「うちのような規模の会社が、サイバー攻撃の標的になることはないだろう」——そう考えている中小企業の経営者や総務担当者は、少なくありません。しかし、個人情報保護委員会に報告された個人情報漏えい等事案は2025年度に約1万7000件と過去2番目の多さにのぼっており、規模の大小を問わず、どの企業にも情報漏洩やサイバー攻撃のリスクは存在しています。
専任のセキュリティ担当者を置けない中小企業にとって重要なのは、大企業のような高度な体制を目指すことではなく、「いざというときに何を・どの順番でやるか」を最低限決めておくことです。本記事では、中小企業でも実践できるセキュリティインシデントの初動対応手順書の作り方を解説します。
なお、インシデントについては、情報漏洩のインシデント対応マニュアルの作り方｜起きてからでは遅い、今整備すべき手順とはにて詳しくご紹介しています。こちらも併せてご覧ください。
中小企業こそ「初動対応手順書」が必要な理由
サイバーインシデントが発生した際、被害の拡大を防ぐために重要なのが、発生直後の「初動対応」です。
不審なメールを開いた、端末が突然操作できなくなった、顧客情報を誤送信したなど、インシデントの入口はさまざまです。しかし、初動の段階で適切に端末を隔離し、社内へ報告し、必要な情報を記録できれば、被害を最小限に抑えられる可能性があります。
一方、対応方法が決まっていないと、担当者ごとに判断が分かれます。慌てて端末の電源を切る、証拠となるメールを削除する、社外へ報告する前に独自判断で対応を進めるなど、その場しのぎの行動が原因で状況を悪化させることもあります。
限られた人員で対応しなければならない中小企業にとって、初動対応手順書は単なるセキュリティ資料ではありません。専門担当者がいない状況でも、必要な行動を迷わず開始するための実務的な備えです。
専任担当者不在が招く対応の遅れ
大企業であれば、情報システム部門やセキュリティ専門チームが中心となり、端末の隔離、原因調査、関係者への連絡、復旧対応などを役割分担して進められます。
しかし、中小企業では、総務担当者や経営者、パソコンに詳しい従業員などが、通常業務と兼務しながら対応するケースも少なくありません。インシデント対応の経験がなく、専門知識を持つ担当者も不在であれば、次のような迷いが生じます。
- 最初に誰へ報告すればよいのか
- パソコンの電源を切ってよいのか
- ネットワークから切り離すべきか
- どの画面や情報を記録しておくべきか
- 取引先や顧客への連絡が必要か
- 警察、保険会社、外部の保守会社などへ、いつ相談するのか
- 業務を継続してよいのか、停止すべきなのか
こうした判断をインシデント発生後に一から考えていると、対応開始までに時間がかかります。その間にも、不正アクセスの範囲が広がったり、別の端末へ感染が拡大したり、情報が外部へ送信されたりするおそれがあります。
また、慌てて操作したことで、原因調査に必要なログやメール、画面表示などを消してしまう可能性もあります。善意で行った対応が、後の調査や復旧を難しくするケースも考えられます。
初動対応手順書があれば、「誰が判断するか」「発見者は何をするか」「どこへ連絡するか」「何を記録するか」を事前に統一できます。専門的な原因調査ができなくても、被害拡大を防ぐために必要な最低限の行動をすぐに開始できます。
特に重要なのは、手順書を情報システム担当者だけが読む資料にしないことです。最初に異変を発見するのは、一般の従業員かもしれません。そのため、従業員向けの手順には、難しい専門用語ではなく、次のような具体的な行動を記載する必要があります。
- それ以上操作しない
- ネットワーク接続を切る
- 表示されている画面を記録する
- 発生時刻と直前の操作をメモする
- 指定された責任者へ報告する
このように初動を標準化しておけば、担当者の知識や経験に依存せず、組織として一定水準の対応を取りやすくなります。
中小企業を狙う攻撃も増加している実態
サイバー攻撃は、大企業や有名企業だけを狙うものではありません。企業規模にかかわらず、インターネットに接続された端末やシステムを使用していれば、攻撃や被害の対象となる可能性があります。
攻撃者が必ずしも企業名や規模を確認してから、個別に攻撃しているとは限りません。脆弱性のあるシステムや設定の不備がある機器を機械的に探し、侵入できそうな企業を広く攻撃するケースもあります。そのため、「知名度が低い」「保有している情報が少ない」といった理由だけで安全とはいえません。
また、中小企業は大企業と比較して、セキュリティ対策に充てられる人員や予算が限られやすい傾向があります。例えば、次のような状況が攻撃のきっかけになる可能性があります。
- OSやソフトウェアを長期間更新していない
- 退職者のアカウントが残っている
- 複数のサービスで同じパスワードを使用している
- 多要素認証を設定していない
- データのバックアップ方法が決まっていない
- 社員個人の端末やUSBメモリを業務に使用している
- 不審なメールを受信した際の報告ルールがない
- 外部の保守会社やクラウドサービスの連絡先が整理されていない
さらに、中小企業が大企業や行政機関などの取引先へ侵入するための「足がかり」として狙われる場合もあります。取引先との間でメールやファイル、システムを共有している企業であれば、自社の被害だけでなく、取引先にも影響を広げる可能性があります。
インシデントによって業務が停止すれば、売上の減少や復旧費用の発生だけでなく、納期の遅延、顧客対応の停滞、取引先からの信用低下にもつながります。個人情報や機密情報が漏えいした場合には、関係者への連絡や調査、再発防止策の実施など、通常業務とは別に多くの対応が必要です。
中小企業では一人が複数の業務を担っていることも多いため、数台のパソコンや一つの業務システムが使用できなくなるだけでも、事業全体が止まるおそれがあります。規模が小さいから被害も小さいとは限らず、むしろ代替要員や代替システムが少ない企業ほど、影響が深刻化する可能性があります。
だからこそ、「攻撃を完全に防ぐ」対策だけでなく、「何か起きたときにどう動くか」を決めておくことが重要です。初動対応手順書を用意しておけば、発見者から責任者への報告、端末の隔離、情報の記録、外部専門家への連絡までを速やかに進められます。
中小企業における初動対応手順書は、専門部署の代わりとなるものではありません。しかし、専門担当者が到着するまでの被害拡大を防ぎ、必要な情報を残し、組織として適切な対応を始めるための重要な土台となります。
セキュリティインシデントの初動対応で起こりやすい3つの問題
セキュリティインシデントが発生したとき、問題になるのは専門知識の不足だけではありません。
「誰に報告するのか」「誰が判断するのか」「どこへ相談するのか」といった対応体制が曖昧なことによって、初動が遅れるケースもあります。
不審なメールや端末の異常に早く気づいても、対応を開始できなければ、その間に感染や情報漏えいの範囲が広がるかもしれません。初動対応を機能させるためには、技術的な手順だけでなく、報告・判断・外部連携の流れまで決めておく必要があります。
異変に気づいても「誰に、何を、どう報告するか」が分からない
従業員が不審なメールやシステムの異常に気づいたとしても、報告先や報告方法が決まっていなければ、最初の連絡が遅れてしまいます。
例えば、次のような場面です。
- 不審なメールの添付ファイルを開いてしまった
- メールに記載されたURLへアクセスした
- 身に覚えのないログイン通知が届いた
- パソコンの画面に不審な警告が表示された
- ファイルを開けなくなった
- 顧客情報を誤った宛先へ送信した
- 業務用のパソコンやスマートフォンを紛失した
このような異変に気づいても、「上司に報告すればよいのか」「総務へ連絡するのか」「システムの保守会社へ直接連絡してよいのか」が分からなければ、従業員は行動をためらいます。
また、「大したことではないかもしれない」「怒られるかもしれない」と考え、しばらく様子を見たり、自分で解決しようとしたりする可能性もあります。しかし、最初は小さな異常に見えても、重大なインシデントの兆候であることがあります。
報告ルールでは、単に担当者名を記載するだけでなく、次の点まで明確にしておくことが重要です。
- 最初に報告する担当者と不在時の代替者
- 電話、チャット、メールなどの報告手段
- 休日・夜間に発見した場合の連絡先
- 報告時に伝える情報
- 緊急時に使用してはいけない連絡手段
- 報告後に従業員が行うこと、行わないこと
報告時には、発生時刻、使用していた端末、表示された内容、直前に行った操作などを伝えられるようにします。ただし、詳しい状況を確認しようとして従業員が不審な画面を操作すると、被害を広げるおそれがあります。
そのため、「原因を調べてから報告する」のではなく、「少しでも異変を感じたら、まず報告する」というルールを周知することが大切です。
対応責任者が曖昧で、重要な判断が先送りされる
インシデントの報告を受けた後は、状況に応じてさまざまな判断が必要になります。
例えば、次のような判断です。
- 端末をネットワークから切り離すか
- 一部のシステムを停止するか
- 社内の業務を継続するか
- 全従業員へ注意喚起を行うか
- バックアップから復旧するか
- 取引先や顧客へ連絡するか
- 外部の専門会社へ調査を依頼するか
- 警察や関係機関へ相談するか
- 会社として対外公表を行うか
これらは、現場の担当者だけでは決められないものも少なくありません。特にシステムや業務の停止は、被害拡大を防ぐ一方で、売上や顧客対応、納期などにも影響します。
最終判断者が決まっていないと、現場担当者は経営者の指示を待ち、経営者はシステム担当者の判断を待つといった状態に陥ります。複数の担当者が関わっていても、「誰かが対応していると思っていた」という認識のずれが生じる可能性もあります。
また、責任の所在が曖昧な組織では、判断を誤った場合の責任を恐れ、重要な決定が先送りされがちです。その間にも被害が広がり、結果的に復旧までの時間や費用が増えることがあります。
こうした停滞を防ぐためには、あらかじめ役割を分けておく必要があります。
- インシデントの報告を受ける人
- 事実関係を整理する人
- 端末やネットワークを確認する人
- 業務停止の可否を判断する人
- 外部専門家への連絡を指示する人
- 顧客や取引先への連絡内容を承認する人
- 社内全体の対応を統括する人
すべてを別の担当者にする必要はありません。人員が限られている場合は一人が複数の役割を担っても構いませんが、「誰がどこまで判断できるか」は明確にしておく必要があります。
さらに、責任者が不在の場合に備え、代理判断者も決めておくことが重要です。社長や担当役員しか判断できない体制では、その人と連絡が取れないだけで対応が止まってしまいます。
外部へ相談したくても、適切な窓口がすぐに見つからない
インシデントが発生した際、自社だけで原因調査や復旧作業を完結させることは容易ではありません。
マルウェアへの感染範囲、外部への情報送信の有無、不正アクセスの経路、漏えいした可能性のある情報などを確認するには、専門的な調査が必要になる場合があります。
しかし、発生後に慌てて相談先を探すと、次のような問題が起こります。
- どの会社へ相談すべきか判断できない
- 契約中の保守会社の対応範囲が分からない
- 担当者名や緊急連絡先が見つからない
- 夜間や休日に連絡できない
- 問い合わせ時に何を伝えればよいか分からない
- 調査や復旧に必要な契約手続きで時間がかかる
- 誤った窓口へ連絡し、複数の部署をたらい回しにされる
また、「パソコンの保守会社であれば、セキュリティ事故にも対応できる」と思っていても、実際には調査や復旧が契約範囲に含まれていないことがあります。クラウドサービスやサイバー保険についても、緊急時の連絡先や対応条件を確認していなければ、必要な支援をすぐに受けられません。
そのため、初動対応手順書には、自社に関係する連絡先を事前に整理しておきます。
- システム・ネットワークの保守会社
- セキュリティ調査や復旧を依頼できる専門会社
- 利用中のクラウドサービス事業者
- サイバー保険の事故受付窓口
- 顧問弁護士
- 個人情報や法令対応に関する相談窓口
- 警察などの関係機関
- 影響を受ける可能性がある主要な取引先
連絡先だけでなく、受付時間、休日・夜間の連絡方法、契約番号、担当者名、対応可能な範囲も記載しておくと、緊急時に動きやすくなります。
さらに、「どのような場合に、どこへ連絡するか」という判断基準も必要です。例えば、端末の異常は保守会社、情報漏えいの可能性がある場合は経営責任者と専門会社、個人情報が関係する場合は法務担当や顧問弁護士にも相談するなど、事象と連絡先を対応させておくと迷いを減らせます。
初動の遅れは、技術より「体制の曖昧さ」から生まれる
セキュリティインシデントへの対応が遅れる原因は、担当者の知識不足だけではありません。
報告先、最終判断者、外部の相談先が決まっていないことによって、異変を発見してから実際に対応を開始するまでに時間がかかります。
初動対応手順書を作成する際は、端末の隔離や情報の記録といった作業手順だけでなく、次の流れを一つにつなげておくことが重要です。
異変を発見する
→ 決められた相手へ報告する
→ 責任者が対応方針を判断する
→ 必要に応じて外部専門家へ連絡する
→ 被害範囲を確認し、復旧・関係者対応へ進む
この流れが明確になっていれば、専門担当者がいない中小企業でも、インシデント発生直後の混乱を抑え、組織として対応を開始しやすくなります。
中小企業でも無理なく実践できる初動対応手順書の作り方
初動対応手順書は、専門的な内容を網羅した分厚い資料である必要はありません。緊急時に従業員が迷わず動けるように、必要な行動を分かりやすく整理することが大切です。
特に中小企業では、セキュリティの専任担当者を置くことが難しい場合もあります。そのため、専門部署があることを前提にするのではなく、現在の人員や外部委託先で実行できる体制を設計します。
まずは、次の4つを決めるところから始めましょう。
作り方①「誰に・何を・どう伝えるか」を決める
最初に決めるのは、異常に気づいた従業員が「誰に」「どの手段で」第一報を入れるかです。
インシデントの発見者が必ずしもITに詳しいとは限りません。そのため、従業員自身に重大性を判断させるのではなく、少しでも不審に感じたら報告できるルールにしておくことが重要です。
報告対象となる事象には、例えば次のようなものがあります。
- 不審なメールの添付ファイルを開いた
- メールに記載されたURLをクリックした
- IDやパスワードを入力してしまった
- 身に覚えのないログイン通知が届いた
- パソコンに不審な警告画面が表示された
- ファイルを開けなくなった
- 顧客情報を誤った宛先へ送信した
- 業務用端末やUSBメモリを紛失した
- 通常とは異なるシステムの動作に気づいた
第一報のルートには、主担当者だけでなく、その人と連絡が取れない場合の代替連絡先も記載します。休日や夜間に発見した場合の連絡方法も必要です。
第一報ルートに記載する項目
- 最初の報告先
- 報告先の電話番号やチャットアカウント
- 主担当者が不在の場合の報告先
- 休日・夜間の緊急連絡先
- 使用する連絡手段
- 報告時に伝える内容
- 報告後に行うこと、行ってはいけないこと
報告時に必要な情報も、あらかじめ統一しておきます。
第一報で伝える内容
- いつ発生・発見したか
- どの端末やシステムで発生したか
- 何をしているときに発生したか
- どのような画面やメッセージが表示されたか
- 発見後にどのような操作をしたか
- 現在、端末やシステムがどのような状態か
- 顧客情報や機密情報が関係している可能性があるか
ただし、詳細を確認するために、不審なファイルをもう一度開いたり、怪しい画面を操作したりしてはいけません。「分かる範囲で報告する」「原因を調べる前に報告する」という考え方を手順書に明記します。
また、インシデントによっては社内メールやチャットが使用できない可能性もあります。電話など、社内システムに依存しない連絡手段を準備しておくと安心です。
作り方②「誰が何を判断するか」を役割ごとに決める
次に、第一報を受けた後に対応するメンバーと、その役割を決めます。
専任のセキュリティチームを設置できない場合でも、経営者、総務責任者、システム担当者、外部の保守会社など、既存の関係者で初動対応チームを構成できます。
重要なのは、人数を増やすことではなく、「誰が何を担当し、どこまで判断できるのか」を明確にすることです。
例えば、次のように役割を分けます。
| 役割 | 主な対応 |
| 対応責任者 | 全体を統括し、業務停止や外部公表などの重要事項を判断する |
| 連絡・記録担当 | 発生時刻、対応内容、関係者への連絡履歴を記録する |
| 技術対応担当 | 端末の隔離、ログの保全、原因調査、復旧対応を進める |
| 社内連絡担当 | 従業員への注意喚起や対応指示を行う |
| 対外対応担当 | 顧客、取引先、関係機関等への連絡を取りまとめる |
| 外部窓口担当 | 保守会社、専門会社、保険会社などへの連絡を行う |
小規模な企業では、一人が複数の役割を兼任しても問題ありません。ただし、責任者が不在の場合に備えて、代理担当者も決めておきます。
さらに、判断が必要になる主な事項も整理します。
- 対象端末をネットワークから隔離するか
- アカウントやシステムを一時停止するか
- 業務を継続するか、停止するか
- 全従業員へ注意喚起するか
- 外部の専門会社へ調査を依頼するか
- 顧客や取引先へ連絡するか
- 警察や関係機関へ相談・報告するか
- 会社として情報を公表するか
- 復旧した端末やシステムの利用を再開するか
現場担当者が独断で重要事項を決める状態や、反対に何も判断できず責任者を待ち続ける状態は避けなければなりません。手順書には、担当者だけでなく、各担当者の判断範囲も記載しておきましょう。
作り方③「どんなときに、どこへ相談するか」を一覧にする
サイバーインシデントの原因調査や復旧には、専門的な知識が必要になる場合があります。自社だけで対応しようとせず、外部の専門家や関係機関と連携できる準備を整えておくことが重要です。
ただし、連絡先を並べるだけでは、緊急時に「どこへ相談すればよいのか」が判断できません。外部連絡先は、役割や連絡する場面とセットで整理します。
整理しておきたい外部連絡先
- システムやネットワークの保守会社
- セキュリティ調査・復旧を行う専門会社
- サーバーやクラウドサービスの提供事業者
- 利用している業務システムのベンダー
- サイバー保険の事故受付窓口
- 顧問弁護士
- 個人情報や法令対応の相談先
- 警察のサイバー犯罪相談窓口
- 必要に応じた監督官庁・関係機関
- 影響を受ける可能性がある主要取引先
連絡先一覧には、次の項目を記載すると実務で使いやすくなります。
| 項目 | 記載内容 |
| 連絡先名 | 会社名、機関名、担当部署 |
| 連絡する場面 | 不正アクセス、情報漏えい、端末感染など |
| 担当者 | 担当者名または受付窓口 |
| 連絡方法 | 電話番号、メールアドレス、問い合わせ先 |
| 受付時間 | 平日、夜間、休日の対応時間 |
| 契約情報 | 契約番号、顧客番号、保険証券番号など |
| 対応範囲 | 調査、端末復旧、データ復旧、法務相談など |
| 自社の連絡担当 | 社内から連絡する責任者 |
外部委託先については、現在の契約でインシデント対応がどこまで含まれているかも確認します。通常のシステム保守契約では、マルウェア感染の調査や情報漏えいの判定まで対応していない場合があるためです。
また、連絡先一覧は、社内サーバーだけに保存しないよう注意が必要です。インシデントによってネットワークやファイルサーバーが利用できなくなる可能性があります。紙の手順書や、影響を受けにくい別の保管場所からも確認できるようにしておきましょう。
作り方④「発見から初動完了まで」を時系列で整理する
第一報のルート、対応体制、外部連絡先を決めたら、それぞれを一つの流れにつなげます。
担当者や連絡先が個別に記載されていても、対応する順番が分からなければ、緊急時に手順書として機能しません。
例えば、基本的な流れを次のように整理します。
- 従業員が異変を発見する
- それ以上の操作を止める
- 必要に応じて端末をネットワークから切り離す
- 画面表示や発生時刻を記録する
- 決められた担当者へ第一報を入れる
- 対応責任者が状況を確認する
- 影響範囲と緊急度を判断する
- 必要に応じて外部専門家へ連絡する
- 業務停止や関係者への連絡を判断する
- 対応内容を時系列で記録する
このとき、すべてのインシデントを一つの詳細な手順にまとめると、かえって分かりにくくなります。
まずは共通の初動を整理し、そのうえで「不審メール」「マルウェア感染」「情報の誤送信」「端末紛失」「不正アクセス」など、事象別の手順を追加すると使いやすくなります。
作り方⑤「やること」だけでなく「やってはいけないこと」も明記する
緊急時には、被害を抑えようとして従業員が自己判断で操作することがあります。しかし、その操作によって被害が広がったり、原因調査に必要な情報が失われたりする可能性があります。
手順書には、禁止事項も具体的に記載しましょう。
発見者が避けるべき行動の例
- 不審なメールやファイルを再度開く
- 周囲の従業員へ同じメールを転送する
- 表示された電話番号へ連絡する
- 自己判断でセキュリティソフトを削除する
- 急いで端末を初期化する
- 関係するメールやファイルを削除する
- 許可なくバックアップから復元する
- SNSなどで発生状況を発信する
- 責任者の承認なく顧客や取引先へ連絡する
端末の電源を切るべきかどうかは、インシデントの状況や専門家の判断によって異なります。そのため、一律に「電源を切る」と定めるのではなく、「原則として操作を止め、ネットワークから切り離し、担当者の指示を待つ」など、自社の支援体制に合わせて決めることが重要です。
作り方⑥「記録する項目」と「記録する担当者」を決める
インシデント対応では、発生後の行動を時系列で記録する必要があります。
記録が残っていなければ、どこまで被害が広がったのか、誰がどのような対応をしたのかを後から確認できません。外部専門家への調査依頼や、顧客・取引先への説明にも支障が出ます。
最低限、次の内容を記録します。
- 発生または発見した日時
- 発見者の氏名・所属
- 対象となった端末やシステム
- 発見時の状況
- 直前に行っていた操作
- 表示されたメッセージや画面
- 関係するメール、ファイル、アカウント
- 第一報を行った日時と相手
- 実施した対応と実施者
- 外部へ連絡した日時と回答内容
- 業務や顧客への影響
- 復旧までの経過
- 対応を終了した日時と判断者
記録様式は、手順書と一緒に用意しておくと便利です。自由記述だけでは担当者によって記録内容に差が出るため、入力項目を決めた「インシデント対応記録票」にすると、必要な情報を漏れなく残しやすくなります。
作り方⑦ 模擬訓練で「実際に動ける手順書」へ改善する
手順書は、作成して保管するだけでは十分ではありません。実際にインシデントが発生した際に、従業員が手順書を見つけ、内容を理解し、迷わず行動できるかを確認する必要があります。
大掛かりな訓練を毎回行う必要はありません。年に一度程度、次のような場面を想定した簡単なシミュレーションを行うだけでも効果があります。
経理担当者が取引先を装ったメールの添付ファイルを開いた後、パソコンに不審な警告が表示された。
この状況をもとに、参加者へ次の点を確認します。
- 発見者は誰に報告するか
- 報告先の連絡先をすぐに確認できるか
- 第一報で何を伝えるか
- 端末をどのように隔離するか
- 誰が対応責任者になるか
- 業務停止を誰が判断するか
- どの外部事業者へ連絡するか
- 対応内容を誰が記録するか
訓練を行うと、担当者の不在、古い電話番号、曖昧な判断基準、保管場所の分かりにくさなど、手順書を読んでいるだけでは気づきにくい問題が見つかります。
見つかった課題は、訓練後に手順書へ反映します。また、組織変更、担当者の異動、システムの入れ替え、委託先の変更があった場合にも見直しが必要です。
手順書には、最終更新日、更新担当者、次回見直し予定日を記載し、古い情報が残り続けないよう管理しましょう。
完璧な手順書より、すぐに使える手順書から始める
中小企業の初動対応手順書は、最初からあらゆるインシデントを網羅する必要はありません。
まずは、次の項目を1～2ページ程度にまとめるだけでも、初動対応の土台になります。
- 異変を発見した従業員が最初に行うこと
- 第一報の連絡先と報告内容
- 発見者が行ってはいけないこと
- 対応責任者と代理責任者
- 外部の緊急連絡先
- 対応経過を記録する様式
実際の訓練や運用を通じて、事象別の手順や判断基準を少しずつ追加していく方が、現場に合った手順書を作りやすくなります。
重要なのは、情報を多く掲載することではありません。インシデント発生時に必要な情報をすぐに見つけられ、担当者が次の行動を判断できることです。
作っただけでは不十分｜初動対応手順書が機能しないケース
初動対応手順書を用意していても、実際のインシデント発生時に使えなければ意味がありません。
重要なのは、手順書が存在することではなく、従業員が必要なときにすぐ見つけ、内容に沿って行動できる状態を維持することです。作成後の周知や更新まで含めて運用を設計しましょう。
手順書の存在は知られていても、内容と保管場所が分からない
手順書を作成し、社内フォルダに保存しただけで運用が終わってしまうケースは少なくありません。
「手順書があるらしい」と知っていても、どこに保管されているのか、最初に何をすればよいのかを従業員が把握していなければ、緊急時には使えません。特にインシデント発生直後は混乱しやすく、落ち着いて社内フォルダを探す余裕がない可能性もあります。
また、インシデントによって社内ネットワークやファイルサーバーが利用できなくなることも考えられます。手順書を社内システムだけに保存していると、必要なときに閲覧できないおそれがあります。
そのため、手順書は次のような方法で、すぐに参照できる状態にしておくことが重要です。
- 社内ポータルなど、従業員が普段利用する場所に掲載する
- 保管場所を全従業員へ定期的に周知する
- 第一報の連絡先だけを抜き出した簡易版を配布する
- 社内ネットワークが使えない場合に備えて紙でも保管する
- 新入社員研修や定期研修で内容を説明する
従業員全員が手順書の詳細を暗記する必要はありません。ただし、「異変を感じたら操作を止める」「誰に連絡するか」「手順書がどこにあるか」という最低限の内容は共有しておく必要があります。
担当者や連絡先が更新されず、情報が古くなっている
作成時には正確だった手順書も、組織体制の変更や担当者の異動、外部委託先の変更などによって、少しずつ実態と合わなくなります。
例えば、次のような情報が古くなりやすいため注意が必要です。
- 初動対応責任者と代理責任者
- 担当者の所属部署や連絡先
- 休日・夜間の緊急連絡先
- システム保守会社の担当窓口
- セキュリティ専門会社の連絡先
- 利用しているシステムやサービスの名称
- サイバー保険の契約内容や受付窓口
- 顧客・取引先への連絡責任者
古い担当者名や使用できない電話番号が記載されていると、緊急時に連絡がつかず、対応開始が遅れてしまいます。担当者が退職している、委託先との契約が終了しているといった状態では、手順そのものを実行できない可能性もあります。
こうした形骸化を防ぐには、「変更があったら更新する」という曖昧なルールではなく、見直すタイミングと担当者を決めておくことが重要です。
例えば、次のタイミングで確認します。
- 年1回など、あらかじめ決めた定期見直し
- 担当者の異動・退職時
- 組織体制を変更したとき
- システムやクラウドサービスを変更したとき
- 外部委託先や保険契約を変更したとき
- インシデントや模擬訓練を実施した後
手順書には、最終更新日、更新担当者、次回見直し予定日を記載すると管理しやすくなります。更新履歴も残しておけば、どの情報をいつ変更したのかを確認できます。
手順が複雑すぎて、緊急時に読み切れない
情報を漏れなく記載しようとするあまり、手順書が長く複雑になることもあります。しかし、緊急時に何十ページもの資料を最初から読むことは現実的ではありません。
特に発見者向けの初動手順には、専門的な原因調査や復旧方法まで記載する必要はありません。最初に行う行動だけを、短く明確に示すことが重要です。
例えば、手順書を次のように分けると使いやすくなります。
- 全従業員向け：発見時に行うこと、第一報の連絡先
- 対応責任者向け：状況確認、判断、社内外への指示
- 技術担当者向け：端末の隔離、証拠保全、調査・復旧
- 対外対応担当者向け：顧客、取引先、関係機関への連絡
最初のページに「発見したら何をするか」を掲載し、その後に担当者別・事象別の詳細手順を配置すると、必要な情報へたどり着きやすくなります。
訓練をしておらず、実際に動けるか確認されていない
内容が正しくても、実際に使ったことのない手順書には、見落としが残っている可能性があります。
例えば、担当者が不在だった、外部委託先へ連絡がつかなかった、手順書の保管場所が分からなかったなど、実際に動いてみなければ分からない問題があります。
年に一度程度でも、簡単な模擬訓練を行いましょう。不審なメールの添付ファイルを開いた場面などを想定し、第一報から責任者の判断、外部への相談までを確認します。
訓練で見つかった問題は、その場で終わらせず、手順書へ反映することが大切です。
初動対応手順書は、一度作って完成する資料ではありません。周知、訓練、見直しを繰り返しながら、実際に使える状態を維持していく必要があります。
「機能する」手順書は、専門知識を「翻訳」することから生まれる
専門用語を現場の言葉に落とし込む重要性
セキュリティに関する情報は専門用語が多く、読んでも実際に何をすればよいか分かりにくいという声もよく聞かれます。mayclassでは、マニュアルは「読まれる」「理解される」ことが何より重要だと考えています。専門的な内容であっても、現場の担当者が迷わず行動できる言葉に「翻訳」して落とし込むことが、機能する手順書の条件です。
暗黙知（経験者の判断基準）を手順に組み込む
過去にトラブル対応の経験がある担当者の頭の中には、マニュアルには書かれていない判断のコツが蓄積されていることがあります。こうした暗黙知を丁寧にヒアリングし、手順書に反映していくことで、経験の浅い担当者でも同じレベルの対応ができるようになります。
まとめ｜中小企業の安心は、備えるマニュアルから
セキュリティインシデントの初動対応手順書は、大企業のような高度な体制がなくても整備できます。重要なのは、「誰が」「何を」「どの順番で」やるのかを、平時のうちに最低限決めておくことです。専任の担当者がいない中小企業ほど、シンプルで実践的な手順書が、いざというときの被害を大きく左右します。
株式会社mayclassは、業務の可視化とマニュアル制作を通じて、専任担当者が少ない企業でも実践できる手順書づくりを支援してきました。自社に合ったセキュリティインシデント対応手順書を整備したいとお考えの方は、ぜひ一度ご相談ください。支援実績の詳細はmayclassの支援事例集をご覧ください。また、サービス内容や費用感についてはお問い合わせページよりお気軽にご連絡ください。
▼こちらもおすすめ▼
