---
title: "セキュリティ事故に備える、初動の手順書のつくり方｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/incident-response-plan/
description: "セキュリティ事故の初動の手順書は、誰が判断し、誰に連絡し、何を記録するかを、事故が起きる前に決めておくものです。体制（CSIRT）・連絡先・判断の基準・記録・訓練の5つの観点から、中小企業でもつくれる手順書の形を説明します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# セキュリティ事故に備える、初動の手順書のつくり方

セキュリティ事故の初動の手順書は、誰が判断し、誰に連絡し、何を記録するかを、事故が起きる前に決めておくものです。体制（CSIRT）・連絡先・判断の基準・記録・訓練の5つの観点から、中小企業でもつくれる手順書の形を説明します。

2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

Webとシステム開発（WEB & SYSTEMS）のコラム

## この記事の要点

- 初動の手順書には、体制と役割、社内外の連絡先、判断の基準、記録のしかた、訓練の予定を書きます。
- IPAの手引きは、事故への対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3つの段階で示しています。
- 手順書はつくって終わりにせず、訓練で使ってみて、連絡先や手順の古くなったところを直し続けることが大切です。

セキュリティ事故（インシデント）の初動の手順書とは、事故が疑われたときに、誰が判断し、誰に連絡し、何を止め、何を記録するかを、前もって決めておく文書です。事故が起きてから考え始めると、連絡が遅れたり、調べるための記録を消してしまったりしがちです。体制、連絡先、判断の基準、記録、訓練の5つを1〜数枚にまとめておくだけでも、最初の数時間の動きは大きく変わると考えられます。

## なぜ、手順書が要るのですか

事故への対応は、限られた時間の中で、ふだんとは違う判断を重ねる仕事だからです。手順書があれば、担当者が慌てていても、決めておいた順に動けます。

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」は、経営者が担当の幹部に指示すべき重要10項目の7番目に「インシデント発生時の緊急対応体制の整備」を挙げています。そこでは、事故に対応する体制（CSIRT 等）を整えること、緊急連絡網と社外を含む情報開示の通知先の一覧を整えること、役員や職員を対象にした演習を定期的に行うこと、原因を調べるための証拠を保全できる体制をつくることが示されています。

出典：[サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA、2023年3月）](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf)

事故への対応そのものの考え方は、用語集の[インシデント対応](https://www.ameliatechnology.co.jp/glossary/incident-response/)にもまとめています。

## 手順書に書くこと

手順書に書くことは、体制と役割、連絡先、判断の基準、記録、訓練の5つです。それぞれを短く、迷わず読める形で書きます。

| 項目 | 書くこと |
|---|---|
| 体制と役割 | 最初に報告を受ける人、対応の責任者、経営への報告の担当、外部への説明の担当 |
| 連絡先 | 社内の緊急連絡網、システムの保守を頼んでいる会社、相談先と報告先の窓口 |
| 判断の基準 | ネットワークから切り離す・システムを止める判断を、誰がどんな条件でするか |
| 記録 | 気づいた時刻、見えた症状、行った操作と時刻、関わった人 |
| 訓練 | 年に何回、誰が参加し、どの場面を想定して行うか |

### 体制と役割

体制とは、事故が疑われたときに集まる人と、その役割の決まりです。大きな会社では[CSIRT](https://www.ameliatechnology.co.jp/glossary/csirt/)（事故に対応する専門のチーム）を置くことがありますが、中小企業では、情報システムの担当、総務、経営者の数名で兼ねる形でも構いません。大切なのは、最初に報告を受ける人と、止める・公表するといった重い判断をする人を、名前で決めておくことです。不在のときの代わりの人も書きます。

### 連絡先

連絡先とは、事故のときに電話やメールをかける相手の一覧です。社内の緊急連絡網に加えて、サーバーやネットワークの保守を頼んでいる会社、使っているクラウドやSaaSの問い合わせ窓口、契約している保険会社などを書きます。メールが使えなくなる場合に備えて、電話番号は紙や別の手段でも持っておきます。

### 判断の基準

判断の基準とは、「この条件なら、この人の判断で、ここまでしてよい」という取り決めです。たとえば、ウイルスに感染した疑いのあるパソコンは、見つけた人がすぐにネットワークから外してよい、業務のシステムを止めるのは責任者が決める、といった形です。事前に決めておかないと、止めるかどうかの判断で時間を使ってしまいます。

### 記録

記録とは、事故に気づいてからの出来事を、時刻とともに書き残すことです。後で原因を調べるときや、取引先・関係する機関に報告するときに使います。記録のひな形（気づいた時刻、見えた症状、行った操作、関わった人）を手順書に付けておくと、慌てていても書き漏らしが減ります。システムの側に残す記録は、[ログの取り方と見方](https://www.ameliatechnology.co.jp/blog/log-management-basics/)で説明しています。

## IPAの手引きが示す、対応の3つの段階

対応の流れは、IPAの「中小企業のためのセキュリティインシデント対応の手引き」が示す3つの段階に沿って書くと、まとめやすくなります。この手引きは、IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月）の付録8として公開されています。

手引きでは、1つ目の「検知・初動対応」で、兆候に気づいた人が情報セキュリティの責任者に報告し、経営者が対応の体制をつくり、ネットワークから切り離すなどして被害の広がりを抑えるとしています。その際、記録が消えるおそれのある操作は避けるよう案内しています。2つ目の「報告・公表」では、被害を受けた方や取引先への連絡と、個人データの漏えいは個人情報保護委員会、犯罪にあたる場合は警察、ウイルスや不正アクセスはIPAへの届け出を挙げています。3つ目の「復旧・再発防止」では、原因を調べ、証拠を保全し、正しく修復できたことを確かめてから復旧し、再発を防ぐ手立てをとるとしています。

出典：[中小企業の情報セキュリティ対策ガイドライン（IPA）](https://www.ipa.go.jp/security/guide/sme/about.html)／[中小企業のためのセキュリティインシデント対応の手引き（IPA）](https://www.ipa.go.jp/security/sme/f55m8k0000001wpz-att/outline_guidance_incident.pdf)

事故への対応の3つの段階（IPAの手引き）

**検知・初動対応**：兆候に気づいた人が責任者に報告し、経営者が対応の体制をつくり、ネットワークから切り離すなどして被害の広がりを抑える

**報告・公表**：被害を受けた方や取引先に連絡し、個人情報保護委員会・警察・IPAなどに届け出る

**復旧・再発防止**：原因を調べ、証拠を保全し、正しく修復できたことを確かめてから復旧する

初動では、**記録が消えるおそれのある操作は避けます**

個人データの漏えいが起きた、またはそのおそれがある場合は、法令にもとづく報告と本人への通知が必要になることがあります。個人情報保護委員会は、発覚した後、速やかに（おおむね3〜5日以内に）速報を、30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出すよう案内しています。報告の対象になるかどうかは事案ごとに判断が必要なため、個別の判断は弁護士などの専門家にご確認ください。報告の進め方は、[個人データの漏えいが起きたら](https://www.ameliatechnology.co.jp/blog/personal-data-breach-response/)で説明しています。

出典：[漏えい等の対応とお役立ち資料（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/leakAction)

## 手順書をつくる進め方

手順書は、守る対象を書き出し、起こりそうな事故を選び、場面ごとの動きを書き、訓練で確かめる、という順につくると進めやすくなります。

1. **守る対象を書き出す**：業務のシステム、扱う情報、社外に公開しているサイトや機器を一覧にします
2. **起こりそうな事故を選ぶ**：[ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)への感染、パソコンの紛失、メールの誤送信、Webサイトの改ざんなど、自社で起こりそうなものを3〜5つ選びます
3. **場面ごとの動きを書く**：選んだ事故ごとに、最初の1時間にすることを箇条書きにします
4. **連絡先と記録のひな形を付ける**：一覧と記録の用紙を、手順書の最後に付けます
5. **訓練で確かめる**：机の上で場面を読み上げて動きを確かめる訓練から始め、足りないところを直します

ランサムウェアの場面で最初にすることは、[ランサムウェアの被害に遭ったときの初動](https://www.ameliatechnology.co.jp/blog/ransomware-first-response/)にまとめています。システムが止まったときに業務をどう続けるかは、手順書とは別にITのBCP（事業継続計画）として考えておくことが多く、[ITのBCP。システムが止まっても業務を続けるために](https://www.ameliatechnology.co.jp/blog/it-bcp-planning/)で説明しています。

## つくった後に続けること

手順書は、つくった時点から古くなり始めます。担当者の異動、委託先の変更、新しいシステムの導入があるたびに、連絡先と手順を見直します。

訓練は、少なくとも年に一度、決まった時期に行うと続けやすくなります。訓練のあとに、迷ったところ、連絡がつかなかった相手、手順書になかった判断を書き出し、手順書を直します。実際の事故や、取引先・同業で起きた事故の話を題材にすると、社内でも身近に感じてもらいやすくなります。

## 当社のご支援

アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、事故に備える規程と体制づくり、社員の訓練、事故のときの初動のご支援をしています。監視と初動は営業時間内でお受けし、夜間・休日の監視や専門的な調査は、外部の専門の会社と連携して対応します。自社の備えをおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。

- インシデント対応
- CSIRT
- 手順書
- 情報セキュリティ

## この記事に出てくる用語

- [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/)
- [CSIRT](https://www.ameliatechnology.co.jp/glossary/csirt/)
- [インシデント対応](https://www.ameliatechnology.co.jp/glossary/incident-response/)
- [サーバー](https://www.ameliatechnology.co.jp/glossary/server/)
- [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/)
- [SaaS](https://www.ameliatechnology.co.jp/glossary/saas/)
- [ヘルプデスク](https://www.ameliatechnology.co.jp/glossary/helpdesk/)
- [ログ](https://www.ameliatechnology.co.jp/glossary/log/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第26条（漏えい等の報告等）
   個人データの漏えいなどで、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会への報告と、本人への通知が求められます。委託を受けた事業者は、委託元への通知で足りる場合があります。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」（Ver 3.0（2023年3月））
   大企業と中小企業（小規模事業者を除く）の経営者を対象に、経営者が認識する必要がある3原則と、担当の幹部（CISO など）に指示すべき重要10項目をまとめたガイドラインです。
   [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf)
- 指針
   独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月））
   中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。
   [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/)
- [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/)
- [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/)

[Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 業務で使うWebシステムをつくる

社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。

[Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/)

### まずは30分、オンラインで話してみる

何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。

[無料で相談する](https://www.ameliatechnology.co.jp/contact/)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「セキュリティ事故に備える、初動の手順書のつくり方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/incident-response-plan/