インシデント対応マニュアルの作り方は？公的な見本を中小向けに直す

インシデント対応マニュアルは、IPAの規程サンプルの第9章を土台に、不在の役職を実在の担当に置き換え、不要な段階を削り、連絡先と夜間の判断を足して作ります。新しく書き起こす必要はありません。難しいのは文書を作ることより、社内の誰が判断するかを決めることです。

今日やることは2つです。IPAのガイドラインのページから付録5をダウンロードして第9章だけを別のファイルに写すことと、社長が対応責任者とその代理を1人ずつ指名することです。

公的な見本はどれを使うのか？

中小企業が使いやすい資料は、次の4つです。用途が違うので、全部を読み込む必要はありません。

付録5と付録8は、2026年3月⁠に改訂された中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠の付録です。付録5の冒頭には、必要な対策を選択して編集することで自社の規程を作れると書かれ、役職名や担当者名は自社に合わせて書き換えるよう案内されています。

JPCERT/CCのインシデント対応マニュアルの作成についての資料は、組織内CSIRT向けに書かれています。専門チームがある前提なので、そのまま写すと重くなります。項目の抜けを見つけるために使います。

サンプルの第9章には何が入っているのか？

第9章の構成は次のとおりです。

• 9.1 対応体制
• 9.2 インシデントの判断・対応者（事故レベル0〜3）
• 9.3 連絡及び報告（緊急連絡先）
• 9.4 対応手順（発見報告、初動、調査・対応、復旧、最終報告の5段階と、事象の区分ごとの手順）
• 9.5 インシデント報告（報告の様式）
• 9.6 届出及び相談
• 9.7 再発防止
• 9.8⁠、9.9 事業中断と事業継続

項目は揃っています。ただ、代表取締役、インシデント対応責任者、システム管理者、情報セキュリティ部門責任者、総務部といった役割が分かれている会社を想定した書き方です。社員30人⁠で情シスが総務の兼任という会社では、同じ人の名前がいくつも並びます。ここを直します。

どこを削るのか？

不在の役職

社内にいない役職は消します。「システム管理者」⁠の仕事が社内で完結しないなら、兼任の担当者と、外部のIT業者に分けて書きます。社名と担当者名、保守契約の範囲まで書けば、休日に誰へ電話するかが分かります。

「代理」⁠も必ず書きます。担当者が1人だと、その人の休暇中に事故が起きたときに止まります。

事故レベル

サンプルは4段階です。レベル3は顧客や取引先への影響や個人情報の漏えい、2は事業への影響、1は従業員の業務への影響、0は発生の可能性がある事象です。責任者は3が代表取締役、2と1が対応責任者、0がシステム管理者になっています。

判断する人が2人しかいない会社なら、分類も2つ⁠で足ります。

迷ったら「すぐ社長へ」⁠と書いておきます。夜中の連絡をためらって遅れるより、空振りのほうが軽く済みます。

事象ごとの手順

サンプルは漏えい・流出、改ざん・消失・破壊、サービス停止、ウイルス感染に分けています。IPAの手引きの説明資料は、ウイルス感染・ランサムウェア感染、情報漏えい、システム停止の3つ⁠でポイントを説明しています。

最初の版は、この3つ⁠の手順を各1枚⁠で十分です。紛失や誤送信のように、自社で実際に起きた事象があれば足します。

そのまま写さないほうがよい箇所

サンプルのウイルス感染時の初期対応は、従業員が定義ファイルを更新し、スキャンして駆除し、再度スキャンする流れです。身近なウイルスの検知を想定した手順と読めます。

一方、IPAの手引きは不用意な操作で記録を消さないよう注意しています。侵入や暗号化が疑われる場合に発見した人が駆除まで進めると、調査の手がかりを変えてしまうおそれがあります。私たちなら、発見した人の手順は「ネットワークから切り離す、電源は触らない、担当者へ電話する」までにします。駆除するかどうかは担当者が判断します。触らない物の詳細はフォレンジック調査の進め方⁠にまとめました。

もう1か所、サンプルの9.6⁠は届出や相談を「インシデント対応後に検討」としています。届出はそれでよいとしても、相談は対応中にしたいので、窓口は初動の手順にも書きます。

何を足すのか？

ここからが、中小企業向けに直すときの本体です。

連絡先の紙

JPCERT/CCの資料は、連絡先をリスト化して連絡手段の疎通を確かめること、ツールが使えない事態に備えて代替手段を確保することを求めています。社内のサーバーやメールが止まると、社内のファイルにあるマニュアルも連絡先も見られません。印刷し、責任者の自宅にも置きます。

入れる相手は次のとおりです。

• 社長、担当者、それぞれの代理（個人の携帯番号）
• ITの保守業者、インターネット回線の業者
• 設備やシステムの保守業者
• 調査を頼む会社の候補と、加入していれば保険の窓口
• IPAの不正アクセス特別相談窓口、企業組織向けサイバーセキュリティ相談窓口
• 警察のサイバー事案の窓口
• 顧問の弁護士

夜間と休日に誰が決めるか

JPCERT/CCの資料は、被害を抑える措置の検討項目に、手段、業務への影響、実施期間、最終的な意思決定者を挙げています。業務時間外の意思決定と実施方法も、その1つです。

中小企業で決めておきたいのは、「ネットを止める」「工場の接続を切る」⁠を誰の判断でしてよいかです。社長に連絡がつかないときに担当者の判断で止めてよい、と事前に書いてあれば、担当者は動けます。

想定外の事象の担当

同じ資料は、組織にとってのインシデントを定義し、想定外のインシデントに責任を持つ担当を決めるよう求めています。全部を予想することはできないので、「どれにも当てはまらなければ担当者へ⁠」⁠の1行⁠を入れます。

報告の期限

個人データの漏えいは、対象となる場合に個人情報保護委員会への報告が必要です。委員会の案内では、速報は発覚から3〜5日以内⁠、確報は発覚から30日以内⁠、不正の目的で行われたおそれがある場合は60日以内です。対象は、要配慮個人情報、財産的被害のおそれ、不正の目的によるおそれ、1,000人⁠を超える漏えい等です。外部からの不正アクセスは不正の目的にあたる場合があるので、マニュアルに日数を書いて、最新の内容は委員会のページで確かめる形にします。

契約で決まっている通知

サンプルの委託先に関する節には、事故発生時の通知義務や連絡先を契約で決める項目があります。逆の立場も同じです。自社が受託している仕事で、取引先への通知期限や連絡先を決めた契約があれば、一覧にしてマニュアルに添えます。

記録の様式

サンプル9.5⁠と手引きが、記録の項目を示しています。インシデントの分類、責任者と担当者、発覚日時、発生日時、発生事象、対応経過、想定される原因、被害を受けたシステムの状況などです。空欄の表を1枚作って印刷しておくと、最初の混乱の中でも時系列が残ります。

全部で何枚になるのか？

私たちが中小企業向けに考える構成は、次の3部です。

1. 全員用の1枚：こんなときは担当者へ電話、切り離す、触らない物、電話番号
2. 担当者用の数枚：判断の区分、事象別の手順3つ⁠、届出と報告の期限、記録の様式
3. 連絡先の1枚：外部を含む一覧。半年に1回⁠、番号を確かめる

全員用の1枚は、壁に貼れるものにします。IPAのプラクティス7-2でも、初動対応を定めて社内のポータルなどで周知する例⁠が紹介されています。

製造業では何を足すのか？

たとえば、社員40人⁠の部品メーカーで、事務所のネットワークと工場の一部がつながっている場合です。担当が読む手順に、次の3点⁠を足します。

1つ目は、工場を止める判断です。誰がどの範囲のネットワークを切ると、どのラインが止まるかを書きます。この表は工場長と一緒に作らないと書けません。

2つ目は、設備の保守業者です。遠隔で入る回線があれば、切る方法と連絡先を書きます。

3つ目は、取引先への連絡です。図面を預かっている相手の窓口を一覧にして、納期に関わるときの連絡の順番を決めます。手引きの説明資料も、受託案件に関連するインシデントでは委託元を含む関係事業者の名前を整理する項目を挙げています。

作ったあと、どう確かめるのか？

読み合わせだけでは、抜けは見つかりません。IPAのセキュリティインシデント対応机上演習教材は、ランサムウェア感染のシナリオを使った教材と実施マニュアルで、中小企業向けの版があります。座学とグループでの検討で進み、カスタマイズもできます。

社長、担当者、総務、工場長が会議室に集まり、「土曜の朝、サーバーの画面に脅迫文が出ている」⁠と⁠い⁠う想定で、自社のマニュアルを手に進めます。電話番号が古い、社長の判断が要る場面が書かれていない、といった穴がその場で出ます。直すのは演習の当日に済ませます。

IPAの中小企業支援セミナーは、受講料無料で全国の支援団体とともに開かれています。演習を社内で仕切るのが難しければ、外部の力を借ります。手順づくりや訓練を頼むならセキュリティコンサル・CSIRT支援の比較⁠を見ます。夜間の窓口を含めて外に任せる範囲はセキュリティ運用代行の比較で、調査の頼み先はインシデント対応・フォレンジックの比較で確かめられます。

マニュアルは、人が変わると古くなります。組織変更と保守業者の変更のたびに連絡先の紙を直し、年1回⁠は演習をします。これを回す担当者の育て方は社内のセキュリティ人材の育て方に、運用全体はセキュリティ運用のカテゴリ⁠にまとめています。