インシデント発生前に決めておくべきこと｜経営層の判断基準とベンダー契約のチェックリスト
はじめに：インシデント対応の勝負は「起きる前」に決まっている
「で、これ止めていいの？誰が決めるの？」
インシデントが起きてから、こんな会話が始まっていませんか。
実はこれ、かなりよくある光景です。
そして、ここで迷った時間がそのまま被害の広がりにつながります。
有事の混乱の多くは、技術の問題ではなく「決めていなかった」ことが原因です。
システムを止めるかどうか誰も決められない、緊急の調査費用の承認に時間がかかる、ベンダーとの契約範囲がわからず確認に数日かかる…。
どれも、平時に決めておけば防げることばかりです。
このシリーズでは、次の3つをまとめています。
- インシデント発生から終息までの流れと、各段階で迷いやすい判断ポイント → インシデントレスポンスとは？初動対応の流れと判断ポイントをわかりやすく解説
- どこに・いつ報告すればいいのか、報告先と期限 → 情報漏えい・サイバー攻撃の報告先と期限まとめ
- 経営層の判断基準やベンダー契約など、発生前に決めておくこと（この記事）
経営層が平時に決めておきたい10項目
有事の経営層の仕事は、自分で技術作業をすることではなく「決めること」と「現場を支えること」です。迷わず決めるために次の10項目を整理しておきましょう。
| 決めておくこと | 内容 |
|---|---|
| 危機対応方針 | 顧客保護、事業継続、法令遵守、被害拡大の防止。何を一番優先するか |
| 最終判断者 | 社長、役員、CISO、情シス責任者のうち、誰が最後に決めるか |
| 代理決裁者 | 最終判断者がいないときに、誰が決めるか |
| 緊急連絡網 | 夜間・休日でもつながる経営層、法務、広報、情シスの連絡先 |
| システム停止の判断 | どんな条件で基幹システム、VPN、外部公開サービスを止めるか |
| 公表の判断 | 顧客・取引先・メディア・監督官庁にどう説明するか |
| 費用の承認 | 調査、弁護士、広報支援、復旧の費用を、誰がどこまで即決できるか |
| 復旧の優先順位 | どの業務・顧客・システムから戻すか |
| 代替業務の方針 | 手作業、紙、別システム、外部委託のどれで業務を回すか |
| サイバー保険 | 保険会社への連絡条件、補償範囲、事前承認が必要か |
「重大なら」ではなく、条件で決めておく
「重大なら経営会議を開く」だけだと、有事に「これって重大？」で議論が止まります。
どうなったら何をするかを、具体的な条件で決めておくのがコツです。
| 判断 | 条件の例 |
|---|---|
| 経営会議を開く | 個人情報漏えいの疑い、業務停止、ランサムウェア、顧客への影響 |
| システムを止める | 被害が広がりそう、攻撃が続いている、証跡の保全が必要 |
| 外部専門家を呼ぶ | 原因不明、範囲不明、法的な報告が必要、社内では調べきれない |
| 公表する | 顧客への影響、二次被害の防止、社会的な影響、監督官庁への報告 |
| 復旧を承認する | 原因の除去、再侵入の防止、データの整合性、監視体制を確認できた |
現場からのひとこと
「体力には自信がある」「どんな状況でも正しく判断できる」は、ただの強がりです。
経営者も人間なので疲れれば判断は鈍ります。代理者と副責任者は、必ず決めておきましょう。
意思決定のルールと役割分担
決めておきたい意思決定ルール
| ルール | 内容 |
|---|---|
| 最終判断者 | システム停止、復旧、公表、外部への報告を誰が承認するか |
| 代理判断者 | 不在のとき・連絡がつかないときの代わり |
| 判断の記録 | いつ、誰が、何を根拠に決めたかを残す |
| 判断の期限 | 何を、いつまでに決めなければいけないか |
| エスカレーション | 現場だけで決めると危ないことを、どこに上げるか |
判断の記録は後回しにされがちですが、あとで報告書を書くときや再発防止を考えるときに必ず必要になります。記録係を決めておくと確実です。
「調べる人」と「決める人」を分ける
重大度が上がったら、個人戦からチーム戦に切り替えます。
| 役割 | 主な仕事 |
|---|---|
| インシデント責任者 | 全体の判断、優先順位づけ、経営への報告 |
| 技術対応担当 | ログ確認、端末隔離、影響範囲の調査、復旧作業 |
| 業務部門担当 | 業務への影響の確認、代替運用、顧客対応の準備 |
| 法務・コンプライアンス | 報告義務、契約上の義務、個人情報保護への対応 |
| 広報・顧客対応 | 社外への説明、問い合わせ対応、発表文の準備 |
| 外部ベンダー | フォレンジック、復旧支援、監視の強化 |
| 記録担当 | 時系列、判断理由、証跡、作業履歴の記録 |
現場が調べ、責任者や経営が「止める・復旧する・公表する・報告する」を決める。
この形にしておかないと、技術担当が判断まで背負いこんで対応が遅れがちになります。
外部の専門家に頼れる準備も
呼び出し基準を決めていても、結局は経営側が判断を迫られる場面は多いものです。
とはいえ、サイバー攻撃の状況によっては社内の知見だけでは決めきれないことも。
そんなときにすぐ相談できる外部の専門家を、あらかじめ確保しておくと安心です。
ベンダーとの契約で確認しておきたい10項目
システムの開発ベンダー、保守会社、SOC、EDRベンダー、クラウド運用会社。
インシデントが起きれば、こうした会社には必ず連絡が入ります。
対応範囲・責任・時間・費用・連絡体制を決めておかないと有事に揉めるだけです。
顧客側は自社の契約を見直し、ベンダー側は「うちはここまで対応できます」を顧客に示しておきましょう。
| 確認すること | 内容 |
|---|---|
| 緊急対応契約 | 夜間・休日も対応するか、受付方法、対応を始める条件 |
| SLA・対応時間 | 24時間365日か、営業時間内か、ベストエフォートか |
| 対応範囲 | 調査、封じ込め、復旧、報告書の作成、対外説明の支援のどこまでか |
| 費用の条件 | 緊急対応費、時間外の単価、客先対応費、フォレンジック費用 |
| 連絡体制 | 一次窓口、技術責任者、営業責任者、エスカレーション先 |
| 証跡の取り扱い | 顧客のログ、個人情報、機密情報の扱い方 |
| 報告の様式と頻度 | 初報、定時報告、緊急報告、最終報告のタイミング |
| 作業権限 | 顧客環境にアクセスするための権限と手続き |
| 責任分界点 | ベンダーが決める範囲と、顧客が決める範囲 |
| 再委託の管理 | 外部のフォレンジック会社やクラウド事業者との連携 |
特に費用は要注意。事前に決めていないと、突発対応の金額が読めず、高額になりがちです。
ここが曖昧だと揉める！6つのポイント
| 曖昧だと問題になる点 | よくあるトラブル |
|---|---|
| 夜間・休日対応の有無 | 「対応してくれると思ってたのに、契約外だった」 |
| 調査の範囲 | 原因の特定までか、影響範囲の調査までかで認識がずれる |
| 復旧作業の責任 | ベンダーが決めるのか、顧客が承認するのかがあいまい |
| 報告書の内容 | 速報レベルなのか、対外説明に使えるレベルなのかで差が出る |
| 費用 | 対応が終わってから高額な請求が来て揉める |
| 証跡の保全 | 調査作業でログや証跡を上書きしてしまう |
現場からのひとこと
インシデントのときこそ、いつも以上に素早い連携が必要です。
それなのに「契約に書いてないので対応しません」「契約の確認に数日ください」で初動が止まり、お互いに遺恨が残る。これ、本当にもったいないです。
再委託先まで含めて確認しておく
IT業界は多重請負になりがちで、元請けと契約していても、実際にシステムを作ったり運用したりしているのは再委託先、ということがよくあります。
その結果、有事に「実際に開発した人に連絡がつかない」「大勢で動いているように見えて、実は一人で回していた」なんてことも。
ベンダーは再委託先とも同じような緊急対応契約を結び、どこまでを契約に含めるかを決めておきましょう。
「再委託先の担当者が辞めたので対応できません」を防げる内容にしておくのがポイントです。
顧客側も、契約先の先に誰がいて、有事に誰が実際に動くのかを把握しておくと安心です。
「あの人しかわからない」をなくす属人化対策と勤務ルール
インシデント対応は、数日から数週間続くこともあります。
特定の担当者だけに頼っていると、その人がいなくなった瞬間に対応が止まりますし、疲れて判断ミスも増えます。
組織として対応し、個人は交代しながら動ける仕組みを作っておきましょう。
属人化を防ぐ5つの対策
| 対策 | 内容 |
|---|---|
| 手順書化 | 特定の人しか知らない操作を文書にする |
| 権限の複線化 | 代わりの担当者も管理者権限で操作できるようにする |
| システム構成図の整備 | ネットワーク、サーバ、SaaS、認証基盤を誰でも把握できるようにする |
| パスワード管理 | 個人管理をやめて、安全な方法で共有管理する |
| 定期訓練 | 担当者以外でも初動対応できるか試しておく |
会社として決めておきたい勤務・稼働ルール
| ルール | 内容 |
|---|---|
| 呼び出し基準 | どのレベルのインシデントで夜間・休日に呼び出すか |
| 連続稼働の上限 | 何時間まで続けてよいか、休憩・交代の基準 |
| 交代制 | 何時間ごとに交代するか |
| 当番制 | オンコール担当とバックアップ担当を決める |
| 代休・振替 | 深夜・休日対応のあとに休めるようにする |
| 当番中の行動ルール | すぐ動けるよう、飲酒や遠出をどう扱うか |
| 交通・宿泊費 | 緊急出社や客先対応のときの精算方法 |
これはベンダー側も同じです。契約で対応時間を決めるだけでなく、当番体制や交代要員まで確認しておくと、「実は一人で対応していた」という事態を防げます。
平時に用意しておきたい文書・資料
ここまで決めたことは、有事にすぐ使える形で文書にしておきましょう。
社内システムが止まっても見られるよう、紙やオフラインでも保管しておくのがポイントです。
| 文書・資料 | 内容 |
|---|---|
| インシデント対応手順書 | 事象の確認から終息までの流れ |
| 緊急連絡網 | 経営、情シス、法務、広報、ベンダーの夜間・休日の連絡先 |
| 重大度判定表 | どのレベルで誰を呼ぶか |
| システム停止判断基準 | どんな条件で遮断・停止するか |
| 復旧判断基準 | 何を確認できれば業務を再開してよいか |
| 代替運用手順 | システムが止まっている間の業務の回し方 |
| 報告テンプレート | 経営向け、顧客向け、官庁向け（サイバー攻撃の場合は関係省庁の共通様式も確認）、ベンダー向け |
| 作業記録表 | 時系列、判断、対応、証跡を残すフォーマット |
| ベンダー連絡表 | 契約番号、緊急窓口、担当者の連絡先 |
| 勤務・休息ルール | 長引いたときの交代、休息、代休のルール |
報告先によって求められる項目は違います。報告先と期限はこちらにまとめています。
文書は作って終わりではありません。
訓練や実際のインシデントのたびに見直して、経営層も参加する机上演習で「本当にこの基準で決められる？」を試しておきましょう。
まとめ：「決めていなかった」をなくすのが最大の備え
- 経営層は、最優先事項、最終判断者、代理決裁者、費用承認の範囲を決めておく
- 「重大なら」ではなく、具体的な条件で判断基準を作る
- 調べるのは現場、決めるのは責任者・経営層と役割を分ける
- ベンダーとは、対応範囲、SLA、費用、責任分界点、再委託を契約で明確にする
- 手順書化や権限の共有で属人化を防ぎ、交代制などの勤務ルールを決めておく
- 文書はオフラインでも見られる形で用意し、訓練で見直す
有事の混乱の多くは、平時に決めておけば防げます。
インシデントは「起きる前提」で、できるところから準備を始めましょう。
よくある質問（FAQ）
Q. 責任分界点って何？
インシデント対応で、ベンダーが判断・対応する範囲と、顧客が判断・対応する範囲の境目のことです。ここがあいまいだと、復旧の判断や費用の負担をめぐって揉めやすくなります。
Q. 保守契約に夜間・休日対応が入っているか、どう確認すればいい？
契約書のSLAや対応時間、緊急対応の条項を見てみましょう。
書いていない、またはあいまいな場合は、平時のうちにベンダーへ確認し、必要なら緊急対応契約を追加しておくと安心です。
「何から決めればいい？」から、ご相談ください
株式会社レオンテクノロジーは、インシデント対応手順書の整備、判断基準づくり、経営層向けの机上演習といった平時の準備から、有事のフォレンジック調査・対応までをまとめて支援しています。
「何から決めればいいかわからない」「今のベンダー契約で足りているか不安」というときは、お気軽にご相談ください。
