インシデント対応フローの作り方は？図にして社内に配るときの要点を解説

インシデント対応フローは、見つけた人から責任者、経営者へ連絡が届く順番を1枚⁠に書き、箱ごとに「誰が、何を決めるか」⁠と連絡先を入れて作ります。インシデント対応フローとは、情報漏えいやウイルス感染、システム停止が起きたときの動きを順番に示した手順のことです。

今日やることは、この記事の表の「誰が」⁠と「連絡先」⁠を埋めることです。埋まらなかった欄が、会社としてまだ決まっていないことです。詳しい手順書より先に、その欄を埋めてください。

なぜ1枚⁠の図にするのか？

起きてから手順書を探す余裕はないからです。IPAのガイドライン第4.0⁠版は、判断と初動の遅れで被害が広がるのを避けるため、対象の範囲と判定基準、上へ報告するルールを決めて従業員に周知するよう求めています。

警察庁の令和8年上半期の報告⁠によると、ランサムウェアの被害組織のうち、復旧に1か月未満だった割合は5割弱にとどまります。復旧に総額1,000万円以上かかった組織は全体の6割です。図を作れば被害が減ると言い切ることはできませんが、最初の数時間に迷う要素は減らせます。

全員が覚える内容は多くありません。見つけた人が知るべきなのは、「触らずに、誰へ連絡するか」だけです。

フローには何を書くのか？

土台には、IPAの中小企業のためのセキュリティインシデント対応の手引き⁠の3段階が使えます。次の表は、手引きの内容を、配る図の箱に置き換えたものです。「連絡先」⁠の列は自社で埋めます。

手引きは、起きたことの整理項目も挙げています。分類、責任者、発覚日時、発生日時、発生事象、対応の経過、想定される原因、被害を受けたシステムの状況です。この項目を裏面にして、書き込めるようにしておくと、報告の下書きになります。

判断の基準を短く決める

すべてを同じ重さで扱うと、責任者が動けなくなります。次の3段階は、私たちが例として整理したものです。自社の事業に合わせて書き換えます。

原因が分からない停止も、上の区分に入れます。手引きは、原因が不明な場合はセキュリティの問題の可能性も含めて対応するよう示しています。「故障だと思って様子を見る」⁠が続かないようにするためです。

図に落とすときの要点は何か？

個人の電話番号を社内の壁に貼るのに抵抗があれば、掲示用には役職と内線、緊急の番号は配布された紙やカードにする、と分けます。誰の目に触れる紙なのかを決めてから書きます。

紙でも配るのは、ランサムウェアや機器の停止で社内の共有ファイルやメールが使えなくなる場面を考えるからです。スマートフォンの写真でも持っておきます。

切り離しの書き方に注意する

現場の人に伝える言葉は、とくに慎重に選びます。手引きによると、ウイルスやランサムウェアの感染では、機器の利用を止めてネットワークから切り離します。一方で、電源を切るなどの不用意な操作で記録を消さないよう注意しています。

配る図には「LANケーブルを抜く。電源は切らない。分からなければ触らず電話」のように、自社の機器に合わせて具体的に書きます。Wi-Fiの機器や工場の設備では方法が違うので、保守会社に確かめてから書きます。

製造業の工場ではどこを書き足すか？

たとえば、部品メーカーの工場で、夜勤の時間に生産管理端末へ身代金を求める画面が出た場合です。見つけるのは現場の班長で、責任者は自宅にいるかもしれません。

このとき、事務所向けのフローだけでは足りない箇所が3つあります。

1. 夜勤の班長が電話する相手と、つながらないときの次の相手
2. ラインを止める判断を誰がするのか。セキュリティの責任者と工場長のどちらなのかを書く
3. 納期に影響が出るときに、取引先へ誰が連絡するのか

図面や仕様を預かっている会社なら、発注元への連絡も書き込みます。ガイドライン第4.0版は、取引先との間でインシデント発生時の通知義務や連絡先を文書にし、役割分担を合意して訓練で確かめるよう求めています。契約書に連絡の期限が書かれていないか、この機会に見ておきます。

外部の連絡先はどこを書くのか？

手引きの相談窓口と報告先から、中小企業が図の余白に入れておきたいものをまとめます。

個人情報については、個人情報保護委員会のページが、速報は発覚から3〜5日以内⁠、確報は30日以内⁠、不正の目的のおそれがある場合は60日以内としています。自社の事案が報告の対象に当たるかは、同じページで確かめます。経理や顧客台帳の担当者にも、この日数を伝えておきます。

調査を頼む会社は、起きてから探すと比べる余裕がありません。JNSAの一覧には初期相談が無料の会社もあると書かれています。平時にインシデント対応・フォレンジックの比較で対応時間と費用の形を見て、候補を図に書いておきます。

平時の相談相手を持っているなら、その電話番号も書きます。セキュリティ運用代行・顧問サービスの比較にある顧問や、お助け隊サービスの窓口がこの枠に入ります。誰を担当に立てるかが決まらない会社は、採用せずに役割を回す組み立てから始めます。

配ったあとにやることは何か？

配って終わりにすると、半年で古くなります。

• 版の日付を決め、人事異動や保守会社の変更のたびに直す
• 年に1回⁠、10分⁠でよいので口頭で回す。「夜勤中に画面が変わった。誰に電話しますか⁠」⁠と聞くだけでも、番号の間違いが見つかる
• バックアップから戻す手順を確かめる。ガイドラインは、目標復旧時間と目標復旧時点に合わせた手順の整備と、訓練での検証を求めている

原因を調べるにはログが要ります。手引きも、調査の対象にサーバーやネットワーク機器のログを挙げています。今どれだけ残っているのかを確かめ、足りなければ統合ログ管理ツールの比較を見ます。既存の監視の道具で通知を増やす場合の範囲は、Zabbixでできるログ監視の範囲⁠で分けました。運用全体の話はセキュリティの運用と体制⁠にまとめています。

図を作る中で最も価値があるのは、完成した紙より、経営者と責任者が「ラインは誰が止めるのか」⁠を一度話し合うことです。その答えを書き留めた紙が、社内で使えるフローになります。