インシデント対応フロー完全ガイド2026｜検知から報告までの手順・テンプレート・チェックリスト

ランサムウェアで基幹サーバーが暗号化された。取引先から「御社から不審なメールが届いている」と連絡が来た。情シス担当が「なんか変です」と青ざめて駆け込んできた——こうした瞬間に、対応の巧拙が被害額と信用を左右する。多くの中小企業がつまずくのは、攻撃そのものより「発生直後に何を、どの順番でやるか」が決まっていないことだ。慌てて再起動して証拠を消し、良かれと思って自分で復旧して被害を広げ、報告の期限を知らずに法令違反まで積み上げてしまう。

本記事は、セキュリティインシデントの対応を「検知→初動→封じ込め→根絶→復旧→報告→事後」という一本のフローに落とし込み、各段階で「誰が・何を・どの順で」やるかをテンプレートとチェックリストで手順化したものだ。IT専任者がいない、あるいは兼任情シス1人という体制を前提に、平時の備えから有事の判断軸までをまとめている。なお、報告義務の有無を細かく判定する手順は姉妹記事のインシデント発生時の報告チェックリストで扱っているため、本記事は「対応フロー全体をどう回すか」に主眼を置く。

---

この記事を読むべき人

• 情シス専任がいない、または兼任1人で「有事に何をすべきか」が言語化できていない中小企業の経営者・管理部長
• インシデント対応手順書をこれから作りたい、あるいは既存の手順書が形骸化している担当者
• ランサムウェアや不正アクセスの報道を見て「うちで起きたら誰が動くのか」が不安になった実務決裁者
• ベンダーやSOCに監視は委託しているが、「有事に自社側で何を判断するのか」が曖昧なまま契約している方

---

結論：発生直後にやることと、フロー全体の要点

細部に入る前に、この記事の結論を先に置く。

• インシデント対応は6〜7段階の一本道で回す。 「検知→初動→封じ込め→根絶→復旧→報告→事後分析」。この順序を体に入れておくだけで、パニック時の判断ミスが激減する。
• 勝敗を分けるのは最初の30分。 「ネットワークから切り離す」「電源は切らずに証拠を残す」「決めた人に電話する」の3点を、発見者が自己判断で復旧しようとせずに実行できるかどうか。
• 報告には法令上の期限がある。 個人データの漏えい等が報告対象に当たる場合、個人情報保護委員会への速報は「概ね3〜5日以内」、確報は「30日以内（不正目的による場合は60日以内）」。知らなかったでは済まない(個人情報保護委員会)。
• フローは平時に作って初めて機能する。 有事に「手順書を探す」時点で負けている。連絡先リスト、役割分担、証拠保全の方法を先に決め、年数回の机上訓練で回しておく。
• 中小企業でも最小3名で回せる。 CSIRTは大企業だけのものではない。全員兼任でよいので「誰が何をするか」を先に決める。

以下、この結論を段階ごとに手順化していく。

---

発見者が最初の30分にやること（初動チェックリスト）

検知の第一報を受けた人、あるいは異常に気づいた本人が最初の30分で行う動作を、優先順位順に整理する。この表は印刷して各拠点に貼っておく前提で作った。

初動でありがちな失敗を先に潰しておく。

• 良かれと思って再起動・電源断をする。 メモリ上にしか残らない痕跡やランサムウェアの挙動情報が消え、原因特定と復旧判断が困難になる。「切り離す」と「切る（電源）」は別物で、やるのは前者だけだ。
• 発見者が自分で駆除・復旧を試みる。 感染が横に広がる、証拠が上書きされる、暗号化が進行する。技術力の問題ではなく、順序の問題として「発見者は復旧しない」を鉄則にする。
• 第一報をメールやチャットで送る。 メールサーバーやアカウントが侵害されている前提で動くべきで、盗み見される可能性がある経路は初動から避ける。電話や別回線を連絡手段に決めておく。
• 「大したことないだろう」と様子見する。 迷ったらインシデントとして扱う。空振りのコストは小さく、見逃しのコストは事業を揺るがす。

この4つは、競合記事の多くが「証拠保全が大事」と一言で済ませている部分だ。実務では「何をやってはいけないか」を先に共有しておくほうが、パニック時の被害を防げる。

---

インシデント対応フロー全体像（検知から事後まで）

対応の骨格は次の一本道だ。各段階のゴールを明確にしておくと、「今どこにいて、次に何を満たせば前に進めるか」が判断できる。

検知 → 初動対応 → 封じ込め → 根絶 → 復旧 → 報告 → 事後分析

検知：異常を「インシデント」として拾う

EDRやSIEMのアラート、従業員からの「ファイルが開けない」「見覚えのない画面が出た」という報告、取引先やJPCERT/CCなど外部からの通報——検知の入口は複数ある。重要なのは、どの入口から入っても最終的に同じ責任者へ集約される「報告ルート」が一本決まっていることだ。中小企業のインシデントは、高価な監視ツールより「現場の違和感が正しい人にすぐ届く導線」で早期発見されることが多い。

初動対応：止血と証拠保全を切り分ける

初動の要諦は、「被害拡大を止める」ことと「証拠を残す」ことを両立させることだ。この二つは時に相反する。急いで止めようとすると証拠を壊し、証拠に気を取られると被害が広がる。だからこそ順序が決まっている必要がある。まずネットワークから隔離して拡大を止め、電源は落とさず、対応の全記録をタイムスタンプ付きで開始する。SQATやサイバーセキュリティ総研といった専門メディアも「止める」と「残す」の分離を対応フローの核心として挙げており、実務での最頻出の失敗点であることがうかがえる(SQAT.jp)。

封じ込め：横展開を完全に止める

初動が「まず1台」だとすれば、封じ込めは「面」で止める段階だ。感染経路の特定と遮断、侵害された可能性のあるアカウントの無効化とパスワードリセット、ファイアウォールルールの変更、被害を受けていないシステムの監視強化を行う。ここで一部の端末だけを隔離して安心すると、ドメイン管理者権限を奪われている場合などに一晩で全社へ広がる。「どこまで侵害されたか不明なら、侵害された前提で広めに封じる」が原則になる。

根絶：原因を残さない

マルウェアの駆除、侵入経路となった脆弱性や設定不備の修正、全システムのスキャン、バックドアの有無確認を行う。ここを飛ばして復旧を急ぐと、原因が残ったまま業務を再開して再侵害される。攻撃者が正規アカウントを乗っ取っている場合、マルウェアを消しても入口が空いたままになりやすい。「入口をふさいだと言い切れるか」を根絶完了の判定基準にする。

復旧：安全を確認してから戻す

クリーンだと確認できたバックアップからの復元、重要度の高いシステムからの段階的復旧、復旧後の正常性テスト、監視の継続。ここでの典型的な失敗は、汚染された時点のバックアップから戻して再び感染することだ。バックアップが暗号化・改ざんされていないか、いつ時点のものかを必ず確認する。オフラインまたはイミュータブル（変更不可）なバックアップを平時から持っているかが、この段階の成否を決める。

報告：期限を外さない（詳細は次章）

法令・契約・業法上の報告義務を、期限内に、正しい相手へ果たす。ここは知識がないと確実に事故る領域なので、章を分けて扱う。

事後分析：学習を組織に残す

ポストモーテムで事実を整理し、根本原因を分析し、再発防止策と手順書更新まで持っていく。詳細は後半の章で扱う。

---

報告義務と期限：フローのどこで、誰に報告するか

競合上位のフロー解説記事の最大の弱点は、報告について「関係機関に連絡する」で止まっていて、法令上の期限と対象を明示していないことだ。ここが実務で最も事故る箇所なので、一次情報で押さえる。

個人データの漏えい等：報告対象と期限

個人情報保護委員会は、個人データの漏えい等について、次のいずれかに当たる場合を報告対象と定めている（要約）。

• 要配慮個人情報（病歴・信条など）が含まれる漏えい等
• 財産的被害が生じるおそれがある漏えい等（クレジットカード番号の流出など）
• 不正の目的による行為による漏えい等（不正アクセス・持ち出しなど）
• 1,000人を超える本人に係る漏えい等

これらに該当する場合、報告は二段階で行う。

出典は個人情報保護委員会「漏えい等報告・本人への通知の義務化について」。ここで注意したいのは、確報の期限は一律30日ではなく、不正目的による漏えい等は60日という点だ。ランサムウェアや不正アクセスによる漏えいは「不正の目的」に該当する典型例で、この場合の確報期限は60日側になる。速報・確報とは別に、原則として本人への通知義務もある。

なお、報告対象に当たるかどうか（個人情報の種類・件数・不正アクセスの有無・業法・契約条件で変わる）を発生直後に判定する具体手順は、姉妹記事の報告先の切り分けチェックリストにまとめてある。本記事の役割は「フローのどの段階で報告フェーズに入るか」を示すことなので、判定ロジックの詳細はそちらに譲る。

主な報告・相談先の使い分け

2026年は制度面の動きも大きい。基幹インフラ等を対象にサイバー攻撃の報告義務を課す方向の法制度（いわゆる能動的サイバー防御関連法）の段階的施行が進んでおり、報告窓口の一元化も議論されている。自社が対象業種かどうか、施行時期はいつかは、二次報道ではなく所管省庁・委員会の一次情報で必ず確認してほしい。本記事執筆時点で細部が未確定な部分があるため、ここでは断定を避ける。

---

72時間タイムラインと段階別チェックリスト

フローとチェックリストをつなぐために、発生から72時間を時間軸で並べる。時間はあくまで目安で、規模や被害で前後する。競合記事の多くは段階を並べるだけで「何時間以内に次へ」の目安がないため、ここは差別化点になる。

0〜1時間：初動

• 被害端末をネットワークから隔離した（電源は切っていない）
• 画面撮影・状況メモで証拠を保全した
• 決めた責任者へ電話で第一報を入れた
• インシデント宣言を行い対応チームを招集した
• タイムスタンプ付きの対応記録を開始した
• メール以外の連絡手段を確保した

1〜4時間：被害範囲の特定

• 影響を受けたシステム一覧を作成した
• 影響データの種類と概算件数を把握した
• 個人データ漏えいの可能性を評価した（報告対象の当たり付け）
• 攻撃種別を暫定特定した（ランサム／不正アクセス等）
• 感染経路の調査を開始した

4〜24時間：封じ込めと初期報告

• 感染経路を特定し遮断した
• 侵害された可能性のあるアカウントをリセットした
• 外部報告の要否を判断し、必要なら速報準備に入った
• 経営層へ状況報告を行った
• 取引先影響があれば通知準備を始めた
• サイバー保険会社に連絡した

24〜48時間：根絶と復旧準備

• マルウェアの完全駆除・バックドア有無を確認した
• 侵入経路の脆弱性・設定不備を修正した
• 復旧計画（優先順位・手順・確認項目）を策定した
• フォレンジック調査の要否を判断した
• バックアップの健全性（暗号化・改ざんの有無）を確認した

48〜72時間：復旧と報告

• クリーンなバックアップから段階的に復旧した
• 復旧後の正常性を確認した
• 個人情報保護委員会への速報を提出した（対象の場合・未提出なら）
• 社内・関係者へ経過報告を行った
• 監視を強化し再発兆候を確認した

---

インシデント対応記録・報告書テンプレート

報告書は速報と確報の二段構えで作る。ゼロから書くと抜けが出るので、埋めるだけの型を用意しておく。以下はコピーして自社の管理番号体系に合わせて使う想定だ。

速報テンプレート（概ね3〜5日以内）

■ インシデント速報
報告日時：____/__/__ __:__
報告者：______（所属：______）　管理番号：INC-____-____

1. 概要
   検知日時：____/__/__ __:__
   種別：□ランサムウェア □不正アクセス □情報漏えい □マルウェア感染
         □Web改ざん □DoS □内部不正 □その他(____)
   現状：□対応中 □封じ込め完了 □復旧中

2. 影響範囲（判明分）
   対象システム：______
   データ種類：□個人データ □機密情報 □業務データ
   推定件数：約____件　二次被害：□あり □なし □調査中

3. 初動状況
   □ネットワーク隔離済 □証拠保全済 □感染経路調査中 □関係者連絡済

4. 外部報告
   個人情報保護委員会：□済 □予定 □該当なし
   警察：□相談済 □予定 □該当なし　所管省庁：□済 □予定 □該当なし

5. 今後の対応予定：______

確報テンプレート（30日以内／不正目的は60日以内）

■ インシデント確報
報告日時：____/__/__　管理番号：INC-____-____

1. 概要（発生／検知／収束日時・種別）
2. 被害詳細（対象システム・漏えい／毀損データ・確定件数・二次被害）
3. 原因分析（直接原因・根本原因・侵入経路）
4. 対応タイムライン（分単位）
5. 再発防止策（短期＝実施済／中期＝1か月／長期＝3か月）
6. 外部報告状況（委員会・警察・取引先・本人通知）

報告書作成の判断軸

• 事実と推測を分ける。 「〜と考えられる」「調査中」を明示し、確定していないことを確定的に書かない。後で覆ると信用を失う。
• タイムラインは分単位で。 対応が適切だった証拠になり、法的・保険的にも効いてくる。
• 読み手を想定する。 経営層・取引先・監督官庁が読む。専門用語を最小化し、意思決定に必要な情報を先頭へ置く。

---

CSIRTがない中小企業の最小体制（3名から作る）

「CSIRTは大企業の話」という思い込みが、実は最大のリスクだ。必要なのは専門部署ではなく、「誰が何をするか」の事前の取り決めである。最小3名、全員兼任で始められる。

最短1週間で立ち上げる5ステップ

1. メンバー任命と役割定義（1日）：3名を任命し役割を文書化する。
2. 対応手順書の作成（2〜3日）：本記事のフローとチェックリストを自社版にする。
3. 連絡先リスト整備（半日）：警察、個人情報保護委員会、IPA、JPCERT/CC、セキュリティベンダー、顧問弁護士、サイバー保険会社を一覧化。
4. ツール整備（1〜2週間）：EDR、ログ管理、バックアップ、緊急連絡手段。
5. 訓練（半日・年2回）：「月曜朝、全PCに身代金画面が出た」等のシナリオで30分の机上訓練。

有事に外部の力が要る場面も多い。SOC（監視）、有事のインシデント対応支援（スポット）、CSIRT構築支援、サイバー保険といった外部リソースは市場に存在するが、費用は提供範囲・企業規模で大きく変わる。ここで具体的な金額を鵜呑みにせず、複数社に「何が含まれ、何が別料金か」を必ず見積比較してほしい。金額の数字だけで選ぶと、有事に「それは契約外です」で動いてもらえないという典型的な失敗に陥る。

---

外部ベンダー・支援を選ぶときに聞くべきこと

有事対応の巧拙は、平時のベンダー選びでほぼ決まる。契約前に次を確認しておくと、いざというときに機能する。GXOがセキュリティ運用の相談で必ず整理するポイントでもある。

• 一次受けの窓口と初動SLAはどうなっているか。 「深夜・休日に電話して何分で誰が動くか」を契約書レベルで確認する。
• どこまでが月額・顧問の範囲で、どこからスポット費用か。 監視だけで対応は別料金、という切り分けを事前に把握する。
• 証拠保全・フォレンジックを自前でやるのか外注か。 外注なら提携先と着手までの時間を確認する。
• 報告支援の範囲。 個人情報保護委員会への報告文面や本人通知の文案まで手伝えるのか、技術対応だけなのか。
• 平時の備え（手順書・訓練・棚卸）まで見てくれるか。 有事だけの契約は、有事に初めて連携するため機能しづらい。

自社の現状（ログの取得状況、権限設計、資産棚卸、運用体制）を棚卸しして優先順位を付け直したいなら、GXOのセキュリティ体制の再構築で、検知・監視から復旧・ガバナンスまでを一枚に整理するところから始められる。日々の脆弱性対応やEOL対応、棚卸を情シス1人体制でも回す分担づくりが必要なら月額のセキュリティ顧問（リテイナー）が向く。「そもそも今の体制で有事に耐えられるのか」を投資前に第三者の目で見極めたい場合は、導入前の第三者アセスメントで30分の壁打ちから現状を棚卸しできる。

---

ポストモーテム（事後分析）の進め方

事後分析は「犯人探し」ではなく、組織が同じ失敗を繰り返さないための学習プロセスだ。ここを飛ばすと、同種のインシデントを何度も食らう。

1. 事実の整理：全タイムラインを「いつ・何が起き・誰が・何をしたか」で時系列化する。
2. 根本原因分析：「なぜ」を5回繰り返し、直接原因（脆弱性）だけでなく根本原因（プロセス不備・教育不足）まで掘る。
3. 良かった点・改善点：うまくいったことも記録し、次に活かす。判断に迷った箇所を特定する。
4. 再発防止策：短期（実施済）・中期（1か月）・長期（3か月）で区分し、期限と担当を付ける。
5. 手順書・体制の更新：教訓を手順書・連絡先リスト・訓練シナリオに反映する。

進め方の注意点は次の通りだ。非難しない文化を徹底し、個人の責任追及ではなく仕組みの改善に焦点を当てる。記憶が新しい収束後1〜2週間以内に実施する。技術担当だけでなく経営層・連絡担当まで全関係者が参加する。結果を文書化し、他拠点・他部門の学習材料として共有する。

---

平時の備えチェックリスト（有事の前にここで差がつく）

フローが機能するかどうかは、9割が平時に決まる。次を満たしているか、四半期に一度は棚卸ししてほしい。

• インシデント対応手順書があり、最新化されている
• 責任者・技術担当・連絡記録担当の役割が文書化されている
• 連絡先リスト（社内外・監督官庁・保険）が最新で、電話が通じる
• メール以外の緊急連絡手段が決まっている
• バックアップがオフライン／イミュータブルで、復元テストをしている
• ログの保存期間が十分（最低180日を推奨）確保されている
• 個人データ漏えい時の報告フロー・期限を担当者が把握している
• 年2回以上、机上訓練を実施している
• サイバー保険の補償範囲と連絡手順を把握している

中小企業向けの実装の手引きとしては、IPAが2026年6月に公開した「中小企業のためのセキュリティインシデント対応の手引き（IPA 中小企業の情報セキュリティ対策ガイドライン付録）」が新しく、自社の手順書づくりの下敷きにできる。JPCERT/CCの「インシデントハンドリングマニュアル」も、技術対応の標準的な流れを押さえるのに有用だ。まさに今このタイミングで手順を整えておく価値がある——公的機関が中小企業向けの手引きを最新化しているのは、それだけ中小企業のインシデントが増えている裏返しでもある。

---

FAQ（よくある質問）

Q. インシデントかどうか判断がつかないときは？

迷ったら「インシデントとして扱う」が鉄則。空振りのコストは小さく、見逃しの被害は甚大だ。責任者に第一報を入れ、判断を仰ぐ。

Q. ランサムウェアの身代金は払うべき？

原則として支払うべきではない。復号キーが提供される保証はなく、犯罪組織への資金提供になり得る。バックアップからの復旧を最優先し、警察や専門家に相談する。

Q. ログが残っていない場合は？

原因特定は難しくなるが、できる範囲で対応する。フォレンジック業者に相談し、残存データから可能な限り情報を抽出する。今後に向けてアクセスログの保存期間を最低180日に設定することを強く勧める。

Q. 取引先にはいつ通知する？

取引先データに影響があるなら速やかに。範囲が確定していなくても「調査中であること」と「現時点で判明していること」を伝える。遅れた通知は信頼を大きく損なう。

Q. 個人情報保護委員会への確報は何日以内？

原則30日以内。ただし不正の目的による漏えい等（不正アクセス・ランサムウェア等が典型）は60日以内。速報は別途、概ね3〜5日以内に必要(個人情報保護委員会)。自社が報告対象に当たるかの判定は報告チェックリストを参照。

Q. 中小企業でもフォレンジック調査は必要？

個人データ漏えいが疑われる、被害範囲が不明といった場合は強く推奨する。費用は規模・内容で幅があるが、サイバー保険でカバーされるケースも多く、報告書の根拠としても重要になる。

---

GXOに相談すべきタイミング

次のいずれかに当てはまるなら、有事になる前に相談したほうがいい。

• インシデント対応手順書がない、あるいは作ったきり形骸化している
• 「有事に誰が何を判断するか」が言語化できていない
• 監視は委託しているが、自社側の初動と報告の役割が曖昧
• ログ・バックアップ・権限設計が今のままで耐えられるか不安
• 過去にヒヤリとした事案があり、体制を見直したい

GXOは、現状のリスク・ログ・権限・運用体制を整理し、優先順位の高いところからセキュリティ体制の再構築を伴走する。日々の運用を回す体制が要るなら月額のセキュリティ顧問、投資前に第三者の目で棚卸ししたいなら導入前アセスメントから着手できる。「うちで起きたら誰が動くのか」に即答できない今こそが、手を打つべきタイミングだ。