として、警察庁の調査では、ランサムウェア被害に遭った企業・団体のうち、復旧に総額1,000万円以上を要した組織が5割を超えています。平時のログ取得やバックアップに投じる費用は、こうした復旧費用を抑えるための備えと位置づけられます。
出典・参考資料（1件）
Q. 感染したおそれのあるパソコンは、すぐに初期化・再起動してよいですか？
A. 感染が疑われるパソコンは、すぐに初期化せず、被害の拡大を止めるためにネットワークから切り離したうえで、調査に使う記録（ログ）を保全するのが初動の要点です。あわてて端末を初期化したり、ログを消したりすると、後から原因や被害範囲を調べられなくなります。再起動や初期化は、証拠を保全し、専門の窓口や事業者に相談したうえで判断するのが安全です。
社内セキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、インシデント対応に役立つ脆弱性診断・端末侵害調査・ネットワーク監視などのサービスの最新資料を無料で一括請求できます。調査・復旧の体制づくりを検討する際の比較材料としてご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
