サイバー事案005｜異変の第一報、誰が判断し何を残しますか

混乱する初動で「判断・連絡」と「記録・保全」を止めないための社内準備

「画面に見慣れない警告が出ている」「取引先から、当社名義の不審なメールが届いたと連絡があった」――サイバー事案の入り口は、最初から全貌が分かっている確定した事故ではなく、真偽や影響範囲のつかめない「兆候」として現場に現れます。この最初の数時間において、誰が経営層へ上げ、機器をどう扱い、どこへ連絡し、何を記録に残すかが曖昧なままだと、対応の遅れや証拠の消失、あるいは不正確な対外説明による信用の毀損を招きかねません。本稿は、特定企業の事故対応の成否を評価する回ではなく、独立行政法人情報処理推進機構（IPA）の公的手引きに基づく実務整理回です。第2回で扱った事業再開の優先順位やバックアップからの復元手順は繰り返さず、今回は「初動の判断者・連絡・記録の型」を整えます。

この記事の要点

• 被害が確定する前の疑わしい兆候も責任者へ報告し、責任者が対応要否を判断して経営者へつなぎ、影響に応じた体制と役割を定めます。

• 被害拡大を防ぐ遮断・隔離・停止の判断と、不用意な電源断等でシステム上の記録を消さない配慮を両立させ、一律の電源断手順にはしません。

• 当連載の提案として、「判断・連絡」と「記録・保全」の担当を分けて並行させ、未確認事項と確定事実を区別した時系列記録で続報・訂正を管理します。

手引きが示す初動と対応の考え方

本稿が依拠する公的資料は、IPAの「中小企業のためのセキュリティインシデント対応の手引き」（本文末の版表示：2026.6 Version 1.2、PDF全8ページ。※上位ガイドラインv4.0とは別の個別付録としての版番号）です。

同手引きのPDF 2ページでは、情報の漏えい・改ざん・破壊・消失や情報システムの機能停止だけでなく、「これらにつながる可能性のある事象等」もセキュリティインシデントの対象としています。そして対応時に整理しておくべき事項として、インシデントの分類、事業者名（受託案件に関連する場合は委託元を含む関係事業者名）、責任者・担当者の所属・氏名、インシデントを認知した「発覚日時」と調査で判明した「発生日時」、表面化している発生事象、時系列での対応経過、現時点で想定される直接的な原因、被害を受けたシステムの状況・構成・運用状況が挙げられています。ここで「想定される原因」は調査段階の見立てであり、確定した攻撃経路と混同しないことが重要です。

続くPDF 3ページでは、対応の基本が「ステップ1：検知・初動対応」「ステップ2：報告・公表」「ステップ3：復旧・再発防止」の3段階で整理されています。3段階のうち、本稿に関わる主な記述を確認します。

• 報告と体制立ち上げ：疑われる兆候や発生を発見したら情報セキュリティ責任者に報告し、外部から通報を受けた場合は通報者の連絡先等を控えます。対応すべきと判断した責任者は速やかに経営者に報告し、経営者は事業や顧客への影響を踏まえて体制を立ち上げ、責任者と担当者・役割分担を明確にします。

• 遮断・隔離と記録保持の注意：対象情報が外部からアクセスできる状態にある場合や被害拡大の可能性がある場合は、ネットワークの遮断、情報や対象機器の隔離、システム・サービスの停止を行います。ただし、「対象機器の電源を切る等、不用意な操作でシステム上に残された記録を消さないようにします」と明記されています。

• 第一報・続報（ステップ2）：影響が広く及ぶ場合等の公表では、公表によって被害の拡大を招かないよう、時期・内容・対象を考慮します。第二報以降では、被害者や影響を及ぼした取引先・顧客へ対応状況や再発防止策等を報告する考え方が示されています。同ページとPDF 7ページには、個人情報保護委員会、所管省庁、警察、IPA等の届出・相談先も紹介されています。本稿ではこれを一律の法定義務として扱わず、情報の種類・業種・犯罪性・契約等に応じ、報告や相談の要否・相手先を公式案内や専門家に確認する準備へつなげます。

• 調査・対応と証拠保全（ステップ3）：同ページの「調査・対応」には、対応中の状況や事業影響を経営者へ適時報告し、自社で対応が難しい場合は外部専門組織や公的窓口へ支援・助言を依頼する記述があります。また「証拠保全」では、事実関係を裏付ける情報や証拠の保全が挙げられています。これらが原図ではステップ3に配置されていることと、初動から記録・保全担当を置く本稿の提案は分けて読みます。相談や保全を終盤まで待つことを勧めるものではありません。

一方で、この手引きだけで個別の法令に基づく報告義務の有無や法定報告期限を一律に判断することはできません。対象となる情報や業種・契約ごとに基準が異なるためです。また、相談窓口の連絡先や受付条件も変更されることがあるため、実際の利用前には各機関の公式ページで最新情報を確認する必要があります。初動体制を整えることは被害抑制の基本ですが、証拠保全の完全な成功や無傷での対応完了を保証するものではありません。

連絡と記録を並行して進める準備

IPAの手引き（PDF 3ページ）自体はステップ1からステップ3へ進む3段階の基本図を示していますが、実際の緊急現場では、1人の担当者が調査・記録の作成に追われて社内報告や外部相談が遅れたり、逆に連絡に奔走して発覚時刻や操作履歴が残らなかったりする事態も考えられます。

そこで当連載では、実務上の工夫として、IPA原図の段階分けとは別の実務整理として、初動時に「判断・連絡」を担うラインと、「記録・保全」を担うラインを担当分担して並行させる体制を提案します。あわせて、調査の途中で記録が完全に揃うまで必要な連絡を止めないこと、そして「確認済みの事実」と「調査中の未確認事項」を明確に分けて版管理する独自の初動記録表を用意しておくことを勧めます。以下の概要図および記録項目は、IPA原図そのものではなく、公的機関の公式様式や認定でもない当連載独自の整理です。

[概要図] 初動における「判断・連絡」と「記録・保全」の並行体制（当連載による独自整理）

担当・確認資料・次の着手

平時のうちに経営層とICT担当幹部が決めておくべきは、「誰が最初の報告を受け、誰が記録係に回るか」という最小単位の役割分担です。大企業のような専任チームがなくても、例えば「情報セキュリティ責任者（または担当役員）が経営報告と外部連絡の判断を担い、ICT担当者（または総務担当者）が時系列の記録と機器・ログの保全を担う」と役割を分けておくことは、連絡と記録のどちらかが止まる事態を避けるための準備になります。

現場向けの初動ルールでは、不用意な電源断・再起動・削除で記録を失わないよう、異常を認めた際の報告と操作の役割を平時に定めます。通信の切り離しなどを責任者・保守窓口へ相談する手順に加え、連絡がつかない場合に現場で端末をネットワークから切り離してよい条件と代行者も、事前に合意しておきます。必要な初動を連絡待ちで止めず、あらかじめ決めた手順に従えるようにするためです。すべての異常で一律に電源を切る手順にはしません。

さらに、委託元・取引先との契約上の報告条件や、保守ベンダー・公的相談窓口・法律事務所等の連絡先一覧を整理し、定期的な連絡先の見直しや実際の利用前に、公式ページで窓口番号や受付条件を確認してください。手元に何も資料がない場合は、まず「異常発見時の社内第一報ルート（正・副）、記録保持の注意、不在時も含む事前合意の初動条件」をA4用紙1枚にまとめ、全社で共有するところから着手します。

5確認項目（自社点検用）

このページは閲覧専用です。以下の5項目は、手元の社内メモ等に「確認済み」「未確認」「理由あり該当なし」「未回答」の4区分で記録して整理してください。「確認済み」は担当・確認資料・確認日がすべて揃った記録、「未確認」はこれから確かめる項目や一部だけ確認した項目、「理由あり該当なし」は対象外である理由を記した記録、「未回答」はまだ区分を選んでいない未着手の項目として残します。「確認済み」とした記録でも担当・確認資料・確認日のいずれかが欠ける場合と、「該当なし」に理由がない場合は、未確認として扱います。担当は部署名や役割名でも構いません。この画面には入力・集計・送信・自動保存の機能はなく、項目を埋めても安全性や法令適合を保証・認定するものではありません。

1. 疑わしい兆候の社内報告ルートと外部通報受付時の控え手順

   • 確認の問い：被害確定前でも「疑わしい兆候」を発見した際に報告すべき情報セキュリティ責任者（不在時の代行者含む）が決まっており、外部からの通報時に通報者の連絡先等を控える手順があるか。

   • 想定担当：情報セキュリティ責任者・総務／受付窓口担当

   • 確認資料：インシデント連絡体制図、外部通報受付メモ様式

   • 未確認のときの次の着手：平時および休日・夜間に異常の第一報を受ける社内責任者（正・副）を指名し、代表電話や問い合わせ窓口の担当者用に外部通報の聴取項目メモを作成する。

2. 経営者による体制立ち上げと「判断・連絡」「記録・保全」の役割分担

   • 確認の問い：責任者から報告を受けた経営者が速やかに対応体制を立ち上げ、判断・対外連絡を担う担当と、時系列記録・証拠保全を担う担当を分けて動かせるようになっているか。

   • 想定担当：経営者・情報セキュリティ責任者

   • 確認資料：情報セキュリティインシデント対応方針・役割分担表

   • 未確認のときの次の着手：既存の危機管理規程やBCPを見直し、サイバー事案発生時に「判断・連絡担当」と「記録・保全担当」に誰を充てるか役割名で明記する。

3. 被害拡大を防ぐ遮断・隔離の判断基準と、不用意な電源断を防ぐ現場周知

   • 確認の問い：ネットワークの遮断・隔離・停止の判断者と事前の条件、不在時の代行者が整理され、連絡待ちで必要な初動を止めず、不用意な電源断や再起動で記録を失わない手順が周知されていますか。

   • 想定担当：ICT管理責任者・各部門長

   • 確認資料：初動対応手順書、従業員向け異常時行動ルール（NG行動の明記）

   • 未確認のときの次の着手：責任者・保守窓口と、記録保持の注意点、不在時に現場で端末を切り離してよい条件、報告先を事前に決め、従業員向けの行動ルールにまとめる。

4. 確認済み事実・未確認点・訂正履歴を分けて残す初動記録様式

   • 確認の問い：「発覚日時／発生日時（判明時）／確認済み事実／未確認点・想定段階の原因／判断者と実施者／連絡先と連絡時刻（関係事業者を含む）／保存物と保管者／次の確認・説明予定／版と訂正履歴」の9欄を分けて残せる初動記録表がありますか。

   • 想定担当：記録・保全担当者（ICT管理・経営企画等）

   • 確認資料：インシデント初動記録シート様式（オフラインでも記入・印刷可能なもの）

   • 未確認のときの次の着手：社内システムが使えない状況でも手書きやローカル環境で使える「初動記録表テンプレート」を作成し、責任者と記録担当者の手元に配備する。

5. 保守ベンダー・専門家・公的窓口・委託元等の連絡先整理と条件確認

   • 確認の問い：IT保守ベンダー、外部専門組織、公的相談・届出窓口（警察・IPA・個人情報保護委員会・所管省庁等）、および受託業務における委託元等の連絡先を控え、公表・通知時の二次被害配慮や最新の窓口条件を確認できるようにしているか。

   • 想定担当：情報セキュリティ責任者・法務／総務担当

   • 確認資料：外部相談・届出窓口一覧、主要取引基本契約書（事故報告条項の控え）

   • 未確認のときの次の着手：保守契約先の緊急連絡先と公的相談窓口の公式URL・電話番号を一覧化し、現在の受付条件を公式ページで確認した日付を記録する。

出典と確認時点

• CORP05-IPA8：独立行政法人情報処理推進機構（IPA）「中小企業のためのセキュリティインシデント対応の手引き」（本文末版表示：2026.6 Version 1.2、PDF全8ページ。※上位ガイドラインv4.0とは別の付録版番号） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf

• 確認基準日：2026年11月12日（日本時間）