中小企業のCSIRT構築｜人数より初動・証拠保全・外部連携を決める

CSIRTは、最小何名で作れるかではなく、事故発生時に誰が何を判断するかを決める体制である。 旧版にあった人数、法令施行日、費用、補助制度の断定は、企業規模・業種・法令対象で変わるため撤回する。

NIST Cybersecurity Frameworkは、識別、防御、検知、対応、復旧という機能でサイバーリスク管理を整理している。中小企業のCSIRTも、検知後の対応だけでなく、復旧と再発防止まで含めて設計する。

CSIRTで決める役割

兼任体制でも構わないが、発生時に連絡がつかない、権限がない、証拠を消す、という状態は避ける。

初動でやること

ランサムウェアやハッキング後は、急いで初期化すると原因調査ができなくなる。復旧と証拠保全のバランスを取る必要がある。

ハッキングされたサイトで最初に見るもの

Webサイトの復旧では、表示を戻すだけでは足りない。侵入口が残れば再改ざんされる。GXOでは、暫定公開、証拠保全、脆弱性修正、監視追加、保守契約の順に分け、急ぎの復旧と恒久対策を混ぜない。

訓練で確認する質問

机上訓練では、難しいシナリオよりも連絡と判断の詰まりを見つける。休日にECサイトが改ざんされたら誰が止めるのか、顧客データ流出の可能性を誰が判断するのか、取引先への第一報を誰が書くのかを確認する。

この訓練は、セキュリティ運用伴走の初月メニューにしやすい。毎月、ログ確認、復旧手順、権限、バックアップ、外部連絡先を見直せば、事故が起きてから高額な緊急対応に頼る状態を減らせる。

復旧計画で分ける判断

復旧では、業務再開、原因調査、対外説明、恒久対策を同時に進める必要がある。ただし、全てを同じ担当者に任せると判断が詰まる。業務再開は経営と業務部門、原因調査は技術担当と外部専門家、対外説明は経営・法務・広報、恒久対策はITと開発担当に分ける。

中小企業では、専任CSIRTを置くよりも、外部の復旧チームを呼べる状態を作る方が現実的な場合がある。GXOは、サイト改ざん、認証情報漏えい、バックアップ不備、レガシーサーバー障害を入口に、復旧後の月額監視と保守へつなげる。

相談前に整理するポイント

CSIRT構築は、ハッキングされたサイト、障害復旧、レガシー刷新、セキュリティ運用伴走へつながりやすい。GXOでは、初月の体制診断から月額運用へ段階化する。

相談前に用意すると早い資料

• システム一覧、サイト一覧、外部ベンダー一覧
• 管理者アカウント、ログ、バックアップの管理状況
• 過去の障害、マルウェア、改ざん、フィッシング履歴
• 緊急連絡網、経営判断者、顧問先
• 取引先や顧客への連絡が必要な条件

CSIRTを、初動・復旧・再発防止まで現実的に整えたい方へ

GXOは、CSIRT簡易診断、インシデント復旧、ハッキング後対応、セキュリティ運用伴走、レガシー刷新まで支援します。

CSIRT・復旧を相談する

公式情報・確認日

• NIST Cybersecurity Framework（確認日: 2026年7月1日）: https://www.nist.gov/cyberframework
• CISA Incident Response（確認日: 2026年7月1日）: https://www.cisa.gov/resources-tools/resources/incident-response

関連記事

• セキュリティ運用伴走
• レガシーシステム刷新
• DX・システム開発
• CSIRT・復旧を相談