インシデント対応フローとは？6ステップとフロー図の作り方を解説

「もし社内でウイルス感染や不正アクセスが起きたら、うちは何から動けばいいのだろう」

そんな不安を抱えたまま、日々の業務に追われていませんか。

セキュリティ事故（インシデント）は、いつどの会社で起きてもおかしくありません。

起きた瞬間に迷って初動が遅れると、被害はあっという間に広がるため、動く順番をあらかじめ決めておく必要があります。

その「動く順番」を1本の流れにしたものが、インシデント対応フローです。

【この記事で解決できる悩み】
・インシデント対応フローの全体像（どんな順番で動くのか）が分かる
・個人情報が漏れたとき、どこへ何日以内に報告するのかが分かる
・専門チームがない中小企業でも回せる体制の作り方が分かる
・自社版のフロー図・マニュアルをどう作ればよいかが分かる

読み終えるころには、自社の対応フローを描く準備が整っているはずです。

自社のセキュリティ対策がどの程度なのか、この機会に見直してみてください。

インシデント対応フローとは？発生時に迷わないための基本

インシデント対応フローとは、セキュリティ事故が起きたときに「誰が・何を・どの順番で」行うかを定めた一連の流れのことです。

対応の流れを事前に決めておくことで、被害を最小限に抑えられます。

【この章で紹介する内容】
・インシデント対応フローの意味と目的
・インシデント対応フローの土台となる考え方
・インシデント対応に当たって参考になる公的機関
・インシデント発生後の初動対応

インシデント対応フローの意味と目的

セキュリティインシデントとは、情報資産の安全がおびやかされる出来事の総称です。

具体的には、次のようなものが当てはまります。

【インシデントの主な例】
・不正アクセス・アカウントの乗っ取り
・ランサムウェアなどマルウェアへの感染
・メール誤送信や紛失による情報漏えい
・標的型メールやビジネスメール詐欺（BEC）
・サーバーダウンなどによるシステム停止

インシデント対応フローの目的は、大きく2つあります。

ひとつは被害の拡大を止めること、もうひとつは業務を早く元に戻すことです。

この2つを最短で実現するために、検知から再発防止までの道筋を決めておきます。

とくに、検知は重要で、早めに異常に気付けるかどうかでその後のインシデント対応に差が出ます。

まずは、自社のUTMやウイルス対策ソフトを見直してみてください。

インシデント対応フローの土台となる考え方（6ステップと4ステップ）

インシデント対応の進め方には、世界的に共有された「型」があります。

代表的なのが、NISTとSANSという機関の2つの整理の仕方です。

✓NIST（4ステップ）

NISTは、米国の国立標準技術研究所です。

「SP800-61」というガイドラインのなかで、対応の流れを4つの段階に整理しています。

【NISTの4ステップ】 1.準備 2.検知・分析 3.封じ込め・根絶・復旧 4.事後活動

封じ込め・根絶・復旧をひとつにまとめているのが特徴です。

全体像をつかみやすい、シンプルな分け方といえます。

✓SANS（6ステップ）

SANSは、米国のセキュリティ専門教育機関です。

「PICERL」と呼ばれる6段階の型が、広く知られています。

【SANSの6ステップ】 1.準備（Preparation） 2.識別（Identification） 3.封じ込め（Containment） 4.根絶（Eradication） 5.復旧（Recovery） 6.教訓（Lessons Learned）

工程を細かく6つに分けているため、現場で「次に何をするか」を追いやすいのが強みです。

なお、6ステップと4ステップは対立する別物ではありません。

分け方が違うだけで、「気づいて、封じ込め、元に戻し、次に活かす」という骨格は変わりません。

インシデント対応に当たって参考になる公的機関

日本国内でも、公的機関が対応の指針や報告先を示しています。

いざというときの判断の拠り所になるので、あわせて押さえておきましょう。

機関	役割・示していること
JPCERT/CC	インシデントの報告受付と、関係先との調整
IPA／経済産業省	中小企業向けの対応手引きを提供
個人情報保護委員会	個人情報の漏えい時の報告義務・期限を規定

社内の技術対応（検知〜復旧）は次章の6ステップで、外部への報告や法的手続きはのちの章でくわしく扱います。

役割の異なる2つを切り分けておくと、発生時に動きやすくなります。

インシデント発生後の初動対応

事故に気づいたら、まず落ち着いて次の順番で動きます。

最初の30分の動き方で、被害の大きさが変わるといっても言い過ぎではありません。

順番	やること	ねらい
1	事象を責任者へ報告する	対応の指揮系統を立ち上げる
2	感染・侵入の疑いがある端末をネットワークから切り離す	被害の横展開を止める
3	電源は切らず、ログや画面を残す	原因調査の証拠を守る
4	誰が・いつ・何をしたかを記録し始める	後の報告と検証に使う

ここで注意したいのは、あわてて端末の電源を落とさないことです。

電源を切ると、原因究明に必要なメモリ上の証拠が消えてしまう場合があります。

「まず隔離、記録は残す」を合言葉にしておきましょう。

インシデントの種類を大まかに把握したい方は、以下の資料も参考にしてみてください。

社内で進めるインシデント対応フローの手順【全体像】

社内で進める手順を具体的に見ていきます。

SANSやNISTの流れを、中小企業でも実行しやすい6つのステップへ落とし込んだものです。

また、このインシデント対応フローと同時に、外部への報告・公表が必要です。

【インシデント対応フローの6ステップ】
①検知・受付：異常に気づく／報告を受ける
②初動対応：被害の拡大を止める
③調査・原因特定：記録と証拠を保全する
④封じ込め・根絶：脅威を取り除く
⑤復旧：業務を再開し再発を監視する
⑥事後対応・再発防止：報告書と振り返り

①検知・受付｜異常に気づき報告を受ける

対応の基本は「気づく」ことから始まります。

【検知のきっかけの例】
・セキュリティ機器やソフトのアラート
・「動作が重い」「見慣れない画面が出る」という従業員からの申告
・取引先や外部機関からの「おたくから不審なメールが届いた」という連絡

受け付けた事象は、すぐに対応が必要か、それとも様子見でよいかを判断します。

この優先順位づけをトリアージと呼びます。

すべてを同じ熱量で追うと現場が回らないため、影響の大きいものから手をつけるのがコツです。

②初動対応｜被害の拡大を止める

初動対応のゴールは、これ以上被害を広げないことです。

感染端末を起点に、社内へ横展開されるのを断ち切ります。

やること	やってはいけないこと
・疑わしい端末をネットワークから隔離する ・侵害されたおそれのあるアカウントを停止する ・パスワードを変更する ・事実を時系列で記録する	・あわてて端末を初期化する ・電源を落として証拠を消す ・自己判断でメールを削除する ・社内へ不用意に情報を広めて混乱させる

遮断・停止・変更の順番は、状況に応じて責任者が判断します。

被害の拡大を止めることを最優先に動きましょう。

③調査・原因特定｜記録と証拠を保全する

被害を止めたら、何が起きたのかを5W1Hで整理します。

このとき大切なのが、証拠の保全です。

【保全しておきたい記録】
・各種ログ（通信・認証・サーバー・セキュリティ機器）
・感染が疑われる端末そのもの
・不審なメールとその添付ファイル
・クラウドサービスの操作履歴

自社だけで詳しい解析が難しい場合は、無理をせず専門家（フォレンジック調査）に任せる選択も有効です。

証拠を上書きしてしまうと後から真相が追えなくなるため、触りすぎないよう注意してください。

④封じ込め・根絶｜脅威を取り除く

封じ込めと根絶は似ていますが、役割が違います。

違いを押さえておくと、対応の抜け漏れを防げます。

項目	封じ込め	根絶
目的	被害範囲をこれ以上広げない	脅威の原因そのものを消す
具体例	影響セグメントの分離、通信の遮断	マルウェア駆除、不正アカウント削除、脆弱性の修正

封じ込めで時間を稼ぎ、根絶で脅威の原因を断つ。

この二段構えで、再発の芽をつぶしていきます。

⑤復旧｜業務を再開し再発を監視する

脅威を取り除いたら、業務再開を目指します。

ただし、焦って戻すと再感染を招くおそれがあるため要注意です。

【復旧を進めるときの判断ポイント】
・クリーンだと確認できたバックアップから復元する
・修正した脆弱性が本当にふさがっているか確かめる
・再開後もしばらくは通信やログを重点的に監視する
・一気に全面再開せず、範囲を区切って戻す

「復旧＝ゴール」ではありません。

再発がないと見届けるまでが復旧だと考えておくと安全です。

⑥事後対応・再発防止｜報告書と振り返り

最後に、今回の経験を次に活かします。

やりっぱなしにしないことが、組織の強さにつながります。

【事後対応で残すこと】
・報告書（速報・確報）としての記録
・根本原因の分析（なぜ起きたのか）
・うまくいった点・改善すべき点の洗い出し
・再発防止策と、フロー・手順書の更新

インシデントの原因を追及する『犯人さがし』ではなく、仕組みの改善に目を向けるのがポイントです。

まずは、検知できる環境が重要です。

UTMやウイルス対策ソフトなどのセキュリティ機器の見直しも検討してみてください。

インシデント発生時の外部報告・法的手続きのフロー

社内対応と並行して、外部への報告も忘れてはいけません。

報告は復旧を待って行うものではなく、初動と同時に動き出すのが原則です。

とくに個人情報の漏えいには、法律で定められた報告義務があります。

ここは公的な一次情報をもとに、正確に押さえておきましょう。

【この章の内容】
・個人情報保護委員会への漏えい報告（期限に注意）
・相談できる公的な窓口
・取引先・顧客への報告と社会への公表

個人情報保護委員会への漏えい報告（期限に注意）

個人データの漏えい等が一定の条件に当てはまる場合、企業は個人情報保護委員会への報告と、本人への通知が義務づけられています。

【報告が必要になる主なケース】
・要配慮個人情報（病歴など）が含まれる漏えい
・財産的被害のおそれがある漏えい（クレジットカード番号など）
・不正アクセスなど、不正な目的によるおそれがある漏えい
・1,000人を超える本人の個人データの漏えい

報告には期限があります。

種類	期限
速報	事態を知ってから、おおむね3〜5日以内
確報	30日以内（不正な目的によるおそれがある場合は60日以内）

期限は意外と短く、事故対応でばたついている最中にやってきます。

発生時に落ち着いて対応できるように、報告フローも平時から決めておきましょう。

相談できる公的な窓口

「自社だけでは判断がつかない」というときは、公的な窓口を頼りましょう。

費用をかけずに相談できるのが心強い点です。

【主な窓口】
・IPA（情報処理推進機構）
・JPCERT/CC
・警察（サイバー犯罪相談窓口）

まず動きながら、必要に応じてこうした窓口へつなぐと、対応の抜けを減らせます。

取引先・顧客への報告と社会への公表

影響が社外に及ぶ場合は、被害者本人への報告や、社会への公表も必要になります。

「誰に・何を・どうやって伝えるか」を、あらかじめ整理しておきましょう。

伝える相手	何を伝えるか	どのように
取引先・顧客	漏えいの事実、二次被害のおそれ、取るべき対策	メール・書面・電話などで直接連絡する
社会一般	被害の概要、対処状況、注意喚起	自社サイトやメディアで公表する（本人連絡が難しい・影響が広範なとき）
問い合わせ窓口	個別の問い合わせへの回答	専用の電話番号やフォームを開設する

とくに二次被害が想定される場合は、被害者本人へその事実を伝えます。

本人への連絡が難しいときや、影響が広く一般に及ぶときは、ウェブサイトやメディアでの公表も検討しましょう。

ただし公表は、時期・内容・対象を慎重に考える必要があります。

早すぎたり内容が不正確だったりすると、かえって被害や混乱を招きかねないためです。

判断に迷ったら、個人情報保護委員会示す考え方を土台にすると軸が定まります。

CSIRTがない中小企業でもフローを回す体制づくり

大企業の多くには、CSIRT（シーサート）と呼ばれる専門チームがあります。

インシデントの検知から対応、再発防止までを専門に担う組織です。

中小企業に専任のCSIRTがあることは、多くありませんが、工夫しだいでフローは回せます。

【この章の内容】
・最小限の役割分担を決めておく
・平時に準備しておくこと
・外部の専門家・サービスを活用する

最小限の役割分担を決めておく

大がかりな組織は要りません。

まずは3つの役割だけ、事前に割り当てておきます。

役割	やること
対応責任者	方針の決定と、指揮・判断
記録担当	時系列での記録、証拠の保全
連絡担当	社内外への連絡、公的窓口への相談

兼任でも構いません。

誰が何を担当するのかが決まっているだけで、スムーズに動きだせます。

平時に準備しておくこと（検知・連絡網・バックアップ）

インシデント対応は、起きてからでは間に合わない準備がたくさんあります。

平時のうちに、次の点を整えておきましょう。

【平時の備えチェックリスト】
・早期に異常へ気づくための検知の仕組みを持つ
・緊急連絡網（社内・外部業者・窓口）を用意する
・定期的なバックアップと、その復元テストを行う
・何を守るのか、情報資産の台帳を作っておく

とくに「検知」は、備えの土台になります。

入口で不審な通信を止めるUTMや、端末を守るセキュリティソフトを導入しておくと、異常に早く気づける確率が上がります。

守りの層を厚くしておくほど、フローの出だしもスムーズになるはずです。

▶ 法人向けウイルス対策ソフトの詳細はこちら

外部の専門家・サービスを活用する

すべてを自前でやろうとしないことも、立派な戦略です。

手に負えない領域は、外部の力を借りましょう。

【外部に頼るとよい場面】
・原因の特定や被害範囲の解析が自社で難しい
・24時間の監視まで手が回らない
・個人情報漏えいなど、法的対応の判断に自信がない

外部の専門家や監視サービスを組み合わせれば、少人数でも堅い体制を作りやすくなります。

自社に合った相談先を、平時のうちに見つけておくと安心です。

自社のインシデント対応フロー・マニュアルの作り方

ここまでの内容を、自社版のフローに落とし込みます。

「読んで終わり」にせず、1枚の図に仕上げていきましょう。

【この章の内容】
・フロー図に落とし込む手順
・マニュアルに盛り込むべき項目
・訓練と定期見直しで実効性を保つ

フロー図に落とし込む手順

フロー図の作成は、自社の連絡先や判断基準に置き換えるだけです。

【フロー図作成の手順】
・各ステップに「担当者」と「具体的なアクション」を書き込む
・判断が分かれる箇所（例：外部に相談するかどうか）に分岐を作る
・連絡先・報告先を実名・実番号で埋める

まずは手書きでもかまいません。

フロー図に収めることで、それぞれの役割やインシデント対応の流れが整理されます。

マニュアルに盛り込むべき項目

フロー図とあわせて、マニュアルに詳細を書き足します。

最低限そろえたい項目は次のとおりです。

項目	内容
連絡先一覧	社内担当・経営層・外部業者・公的窓口
判断基準	どの状況で誰に相談・報告するか
記録様式	時系列で記録するためのフォーマット
報告先と期限	個人情報保護委員会などへの報告ルール
復旧手順	バックアップからの復元・再開の基準

ゼロから作るのが難しいのであれば、公的なひな形を土台にするのがおすすめです。

IPAが公開する「中小企業のためのセキュリティインシデント対応の手引き」なども参考にしてみましょう。

訓練と定期見直しで実効性を保つ

マニュアルは、作った瞬間から少しずつ古くなります。

使える状態に保つには、定期的な手入れが欠かせません。

【運用のポイント】
・年に1回は、机上での対応訓練を行う
・担当者の異動や連絡先の変更をそのつど反映する
・実際のヒヤリハットを教訓として書き加える

作ったものを、見直さずにしまい込んでしまうと、いざというとき役に立ちません。

実際に使用し、定期的に見直しましょう。

また、インシデント対応は重要ですが、そもそも発生しないような対策をする必要があります。

まずは、自社のセキュリティ対策がどのような状況なのか、見直してみてください。

インシデント対応フローに関するよくある質問

最後に、インシデント対応フローについてよくある質問を紹介します。

まとめ｜インシデント対応フローを整えて発生時に迷わず動こう

インシデント対応は、起きてから考えるものではなく、起きる前に備えるものです。

この記事の要点を振り返ります。

【この記事の要点】
・インシデント対応フローは「誰が・何を・どの順で」動くかの地図
・基本は6ステップ（検知・受付／初動／調査・保全／封じ込め・根絶／復旧／事後）
・初動は「まず隔離、証拠は残す」を最優先にする
・個人情報の漏えいは、速報3〜5日以内・確報30日以内が目安（本人通知も必要）
・CSIRTがなくても、3役の分担と外部活用でフローは回せる

この流れを1枚のフロー図とマニュアルにしておけば、いざというとき現場は迷いません。

まずは自社版の対応フローを、今日から少しずつ描き始めてみましょう。

そして、フローの出だしである「検知」を強くするには、平時の備えが欠かせません。

入口を守るUTMや、端末を守るセキュリティソフトの導入は、異常への気づきを早める有効な一手です。

導入に際して、気になる機能面や費用感についてはお気軽にお問い合わせください。