CSIRT（シーサート）とは、組織内の情報セキュリティ問題を専門に扱うインシデント対応チームのことです。JPCERT/CCのCSIRTマテリアルがこう定義しています。専任者がいない中小企業でも、役割と連絡先を決めれば最小の体制は作れます。
今日やることは、社長、総務、情シス兼任の3人で30分集まり、4つを決めることです。異常を見つけた社員が最初に連絡する相手、夜間と休日の連絡先、システムを止める判断をする人、外部の相談先です。決まったらA4の紙1枚に書き、社外でも見られる形で手元に置きます。
専任がいない会社のCSIRTとは何か？
新しい部署を作る話ではありません。JPCERT/CCの資料は、CSIRTを「組織的なインシデント対応体制」と説明しています。これまでの対応経験をもとに、既存の体制を整理して構築につなげる使い方も示しています。普段の仕事を持つ人が、事故のときだけ決まった役割に就く形でも、体制としては成り立ちます。
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版も、チームの名前は求めていません。求めているのは中身で、次の3点です。
- インシデントの対象範囲とレベル、判定基準、エスカレーションのルールを定め、従業員に周知する
- 対応手順、役割分担、報告事項、連絡体制を定める
- 重要なシステムについて、目標復旧時間と目標復旧時点に合わせてバックアップと手順を整え、訓練で確かめる
CSIRTという言葉を社内で使う必要もありません。「事故のときの当番表」と呼んでも、中身がそろっていれば十分です。
なぜ事前に決めておくのか
警察庁の令和8年上半期の報告では、ランサムウェアの被害報告は123件で、半期として統計開始以降で最多でした。被害企業の約6割が中小企業、業種別では製造業が約3割です。同じ報告のアンケートでは、1か月未満で復旧した組織は5割弱に留まります。
事故が起きてから役割を決めると、その間の判断が全部遅れます。誰が決めるかを決めておくだけなら、製品の購入も要りません。
4者で回す最小の役割分担は？
IPAのセキュリティインシデント対応の手引きに書かれた動きを、専任のいない会社の4者に割り振ると次の形になります。割り振りは私たちの整理で、手引きが定めたものではありません。
| 担当 |
普段 |
事故のとき |
| 社長 |
方針を決め、予算を出す |
体制の立ち上げ、停止と公表の判断 |
| 総務 |
連絡先の表を最新に保つ |
取引先と顧客への連絡、届け出、記録の整理 |
| 情シス兼任 |
機器とアカウントの一覧を持つ |
報告の受付、機器の隔離、時系列の記録 |
| 外部 |
監視や相談を契約で受ける |
原因の調査、復旧の助言 |
社長が持つのは「止める」判断
工場やシステムを止めるかどうかは、売上と納期に関わります。担当者に任せると、止めるべき場面で迷います。社長が不在のときに誰が代わりに決めるかまで書いておきます。
総務が持つのは連絡と届け出
手引きは、関係先への通知や公表のほか、届け出先を分けて示しています。個人情報の漏えいは個人情報保護委員会、犯罪性がある場合は警察、ウイルス感染や不正アクセスはIPAです。技術の知識がなくても担える仕事で、むしろ取引先を知っている人が向いています。
情シス兼任が持つのは隔離と記録
手引きの初動は、ネットワークの遮断、機器の隔離、システムの停止です。あわせて、電源を切るなどの不用意な操作で記録を消さないよう注意しています。調査は外部に任せてよいので、社内の担当は「いつ、誰が、何を見て、何をしたか」を書き残すことに集中します。この記録があとのフォレンジック調査で何がわかるかを左右します。
外部に任せるのは社内でできない部分
24時間の監視と原因の調査は、兼任者が抱えるには無理があります。ログや機器を見て異常を見つける監視の役割はSOCと呼ばれ、CSIRTが受け持つ判断や連絡とは分けて考えられます。ただ、外部に任せられないものもあります。取引先に何を伝えるか、工場を止めるかといった判断は、会社の中でしか決められません。運用や相談を頼める先はセキュリティ運用の代行・顧問の比較で確かめられます。事故後の調査の頼み先はフォレンジック調査サービスの比較にまとめています。
製造業なら、どんな場面を想定して決めるか？
たとえば、社員80人の金属加工会社で、月曜の朝に生産管理サーバーの画面が開けなくなった場合を考えます。
現場の班長は情シス兼任者に連絡します。兼任者はサーバーをネットワークから切り離し、画面の写真と時刻を残します。社長は当日の生産を手作業に切り替えるかどうかを決めます。総務は納期が迫る取引先の一覧を出して、連絡の文面を社長に確認します。外部の調査会社には、機器の構成と記録を渡します。
ここで事前に決めていないと困るのが、工場側の担当者です。生産設備とつながるパソコンを勝手に切り離すと、ラインが止まることがあります。製造業では、生産設備のネットワークを誰が切ってよいかを、製造の責任者と決めておく必要があります。
紙1枚には何を書くのか？
手引きの「インシデント対応時に整理しておくべき事項」は、事故のあとに整理する項目です。その一部は事前に書いておけます。
紙1枚に書くこと
- 最初の連絡先と、夜間・休日の連絡先
- 止める判断をする人と、その代理
- 届け出先と相談先
- 主要なシステムの所在地、OS、バージョン、構成図
- 使っている保守会社とセキュリティサービスの連絡先
- 取引先に連絡する順番
社内のサーバーやメールが使えない状況でも読めるよう、紙か、社外のサービスに置きます。ランサムウェアの被害では、社内のファイルサーバーに置いた手順書を開けない可能性があるためです。
相談先は4つ書いておく
手引きの相談先の一覧から、次の4つを控えておきます。
警察庁は令和7年の報告で、BCPなどに連絡先を整理して記載しておくことを勧めています。同じ報告によると、ランサムウェアの被害組織でBCPを策定済みの割合は約18%でした。立派な計画書を待たず、連絡先の紙1枚を先に作るほうが現実的です。
外部の窓口はどう選ぶか？
中小企業が予算の見当をつけやすいのは、IPAのサイバーセキュリティお助け隊サービスです。基準の2.1版は、相談窓口、異常の監視、初動対応、簡易サイバー保険を1つにまとめることを求めています。
1類の上限は、月額がネットワーク監視で1万円、端末監視で1台あたり2,000円です（いずれも税抜き）。初期費用などの合計の上限も別に定めています。実際の価格と内容は、IPAの監視種別サービス一覧で事業者ごとに確かめられます。
もう少し手厚い監視や調査は、IPAの情報セキュリティサービス基準適合サービスリストで探せます。セキュリティ監視・運用とデジタルフォレンジックの区分があります。
監視まで社内で持とうとする必要はありません。社内に置くなら、まずSIEMが自社に要るかの判断を先に読むと、順番を間違えにくくなります。
作ったあと、何をするか？
ガイドラインが求める訓練は、大きな演習でなくても始められます。4人が会議室に集まり、「金曜の夜に身代金要求の画面が出た」という想定で紙1枚を読み合わせます。連絡先が古い、代理が決まっていないといった穴は、これだけでも見つかります。年に1回、人事異動の後に行うと忘れにくいでしょう。
もう1つ、ログを残す場所も確かめておきます。警察庁は、ログを侵害範囲の特定に不可欠なものとしています。何をどこに残すかはログ管理製品の比較で確かめられます。
取引先から対策の説明を求められる場面でも、この体制は役立ちます。SCS評価制度は★3・★4の受付を2027年3月に始める予定です。制度の概要資料では、要求事項の大分類に「インシデントへの対応」と「インシデントからの復旧」が入っています。
監視や運用の全体像は、監視・運用・社内体制のカテゴリにまとめています。
