インシデントレスポンスとは？初動対応の流れと判断ポイントをわかりやすく解説
はじめに：インシデント対応は「最初の判断」で結果が変わる
「サーバーの様子がおかしい」「なんか変なメール開いちゃったかも」。
インシデントは、だいたいこんな一言から始まります。
サイバー攻撃や情報漏えいは、どれだけ対策をしても完全には防げません。
だから大事なのは、起きたときにどう動くか。
ここで迷った時間が、そのまま被害の広がりと信頼の失い方に直結します。
そしてインシデント対応は、技術だけでは片づきません。
経営が判断し、現場が手を動かし、外部ベンダーが支える。
この3者がかみ合ったときに、はじめて早く収束します。
このシリーズでは、次の3つをまとめています。
- インシデント発生から終息までの流れと、各段階で迷いやすい判断ポイント（この記事）
- どこに・いつ報告すればいいのか、報告先と期限 → 情報漏えい・サイバー攻撃の報告先と期限まとめ
- 経営層の判断基準やベンダー契約など、発生前に決めておくこと → インシデント発生前に決めておくべきこと
覚えておきたい「2」の法則
インシデント対応には、その後を大きく左右する節目があります。
キーワードは数字の「2」です。
それぞれの節目で目指したいことの一例を表にまとめました。
| 節目 | この時点で目指したいこと（目安） |
|---|---|
| 発生確認 → 経営報告 | 「何か起きている」とわかったら、確定を待たずに経営へ上げる。ここが遅いと、すべてが遅れる |
| その後の2時間 | 重要度の仮判定、対応体制の立ち上げ、遮断するかどうかの判断 |
| 発生から2日 | 影響範囲のあたりをつけ、どこに報告が必要かを判断する |
| 発生から2週間 | 復旧と対外説明の見通しを立てる |
この節目でつまずくと、その後の対応は一気に苦しくなります。
逆に言えば、ここさえ押さえておけば大崩れはしにくくなります。
現場からのひとこと
インシデントが起きたら、関わる人は落ち着くまで「収拾が最優先」です。
会議もアポも、場合によっては休日の予定も動きます。
そうなる前提で、平時から動き方を決めておきましょう。
そもそもインシデントレスポンスとは
インシデントレスポンスとは、サイバー攻撃や情報漏えいなどのセキュリティ事故が起きたときに、被害を特定して広がりを止め、システムと事業を元に戻すまでの一連の対応のことです。
ゴールは「システムを直すこと」だけではありません。
事業が止まる期間をできるだけ短くし、お客さまや取引先、社員へのダメージを最小限に抑えること。
つまり、会社の信頼と価値を守ることが本当の目的です。
なぜインシデント対応は「長期戦」になるのか
インシデント対応は、普段の業務のように「これは3時間で終わる」と見積もれる仕事ではありません。
| 特徴 | どういうことか |
|---|---|
| 時間が読めない | 数時間で終わることもあれば、数日〜数週間続くこともある |
| 判断が次々に来る | 止める？復旧する？公表する？お客さまにどう説明する？ |
| 情報がそろわない | 原因も範囲もわからないまま、決めなければいけない |
| 関係者が多い | 情シス、経営、法務、広報、事業部、ベンダー、顧客対応… |
| 心身にこたえる | 深夜・休日対応、プレッシャー、疲労がじわじわ積み重なる |
だからこそ「気合いで乗り切る」は通用しません。
長くなる前提で、交代や判断の仕組みを平時に作っておくことが大切です。
インシデント対応の流れ9ステップと判断ポイント
インシデント対応は、ざっくり次の流れで進みます。
事象確認 → 初動判定 → 体制立ち上げ・証跡保全 → 封じ込め → 調査・影響評価 → 根絶 → 復旧 → 対外対応 → 終息・再発防止
とはいえ、実際にはきれいに一本道では進みません。
封じ込めと調査は同時に走りますし、対外対応も技術対応と並行して進めるのが現実です。
ステップ1：事象確認｜迷ったら「インシデント疑い」で
まずは「何が起きているのか」「被害は広がりそうか」「今すぐ動くべきか」を確認します。
原因探しは後回しでOKです。
いつ気づいたか、誰が見つけたか、どのシステムか、今も続いているかを記録しておきましょう。
「ただの障害かな？」と迷ったら、インシデント疑いとして扱うほうが安全です。
空振りより、出遅れのほうがずっと高くつきます。
ステップ2：初動判定｜重要度を4段階で仮決めする
| レベル | 例 | 誰が動くか |
|---|---|---|
| 1：軽微 | 単一端末の不審な動き、誤検知っぽいアラート | 情シス・SOCで確認 |
| 2：注意 | マルウェア検知、フィッシングメールの開封、不正ログイン疑い | 初動対応チーム |
| 3：重大 | 複数端末の感染、情報漏えい疑い、業務停止、管理者権限の侵害 | CSIRT＋経営に報告 |
| 4：危機 | ランサムウェア、広範囲のシステム停止、大量漏えい | 経営層が主導、対外対応体制へ |
ステップ3：体制立ち上げ｜「調べる人」と「決める人」を分ける
重大度が上がったら、個人戦をやめてチーム戦に切り替えます。
ポイントは、技術担当が調査し、責任者や経営が「止める・復旧する・公表する・報告する」を決める形にすることです。
技術担当に判断まで背負わせると、対応が遅れるうえに事業リスクを見落としがちです。
ステップ4：証跡保全｜焦って消さない
早く元に戻したい気持ちはわかります。
でも、端末の初期化やログ削除を急ぐと、原因も漏えいの有無も確認できなくなります。まずは作業前の状態を残しましょう。
ステップ5：封じ込め｜調査の完了を待たない
被害が広がりそうなら、端末隔離、アカウント停止、パスワード変更、不審な通信の遮断を先に行います。ただし、基幹システムを止めれば業務も止まります。全部止めるか、一部だけ止めるか、代替手段で回すか。業務への影響とのバランスで判断します。
もう一つ迷いやすいのが、証跡保全との兼ね合いです。
ランサムウェアや不正ログインのように被害がどんどん広がりそうなら、封じ込めを優先します。
一方で、止める前にログやメモリの情報を取っておかないと、原因がわからなくなる場面もあります。どんな状況ならどちらを優先するか、平時に決めておくと迷う時間を減らせます。
ステップ6：調査・影響評価｜「見えている被害」で終わらせない
単一端末の感染に見えても、認証情報が盗まれていればクラウドやVPNまで影響が及んでいるかもしれません。侵入経路、横展開、情報の持ち出しまで確認しましょう。
そして、確定を待たずに「報告や相談が必要な相手はいないか」も考え始めます。
ステップ7：根絶・復旧｜「戻す」か「作り直す」か
ランサムウェアや管理者権限の侵害が疑われるなら、単純な駆除では足りず、サーバの再構築や認証情報の総入れ替えが必要になることもあります。
復旧は、原因の除去、感染していないバックアップ、監視体制、経営の承認がそろってからです。
ステップ8：終息判断｜技術担当だけで決めない
「システムが動いた＝終わり」ではありません。
被害の停止、原因の整理、再発防止策、記録まで確認し、責任者や経営層と一緒に判断します。
現場からのひとこと
終息宣言のあとに追加の報告が出たり、対策不足で同じことが再発したりするのがいちばんカッコ悪いパターンです。終息判断こそ慎重に。
ステップ9：事後レビュー｜犯人探しはしない
検知は早くできたか、初動や判断は適切だったか、体制や連絡先は機能したか。
振り返りのゴールは「次はもっと早く気づき、迷わず決め、被害を小さくする」ことです。
現場からのひとこと
原因になった人を責めたり、更迭したりするのは本当におすすめしません。
対応の最中に人事を動かすのは特にNGです。
現場が萎縮して、次のインシデントの報告が遅れるだけです。
どこに・いつ報告する？報告先の全体像
報告は「全部わかってから」では間に合いません。
相手ごとに、相談・速報・確報と段階を分けて進めるのが基本です。
報告先は社内の経営層のほか、個人情報保護委員会、所轄官庁、警察、JPCERT/CC、取引先、保険会社など。
なかでも個人情報保護委員会への報告には法律で決まった期限があるので、個人情報が関係しそうなら最優先で確認しましょう。
なお、2026年7月に改正個人情報保護法が公布されており、報告のルールは今後変わる可能性があります。
現場からのひとこと
外部に報告しても、復旧作業を代わりにやってくれるわけではありません。
それでも「報告するだけ損」とは思わずに、連絡はちゃんと入れておきましょう。
あとで効いてきます。
報告先ごとの役割や期限、相談前に準備しておく情報は、こちらの記事にまとめています。
ちゃんと機能するインシデント対応体制のつくり方
立派な手順書があっても、いざというときに動けなければ意味がありません。
ポイントは、経営層が判断基準と代理者を決めておくこと、現場が手順と権限を整えて属人化を防ぐこと、そしてベンダーと夜間・休日対応や費用を事前にすり合わせておくことです。
「あの人がいないと回らない」は危ない
特定の一人が最後まで対応し続ける体制は、早めに見直しましょう。
疲れると判断ミスや作業ミスが増えますし、その人が倒れた瞬間に対応が止まります。
組織として対応し、個人は交代しながら動く。これが基本です。
コラム：長期戦に備える、ちょっとした準備
インシデント対応は数日から数週間続くこともあります。
技術的な準備とあわせて、こんな小さな備えもしておくと安心です。
- スマホの充電器とモバイルバッテリーを持ち歩く
- 家族に「急に呼ばれることがある仕事」と一言伝えておく
- 交代や仮眠を遠慮なく取れるルールを決めておく
人が対応する以上、ちゃんと休める仕組みも体制の一部です。
経営層が決めておきたい判断基準、ベンダー契約のチェックポイント、属人化対策や勤務ルールについては、こちらで詳しく解説しています。
まとめ：インシデント対応で押さえたい5つのポイント
- 初動で証跡を消さない：焦って初期化やログ削除をすると、原因も漏えいの有無もわからなくなります。
- 遮断の判断を先延ばしにしない：ランサムウェアや不正ログインでは、調査の完了より被害拡大の防止が優先です。
- 技術対応と対外対応は同時に進める：原因がわかる前でも、経営や取引先への初報が必要なことがあります。
- 復旧の判断を技術担当だけに任せない：再開するかどうかは、事業リスクも含めた経営判断です。
- 終わったら手順書と訓練に反映する：インシデント対応は、事案のたびに育てていくものです。
そして、「2」の節目を意識すること。発生確認から経営報告まで、その後の2時間、2日、2週間。ここを押さえるだけで、対応はぐっと安定します。
「自社だけではどうしようもない」ときは迷わずご相談を！
株式会社レオンテクノロジーは、フォレンジック調査を含むインシデントレスポンスのほか、脆弱性診断、ペネトレーションテスト、PCI DSS審査、セキュリティコンサルティング、教育・研修を提供しています。大手企業や金融機関、官公庁、自治体にもご利用いただいています。
平時の体制づくりから、有事の伴走まで。困ったときはまずご一報ください。
