セキュリティインシデント対応SOP：中小企業が72時間以内にやること
結論: インシデント発生後、最初の1時間でやることは「社内メールを止め、感染端末をネットワークから切断し、重大度を分類し、経営陣に口頭報告し、外部に相談すること」の5点。この5点を書いた紙1枚が、今すぐ手元にあるかどうかで72時間の損失額が変わる。
フィッシングメールのクリック報告が上がった瞬間、情シス担当者が最初に感じるのは「何から手をつければいいのか」という混乱だ。CSIRTがなく、セキュリティベンダーとの契約もない。マニュアルは「基本方針」しかない。そういう状況で時計だけが進んでいく。
キヤノンITソリューションズの調査では、「情報セキュリティ10大脅威2025 [組織]」においてランサムウェアによる被害が5年連続1位となり、サプライチェーンの弱点を悪用した攻撃が3年連続2位を占めている。中小企業が標的になるのは例外ではなく、日常だ。
この記事では、専任情シスが一人いる50〜200名規模の企業を念頭に、インシデント発生から72時間のアクションタイムラインと、知っておくべき法的義務・費用相場・無料相談窓口を具体的に整理する。
インシデントが起きた直後、最初の1時間が全体を決める
感染報告を受けてから最初に情シス担当者がやりがちな行動が、社内メールでの状況確認だ。これが致命的なミスになる。
なぜ社内メールを使ってはいけないのか。メールサーバー自体が侵害されている可能性があるからだ。攻撃者がメールを読んでいる環境でやり取りすれば、対応状況が筒抜けになり、攻撃者に「次の手」を打つ余裕を与える。通信手段は電話かSlack・Teamsの別チャンネルに切り替える。
次に重要なのが「電源オフをしない」という判断だ。被害を止めようとして感染端末の電源を落としたくなる気持ちはわかる。しかしメモリ上にしか存在しない攻撃の痕跡（プロセス情報・通信ログ）は電源オフで消える。フォレンジック調査が必要になったとき、この1分間の判断が数百万円の証拠を失わせる。
最初の1時間でやることは、判断ではなく「記録と隔離と連絡」に絞る。
72時間のアクションタイムライン（フェーズ別）
Phase 1: 検知・第一報（発生直後〜1時間）
最初にやるのは重大度の分類だ。BTNコンサルティングの整理によると、Critical（ランサムウェア感染・大規模情報漏洩・基幹システム停止）は1時間以内の初動完了が求められる。それ以外の重大度でも、分類を最初に行うことで対応リソースの配分が決まる。
| 重大度 | 該当例 | 初動目安 |
|---|---|---|
| Critical | ランサムウェア感染・基幹停止・大規模漏洩 | 1時間以内に初動完了 |
| High | 標的型メール開封・不審アクセス検知 | 2〜4時間以内に封じ込め |
| Medium | フィッシングクリック（感染未確認）・パスワードリスト攻撃 | 当日中に調査着手 |
| Low | 迷惑メール大量受信・不審ログのみ | 翌営業日以内に確認 |
分類が終わったら、やること4点を順番にこなす。
- 感染が疑われる端末をネットワークから物理的に切断する（LANケーブルを抜く・Wi-Fiをオフにする）
- 通信手段を社内メールから切り替える（電話・別チャンネル）
- 経営陣に口頭または電話で第一報を入れる（「現在調査中・詳細は1時間後」で足りる）
- JPCERT/CCまたはIPA安心相談窓口に相談を入れる（詳細は後述）
端末は切断するが、電源は入れたままにする。スクリーンショットで現在の画面状態を撮影し、何時何分に何を確認したかをメモに残す。このログが後の報告書と法的対応の土台になる。
Phase 2: 封じ込め・証拠保全（1時間〜4時間）
端末の隔離が終わったら、横展開（ラテラルムーブメント（攻撃者が侵入した端末を足がかりに、社内ネットワーク内の別システムへ移動・拡大する行動））の確認に移る。攻撃者が社内ネットワーク内で別の端末に移動していないかを、ファイアウォールログ・VPNログ・Active Directory（Windowsドメイン環境でユーザー認証・アクセス権限を一元管理するMicrosoftのディレクトリサービス）のログイン履歴で確認する。
電源オフ禁止の理由を改めて整理する。
フォレンジック調査では、揮発性の高い情報（RAMの内容・実行中プロセス・ネットワーク接続状態）から順番に証拠を取る。この情報は電源オフで消える。調査会社が到着したときに端末の電源が落ちていると、調査できる範囲が大幅に狭まり、費用が増加するか、原因特定ができなくなるケースがある。「証拠を守るために電源を入れたままにする」という判断は、感覚に反するが正しい。
この時間帯に並行して準備することがある。
- 影響を受けた可能性のあるシステム・データのリストアップ
- バックアップの存在確認（最終取得日時・保存場所・オフライン環境かどうか）
- 外部の調査会社・ベンダーへの連絡開始（見積もり取得だけでも早めに）
- インシデント対応ログの開始（誰が何時に何をしたか、時系列で記録する）
インシデント対応ログは後の報告書・保険請求・法的証拠に直結する。ノートでもスプレッドシートでも構わないが、開始する。
Phase 3: 根絶・復旧（4時間〜72時間）
封じ込めが完了した段階で、根絶フェーズに移る。根絶とは、攻撃者の侵入口・悪意あるファイル・不正なアカウントを環境から除去することだ。
バックアップからの復元は「バックアップが安全か確認してから」が鉄則になる。
ランサムウェアの場合、攻撃者はバックアップの侵害を最初に試みることが多い。バックアップサーバーが同じネットワークセグメントにあり、オンラインで接続されていた場合、バックアップ自体が暗号化されている可能性がある。復元を急いでクリーンでないバックアップを展開すると、復旧作業が振り出しに戻る。
確認する手順は次の順序で行う。
- バックアップファイルのハッシュ値を確認（改ざん検知）
- 隔離されたテスト環境でバックアップからの復元テストを実施
- 安全が確認されたバックアップのみを本番展開に使う
経営陣との調整論点として、この時間帯に整理しておくべき項目がある。事業継続の優先順位（どのシステムを先に復旧するか）・外部への公開タイミング（顧客・取引先への通知）・法的報告の要否（個人情報が含まれているか）の3点だ。特に個人情報の漏洩が疑われる場合は、後述の報告義務のタイムラインが動き始める。
NIST SP 800-61（米国国立標準技術研究所NISTが策定したインシデント対応ガイドライン。NISTサイバーセキュリティフレームワーク2.0に統合された形で2025年4月に改訂済み）では、インシデント対応を「準備・検知・封じ込め・根絶・復旧・事後分析」のサイクルとして定義している。72時間は封じ込めと根絶の初期段階にあたり、完全な根絶・復旧はその後に続く。
絶対にやってはいけない初動ミス3つ
1. 社内メールで状況を共有する
前述の通り、メールサーバーが侵害されている可能性がある。さらに、誰かが誤ってフィッシングメールへの返信や転送を行う二次被害のリスクもある。通信チャンネルを分離することを最優先にする。
2. 「大したことはないかもしれない」と様子見する
フィッシングメールをクリックした事実があれば、たとえパスワードを入力していなくても、マルウェアのダウンロードやCredentialの窃取が始まっている可能性がある。「大丈夫だろう」という自己診断は危険だ。SecureWave株式会社の事例分析では、初動の過ちが原因で調査が難航し、数ヶ月単位での復旧期間を要したケースが記録されている。
3. 感染端末のデータを社内共有フォルダにコピーして「バックアップ」する
状況を保全しようとして感染端末のファイルを共有フォルダにコピーすると、マルウェアが共有フォルダ経由で他の端末・サーバーに広がる。証拠保全は外部の専門家に委ねるか、指示を受けた手順で実施する。独自の「バックアップ」は二次感染のリスクになる。
報告義務のタイムライン — 速報3〜5日・確報30日を逃さない
個人情報（顧客名・住所・マイナンバー等）が漏洩した、または漏洩した可能性がある場合、個人情報保護法に基づく報告義務が発生する。
内閣サイバーセキュリティセンターの「関係法令Q&Aハンドブック」（v2）によれば、速報は「報告対象事態を知った後、速やかに（概ね3〜5日以内）」が求められる。内閣サイバーセキュリティセンターの規定では、速報は3〜5日以内、確報は30日以内とされている（参考解説: Conoris）。
| 種類 | 期限 | 内容 |
|---|---|---|
| 速報（新規） | 概ね3〜5日以内 | 発生事実・現時点で把握している概要 |
| 確報（続報） | 30日以内 | 詳細な原因・影響範囲・再発防止策 |
「まだ原因調査中だから報告できない」という判断は通らない。原因が不明な段階でも、発覚した事実を速報として提出し、判明した内容を確報で補完するのが求められる対応だ。
報告先は個人情報保護委員会。また業種によっては金融庁・総務省・国土交通省等の監督官庁への報告が別途必要になるケースがある。自社の業種で追加の報告義務があるかどうかは、弁護士またはIPA「サイバーセキュリティ経営ガイドライン」を参照して確認する。
この期限を逃すと、対応の遅延自体が法的リスクになる。72時間以内に「個人情報が含まれているかどうか」だけでも特定しておくことが、後の対応をスムーズにする。
外部支援の費用相場と無料窓口
「外部に頼もう」と思ったとき、何にいくらかかるのかが見えないと動けない。現実の相場を確認しておく。
フォレンジック調査の費用相場
フォレンジック調査費用は、規模・調査範囲によって数十万円〜数百万円以上と幅が大きい。
一方、サイバーセキュリティ.jpの整理では、PC1台の簡易調査であれば数万円〜数十万円程度から相談できる場合もあるが、複数端末やサーバー、クラウドログまで範囲が広がると数十万円〜数百万円以上になる。感染範囲が大きいほど費用は跳ね上がる。
サイバー保険に加入している場合、フォレンジック費用がサブリミット（特定項目の支払い上限）の対象になることが多い。加入済みの場合は、インシデント発生直後に保険会社に連絡して対応フローを確認する。未加入の場合は費用全額が自社負担になる前提で動く。
SOC外注・マネージドセキュリティの月額目安
インシデント後に外部監視体制を整える場合の費用感は次の通りだ（2026年6月時点の目安）。
| サービス種別 | 月額目安 |
|---|---|
| ログ監視・アラート通知 | 5〜15万円 |
| EDR運用（MDR） | 10〜25万円 |
| SOC（24時間監視） | 30〜80万円 |
出典: 情シス365「セキュリティ対策の外注費用相場」。規模や契約内容によって変動するため、複数社から見積もりを取ることを推奨する。
無料で使えるJPCERT/CCの相談窓口
JPCERT/CC（JPCERTコーディネーションセンター）は、インシデント対応に関する情報提供・相談を無料で受け付けている公的機関だ。
相談できる内容として、JPCERT/CCのサイトでは「インシデント発生時の初期段階において、必要な調査・対応方針の検討・被害箇所の特定方法について相談したい」というニーズへの対応が明記されている。
JPCERT/CC経由で相談・報告できる内容（5種）:
- インシデント報告（自組織が被害を受けた場合）
- 脆弱性関連情報の届出
- 制御システムのセキュリティ相談
- 早期警戒情報の受信（メーリングリスト参加）
- 海外との調整が必要なインシデントの仲介
注意点として、JPCERT/CCへの連絡はウェブフォームまたはメールが基本で、電話での即時相談窓口は設けていない。緊急性が高い場合はフォームから送信した上で、IPA「情報セキュリティ安心相談窓口」（IPAのサイトから電話番号を確認）を並行して使う。
手順書がない状態で事が起きると何が起きるか — 東京都の実例
東京都産業労働局が公開している「ランサムウェアに感染したら？インシデント体験から学ぶ」では、実際に感染した事業者の体験談が記録されている。
その中で特筆されているのが「システム管理者だけでは対応ができず、急遽セキュリティ企業へ調査業務を見積額不明なまま委託した」という事実だ。
見積額不明なまま委託。この状態に至るのは、手順書がなく、連絡先リストがなく、経営陣への報告フローが決まっていなかったからだ。インシデントが起きてから初めて「誰に連絡すべきか」を考え、初めてベンダーを探し、初めて費用を聞く。その間も攻撃者は動いている。
SecureWave株式会社の事例では、初動の過ちが原因で数ヶ月単位での復旧期間を要した。事業規模にもよるが、2〜3ヶ月の基幹システム停止は、売上損失と信用毀損の両方を招く。
「自社は大丈夫」という根拠のない自信の正体は、「手順書がないことにまだ気づいていない」ことが多い。
キヤノンITソリューションズのレポートが示す通り、ランサムウェア被害は5年連続1位で、中小企業も例外ではない。手順書は攻撃を防ぐものではなく、攻撃を受けたときの損失を最小化するものだ。
今すぐ「インシデント発生時の連絡先リスト」と「重大度分類表」の2枚だけ紙に書いて机に置くことが、最初の一歩になる。
よくある質問
Q. フィッシングメールをクリックしただけで、パスワードは入力していない。報告が必要ですか？
クリックだけでも、ドライブバイダウンロードによるマルウェア感染が起きている可能性があります。「入力していないから安全」という判断は早計です。クリックした端末を隔離し、セキュリティベンダーまたはJPCERT/CCに状況を相談することを推奨します。個人情報の漏洩が確認された場合は報告義務が発生しますが、現時点で漏洩が確認されていない段階では報告義務はありません。ただし調査の結果として漏洩が判明した場合、そこから3〜5日以内の速報が必要になります。
Q. 感染端末の電源をオフにしてしまいました。フォレンジック調査はできますか？
完全にできないわけではありませんが、揮発性の高い証拠（メモリ上のプロセス・通信状態）は失われています。ストレージ上に残るログ・ファイルからの調査は可能なため、電源オフ後でも調査会社に相談する価値はあります。次回以降のために「電源オフ禁止」を初動マニュアルに明記しておくことが重要です。
Q. JPCERT/CCに相談すると、監督官庁や警察に情報が流れますか？
JPCERT/CCは政府機関ではなく、独立した非営利組織です。相談・報告した情報が自動的に監督官庁や警察に共有されることはありません。ただし、重大な被害が確認された場合、協力依頼が来ることはあります。詳細はJPCERT/CCのプライバシーポリシーで確認してください。
Q. 個人情報が含まれていない社内システムへの攻撃でも、報告義務がありますか？
個人情報保護法に基づく個人情報保護委員会への報告義務は、個人情報の漏洩・滅失・毀損があった場合に発生します。個人情報が含まれない社内システムのみへの攻撃であれば、同法に基づく報告義務は原則として発生しません。ただし業種によっては別途の報告義務（金融庁・総務省等）があるため、自社の規制環境を確認してください。
Q. 手順書（SOP）は何ページくらい用意すれば十分ですか？
最低限必要なのは「1枚」です。重大度分類表・初動の連絡先リスト・やってはいけないこと3点・報告義務の期限、この4項目が1枚の紙に入っていれば、パニック状態でも参照できます。詳細な手順書は後から肉付けできます。まず1枚作って印刷し、物理的に机の引き出しに入れることが優先です。