JPCERT/CCの報告によると、2025年のサイバーインシデント報告件数は過去最高を更新し続けている。しかし、中小企業の多くは「CSIRTなんて大企業の話」と考えている。実際には、最小3名から CSIRT（シーサート：Computer Security Incident Response Team）を構築できる。本記事では、中小企業が限られたリソースでインシデント対応体制を整備するための実践ガイドを解説する。
CSIRTとは
CSIRT（Computer Security Incident Response Team）は、サイバーセキュリティインシデントに対応するための 社内チーム だ。
| 項目 | 内容 |
|---|---|
| 役割 | インシデントの検知・分析・対応・復旧 |
| 目的 | 被害の最小化と早期復旧 |
| 常設 or 臨時 | 中小企業は 兼任の常設チーム が現実的 |
| 法的要件 | 義務ではないが、2026年のサイバー対処能力強化法で報告義務が厳格化 |
なぜ中小企業にCSIRTが必要か
理由1：インシデント対応の「初動」が被害を左右する
ランサムウェア感染時、最初の30分で適切な対応（ネットワーク遮断、証拠保全）ができるかどうかで、被害額が 10倍以上 変わる。CSIRTがなければ、「誰が何をすべきか」が明確でなく、対応が遅れる。
理由2：報告義務の厳格化
2026年10月施行のサイバー対処能力強化法により、インシデント発生時の報告義務が厳格化される。報告体制がない企業は、法令違反のリスクがある。
理由3：取引先からの要求
大手企業がサプライヤーにCSIRT設置（または同等の体制）を求めるケースが増えている。
最小3名体制のCSIRT構築
体制図
| 役割 | 担当者 | 兼任可能な既存役職 | 主な責任 |
|---|---|---|---|
| CSIRT責任者 | 1名 | 管理部長、取締役 | 意思決定、外部報告、経営層への報告 |
| 技術担当 | 1名 | 情シス担当、IT管理者 | 検知・分析・技術的対応 |
| 連絡・記録担当 | 1名 | 総務、法務 | 連絡フロー実行、記録、法的対応 |
CSIRT構築の5ステップ
ステップ1：メンバーの任命と役割定義（1日）
上記の3名を任命し、各自の役割を文書化する。
CSIRT責任者の役割：
- インシデント対応の開始・終了を宣言
- 外部報告（個人情報保護委員会、警察、取引先）の判断
- 対外的な窓口（プレスリリース等）
技術担当の役割：
- セキュリティツール（EDR、ログ）の監視
- インシデントの技術的分析
- 被害範囲の特定
- システム復旧作業
連絡・記録担当の役割：
- 社内関係者への連絡
- インシデント対応記録（タイムライン）の作成
- 外部機関への報告書作成支援
- 法的な助言の取得（弁護士との連携）
ステップ2：インシデント対応手順書の作成（2〜3日）
| フェーズ | 手順 | 担当 |
|---|---|---|
| 検知 | アラート確認→インシデント判定 | 技術担当 |
| 初動 | ネットワーク遮断→証拠保全→CSIRT責任者に報告 | 技術担当 |
| 連絡 | 社内通知→外部機関報告→取引先通知 | 連絡担当 |
| 分析 | 原因特定→被害範囲確認→影響評価 | 技術担当 |
| 復旧 | システム復旧→データ復元→正常性確認 | 技術担当 |
| 事後 | 報告書作成→再発防止策→手順書更新 | 全員 |
ステップ3：連絡先リストの整備（半日）
| 連絡先 | 電話番号 / URL | いつ連絡するか |
|---|---|---|
| 警察（サイバー犯罪相談窓口） | 最寄りの都道府県警 | 犯罪被害の場合 |
| 個人情報保護委員会 | ppc.go.jp | 個人情報漏えいの場合（速報3〜5日以内） |
| IPA（情報セキュリティ安心相談窓口） | 03-5978-7509 | 技術的な相談 |
| JPCERT/CC | jpcert.or.jp | インシデント報告 |
| 契約中のセキュリティベンダー | — | 技術支援が必要な場合 |
| 顧問弁護士 | — | 法的対応が必要な場合 |
| サイバー保険の保険会社 | — | 保険金請求時 |
ステップ4：ツールの整備（1〜2週間）
| ツール | 目的 | コスト |
|---|---|---|
| EDR | インシデント検知・隔離 | 月500〜1,000円/台 |
| ログ管理 | 証拠保全・原因分析 | 月3万〜10万円 |
| バックアップ | データ復旧 | 月3万〜10万円 |
| 連絡ツール | 緊急連絡（メール不可時） | Slack/Teams（既存利用） |
| インシデント管理 | 対応記録 | Excel/Notionで十分 |
ステップ5：訓練の実施（半日/年2回）
訓練シナリオ例： 「月曜朝、全社のPCに身代金画面が表示された」
| 時間 | 内容 |
|---|---|
| 0分 | シナリオ発表 |
| 5分 | 技術担当：ネットワーク遮断の判断 |
| 10分 | CSIRT責任者：インシデント宣言 |
| 15分 | 連絡担当：連絡フローの実行（模擬） |
| 30分 | 全員：振り返り、手順書の改善点洗い出し |
CSIRT構築、専門家と一緒に進めませんか？
体制設計からインシデント対応手順書の作成、訓練の実施まで、中小企業のCSIRT構築をワンストップで支援します。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
外部リソースの活用
社内だけでCSIRTを運営するのが難しい場合、外部サービスを活用する。
| サービス | 内容 | 費用目安 |
|---|---|---|
| SOC（セキュリティ監視サービス） | 24/365のセキュリティ監視 | 月10万〜30万円 |
| インシデント対応支援 | 有事の際の技術支援 | スポット50万〜200万円 |
| CSIRT構築コンサルティング | 体制設計・手順書作成・訓練 | 50万〜150万円 |
| サイバー保険 | インシデント時の費用補償 | 年10万〜50万円 |
補助金の活用
| 補助金 | 対象 | 補助率 |
|---|---|---|
| デジタル化・AI導入補助金（セキュリティ枠） | EDR、ログ管理ツール | 1/2 |
| IPA サイバーセキュリティお助け隊 | 中小企業向けセキュリティサービス | 一部補助 |
まとめ
| 項目 | ポイント |
|---|---|
| 最小体制 | 3名（全員兼任でOK） |
| 構築期間 | 最短1週間 |
| 最重要成果物 | インシデント対応手順書 + 連絡先リスト |
| 訓練 | 年2回、30分のシナリオ訓練 |
| 外部活用 | SOC、インシデント対応支援、サイバー保険 |
セキュリティ体制の構築、まずは現状診断から
CSIRT構築から運用支援、訓練実施まで、中小企業に特化したセキュリティ体制の構築を支援しています。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
GXO実務追記: システム開発・DX投資で発注前に確認すべきこと
この記事のテーマは、単なるトレンド紹介ではなく、要件定義、費用、開発体制、ベンダー選定、保守運用を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。
まず決めるべき3つの論点
| 論点 | 確認する内容 | 未整理のまま進めた場合のリスク |
|---|---|---|
| 目的 | 売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか | 成果指標が曖昧になり、PoCや開発が終わっても投資判断できない |
| 範囲 | 対象部署、対象業務、対象データ、対象システムをどこまで含めるか | 見積もりが膨らむ、または重要な連携が後から漏れる |
| 体制 | 自社責任者、現場担当、ベンダー、保守運用者をどう置くか | 要件確認が遅れ、納期遅延や品質低下につながる |
費用・期間・体制の目安
| フェーズ | 期間目安 | 主な成果物 | GXOが見るポイント |
|---|---|---|---|
| 事前診断 | 1〜2週間 | 課題整理、現行確認、投資判断メモ | 目的と範囲が商談前に整理されているか |
| 要件定義 / 設計 | 3〜6週間 | 要件一覧、RFP、概算見積、ロードマップ | 見積比較できる粒度になっているか |
| PoC / MVP | 1〜3ヶ月 | 検証環境、効果測定、リスク評価 | 本番化判断に必要な数値が取れるか |
| 本番導入 | 3〜6ヶ月 | 本番環境、運用設計、教育、改善計画 | 導入後の運用責任と改善サイクルがあるか |
発注前チェックリスト
- [ ] 発注前に目的、対象業務、利用者、現行課題を1枚に整理したか
- [ ] 必須要件、将来要件、今回はやらない要件を分けたか
- [ ] 見積比較で、開発費だけでなく保守費、運用費、追加改修費を見たか
- [ ] ベンダー選定で、体制、実績、品質管理、セキュリティ、引継ぎ条件を確認したか
- [ ] 検収条件を機能、性能、セキュリティ、ドキュメントで定義したか
- [ ] リリース後3ヶ月の改善運用と責任分界を決めたか
参考にすべき一次情報・公的情報
上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。
GXOに相談するタイミング
次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。
- 見積もり依頼前に、要件やRFPの粒度を整えたい
- 既存ベンダーの提案が妥当か第三者視点で確認したい
- 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
- 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
- PoCや診断で終わらせず、本番導入と運用改善まで進めたい
中小企業CSIRT構築ガイド｜最小3名体制でインシデント対応力を強化する方法【2026年版】を自社条件で診断したい方へ
GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。
※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。