取引先から「インシデント発生時の対応体制を図で示してほしい」と求められたり、自社のセキュリティ対応マニュアルを整備することになったりして、まず一枚の対応フロー図が欲しい、という場面が増えています。
セキュリティインシデント（不正アクセスやウイルス感染、情報漏えいなど、情報資産の安全を脅かす出来事）は、起きてから手順を考えていては被害が広がります。検知から報告・復旧までの流れを平時に図へ落とし込んでおくことが、いざというときに迷わず動くための備えになります。
とはいえ、流れを図にするには「各段階で具体的に何をするのか」「誰が判断し、誰が動くのか」「どこに・いつまでに報告するのか」まで押さえておく必要があります。これらが曖昧なまま箱と矢印を並べても、現場で使える図にはなりません。
この記事では、検知から事後対応までのインシデント対応フローの全体像を示したうえで、各段階の具体的なアクション、中小企業でも回せる役割分担、個人データ漏えい時の報告期限と報告先を整理します。自社のフロー図と手順書を作るための下敷きとしてご活用ください。
目次
一括ダウンロードする
インシデント対応フロー図（検知から事後までの全体像）
はじめに、セキュリティインシデント対応の全体像を示します。異常の検知から事後対応までは、おおむね次の流れで進みます。異常を覚知したら、まず「これはインシデントか」を判断し、インシデントであれば対応に入り、問題なければ記録して終了します。
- 検知・受付：異常や通報を受け付け、インシデントかどうかを判断します（トリアージ）。インシデントでなければ記録して終了し、該当すれば次へ進みます。
- 初動対応：ネットワークからの隔離などで被害の拡大を止め、記録や証拠を保全します。
- 調査・原因特定：ログや証拠をもとに、いつ・どこで・何が起きたかを突き止めます。
- 封じ込め・根絶：脅威の影響範囲を抑え込み、原因を取り除きます。
- 復旧：安全を確認したうえで、業務やシステムを元に戻します。
- 報告：法令や社内規程に沿って、所定の相手へ期限内に報告します。
- 事後対応：対応を振り返り、報告書の作成と再発防止策へつなげます。
この段階の分け方は、特定の製品に固有のものではなく、公的機関や標準が示す枠組みに沿っています。中小企業向けに最も読みやすいのは、独立行政法人情報処理推進機構（IPA）の「中小企業のためのセキュリティインシデント対応の手引き」です。手引きは対応を3つの段階で整理しています。
インシデント発生時の対応について、「検知・初動対応」「報告・公表」「復旧・再発防止」の３つの段階に分けて検討事項を説明
出典：中小企業のためのセキュリティインシデント対応の手引き（2026年6月）｜IPA https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_incidenttebiki.pdf
より細かく段階を分ける枠組みもあります。米国国立標準技術研究所（NIST）の「SP 800-61 Rev.2」は、準備・検知と分析・封じ込めと根絶と復旧・事後活動の4フェーズで整理しています（現行版はRev.3で、こちらは別の体系に再編されています）。また、セキュリティ実務で広く参照されるSANSの枠組みは、準備・特定・封じ込め・根絶・復旧・教訓の6ステップです。
段数の違いは区切り方の差で、本質的な流れは共通しています。本記事で用いる段階は、各枠組みと次のように対応します。
- 検知・受付／初動対応 ＝ IPA「検知・初動対応」、NIST Rev.2「準備」「検知と分析」、SANS「準備」「特定」
- 調査・原因特定／封じ込め・根絶／復旧 ＝ NIST Rev.2「封じ込め・根絶・復旧」、SANS「封じ込め」「根絶」「復旧」
- 報告 ＝ IPA「報告・公表」
- 事後対応 ＝ NIST Rev.2「事後活動」、SANS「教訓」、IPA「復旧・再発防止」の再発防止
この対応づけを図に添えておくと、監査や取引先への説明で「どの標準に沿ったフローか」を示せます。本記事では、上に示した段階に沿って具体的なアクションを見ていきます。
出典・参考資料（3件）
各段階で何をするか（検知から事後対応まで）
ここからは、フロー図の各段階で具体的に何をするのかを、順を追って解説します。図の箱の中身を言葉にしておくことで、自社の手順書に落とし込みやすくなります。
検知・受付｜異常をインシデントとして拾う（トリアージ）
最初の段階は、異常の検知と通報の受付です。従業員からの「おかしなメールを開いてしまった」という連絡、監視ツールのアラート、取引先からの指摘など、きっかけはさまざまです。受け付けた事象が本当に対応を要するインシデントなのかを見極める作業を、トリアージと呼びます。
JPCERTコーディネーションセンター（JPCERT/CC）の「インシデントハンドリングマニュアル」は、トリアージで整理すべき点を次のように示しています。
「いつ（when）」「どこで（where）」「何が（what）」「どのように（how）」起こったのか、また当事者および関係者は「誰か（who）」といった点を整理するとよいでしょう。なお、この時点では「原因（why）」の究明は後に回します。
出典：インシデントハンドリングマニュアル（2021年11月30日）｜JPCERT/CC https://www.jpcert.or.jp/csirt_material/files/manual_ver1.0_20211130.pdf
原因の究明を後に回すのは、まず事実関係を素早く把握して対応の優先順位を決めるためです。深刻度が高い、被害が広がりそうだと判断した事象から、次の初動対応へ進みます。
深刻度は、たとえば「個人データの漏えいやランサムウェア感染の疑い＝高」「社内に閉じた軽微な誤操作＝低」のように自社で数段階に分けておくと、「インシデントとして対応するか」の判断がぶれません。IPAの規程サンプルにある事故レベルの区分を、自社の基準づくりの下敷きに使えます。
初動対応｜被害の拡大を止め、証拠を保全する
インシデントと判断したら、被害の拡大を食い止める初動対応に入ります。ここで最も重要なのが、隔離の仕方と証拠の扱いです。IPAの手引きは、次のように具体的な手順を示しています。
初動対応として、対象となる情報が外部からアクセスできる状態にある場合や、被害が広がる可能性がある場合は、ネットワークの遮断、情報や対象機器の隔離、システムやサービスの停止を行います。ただし、対象機器の電源を切る等、不用意な操作でシステム上に残された記録を消さないようにします。
出典：中小企業のためのセキュリティインシデント対応の手引き（2026年6月）｜IPA https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_incidenttebiki.pdf
ポイントは、ネットワークから切り離して被害の広がりを止める一方で、電源は切らないことです。電源を落とすと、メモリ上にしか残っていない通信や動作の痕跡が消え、後の原因究明が難しくなります。あわせて、手引きは証拠の保全についても次のように述べています。
訴訟対応等を見越して事実関係を裏付ける情報や証拠を保全し、必要に応じてフォレンジック調査（パソコンのハードディスク、メモリ内データ、サーバーやネットワーク機器のログ等の調査）を行います。
出典：中小企業のためのセキュリティインシデント対応の手引き（2026年6月）｜IPA https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_incidenttebiki.pdf
調査・原因特定｜記録とログで何が起きたかを突き止める
被害の拡大を止めたら、保全した証拠やログをもとに、何が起きたのかを調べます。侵入の経路、影響を受けた範囲、持ち出された可能性のある情報などを特定していく段階です。ここで把握した範囲が、次の封じ込め・根絶の打ち手と、後の報告内容の土台になります。
自社のログだけでは経路や範囲を追いきれない場合は、専門業者によるフォレンジック調査（機器やログの詳細な解析）を検討します。調査をどこまで自社で行い、どこから外部に任せるかは、記事後半の「自社だけで埋められない工程をどう補うか」で改めて触れます。
封じ込め・根絶｜脅威を取り除く（2つの違い）
封じ込めと根絶は、しばしばひとまとめに語られますが、役割が異なります。封じ込めは、被害がこれ以上広がらないように影響範囲を抑え込む措置です。感染した端末の隔離や、不正に使われたアカウントの停止などが該当します。根絶は、侵入の原因そのものを取り除く措置で、マルウェアの駆除、不正に作られたアカウントの削除、悪用された脆弱性の修正などを指します。
封じ込めの進め方には、JPCERT/CCが示す2つの考え方があります。すみやかに脅威を排除する場合は、通信の遮断・システムの隔離・マルウェアのフォレンジックといった措置を実施します。攻撃の全貌を把握したい場合は、インシデントの範囲を特定してから脅威を排除します。どちらを採るかは、被害の深刻度と、原因究明をどこまで優先するかで判断します。
出典・参考資料（1件）
復旧｜安全を確認してから業務を戻す
原因を取り除いたら、業務やシステムを通常の状態に戻します。復旧で大切なのは、安全が確認できてから戻すことです。原因が残ったまま急いで再開すると、再発や二次被害につながります。バックアップから戻す場合は、そのバックアップ自体が侵害を受けていないかを確認します。復旧後も、同じ兆候が再び現れないかをしばらく監視します。
報告｜期限を外さず所定の相手に伝える
報告は、インシデント対応のなかでも期限が法令で定められている重要な工程です。とくに個人データの漏えい等では、報告の対象・期限・相手が規則で決まっています。発生直後に社内の責任者へ上げる第一報と、外部への法定報告があり、何をいつまでに誰へ報告するかは、後述の「報告の期限と報告先」で詳しく整理します。
事後対応｜報告書・振り返りと再発防止
復旧して一段落したら、一連の対応を振り返ります。何が起き、どう対応し、どこに課題があったかを報告書にまとめ、再発防止策へつなげる段階です。対応の記録を残しておくと、次に似た事象が起きたときの判断が速くなり、監査や取引先への説明の材料にもなります。原因となった脆弱性の修正や、検知・運用体制の見直しも、ここで計画します。
ここまでの各段階を、担当とおおよその時間軸とあわせて一覧にすると、次のとおりです。自社のフロー図に「誰が・いつ」を重ねる際の出発点としてご覧ください。
| 段階 | 1. 検知・受付 | 2. 初動対応 | 3. 調査・原因特定 | 4. 封じ込め・根絶 | 5. 復旧 | 6. 報告 | 7. 事後対応 |
|---|---|---|---|---|---|---|---|
| 主な担当 | 発見者・一次対応者 | 一次対応者・対応責任者 | システム管理者・（必要に応じて外部調査） | システム管理者・対応責任者 | システム管理者 | 対応責任者・最高責任者 | 対応責任者・最高責任者 |
| やること | 異常・通報を受け付け、インシデントかどうかを判断（トリアージ）。深刻度で優先順位を決める。 | ネットワークから隔離し被害拡大を止める。電源は切らず、ログ・証拠を保全する。 | ログ・証拠から侵入経路・影響範囲・漏えいの有無を特定する。 | 影響範囲を抑え込み、マルウェア駆除や脆弱性修正で原因を取り除く。 | 安全確認のうえ業務・システムを再開し、再発の兆候を監視する。 | 社内への第一報と、法令に基づく外部報告（速報・確報）を期限内に行う。 | 報告書を作成し、振り返りから再発防止策を決めて実施する。 |
| 目安の時間軸 | 覚知直後 | 覚知から数時間以内 | 初動後〜数日 | 被害範囲の特定後、数時間〜数日 | 根絶の確認後、安全確認しだい | 速報は規定の期限内（後述） | 復旧後、1〜2週間を目安に |
※担当は中小企業での一般的な割り当ての例です。実際の担当・時間軸は自社の体制や事象の深刻度により異なります。
インシデント種別ごとに変わる対応
同じフローをたどる場合でも、インシデントの種別によって初動や判断のポイントは変わります。自社で起きた事象がどの型に近いかを見て、該当する箇所を確認してください。
ランサムウェア感染｜暗号化と身代金要求への対応
ランサムウェアは、データを暗号化して使えなくし、復元と引き換えに金銭を要求する攻撃です。IPAの手引きは、ウイルス・ランサムウェア感染時の対応を次のように示しています。
ウイルス感染やランサムウェア感染の場合は、まず感染したパソコンやサーバーの利用を停止し、ネットワークから切り離すことが重要です。特にランサムウェア対応においては、日頃から適切な方法でデータのバックアップを行っておくことが被害を最小限に抑えるポイントになります。
出典：中小企業のためのセキュリティインシデント対応の手引き（2026年6月）｜IPA https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_incidenttebiki.pdf
身代金を支払うべきかは、多くの担当者が迷う点です。支払っても暗号化されたデータを元に戻せる保証はなく、攻撃者である犯罪組織へ資金を提供することにもなります。復旧の基本は、支払いではなく、侵害を受けていないバックアップからの復元に置くのが現実的です。また、不正アクセスをともなうランサムウェア被害は犯罪にあたるため、警察への届出も行います。
ランサムウェアは、侵害を受けないバックアップの確保を軸に、予防・検知・復旧を組み合わせて備えることで被害を抑えられます。平時の備えから感染時の復旧の進め方までは、以下の記事で詳しく解説しています。
情報漏えい｜漏えい範囲の特定と報告義務の起点
個人データや機密情報の漏えいでは、何が・どれだけ漏れた可能性があるかの範囲特定が、その後の報告義務の起点になります。個人データの漏えい等に該当する場合は、後述する個人情報保護委員会への報告が必要です。
不正アクセスや内部の人間による持ち出しは犯罪性があるため、IPAの手引きも警察への届出が必要になると示しています。取引先の情報に影響がある場合は、範囲が確定していなくても、調査中であることと現時点で判明している事実を早めに伝えます。
自社の事象が個人データの漏えいに当たりそうなときは、範囲特定から報告義務の履行、取引先への通知、再発防止までを一連の流れで押さえておくと動きやすくなります。漏えい発覚時の具体的な進め方は、以下の記事で整理しています。
システム停止｜原因不明時はセキュリティ事象として扱う
システムやサービスが停止した場合は、事業への影響が大きい業務から復旧の優先順位を決めます。注意したいのは、停止の原因がわからないケースです。IPAの手引きは、原因が不明な場合はセキュリティの問題の可能性も含めて対応する必要があると述べています。単なる障害と決めつけず、攻撃の可能性も視野に入れて証拠を保全しながら対応します。
誰が何を判断・実行するか（CSIRTがない中小企業の最小体制）
フロー図を実際に動かすには、各段階を「誰が」担うかを決めておく必要があります。専門のインシデント対応チーム（CSIRT）を置けない中小企業でも、最小限の役割を兼任で割り当てておけばフローは回せます。IPAが配布する「情報セキュリティ関連規程（サンプル）」は、対応体制の役割を次のように例示しています。
最高責任者：代表取締役／対応責任者：インシデント対応責任者／一次対応者：発見者又はシステム管理者
出典：情報セキュリティ関連規程（サンプル／中小企業の情報セキュリティ対策ガイドライン 付録5）｜IPA https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_5.docx
- 最高責任者（代表取締役）：対応方針を最終判断し、対応結果と再発防止策を社内外へ公表します。
- 対応責任者（インシデント対応責任者）：第一報を受ける窓口です。被害の拡大防止と原因調査を指揮します。
- 一次対応者（発見者またはシステム管理者）：異常を検知して報告し、初動対応と復旧作業を実行します。
この3つの役割に沿うと、対応の流れは次のように整理できます。異常を見つけた発見者が、インシデント対応責任者と代表取締役へすぐに報告します。インシデント対応責任者が被害の拡大防止と状況・原因の調査を指揮し、システム管理者が復旧を担います。
最終的な対応結果と再発防止策は、代表取締役が社内外へ公表します。第一報を受ける窓口を対応責任者に一本化しておくと、現場が迷わず動けます。
重要なのは、1人が複数の役割を兼ねてもよいので、誰が第一報を受け、誰が判断するのかを平時に決めて文書化しておくことです。役割が決まっていないと、発見者が誰に連絡してよいか分からず、初動が遅れます。従業員数が多く部門が分かれている場合は、部門ごとの連絡担当を置くなど、この最小体制に役割を足して調整します。
出典・参考資料（1件）
報告の期限と報告先（速報・確報の使い分け）
ここからは、インシデント対応で最も期限管理が問われる報告について整理します。個人データの漏えい等では、報告の対象・期限・相手が法令で定められており、フロー図の「報告」段階で外せないポイントです。
個人データの漏えい等｜報告対象と期限（速報・確報）
個人情報の保護に関する法律（以下、個人情報保護法）第26条は、個人データの漏えい等で個人の権利利益を害するおそれが大きい事態が生じたときは、個人情報保護委員会へ報告しなければならないと定めています。どのような事態が報告対象になるかは、同法施行規則第7条が4つの類型（要配慮個人情報を含む/財産的被害のおそれ/不正の目的による行為によるもの/1,000人を超えるもの）として定めています。
報告には、速報と確報の2段階があります。期限の根拠は施行規則第8条で、次のように定められています。
前項の場合において、個人情報取扱事業者は、当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に、当該事態に関する前項各号に定める事項を報告しなければならない。
出典：個人情報の保護に関する法律施行規則 第8条第2項（確報）｜e-Gov法令検索 https://laws.e-gov.go.jp/law/428M60020000003
確報は30日以内が原則です。ただし施行規則第7条第3号の「不正の目的をもって行われたおそれがある行為による」事態（不正アクセスやランサムウェアが典型）の場合は60日以内です。一方、速報の期限は規則では「速やかに」とだけ定められ、日数の目安は個人情報保護委員会のガイドライン（通則編）が示しています。
「速やか」の日数の目安については、個別の事案によるものの、個人情報取扱事業者が当該事態を知った時点から概ね３～５日以内である。
出典：個人情報の保護に関する法律についてのガイドライン（通則編）3-5-3-3｜個人情報保護委員会 https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf
整理すると、速報は事態を知ってから概ね3〜5日以内（ガイドラインの目安）、確報は30日以内、不正の目的による事態は60日以内（施行規則）です。速報の時点ですべての事項を報告できる場合は、1回の報告で速報と確報を兼ねることもできます。
期限の日数は土日祝日も含めて数えるため、期限の最終日が土日祝日にあたる場合は、翌開庁日が期限となります。自社の事態がどの類型・期限に当たるかを早い段階で確認しておくことが大切です。
出典・参考資料（3件）
主な報告・相談先の使い分け（個情委／IPA／警察／JPCERT/CC）
報告・相談先は、事態の性質によって使い分けます。それぞれ役割が異なるので、どれか1つではなく、該当するものへ並行して連絡します。
- 個人情報保護委員会：個人データ・特定個人情報の漏えい等の法定報告（速報・確報）の提出先。
- IPA：ウイルス感染・不正アクセスの届出先。技術的な相談にも対応。
- 警察（都道府県警のサイバー犯罪相談窓口）：不正アクセスや内部不正など犯罪性がある場合の相談・被害届。
- JPCERT/CC：インシデント対応の技術的な相談や、攻撃の連絡・調整の窓口。
自社のフロー図には、これらの連絡先と、どの事態でどこへ連絡するかの対応をあらかじめ書き込んでおくと、報告段階で迷いません。
出典・参考資料（3件）
自社用フロー図の作り方とひな形
ここまでの内容を踏まえ、自社用のフロー図に落とし込む手順を整理します。ゼロから作る必要はなく、公的機関が配布する編集できるひな形を土台にするのが近道です。
フロー図に落とし込む手順（記号・役割レーン・作図ツール）
作図では、処理を長方形、判断の分岐をひし形で表す一般的なフローチャートの記法を使います。検知の直後に「インシデントか？」という判断のひし形を置き、該当すれば対応へ、該当しなければ記録して終了、と枝分かれさせると、現場の判断がそのまま図になります。
「誰が」を図に重ねたい場合は、役割ごとに縦または横のレーンを設け、その役割が担う工程をレーン内に置くスイムレーン形式が分かりやすくなります。作図ツールは、PowerPointや、無料で使えるdraw.io（diagrams.net）などで十分です。まず紙に手書きで流れを確かめてから、ツールで清書すると迷いません。
盛り込むべき項目（連絡網・判断基準・報告様式）
フロー図は、単独で完結させず、次の資料とセットで用意すると実際に機能します。社内外の連絡網（誰にどの順で連絡するか）、インシデントかどうかや深刻度を見極める判断基準、第一報や報告書の様式です。これらを図の各段階に紐づけておくと、対応にあたる人がその場で参照できます。
編集できる公的ひな形の入手先
フロー図そのものを編集できる公的な配布テンプレートはないため、図は本記事の完成図と手順をもとに自社で作図します。一方、その土台となる規程・連絡網・対応手順には、IPAとJPCERT/CCが配布する編集可能なひな形が使えます。IPAの「情報セキュリティ関連規程（サンプル）」はWord形式で配布されており、対応体制・事故レベル・連絡網・対応手順の雛形がそのまま使えます。
JPCERT/CCの「CSIRTマテリアル」は、対応体制の構築・運用に役立つ資料をまとめています。これらを自社の部署名・連絡先に置き換えれば、フロー図とあわせた一式の手順書を整えられます。
出典・参考資料（3件）
平時に備えておくこと（フローを機能させる前提）
フロー図は、作って終わりではありません。いざというときに機能させるには、平時の備えが前提になります。とくに次の4点は、事故が起きてからでは間に合わない準備です。
- バックアップ：ランサムウェア被害からの復旧は、侵害を受けていないバックアップが頼りになります。取得方法と保管場所を定め、復元できるか定期的に確かめます。
- ログの取得と保存：原因究明と報告には、アクセスログなどの記録が欠かせません。何を・どれだけの期間残すかを決めておきます。ログが無いと、調査段階で行き詰まります。
- 連絡網の整備：第一報の上げ先、報告・相談先、外部の支援先を一覧にしておきます。
- 訓練と見直し：フローと手順書を使った訓練を行い、実態に合わせて定期的に更新します。
これらの備えは、フロー図の「検知」より前に位置づけられる土台です。図を整えると同時に、平時の運用もあわせて見直しておくことをおすすめします。
一括ダウンロードする
自社だけで埋められない工程をどう補うか
ここまでで、フロー図の全体像から各段階のアクション・役割分担・報告期限・作図とひな形まで一通り押さえました。最後に補足として、中小企業が自社だけでは回しきれない工程を補うサービスにも触れておきます。
代表的なのが、ネットワーク上の兆候を検知する「検知」、感染端末を素早く抑え込む「封じ込め・根絶」、そして何が起きたかを解析する「調査・事後」です。ここでは、これらの工程を補うサービスを、フローのどの段階に効くかとあわせて紹介します。導入を検討する前に、まず自社のフロー図で「どの工程が手薄か」を見極めるのが先決です。
以下は、インシデント対応の各工程を補うサービスの比較表です。
| サービス名 | Network Blackbox | Eye"247" Safety Zone | CoWorker 端末侵害診断サービス |
|---|---|---|---|
| 補えるフロー工程 | 検知（保存データで事後調査も） | 初動・封じ込め・根絶 | 調査・原因特定／事後対応 |
| 対象レイヤー | ネットワークを流れる全通信 | 端末（エンドポイント）の挙動 | 端末から集めたログ |
| サービスの型 | NDR（ネットワーク検知・対応） | EPP＋EDR（端末の保護・検知・対応） | フォレンジック診断（AI＋専門家） |
| 主な役割 | 通信をフルパケットで収集・保存し、不審な通信や外部へのデータ流出を検知。保存データを遡った事後の調査にも使える | 端末の不審な挙動を検知して隔離し、マルウェア駆除・復旧を支援。ランサムウェア時はファイルを自動バックアップ・リストア | 端末ログをAIと専門家が解析し、侵害や情報持ち出しの痕跡を調査。リスク優先度付きのレポートを提供 |
| 実施・提供形態 | ネットワークにミラーリングで接続して監視 | 端末にインストールする常駐型ソフト | タイミングを区切って行うスポット／定期の診断 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
※各サービスが補える工程は代表的な用途を示したものです。機能・料金の詳細は各社の公式資料でご確認ください。
ここで挙げた検知・端末対策・侵害調査にとどまらず、入口対策やアクセス管理まで含めて社内セキュリティの打ち手を全体像から比較検討したい場合は、以下の記事で守る対象別のタイプと代表的なサービスを整理しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れる通信をミラーリングで取り込み、フルパケットキャプチャ（通信を丸ごと記録する方式）を基盤に検知・分析を行うNDR（ネットワーク検知・対応）製品です。検知の工程で、端末のセキュリティソフトだけでは拾いにくい、ネットワーク上の不審な通信や内部データの外部流出をとらえます。
公式の説明では、既知の攻撃を見つけるシグネチャベースの検知に加え、ユーザーの行為パターンから異常を見つける検知、送受信データを復元して脅威を見つけるコンテンツ分析の3方式を挙げています。通信を記録しているため、インシデント発生後に「いつ・何が起きたか」をさかのぼって調べる事後の調査にも役立ちます。
2. Eye”247″ Safety Zone（株式会社フーバーブレイン）
東証スタンダード市場に上場する株式会社フーバーブレインが提供する、端末向けのセキュリティソフトです。ウイルス対策（EPP）に加え、端末のふるまいを監視して不審な動きを検知・対応するEDR（端末の検知と対応）の機能を備えており、感染端末の封じ込め・根絶の工程を支えます。
専任のセキュリティ担当を置きにくい中堅・中小企業を主な対象としており、専任者がいない体制でも運用しやすい製品です。端末単位で不審な挙動を把握できるため、初動で「どの端末を隔離すべきか」を見極める助けになります。
3. CoWorker 端末侵害診断サービス（CoWorker株式会社）
CoWorker株式会社が提供する、端末から集めたログをAIと専門家が解析し、侵害の痕跡がないかを調べる端末侵害診断サービスです。調査・事後対応の工程で、自社だけでは追いきれない「本当に被害があったのか」「何が持ち出された可能性があるか」の確認を外部の目で補えます。
ランサムウェア感染や情報漏えいの疑いがあるとき、あるいは被害範囲がはっきりしないときに、証拠を保全したうえでの調査を任せられます。初動で保全した証拠を活かし、報告や再発防止の根拠となる調査結果につなげられる点が、中小企業にとって現実的な選択肢になります。
外部のフォレンジック調査が中小企業にとって現実的な選択肢になってきた背景について、同社は次のように述べています。
フォレンジックはこれまで、1台あたり100万円から200万円ほどの費用がかかり、専門家も少ないという課題がありました。そこにAIの発達が組み合わさって、高速化・低価格化が実現できるようになったことが、このサービスを開発した大きなきっかけです。従来のフォレンジックは、何か大きな問題が起きてから重い腰を上げて対応するというイメージが強かったのですが、問題がまだ小さいうちに、より簡易でスピーディーに診断できるものが必要だと考えました。
まとめ
インシデント対応フロー図は、検知、初動、調査、封じ込め・根絶、復旧、報告、事後という流れを、自社の体制に合わせて一枚に落とし込むものです。平時に備えておくことで、いざというときに迷わず動けます。
初動では電源を切らずネットワークから隔離して証拠を保全すること、個人データの漏えい等では速報（概ね3〜5日以内）と確報（30日以内、不正の目的による場合は60日以内）の期限を外さないことが、とくに重要なポイントです。
作図にあたっては、IPAやJPCERT/CCが配布する編集できるひな形を土台にし、自社の連絡網・判断基準・報告様式を紐づけるのが近道です。検知・封じ込め・調査といった自社だけで埋めにくい工程は、専用のサービスで補うことも検討しながら、平時の備えとあわせてフローを機能する状態に整えておきましょう。
一括ダウンロードする
よくある質問（FAQ）
Q. インシデント対応フロー図とは何ですか？
A. インシデント対応フロー図とは、セキュリティ事故の検知から報告・復旧までの対応手順と、誰が何を判断・実行するかを、矢印と分岐でつないで一枚にまとめた図です。
検知・初動対応・調査・封じ込め・根絶・復旧・報告・事後という流れを箱と矢印で表し、「インシデントか？」といった判断をひし形の分岐で示します。平時に作っておくことで、事故が起きたときに迷わず動け、取引先や監査への体制説明にも使えます。
Q. インシデント対応は何から始めればいいですか？
A. インシデント対応は、受け付けた事象が本当に対応を要するインシデントかどうかを見極めるトリアージから始めます。
異常の通報や監視ツールのアラートを受けたら、「いつ・どこで・何が・どのように」起きたかを整理し、深刻度で対応の優先順位を決めます。原因の究明はいったん後回しにし、まず事実関係を素早く把握して次の初動対応につなげます（JPCERT/CC）。
Q. インシデントかどうか判断がつかないときはどうすればいいですか？
A. 判断がつかないときは、いったんインシデントとして扱い、責任者に第一報を上げて判断を仰ぐのが安全です。
空振りだったときのコストより、見逃したときの被害のほうがはるかに大きいためです。誰が第一報を受け、誰が判断するかを平時に決めて文書化しておくと、現場が迷わず動けます。
Q. インシデントが起きたとき、パソコンの電源はすぐ切るべきですか？
A. 電源は切らず、ネットワークから切り離して被害の拡大を止めます。
電源を落とすと、メモリ上にしか残っていない通信や動作の痕跡が消え、後の原因究明が難しくなるためです。ネットワークの遮断や対象機器の隔離で被害の広がりを止めつつ、ログや証拠を保全します（IPA「中小企業のためのセキュリティインシデント対応の手引き」）。
Q. ランサムウェアの身代金は払うべきですか？
A. 支払っても暗号化されたデータが元に戻る保証はなく、犯罪組織への資金提供にもなるため、安易な支払いは勧められません。
復旧の基本は、支払いではなく、侵害を受けていないバックアップからの復元に置くのが現実的です。不正アクセスをともなうランサムウェア被害は犯罪にあたるため、あわせて警察への届出も行います。
Q. 個人データが漏えいしたら、何日以内に個人情報保護委員会へ報告が必要ですか？
A. 速報は事態を知ってから概ね3〜5日以内、確報は30日以内（不正の目的による漏えい等は60日以内）です。
速報の「概ね3〜5日以内」は個人情報保護委員会のガイドライン（通則編）が示す目安です。確報の「30日以内、不正の目的による事態（不正アクセスやランサムウェアが典型）は60日以内」は個人情報保護法施行規則第8条第2項が根拠です。期限の日数は土日祝日も含めて数えるため、自社の事態がどの類型・期限に当たるかを早い段階で確認しておくことが大切です。
出典・参考資料（2件）
Q. ログが残っていない場合、調査はどうすればいいですか？
A. ログがないと原因特定は難しくなりますが、残っている証拠からできる範囲で調査し、必要に応じてフォレンジック業者に相談します。
今後に向けては、アクセスログなどを何をどれだけの期間残すかを決めて取得・保存しておくことが、次の事故での調査を可能にします。ログの取得と保存は、事故が起きてからでは間に合わない平時の備えのひとつです。
Q. 取引先にはいつ通知すればいいですか？
A. 取引先の情報に影響があるなら、漏えいの範囲が確定していなくても速やかに通知します。
「調査中であること」と「現時点で判明している事実」を早めに伝えるのがポイントです。範囲の確定を待って通知が遅れると、かえって取引先の信頼を損ないます。
Q. CSIRTがない中小企業でもインシデント対応フローは回せますか？
A. 専門のインシデント対応チーム（CSIRT）がなくても、最小限の役割を兼任で割り当てればフローは回せます。
IPAが配布する規程サンプルは、最高責任者（代表取締役）・対応責任者・一次対応者（発見者またはシステム管理者）の3役を示しています。1人が複数の役割を兼ねてもよいので、誰が第一報を受け、誰が判断するのかを平時に決めて文書化しておくことが大切です。
Q. インシデント対応を外部の専門家に相談する目安は？
A. 自社だけで検知・封じ込め・侵害調査の工程が回らないときが、外部に相談する目安です。
とくに個人データ漏えいの疑いがある、被害範囲がはっきりしないといった場合は、証拠を保全したうえでのフォレンジック調査が有効です。調査結果は報告や再発防止策の根拠にもなります。まず自社のフロー図で手薄な工程を見極めてから相談先を選ぶと、過不足なく依頼できます。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、インシデント対応に役立つ検知・端末対策・侵害調査などのサービスの最新資料を無料で一括請求できます。各サービスの機能や対応範囲を見比べて、自社のフローで手薄な工程を補う検討にお役立てください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
