インシデント対応計画は分量ではなく、実際に使えるかで評価されます。中小企業に必要な最小構成は、初動フロー・連絡体制・報告先・記録の様式の4点です。A4で数ページに収まります。専任のCSIRTは不要ですが、誰が判断し、誰が対外連絡し、誰が技術対処するかは不在時の代理まで含めて決めてください。
SCS評価制度の★取得について、現状アセスメントからギャップ分析、技術対策の実装、申請サポートまでをワンストップでご支援しています。
SCS評価制度 対応支援 を見る →SCS評価制度 総合ガイド分厚い計画は運用されない
インシデント対応計画というと大企業のような文書体系を想像しがちですが、中小企業でそれを作ると作った時点で目的が達成されたことになり、誰も読まなくなります。
実際のインシデント発生時に起きるのは次のことです。
- 誰に報告すればいいか分からず、最初の連絡までに数時間かかる
- 端末を止めるべきか、業務を優先すべきかの判断が決まっていない
- 取引先へ連絡すべきか判断できず、後から「なぜ報告がなかったのか」と問われる
- 対応に追われて記録を残さず、後で経緯を説明できない
計画に求められるのは、この4つを起こさないことです。分量ではなく、迷わず動けるかどうかで設計してください。
最小構成は4点
| 構成要素 | 書く内容 |
|---|---|
| 1. 初動フロー | 発見から報告、封じ込め、判断までの流れを1枚の図か箇条書きで |
| 2. 連絡体制 | 社内の報告先、判断者、対外連絡の担当。全員の連絡先と不在時の代理 |
| 3. 外部への報告先 | 取引先、監督官庁、警察、支援機関。どの場合にどこへ連絡するか |
| 4. 記録の様式 | 時系列で何を書くかの雛形。対応中に埋められる粒度にする |
この4点があれば、要件上も実務上も機能します。まず4点を作り、演習で足りない部分を足していく順序が現実的です。
初動フローの作り方
初動フローで決めるべきは、次の4つの分岐です。
- 誰が受け付けるか：発見者は誰に連絡するか。窓口を1つに絞る（不在時の代理も明記）
- 止めるか、動かし続けるか：端末やシステムを切り離す判断を誰がするか。業務影響との天秤をあらかじめ整理しておく
- どこまでが「インシデント」か：不審メールの受信も含めるのか、感染の疑いからか。基準がないと報告が上がりません
- 誰が経営層に上げるか：どの段階で経営判断が必要になるかを決める
2番目が最も難しい判断です。その場で議論すると時間を失うため、「顧客データを扱うサーバーは業務を止めてでも隔離する」といった原則を先に決めておいてください。原則があれば、例外だけを議論すれば済みます。
また、従業員側の初動は「止めて報告する」の一択にしてください。自分で対処しようとして状況を悪化させる例が多いためです。この点は従業員教育と組み合わせて周知します。
外部への報告先と期限
社内フローと同じくらい重要なのが、外部への連絡です。判断に迷って遅れると、それ自体が問題になります。
| 連絡先 | どんなときか | 注意点 |
|---|---|---|
| 個人情報保護委員会 | 個人データの漏えい等で法令上の要件に該当する場合 | 速報と確報の2段階で、それぞれ期限が定められている。本人への通知も必要 |
| 取引先 | 取引先の情報・システムに影響が及ぶ可能性がある場合 | 契約に報告義務と期限が定められていることがある。契約書を事前に確認しておく |
| 警察 | 不正アクセスやランサムウェアなど犯罪の疑いがある場合 | 都道府県警のサイバー犯罪相談窓口へ |
| IPA | ウイルス・不正アクセスの届出、相談 | 技術的な助言を得られる |
個人情報保護委員会への報告期限は法令で定められています。該当するかどうかの判断に時間を要するため、要件と期限を計画に転記しておき、発生時に条文を探さなくて済むようにしてください。
取引先への報告義務は契約ごとに異なります。主要な取引先の契約書から報告条項を抜き出し、計画に一覧として持っておくと、発生時に契約書を探す時間を省けます。
机上演習は半日でできる
計画は作っただけでは機能しません。年1回以上の演習が実務上の目安ですが、大規模なものである必要はありません。
進め方は次のとおりです。
- シナリオを1つ決める：「ランサムウェアでファイルサーバーが暗号化された」「従業員が標的型メールの添付を開いた」など具体的に
- 関係者を集める：経営層、情シス、業務部門の代表、総務・法務。1〜2時間でよい
- 順に判断させる：計画を見ながら「次に誰が何をするか」を確認していく
- 決まっていない箇所を記録する：これが演習の成果物です
- 計画を更新する：洗い出した課題を反映する
目的は正解を出すことではなく、決まっていない箇所を見つけることです。課題が多く出た演習ほど価値があります。演習で課題が出たこと自体は評価上マイナスになりません。是正した記録があることが重要です。
文書化すべき項目
- インシデント対応計画本体：初動フロー、連絡体制、報告先、記録様式
- 連絡体制図：氏名・役割・連絡先・不在時の代理。更新日を入れる
- 演習の実施記録：日付、参加者、シナリオ、洗い出された課題、是正の状況
- 発生時の対応記録：時系列、判断の内容と判断者、外部への連絡実績
連絡体制図は人事異動のたびに古くなります。更新のタイミングを年次運用に組み込んでおいてください（★取得後の年次運用）。
なお、個々の評価基準の文言はIPAが公開する★3の評価基準（81基準）に定義されています。本記事はその文言の解説ではなく、要求を満たすために実務でどう設計するかを整理したものです。申請前には必ず公開されている最新の基準を参照してください。
よくある質問
インシデント対応計画はどのくらいの分量が必要ですか？
分量は問われません。A4で数ページの最小構成でも、実際に使えて記録が残るなら要件を満たせます。むしろ分厚い計画は読まれず、いざというときに参照されないため、初動フローと連絡先が1枚で見える形にするほうが実効性があります。
専任のCSIRTを置く必要がありますか？
中小企業では現実的ではなく、必須でもありません。重要なのは、誰が判断し、誰が対外的な連絡を行い、誰が技術的な対処をするかという役割が決まっていることです。兼任で構いませんが、不在時の代理まで決めておいてください。
個人情報の漏えいが起きた場合、どこへ報告しますか？
個人情報保護法上、個人データの漏えい等で一定の要件に該当する場合は、個人情報保護委員会への報告と本人への通知が義務付けられています。速報と確報の2段階で、それぞれ期限が定められています。あわせて、取引先への連絡と、必要に応じて警察への相談も検討します。
机上演習はどう実施すればよいですか？
シナリオを1つ決めて、関係者を集めて半日で実施できます。「ランサムウェアでファイルサーバーが暗号化された」といった具体的な状況を示し、誰が何を判断するかを順に確認します。目的は正解を出すことではなく、決まっていない箇所を洗い出すことです。
計画を作ったあと何を記録に残せばよいですか？
計画そのもの、連絡体制図、演習の実施記録（日付・参加者・シナリオ・洗い出された課題・是正）、そして実際にインシデントが発生した場合の対応記録です。演習で課題が出たこと自体は問題ではなく、是正した記録があることが重要です。
まとめ
インシデント対応計画は、初動フロー・連絡体制・報告先・記録様式の4点があれば機能します。A4で数ページの最小構成で構いません。分厚い計画より、迷わず動けることを優先してください。
とくに「止めるか動かし続けるか」の判断原則と、個人情報保護委員会への報告要件・期限、主要取引先の契約上の報告条項は、発生時に調べる時間がありません。事前に計画へ転記しておいてください。そのうえで年1回の机上演習を半日で回し、決まっていない箇所を洗い出して更新すれば、要件と実効性の両方を満たせます。
自社の現在地を項目単位で確認したい場合は、SCS★3 セルフチェック（無料・登録不要） ↗で26要求事項・81評価基準への適合率を測れます。