【連載第8回】いざという時に！インシデント対応体制と報告義務
「ランサムウェアに感染したらどうすればいい？」「情報漏洩が発覚したら最初に何をすべき？」
こうした質問に即座に答えられる中小企業は多くありません。しかし、インシデントは予告なく発生します。事前に対応手順を決めておくことが、被害を最小限に抑える鍵です。
第8回では、組織としてどう備えるかを扱います。具体的な作業手順（隔離・証拠保全・復旧の実作業）はサイバーセキュリティ入門シリーズ第9回で解説していますので、実務担当者はあわせてご覧ください。
対応手順の全体像
まず流れを押さえます。各フェーズの実作業は前述の実務編に譲り、ここでは組織として何を決めておくかに焦点を当てます。
| フェーズ | 現場がやること | 組織として決めておくこと |
|---|---|---|
| 検知・初動 | ネットワーク遮断、証拠保全 | 誰に第一報を入れるか |
| 被害把握 | 影響範囲と時系列の確認 | 業務を止める判断を誰がするか |
| 復旧 | バックアップからの復元 | どの業務から復旧させるか |
| 再発防止 | 原因分析、設定変更 | 規程の見直し、教育の再実施 |
現場が判断できないのは「業務を止めてよいか」です。 感染拡大を防ぐにはネットワークを止めるのが確実ですが、それは売上に直結します。この判断を情シス担当者一人に背負わせないでください。
中小企業のインシデント対応体制
大企業のようなCSIRT（Computer Security Incident Response Team）を構築する必要はありません。最小限の体制として、以下を決めておきましょう。
- 第一報の連絡先: 「何かおかしいと思ったらこの人に連絡」を全社員に周知
- 意思決定者: ネットワーク遮断や業務停止の判断を誰がするか
- 外部連絡先: セキュリティベンダー、警察、弁護士の連絡先リスト
決めておくべき3つの役割
肩書きではなく、有事に誰がその役を担うかを決めます。1人が兼ねても構いませんが、不在時の代理も決めてください。
| 役割 | 担当すること | 想定される人 |
|---|---|---|
| 技術対応 | 隔離、調査、復旧の実作業 | 情シス担当、委託先 |
| 意思決定 | 業務停止、外部公表、身代金対応の判断 | 経営者、役員 |
| 対外窓口 | 顧客・取引先への説明、報道対応 | 経営企画、総務 |
技術対応者が意思決定も対外説明も兼ねる状態は避けてください。 復旧作業をしながら電話対応をすることになり、どちらも遅れます。
全社員に周知すべきこと
体制を作っても、社員が「おかしい」と気づいた時に報告しなければ機能しません。次を周知してください。
- 報告先（部署ではなく、具体的な連絡手段）
- 報告して困ることはないという方針 — 「怒られる」と思われた瞬間、報告は上がらなくなります
- 迷ったら報告してよい — 誤報を歓迎する姿勢を明示する
- 自分で対処しようとしない — 良かれと思ってスキャンや再起動をすると証拠が消えます
外部への報告が必要なケース
- 個人情報保護委員会: 個人情報漏洩が発生した場合
- 警察: サイバー犯罪の被害を受けた場合
- IPA: ウイルス・不正アクセスの届出
- 取引先: 取引先の情報が含まれる場合
個人情報保護委員会への報告は義務
個人データの漏えい等が発生し、個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人への通知が法律上の義務です。
- 速報: 事態を知った時点から速やかに（おおむね3〜5日以内）
- 確報: 30日以内（不正アクセス等による場合は60日以内）
「調査中で詳細が分からない」場合でも、分かっている範囲で速報を出す必要があります。全容が判明してから報告しようとすると期限を過ぎます。
取引先への連絡は契約を確認する
取引先の情報を預かっている場合、契約書に報告義務や期限が定められていることがあります。秘密保持契約（NDA）や業務委託契約の条項を、平常時に確認しておいてください。
サプライチェーンの一員として、自社が攻撃の起点になった場合の説明責任が問われます。第6回で扱った委託先管理の裏返しの立場です。
卓上訓練（机上演習）の進め方
手順書を作っても、読んだだけでは動けません。年1回、1時間程度の卓上訓練を実施してください。システムを実際に止める必要はありません。
進め方の例
- シナリオを提示する（例：「経理担当のPCに脅迫画面が表示された」）
- 参加者に順番に「あなたは次に何をしますか」を答えてもらう
- 実際に連絡先リストを開き、電話番号が最新かを確認する
- 判断に迷った点、決まっていなかった点を記録する
- 手順書と体制表を更新する
訓練の目的は「できること」の確認ではなく「決まっていないこと」の発見です。 スムーズに終わったら、シナリオの難易度が低すぎます。「バックアップも暗号化されていた」「担当者が休暇中だった」といった条件を足してください。
参加者には経営層を必ず入れてください。業務停止の判断を求められる場面を体験してもらうことに、最大の意味があります。
記録の残し方
インシデント対応の記録は、再発防止だけでなく、対外的な説明責任の証跡になります。ISMSやPマークを取得している場合は審査でも確認されます。
最低限、次を記録してください。
- 発生から収束までの時系列（誰が、いつ、何をしたか）
- 影響範囲（対象システム、データ、人数）
- 外部への報告状況（報告先、日時、内容）
- 原因と実施した再発防止策
インシデントが発生しなかった年も、訓練の実施記録は残してください。 「対策していた」ことの証明になります。
まとめ
- 中小企業に専門チーム（CSIRT）は不要。第一報の連絡先・意思決定者・外部連絡先の3つを決めれば機能する
- 役割は技術対応・意思決定・対外窓口の3つ。技術対応者が全部を兼ねると復旧も説明も遅れる
- 現場が判断できないのは**「業務を止めてよいか」**。情シス一人に背負わせない
- 社員には**「報告して困ることはない」**を明示する。怒られると思われた瞬間、報告は上がらない
- 個人情報保護委員会への報告は法律上の義務。速報は3〜5日以内、確報は30日以内（不正アクセス等は60日以内）
- 全容が判明してからでは遅い。分かっている範囲で速報を出す
- 取引先への報告義務が契約に定められていないか平常時に確認する
- 年1回・1時間の卓上訓練を。目的は「できること」の確認ではなく「決まっていないこと」の発見
- 訓練には経営層を必ず入れる。業務停止の判断を体験してもらう
- 訓練の実施記録も残す。インシデントがなかった年も、対策していた証明になる
次回は、セキュリティ対策を継続的に改善するための「点検・監査とPDCAサイクル」について解説します。
実作業の手順はサイバーセキュリティ入門シリーズ第9回、ランサムウェアに特化した時系列マニュアルはこちらで解説しています。
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。