CSIRTの体制図とは、情報セキュリティの事故のときに、誰が誰へ報告し、誰が何を決めるかを1枚に描いた図です。社員50人の会社なら、統括、受付、技術、連絡、現場の5役と代行者、外部の相談先で描けます。
今日やることは、白い紙に名前を入れることです。この記事の表を見ながら、5役の担当と2番手を鉛筆で書いてください。埋まらない欄があれば、そこが体制の穴です。清書は後で構いません。
なぜ図にしておくのか？
事故の最中に、役割の相談をする余裕はないからです。サイバーセキュリティ経営ガイドライン Ver3.0は、指示7でインシデント発生時の緊急対応体制の整備を挙げています。対策例には、システム運用やセキュリティベンダーの連絡先を入れた緊急連絡網と、社外を含む通知先の一覧が含まれます。
IPAのセキュリティインシデント対応の手引き（2026年6月）も順番を示しています。兆候を見つけたら情報セキュリティ責任者へ報告します。責任者が対応すべきと判断したら経営者へ報告し、経営者が体制を立ち上げて役割を明確にします。図はこの流れを実名に置き換えたものです。
例にする社員50人の会社
ここからは説明のための架空の会社です。実在の会社の事例ではありません。
- 業種は機械部品メーカーで、本社と工場が同じ敷地にある
- 社員50人のうち、工場30人、営業8人、設計5人、総務4人、経営陣3人
- 情報システムの専任はおらず、総務の1人が兼任している
- 受注と図面のサーバーが社内にあり、メールはクラウドを使っている
- 工場には設備用のパソコンがあり、保守業者が外から接続することがある
- パソコンとネットワークの保守は地元のIT会社へ委託している
50人の会社の体制図はどう描く？
この記事の図は、上から順に報告が流れる形です。実際に描くときは、各段を四角で囲み、矢印でつないでください。
| 段 |
誰 |
この段の動き |
| 発見 |
社員全員、監視サービスの通知 |
「受付」へすぐ連絡する |
| 受付 |
総務・情シス兼任（2番手は総務） |
記録し、統括へ報告する |
| 統括 |
総務部長（2番手は工場長） |
事故かどうかを判定し社長へ報告する |
| 決定 |
社長（2番手は取締役） |
停止、公表、費用を決める |
| 実行 |
技術、連絡、現場の3役 |
隔離、社外連絡、工場の対応を行う |
| 外部 |
監視会社、IT保守、調査会社、公的窓口 |
統括の指示で担当が連絡する |
図の横に、各役割の表を付けます。
| 役割 |
担当 |
平常時 |
事故のとき |
| 統括 |
総務部長 |
図と連絡先の更新 |
全体の指揮、社長への報告 |
| 受付・記録 |
総務（情シス兼任） |
通報先の周知 |
時系列の記録、情報の集約 |
| 技術 |
情シス兼任とIT保守 |
機器の台帳の管理 |
ネットワークからの隔離、証拠の保全 |
| 連絡 |
総務の担当者 |
通知先の一覧の管理 |
取引先、顧客、役所への連絡 |
| 現場 |
工場長 |
設備と停止手順の把握 |
生産を止めるかの判断材料を出す |
この例では、受付と技術を同じ人が兼ねています。50人の会社では珍しくない配置だと思いますが、1人に集中すると事故のときに手が回りません。そこで記録を別の総務担当に引き継げるようにします。
大きな会社の役割とどう対応する？
日本シーサート協議会のCSIRT人材の定義と確保（2017年）は、総務部門などが主体のCSIRTをモデルAとして説明しています。システムの維持はベンダーに委託し、社として守る優先順位の判断を担い、対応できないときに専門ベンダーへ支援を頼む形です。今回の例はこの考え方に近いものです。
同じ資料の役割名は細かく分かれています。50人の会社では、1人が複数を兼ねる形に読み替えます。
| 資料の役割名 |
例での担当 |
| コマンダー |
統括（総務部長） |
| 社内PoC、社外PoC |
連絡の担当 |
| インシデントマネージャー |
受付・記録 |
| インシデントハンドラー |
技術（情シス兼任） |
| フォレンジック担当 |
外部の調査会社 |
外部の相談先はどう入れる？
外部は1つの枠にまとめず、種類で分けます。自社と契約がある相手と、公的な窓口では動き方が違うからです。図には名前だけでなく、誰が連絡するかと受付時間を書きます。
契約先
監視、保守、回線、クラウドの契約先を並べます。契約番号や顧客番号も添えます。工場の設備で保守業者の接続があるなら、その業者も入れます。止めてもらう依頼が要る場合があるからです。
監視の範囲と夜間の動きは、社内でやる監視と外に任せる監視の分け方で確かめてください。外の担当をまとめて探すなら、セキュリティ運用代行・顧問サービスの比較が使えます。
調査と復旧の頼み先
事故の後に探すと、受付時間や見積もりの確認で時間を使います。JNSAのサイバーインシデント緊急対応企業一覧（2026年4月更新）には、受付時間、対応地域、相談と見積もりの有償無償が載っています。受付が平日だけの会社も24時間の会社もあります。
候補を平時に1社か2社選び、図に書いておきます。インシデント対応・フォレンジックの比較で、調査の範囲を確かめられます。体制作りそのものを手伝ってほしいときは、セキュリティコンサル・CSIRT支援の比較が入口です。
公的な窓口
IPAの特別相談窓口は2026年10月に開設されました。夜間と休日は電話を受け付けないので、夜中に動ける相手は契約先の中に確保しておきます。
個人データの漏えいの報告には期限があります。個人情報保護委員会のガイドライン（通則編）では、速報は事態を知ってからおおむね3〜5日以内、確報は30日以内です。不正アクセスなど不正の目的のおそれがある場合、確報は60日以内です。図の連絡の欄に、この期限も書いておきます。
製造業の図に足す欄は？
工場を持つ会社は、事務所の図に2つ足してください。
1つは、生産を止める判断の材料を出す人です。例の会社では工場長が受け持ちます。社長が停止を決めるときに、どの設備を止めるとどの納期に響くかを伝える役割です。
もう1つは、取引先への連絡です。部品の納入先から専用の連絡先を指定されている場合や、契約で報告を求められている場合があります。契約書を確かめ、誰に、いつまでにと一覧へ書きます。製品を外へ出している会社は、製品の脆弱性を受ける窓口の作り方もあわせて図に足します。
作ったあと、何で確かめる？
図は使ってみないと穴が見えません。次の点を確かめます。
- 土曜の夜に、2番手まで連絡がつくか
- ファイルサーバーもメールも使えないときに、図を見られるか
- 社員が「おかしい」と感じたときの連絡先を知っているか
- 外部の連絡先の電話番号は今も有効か
サイバーセキュリティ経営ガイドラインは、役員や職員に対する定期的な演習を挙げています。50人の会社なら、会議室で30分、「金曜の夜、受注サーバーのファイルが開けない」という想定で図をたどるだけでも、足りない連絡先が見つかります。
図の更新は、人事異動と契約変更のたびに行います。紙の図に更新日を入れておくと、古い版と見分けられます。
初動の手順も図の裏に書きます。IPAの手引きは、ネットワークの遮断や隔離を行う一方で、電源を切るなど不用意な操作で記録を消さないよう注意しています。何を事故として報告するかは、会社で決めるインシデントの定義で決めておいてください。
社員が迷わず連絡できるようにするには、周知も要ります。全体の考え方はセキュリティ運用のカテゴリにまとめています。
