セキュリティ事故が起きたときの対応の手順

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

情報の漏えい、ウイルスの感染、システムの停止など、セキュリティの事故（インシデント）は、どれだけ備えても起きることがあります。この記事では、IPA（情報処理推進機構）の「中小企業のためのセキュリティインシデント対応の手引き」を中心に、起きたときの手順と、前もって準備しておくことを整理します。

セキュリティ事故とは、どこまでを指しますか？

IPAの手引きは、セキュリティインシデントを、セキュリティの事故・出来事のことと説明しています。情報の漏えいや改ざん、破壊・消失、情報システムの機能の停止、またはこれらにつながる可能性のある出来事が当てはまります。

被害は、金銭の被害や対応の費用だけでなく、信用の低下や事業の停止にも及びます。手引きは、対応の目的を、被害と影響の範囲を最小限に抑え、早く復旧し、再発を防いで事業の継続を確保することとしています。

対応は、どんな段階で進めますか？

IPAの手引きは、対応を3つの段階に分けています。

ステップ1：気づいたら、まず何をしますか？

① 責任者に報告する：兆候や発生に気づいたら、情報セキュリティの責任者に報告します。社外からの通報は、通報した人の連絡先を控えます。

② 経営者が体制を立ち上げる：責任者から報告を受けた経営者は、事業や顧客への影響を踏まえて体制を立ち上げ、責任者と担当者、役割の分担を決めます。

③ 被害の拡大を止める：情報が外からアクセスできる状態や、被害が広がる可能性がある場合は、ネットワークの遮断、機器の隔離、システムの停止を行います。

ここで大切なのは、機器の電源を切るなど、不用意な操作で記録を消さないことです。IPAの手引きは、初動の対応でも、電源を切るなどの不用意な操作で記録を消さないようにするとしています。警察庁の資料も、ランサムウェアの被害で慌てて電源を切ると、ログなどの侵入の痕跡が失われ、その後の調査が難しくなる可能性があると注意しています。ランサムウェアの場合は「ランサムウェアへの備え」もご覧ください。

IPAの解説書は、適時に報告しないと被害の拡大や、隠していると疑われて信頼を失うことにつながるおそれがあるとし、担当者がためらわずに報告できる環境をつくっておくことも重要としています。

ステップ2：誰に、何を報告しますか？

第一報では、すべての関係者に知らせるのが難しい場合や影響が広く及ぶ場合に、Webサイトなどで公表します。被害が広がらないよう時期・内容・対象を考え、顧客や消費者に関係する場合は問い合わせの窓口を開きます。

第二報以降・最終報では、被害を受けた人や取引先・顧客に、対応の状況や再発防止策を報告し、必要に応じて損害の補償なども行います。

あわせて、次の届け出・報告を確かめます。

個人データの漏えいのおそれがあるとき

個人情報保護法第26条は、個人の権利利益を害するおそれが大きいものとして委員会の規則で定める事態が生じたときは、個人情報保護委員会への報告と、本人への通知を求めています。委員会のページは、民間の事業者について、次の場合（おそれがある場合を含む）を挙げています。

• 要配慮個人情報が含まれる個人データの漏えいなど
• 不正に使われることで財産的な被害が生じるおそれがある個人データの漏えいなど
• 不正の目的をもって行われたおそれがある行為による個人データの漏えいなど
• 本人の数が1,000人を超える漏えいなど

報告は、速報と確報の2段階です。委員会のページは、期限を次のように示しています。

委員会のページには、令和8年の改正個人情報保護法の案内もあります。報告の様式や最新の扱いは、報告の前に委員会のページで確かめてください。該当するかの判断に迷う場合は、弁護士などの専門家にも相談すると安心です。

ステップ3：復旧と再発防止は、どう進めますか？

① 調べて直す：5W1H（いつ、どこで、誰が、何を、なぜ、どうしたのか）の観点で状況を整理し、原因を調べて、修正プログラムの適用、設定の変更、データの復元など必要な修復を行います。

② 証拠を守る：訴訟などを見越して、事実を裏付ける情報や証拠を保全し、必要に応じてフォレンジック調査（パソコンの記憶装置、メモリのデータ、サーバーやネットワーク機器のログなどの調査）を行います。

③ 復旧する：正しく修復できたことを確かめてから、止めていたシステムやサービスを再開し、経営者に結果を報告します。

④ 再発を防ぐ：根本の原因を分析し、技術的な対策、ルール、教育、体制、運用の改善などの再発防止策を検討します。

自社だけで難しい場合は、IT製品のメーカーや保守の事業者、次の節の相談窓口などに支援や助言を求めます。対応の間も、状況と事業への影響を経営者に適時に報告します。

どこに相談できますか？

IPAの手引きは、次の窓口を挙げています。

• 技術的な相談：IPA「企業組織向けサイバーセキュリティ相談窓口」
• サイバー犯罪の相談：警察庁「サイバー事案に関する通報等のオンライン受付窓口」
• インシデント対応の相談：JPCERTコーディネーションセンター（JPCERT/CC）の対応依頼
• 緊急の対応を依頼できる事業者：日本ネットワークセキュリティ協会（JNSA）「サイバーインシデント緊急対応企業一覧」

連絡先は一覧にして紙でも保管しておくと、システムが止まったときにも使えます。

事故に備えて、何を決めておけばよいですか？

IPAの手引きは、事故の対応のときに整理しておく事項（事故の分類、責任者と担当者、発覚・発生の日時、起きていること、対応の経過、想定される原因、システムの状況など）を挙げています。記録の様式にしておくと、報告や相談がスムーズになります。

あわせて、責任者と社外の連絡先（保守の事業者、弁護士、保険会社など）、社員向けの1枚の初動の手順、ログの保存の範囲と期間、システムが止まった間の業務の回し方（BCP）を決め、机上の訓練で報告から公表までの流れを一度たどっておきます。

AIの誤った出力などAIに特有の事故も、同じ体制で扱えるようにしておくと混乱が少なくなります（「AIの不具合・事故への備えと対応」参照）。

チェックリスト

• 事故が疑われるときの報告先（情報セキュリティの責任者）を社員が知っている
• 経営者への報告と、対応の体制の立ち上げの流れを決めている
• 初動の手順（切り離す、電源を慌てて切らない、記録を残す）を1枚にまとめている
• 個人情報保護委員会・警察・IPAなど、報告と届け出の先を一覧にしている
• 個人データの漏えいのとき、報告と本人への通知が必要かを確かめる手順がある
• 相談窓口と緊急対応を依頼できる事業者の連絡先を、紙でも保管している
• 事故のときに整理する項目を、記録の様式にしている
• 調査に必要なログの保存の範囲と期間を決めている
• 机上の訓練で、報告から公表までの流れを確かめている
• ためらわずに報告できるよう、経営者から社員に伝えている