セキュリティインシデント発生時の初動対応｜最初の1時間でやること

2026年7月26日 2026年7月26日

secure

セキュリティ事故が起きたら何をすべきか？初動対応チェックリスト

セキュリティ事故（インシデント）が発生した際の初動対応は、被害の拡大防止と企業信頼の維持を左右する極めて重要なプロセスです。明確なチェックリストに従い、冷静かつ迅速に対応することで、被害を最小化し、後の調査・復旧をスムーズに進めることができます。

セキュリティ事故の発見から初動までの時間的価値

セキュリティ事故の被害は、発見から対応までの経過時間に大きく左右されます。外部からのネットワーク侵入が発見されたら、数分以内にネットワークを分断しなければ、攻撃者による追加の悪意ある活動が続きます。ランサムウェア感染が疑われたら、数時間以内にシステムを隔離しなければ、全社のシステムに拡がる可能性があります。

サイバー攻撃は、検知から封じ込めまでに時間がかかるほど被害が拡大しやすい傾向があります。侵入から発見までに数日から数週間を要する事例も少なくなく、初動の速度と正確さが、その後の被害規模を大きく決めることになります。

初動対応チェックリスト（第1段階：認知〜2時間以内）

優先度	対応内容	実施主体	期限
1	インシデント対応チーム（CSIRT）の立ち上げ	IT部門長	15分以内
2	現象の初期確認（何が起きているか）	システム管理者	30分以内
3	経営層への報告	CSIRT責任者	30分以内
4	外部への情報漏えいの可能性判断	CSIRT / 法務	1時間以内
5	影響を受けるシステム・データの特定	システム管理者	1時間以内
6	必要に応じてネットワーク分断	ネットワーク管理者	1時間以内
7	外部専門家（フォレンジック企業）への相談判断	CSIRT責任者	2時間以内

第1段階の詳細手順

1. CSIRT立ち上げ

CSIRTとは、Computer Security Incident Response Teamの略で、セキュリティ事故に対応する専任チームです。事故が疑われた時点で直ちに立ち上げ、メンバーの連絡体制を確保します。CSIRT責任者は、その後の対応全体を統括し、経営層と現場をつなぐ役割を果たします。通常は、IT部門長、セキュリティ担当者、法務、経営管理部門で構成されます。

2. 現象の初期確認

何が起きているかを正確に把握することが、その後の対応方針を決めます。システム管理者は、アラート内容、異常なアクセスログ、ファイルの変更時刻などを確認し、「情報漏えいの可能性があるのか」「システムが停止している可能性があるのか」「マルウェア感染の可能性があるのか」といった事故の性質を判定します。

3. 経営層への報告

事故が確認された段階で、遅滞なく経営層に報告します。この時点ではまだ詳細が不明なことが多いため「現在、セキュリティ事故の可能性が報告されました。対応チームが確認中です」といった簡潔な報告で十分です。重要なのは「報告を遅延させない」ことです。後から「実は事故だった」と明かすと、経営層の信頼が失われます。

4. 外部への情報漏えいの可能性判断

顧客情報や営業秘密が外部に漏えいした可能性があるか、ネットワークのアクセスログを確認します。外部接続の有無、流出データの規模、時期などを初期段階で把握することで、その後の本人通知や規制当局への報告義務の有無が判定できます。

5. 影響を受けるシステム・データの特定

侵入されたネットワークセグメント、アクセスされたデータベース、ランサムウェア感染の範囲など、被害の全体像を把握します。この段階では完全な把握は困難なことが多いため、「ざっくりとした影響範囲」を確定します。詳細は後の調査フェーズで詰めることになります。

6. 必要に応じてネットワーク分断

ランサムウェア感染やネットワーク侵入が判明した場合は、感染したと疑われるシステムを直ちにネットワークから切り離します。これにより、攻撃者による追加の悪意ある活動を止めることができます。ただし、重要なシステムやライン管理システムが影響を受ける場合は、分断による業務影響とセキュリティリスクのバランスを考慮して判断します。

7. 外部専門家への相談判断

社内での対応に限界がある場合（例えば、高度なマルウェア解析が必要な場合）は、フォレンジック企業や外部のセキュリティコンサルタントに相談します。この判断は早いほど良く、事故の規模が大きいと判定された場合は、迷わず外部支援を要請します。

第2段階：詳細な確認と社内外への通知（2〜24時間）

第1段階で事故の初期情報が収集されたら、次は詳細な調査と、関係者への通知を進めます。

法務部門が個人情報保護法に基づく本人通知の義務の有無を判定
規制当局（個人情報保護委員会など）への報告が必要か確認
取引先や顧客への通知の必要性と内容の検討
詳細なフォレンジック調査の開始
復旧計画の立案

チェックリスト実装上の注意点

このチェックリストを有効に機能させるには、事前の準備が欠かせません。CSIRTメンバーの連絡先リスト、外部支援企業の事前契約、対応フローの定期的な訓練が重要です。また、事故の種類によって対応が異なることも考慮し、複数パターンのチェックリストを用意することをお勧めします。

よくある質問

事故かどうか不確実な段階で経営層に報告する必要がありますか？

はい。「可能性がある」という段階での報告が重要です。後から「実は事故だった」と言うより、「疑わしい現象が報告されているため確認中」という透明性のある報告の方が、経営層の信頼を保つことができます。

外部専門家に相談する際の費用はどの程度ですか？

複数のフォレンジック専門会社が公開している料金情報によると、日額30〜100万円程度が一つの目安とされています。事故の規模によって期間が変わり、大規模な事故では数百万円に達することもあります。金額は依頼内容や事業者によって大きく異なるため、事前に複数の企業から見積もりを取り、契約しておくことをお勧めします。

ネットワーク分断による業務停止のリスクはありませんか？

あります。ただし、ランサムウェア感染が疑われる場合は、全社への感染拡大の方がリスクが大きいため、分断を優先させることが多いです。業務影響の大きさと脅威の大きさを比較して、判断します。

身代金要求が来た場合、応じるべきですか？

支払いは勧められていません。理由は、支払うことが犯罪者の資金源になること、支払っても復号化ツールが確実に提供されるとは限らないこと、などです。代わりに、バックアップからの復旧とアクセスの遮断を優先させます。