連載【サイバー防御実務入門】第13回
今回のゴール
- 「インシデント」と「インシデント対応」が何を指すのかを理解する
- 準備から振り返りまで、インシデント対応の流れをつかむ
- 初動の3原則「止める・残す・伝える」を身につける
- 家庭版の「もしものときの手順書」を作ってみる
はじめに：「起きてしまったら」を考える回
ここまでの連載で、攻撃を防ぐ方法（第5〜8回）、元に戻すためのバックアップ（第9回）、異常に気づくためのログと監視（第10・11回）、弱点をふさぐ脆弱性管理（第12回）を学んできました。
でも、第0回で書いたとおり、サイバー防御は「100%防ぐことはできない」という前提に立つものでした。どれだけ備えても、いつかは何かが起きます。そのとき、慌てて間違った行動を取るのか、落ち着いて決められた手順で動けるのか。その差が、被害の大きさを左右します。
今回は、事故が起きてしまったときの対応、「インシデント対応」を学びます。これまでの回で学んだことが、すべて一本の線につながる回です。
1. インシデントとは何か
インシデントとは、情報セキュリティを脅かす出来事のことです。ウイルス感染、不正アクセス、情報漏えい、サービスの停止など、第2回で学んだ機密性・完全性・可用性のどれかが損なわれた、または損なわれるおそれがある出来事と考えるとわかりやすいと思います。
大事なのは、「起きたかもしれない」段階も含むという点です。第11回で学んだアラートの中には、誤検知もあれば本物もあります。「本当に起きたと確定してから動く」のでは遅すぎるので、疑わしい段階から対応を始めるのです。
2. インシデント対応の流れ
インシデント対応の手順としてよく参照されるのが、米国NISTのガイド（SP 800-61）です。長く使われてきた版では、対応を次のような流れで整理していました。2025年に公開された改訂版では、第0回で紹介したサイバーセキュリティフレームワーク（CSF 2.0）に合わせて整理し直されていますが、基本の流れは同じです。
| 段階 | やること | 関係する回 |
|---|---|---|
| 準備 | 体制・連絡先・手順書を決め、訓練する。バックアップやログの仕組みを整える | 第9・10・11回 |
| 検知・分析 | アラートや報告から異常に気づき、何が起きているか、どこまで広がっているかを調べる | 第10・11回 |
| 封じ込め | 被害がこれ以上広がらないように止める（ネットから切り離す、アカウントを止める など） | 第3回 |
| 根絶 | 原因を取り除く（脆弱性をふさぐ、不正なプログラムを消す、パスワードを変える など） | 第5・6・12回 |
| 復旧 | 安全を確かめながら、システムやデータを元に戻し、業務を再開する | 第9回 |
| 振り返り | 何が起きたか、何がうまくいき何がだめだったかをまとめ、次の準備に生かす | — |
流れが「振り返り」から「準備」に戻る輪になっているのがポイントです。一度の事故から学んだことを、次の備えに反映させる。第12回の脆弱性管理と同じく、インシデント対応も回し続ける仕事なのです。
3. 初動の3原則：「止める・残す・伝える」
いざ事故が起きたとき、全部の手順を思い出すのは大変です。いろいろな資料を読んで、私は初動を次の3つに絞って覚えることにしました。
止める：「電源を切る」より「ネットから切り離す」
感染や乗っ取りが疑われたら、まずはネットワークから切り離すのが基本です。LANケーブルを抜く、Wi-Fiをオフにする、といった方法です。一般的には、いきなり電源を切るよりも、ネットから切り離す方法がすすめられています。電源を切ると、パソコンの中に一時的に残っていた手がかりが消えてしまうことがあるためです。
乗っ取られたアカウントがあれば、パスワードの変更や利用の停止も「止める」に含まれます。
残す：ログを消さない、記録をつける
慌てていると、「怪しいファイルを消そう」「全部初期化してしまおう」と考えがちです。でも、それは何が起きたかを調べるための証拠を、自分で消してしまうことになります。第10回で学んだとおり、ログは攻撃者の足取りを示す「防犯カメラの映像」です。
もう一つ大事なのが、対応の記録をつけることです。「何時何分に何に気づき、何をしたか」を、メモでよいので時刻順に書き残します。後で専門家や警察に相談するときにも、振り返りのときにも、この記録が役に立ちます。画面に表示された警告や脅迫文は、スマホで撮影しておくのも一つの方法です。
伝える：一人で抱え込まない
組織なら、決められた担当者や経営者へ。家庭なら、家族へ。そして必要に応じて、専門家、警察、関係機関へ。第8回で、詐欺師が一番避けたいのは「相手が誰かに相談すること」だと書きました。サイバー攻撃でも同じで、一人で抱え込むほど、判断を誤りやすくなります。
個人情報の漏えいなどが起きた場合、一定の条件（要配慮個人情報が含まれる、財産的な被害が生じるおそれがある、不正な目的によるおそれがある、1,000人を超える、など）に当てはまると、個人情報保護委員会への報告と本人への通知が法律で義務づけられています。報告には期限もあるため、組織では「誰が、いつまでに判断するか」を事前に決めておくことが大切です。詳しくは個人情報保護委員会の案内をご確認ください。
攻撃者は、被害者が慌てて判断を誤ることを期待しています。第9回で見た脅迫文に「72時間以内に」といった期限が付いているのも、考える時間を奪うためです。また、深く入り込んだ攻撃者は、被害者の社内メールを読める状態になっている可能性もあります。そのため組織のインシデント対応では、対応の相談を乗っ取られたかもしれないメールでは行わず、電話や、普段とは別の連絡手段を使うことがあります。「攻撃者に作戦会議を聞かれていないか」まで考えるのが、プロの対応なのだと知って驚きました。
4. 組織の「消防団」：CSIRT
組織では、インシデント対応を担う専門のチームをCSIRT（シーサート）と呼びます。「Computer Security Incident Response Team」の略です。
第11回で紹介したSOCとよく比べられますが、役割は少し違います。
| チーム | 主な役割 | たとえると |
|---|---|---|
| SOC | 24時間監視し、異常を見つけて知らせる | 火災報知器を見張る監視員 |
| CSIRT | インシデントが起きたときに対応を指揮し、社内外と調整する | 火事のときに駆けつける消防団 |
CSIRTは、技術的な対応だけでなく、経営者への報告、広報、法務、取引先との連絡など、組織全体を動かす役割を担います。日本では、JPCERT/CCが国内の窓口として各組織のCSIRTと連携しているほか、企業のCSIRTどうしが情報を共有する集まりもあります。
小さな会社で専門チームを作るのは難しくても、「事故が起きたら誰に連絡し、誰が判断するか」を決めておくだけで、立派な第一歩になります。
5. 「準備」がすべてを決める
インシデント対応について調べていて、一番強く感じたのは、事故が起きてからできることは、事前に準備したことだけだということです。
- 連絡先リスト：深夜や休日でも連絡がつく担当者、専門業者、警察の相談窓口。
- 手順書：誰が、何を、どの順番でするか。慌てていても読めるよう、短く。
- バックアップ：第9回で学んだ、手の届かない場所にある、戻せることを確かめたもの。
- ログ：第10回で学んだ、別の場所に保管された記録。
- 訓練：手順書を読み上げながら、「もしこうなったら」と話し合う机上訓練だけでも効果があります。
振り返りについても一つ。うまくいかなかった点を話し合うとき、個人を責めるのではなく、仕組みを直すことに目を向けるのが大切だとされています。犯人探しになると、次からは誰も正直に報告しなくなり、かえって発見が遅れてしまうからです。
6. やってみよう：家庭版「もしものときの手順書」
今回の「やってみよう」は、家庭版の手順書づくりです。A4用紙1枚で十分です。次の見本を参考に、自分の家庭に合わせて書き込んでみてください。
わが家の「もしものときの手順書」
① まず落ち着いて、次の3つ
- 止める：怪しいと思ったら、Wi-Fiをオフにするか、LANケーブルを抜く。お金の話が出たら電話を切る。
- 残す：画面をスマホで撮影する。何時に何が起きたかをメモする。ファイルを消したり、初期化したりしない。
- 伝える：家族に話す。下の連絡先に相談する。
② こんなときは、ここへ
| こんなとき | 連絡先 | 電話番号・メモ |
|---|---|---|
| カード番号を入力した、不正利用された | カード会社 | （カードの裏面の番号） |
| お金を振り込んでしまった、ネットバンキングが不正利用された | 取引銀行 | （通帳や公式サイトの番号） |
| 詐欺やサイバー犯罪の被害にあった | 警察相談専用電話 | #9110（緊急時は110番） |
| 契約や支払いのトラブル | 消費者ホットライン | 188 |
| ウイルス、偽警告など、パソコンやスマホの相談 | IPA 情報セキュリティ安心相談窓口 | （公式サイトで確認して記入） |
| パソコンや機器のこと | 詳しい家族・知人、メーカーのサポート | （名前と番号） |
③ 落ち着いたら
- 乗っ取られたかもしれないアカウントのパスワードを、別の安全な端末から変更する（第5回）。
- 必要なら、バックアップから元に戻す（第9回）。
- 何が起きたか、次はどうするかを家族で話し合う。
- 手順書はパソコンの中だけに保存しないでください。パソコンが使えなくなったときに読めません。紙に印刷して、電話の近くなどに置いておきましょう。
- 連絡先の電話番号は、カードの裏面や通帳、公式サイトなど確かなところから書き写しましょう。メールやSMSに書かれた番号は使いません（第8回）。
- 作ったら、家族と一度「もしこんなメールが来たら？」と話し合うだけでも、立派な机上訓練になります。
用語メモ
- インシデント
- 情報セキュリティを脅かす出来事。起きたかもしれない段階も含む。
- インシデント対応
- 準備、検知・分析、封じ込め、根絶、復旧、振り返りの流れで、事故に対処すること。
- 封じ込め
- 被害がこれ以上広がらないように、機器をネットから切り離すなどして止めること。
- 根絶
- 脆弱性をふさぐ、不正なプログラムを取り除くなど、事故の原因を取り除くこと。
- 証拠保全
- ログや画面の記録など、何が起きたかを調べるための手がかりを消さずに残すこと。
- CSIRT（シーサート）
- 組織の中で、インシデント対応を指揮し、社内外と調整する専門チーム。
- 机上訓練
- 手順書を見ながら「もしこうなったら」と話し合って行う訓練。
まとめと、今日からできること
- インシデント対応は、準備→検知・分析→封じ込め→根絶→復旧→振り返りの輪を回すこと。
- 初動は「止める・残す・伝える」。電源を切るより、まずネットから切り離す。
- ログを消さず、時刻順の記録をつける。慌てて初期化しない。
- 組織ではCSIRTが対応を指揮し、SOCと連携する。個人情報の漏えいには報告の義務もある。
- 事故のときにできるのは、事前に準備したことだけ。手順書と訓練が力になる。
- 家庭版の手順書を紙1枚で作る：見本をもとに、自分の家庭の連絡先を書き込みましょう。
- カード会社と銀行の電話番号を確認する：カードの裏面や通帳から書き写しましょう。
- 家族と5分だけ「もしも」の話をする：「怪しい電話が来たら？」という一問から始めてみましょう。
第0回で紹介したNISTのサイバーセキュリティフレームワーク（CSF 2.0）に、ここまで学んだことを当てはめて、連載全体を一枚の地図にまとめます。バラバラに学んできた知識が、一つにつながります。
参考資料
- NIST「SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management」
https://csrc.nist.gov/pubs/sp/800/61/r3/final - JPCERT/CC（JPCERTコーディネーションセンター）
https://www.jpcert.or.jp/ - 個人情報保護委員会「漏えい等の対応とお役立ち資料」
https://www.ppc.go.jp/personalinfo/legal/leakAction/ - IPA「情報セキュリティ安心相談窓口」
https://www.ipa.go.jp/security/anshin/index.html - 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
※本記事は2026年11月時点の情報をもとに作成しています。
