セキュリティ事故に備える、初動の手順書のつくり方

セキュリティ事故（インシデント）の初動の手順書とは、事故が疑われたときに、誰が判断し、誰に連絡し、何を止め、何を記録するかを、前もって決めておく文書です。事故が起きてから考え始めると、連絡が遅れたり、調べるための記録を消してしまったりしがちです。体制、連絡先、判断の基準、記録、訓練の5つを1〜数枚にまとめておくだけでも、最初の数時間の動きは大きく変わると考えられます。

なぜ、手順書が要るのですか

事故への対応は、限られた時間の中で、ふだんとは違う判断を重ねる仕事だからです。手順書があれば、担当者が慌てていても、決めておいた順に動けます。

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」は、経営者が担当の幹部に指示すべき重要10項目の7番目に「インシデント発生時の緊急対応体制の整備」を挙げています。そこでは、事故に対応する体制（CSIRT 等）を整えること、緊急連絡網と社外を含む情報開示の通知先の一覧を整えること、役員や職員を対象にした演習を定期的に行うこと、原因を調べるための証拠を保全できる体制をつくることが示されています。

出典：サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA、2023年3月）

事故への対応そのものの考え方は、用語集のインシデント対応にもまとめています。

手順書に書くこと

手順書に書くことは、体制と役割、連絡先、判断の基準、記録、訓練の5つです。それぞれを短く、迷わず読める形で書きます。

体制と役割

体制とは、事故が疑われたときに集まる人と、その役割の決まりです。大きな会社ではCSIRT（事故に対応する専門のチーム）を置くことがありますが、中小企業では、情報システムの担当、総務、経営者の数名で兼ねる形でも構いません。大切なのは、最初に報告を受ける人と、止める・公表するといった重い判断をする人を、名前で決めておくことです。不在のときの代わりの人も書きます。

連絡先

連絡先とは、事故のときに電話やメールをかける相手の一覧です。社内の緊急連絡網に加えて、サーバーやネットワークの保守を頼んでいる会社、使っているクラウドやSaaSの問い合わせ窓口、契約している保険会社などを書きます。メールが使えなくなる場合に備えて、電話番号は紙や別の手段でも持っておきます。

判断の基準

判断の基準とは、「この条件なら、この人の判断で、ここまでしてよい」という取り決めです。たとえば、ウイルスに感染した疑いのあるパソコンは、見つけた人がすぐにネットワークから外してよい、業務のシステムを止めるのは責任者が決める、といった形です。事前に決めておかないと、止めるかどうかの判断で時間を使ってしまいます。

記録

記録とは、事故に気づいてからの出来事を、時刻とともに書き残すことです。後で原因を調べるときや、取引先・関係する機関に報告するときに使います。記録のひな形（気づいた時刻、見えた症状、行った操作、関わった人）を手順書に付けておくと、慌てていても書き漏らしが減ります。システムの側に残す記録は、ログの取り方と見方で説明しています。

IPAの手引きが示す、対応の3つの段階

対応の流れは、IPAの「中小企業のためのセキュリティインシデント対応の手引き」が示す3つの段階に沿って書くと、まとめやすくなります。この手引きは、IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月）の付録8として公開されています。

手引きでは、1つ目の「検知・初動対応」で、兆候に気づいた人が情報セキュリティの責任者に報告し、経営者が対応の体制をつくり、ネットワークから切り離すなどして被害の広がりを抑えるとしています。その際、記録が消えるおそれのある操作は避けるよう案内しています。2つ目の「報告・公表」では、被害を受けた方や取引先への連絡と、個人データの漏えいは個人情報保護委員会、犯罪にあたる場合は警察、ウイルスや不正アクセスはIPAへの届け出を挙げています。3つ目の「復旧・再発防止」では、原因を調べ、証拠を保全し、正しく修復できたことを確かめてから復旧し、再発を防ぐ手立てをとるとしています。

出典：中小企業の情報セキュリティ対策ガイドライン（IPA）／中小企業のためのセキュリティインシデント対応の手引き（IPA）

個人データの漏えいが起きた、またはそのおそれがある場合は、法令にもとづく報告と本人への通知が必要になることがあります。個人情報保護委員会は、発覚した後、速やかに（おおむね3〜5日以内に）速報を、30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出すよう案内しています。報告の対象になるかどうかは事案ごとに判断が必要なため、個別の判断は弁護士などの専門家にご確認ください。報告の進め方は、個人データの漏えいが起きたらで説明しています。

出典：漏えい等の対応とお役立ち資料（個人情報保護委員会）

手順書をつくる進め方

手順書は、守る対象を書き出し、起こりそうな事故を選び、場面ごとの動きを書き、訓練で確かめる、という順につくると進めやすくなります。

1. 守る対象を書き出す：業務のシステム、扱う情報、社外に公開しているサイトや機器を一覧にします
2. 起こりそうな事故を選ぶ：ランサムウェアへの感染、パソコンの紛失、メールの誤送信、Webサイトの改ざんなど、自社で起こりそうなものを3〜5つ選びます
3. 場面ごとの動きを書く：選んだ事故ごとに、最初の1時間にすることを箇条書きにします
4. 連絡先と記録のひな形を付ける：一覧と記録の用紙を、手順書の最後に付けます
5. 訓練で確かめる：机の上で場面を読み上げて動きを確かめる訓練から始め、足りないところを直します

ランサムウェアの場面で最初にすることは、ランサムウェアの被害に遭ったときの初動にまとめています。システムが止まったときに業務をどう続けるかは、手順書とは別にITのBCP（事業継続計画）として考えておくことが多く、ITのBCP。システムが止まっても業務を続けるためにで説明しています。

つくった後に続けること

手順書は、つくった時点から古くなり始めます。担当者の異動、委託先の変更、新しいシステムの導入があるたびに、連絡先と手順を見直します。

訓練は、少なくとも年に一度、決まった時期に行うと続けやすくなります。訓練のあとに、迷ったところ、連絡がつかなかった相手、手順書になかった判断を書き出し、手順書を直します。実際の事故や、取引先・同業で起きた事故の話を題材にすると、社内でも身近に感じてもらいやすくなります。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、事故に備える規程と体制づくり、社員の訓練、事故のときの初動のご支援をしています。監視と初動は営業時間内でお受けし、夜間・休日の監視や専門的な調査は、外部の専門の会社と連携して対応します。自社の備えをおおまかに確かめたい場合は、無料のセキュリティの自己診断をお使いください。