インシデント対応とは？事故の発生から報告までを中小企業の手順で解説

インシデント対応とは、情報の漏えいやウイルス感染、システム停止などの被害と影響範囲を抑え、復旧と再発防止まで進める一連の動きのことです。IPAの中小企業のためのセキュリティインシデント対応の手引きは、その目的を企業の事業継続の確保としています。

今日やることは、下の連絡表を埋めることです。「発見した人が誰に言うか」⁠か⁠ら「どこへ届け出るか」⁠ま⁠で5行あります。社内のサーバーが使えなくても読めるよう、紙に印刷して、社長と総務と情シス兼任の人が持ちます。

担当の割り振りは私たちの整理で、手引きが定めたものではありません。

事故が起きたら、どの順で動くのか？

IPAの手引きは、対応を3つ⁠のステップに分けています。検索語でよく見る「検知、封じ込め、復旧、報告」⁠は⁠、この中に入っています。報告だけは最後に回らないので、順番の思い込みに注意が要ります。

検知は、社員の一言から始まる

専任がいない会社では、監視の画面より先に、社員の「画面がおかしい」⁠で気づくことが少なくありません。手引きは、パソコンの動作異常やウイルス対策ソフトの警告、身代金を要求する画面、取引先からの「変なメールが届いた」という連絡を入口に挙げています。

大切なのは、報告した人が責められない空気です。迷ったら連絡してよいと、先に伝えておきます。夜間の異常を外部に見てもらう方法は、SOCの外注で確かめること⁠に書きました。

封じ込めは、電源を切ることではない

手引きが初動として示すのは、ネットワークの遮断、機器の隔離、システムの停止です。そのうえで、電源を切るなどの不用意な操作で、残された記録を消さないよう注意しています。

感染の疑いがあるパソコンは、まずLANケーブルを抜くか、無線を切ります。画面の写真を撮り、時刻と操作を紙に書きます。この記録が、あとの調査の材料になります。

報告はいつ、どこにするのか？

ここが、専任のいない会社で最も抜けやすいところです。届け出の先は、事故の種類で変わります。手引きは次のように分けています。

• 個人情報の漏えい：個人情報保護委員会
• 業法などで求められる場合：所管の省庁
• 犯罪性がある場合：警察
• ウイルス感染や不正アクセス：IPA

個人データの漏えい等には期限がある

個人情報保護委員会の案内⁠によると、速報は発覚から3〜5日以内です。確報は30日以内で、不正の目的によるおそれがある場合は60日以内です。不正の目的の行為者は従業者に限らず、第三者も含みます。

委員会の説明では、報告の対象は次のような事態です。あわせて、本人への通知も原則として必要になります。

• 要配慮個人情報が含まれる
• 財産的被害のおそれがある
• 不正の目的によるおそれがある
• 1,000人⁠を超える

不正アクセスは3つ目に関わることがあるので、人数が少なくても、対象になるかを早めに確かめます。自社で判断がつかなければ、委員会の案内を見ながら弁護士に確認します。

IPAと警察への連絡

IPAの届出のページには様式があり、記入の難しい項目は分かる範囲でよいとされています。警察にはサイバー事案の相談窓口⁠があります。

警察庁の令和8年上半期の報告は、風評被害や早期復旧への懸念、届け出るべきか分からないといった理由で、被害者が通報や相談をためらう傾向があると書いています。届け出るか迷う段階でも、相談はできます。

取引先への第一報はどう出すか？

手引きは、全ての関係者への通知が難しい場合や影響が広く及ぶ場合に、ウェブサイトやメディアでの公表を挙げています。あわせて、公表で被害を広げないよう、時期や内容、対象を考えるとしています。

書く内容は、手引きの「整理しておくべき事項」⁠を土台にできます。発覚日時、発生事象、対応経過、想定される原因、責任者と担当者です。分からない項目は「調査中」⁠と書き、次にいつ知らせるかを添えます。

製造業なら、預かった図面を先に確かめる

たとえば、取引先の図面を預かって加工する部品メーカーで、ファイルサーバーが暗号化された場合を考えます。

社内の被害に目が向きがちですが、確かめる順番の上のほうに来るのは、預かった図面や仕様書です。手引きも、自社の受託案件に関連したインシデントでは委託元を含めて整理するよう示しています。どの取引先のどのデータが、そのサーバーにあったのか。普段から取引先ごとの置き場所が分かっていれば、連絡先の絞り込みが早くなります。

取引基本契約や秘密保持契約に、事故時の連絡の期限が書かれていることもあります。総務の連絡表に「契約で連絡期限のある取引先」⁠の印を付けておきます。IPAの情報セキュリティ10大脅威2026でも、組織向けの1位⁠がランサム攻撃、2位⁠がサプライチェーンや委託先を狙った攻撃です。

復旧はどこまで進めてよいのか？

手引きは、正しく修復できたことを確認してからシステムを復旧するよう示しています。原因が分からないまま戻すと、同じ経路で再び被害に遭うおそれがあるためです。

ランサムウェアの場合、バックアップがあれば復元します。ただし、手引きが注意しているとおり、パソコンに常時接続している装置や媒体では、バックアップも暗号化されている場合があります。同じ手引きは、バックアップの装置や媒体を複数用意し、定期的に復元を確認することを示しています。

調査を頼むかどうかの判断

訴訟対応などを見越して証拠を保全し、必要に応じてフォレンジック調査を行う、というのが手引きの整理です。漏えいの有無が分からない、取引先に説明を求められるといった場面では、外部に頼むことになります。

調査や復旧を有償で請け負う企業は、JNSAのサイバーインシデント緊急対応企業一覧⁠に受付時間や対応地域とともに載っています。相談や見積もりが無償の企業もあります。比べるときはフォレンジック調査サービスの比較も使えます。普段の運用から頼みたい場合はセキュリティ運用代行・顧問サービスの比較で確かめられます。

公的な相談先

IPAの企業組織向けサイバーセキュリティ相談窓口は、初動の助言や専門業者の一覧の紹介をしています。調査や解析そのものは行いません。

2026年10月16日には、IPAが不正アクセス特別相談窓口⁠を開設しました。全国の企業・組織が対象で、電話とメールで受け付けています。IPAはその直前に速やかに実施すべき対策⁠も公表しており、外部に公開しているアプリケーションや利用中の外部サービスのログ点検を求めています。

お金の準備はどうするか？

手引きは想定される被害として、対応人件費、調査や復旧の外部委託費、謝罪対応費、弁護士費用などを挙げています。警察庁の令和8年上半期の報告によると、ランサムウェアの被害組織へのアンケートで、復旧に総額1,000万円以上⁠を要した組織は全体の6割です。1か月未満で復旧した組織は5割弱に留まります。

保険で備える場合、日本損害保険協会のサイバー保険の案内⁠に想定例が載っています。従業員50名⁠の製造業で、委託先の被害により顧客情報約1万件⁠が流出したという想定で、損害額は1,050万円です。あくまで協会の想定で、補償の内容は商品ごとに違います。比較はサイバー保険の比較で確かめられます。お助け隊サービスのように、簡易サイバー保険が付いた監視サービスもあります。

訓練は何をすればよいか？

連絡表を作ったら、一度読み合わせます。「金曜の夜、ファイルサーバーに身代金を要求する画面が出た」⁠と⁠い⁠う想定で、誰が誰に電話し、何を止めるかを声に出して確かめます。電話番号が古い、代理が決まっていないといった穴は、これだけでも見つかります。

警察庁の令和7年の報告では、ランサムウェアの被害組織でサイバー攻撃を想定した業務継続計画を策定済みの割合は約18%でした。地震などの物理的災害とは調査や復旧、広報のあり方が異なるとも書いています。立派な計画書を待つより、連絡表と読み合わせから始めるほうが現実的です。

事故の対応は、米国NISTのSP 800-61 第3版（2025年4月）でも、平時のリスク管理の中に組み込む考え方に改められました。社内の体制や監視の全体像は、監視・運用・社内体制のカテゴリ⁠にまとめています。ネットワーク側で何を見ておくかはネットワーク監視の始める範囲⁠で確かめられます。