「インシデントレスポンス」の概要

サイバー攻撃や情報漏えいが起きたときに、被害を止め、システムを元に戻し、必要な相手に報告し、同じことが起きないよう改善するまでの、組織としての一連の対応のことです。

インシデントレスポンスというと、ウイルスの駆除やシステムの復旧といった技術的な作業を思い浮かべがちです。実際の事故では、それと同時に「業務を止めるか」「誰に、いつ報告するか」「公表するか」といった経営の判断が次々に必要になります。技術の対応と組織の対応の両方がそろって、初めてインシデントレスポンスが成り立ちます。

要点

• 技術的な対応（調査・封じ込め・復旧）と、組織としての対応（経営判断・報告・説明）の2つで成り立ちます。
• 米国国立標準技術研究所（NIST）の SP 800-61 が、国際的な手引きとして広く参照されています。
• 日本では、個人情報保護法の報告期限など、法令上の義務が対応の流れに組み込まれます。

インシデントレスポンスの流れ

NIST SP 800-61 第2版は、対応を「準備」「検知と分析」「封じ込め・根絶・復旧」「事後対応」の4段階で示してきました。2025年に公開された第3版は、組織全体のリスク管理の枠組みである「サイバーセキュリティフレームワーク（CSF）2.0」に合わせ、平時の統治や準備を含めた活動として整理し直しています。

段階	主な活動	主に担う人
準備	インシデント対応計画とプレイブックの整備、机上演習	経営層、CSIRT
検知と分析	異常の発見、トリアージ、影響範囲の見極め	情報システム部門、SOC
封じ込め・根絶・復旧	封じ込め、原因の除去、復旧	情報システム部門、保守ベンダー、フォレンジック調査会社
事後対応	事後レビュー、再発防止策の実施	全関係部署

技術対応と組織対応の違い

	技術対応	組織対応
目的	攻撃を止め、システムを元に戻す	組織として正しく判断し、説明責任を果たす
主な作業	ログ調査、端末の隔離、マルウェアの除去	対策本部の設置、監督官庁への報告、本人通知、公表
担い手	情報システム部門、外部の専門会社	経営層、法務、広報、現場部門、インシデント・コマンダー

日本の法令との関係

個人データの漏えい等のうち、要配慮個人情報を含むもの、不正の目的をもって行われたおそれがあるもの、本人の数が1,000人を超えるものなどは、個人情報保護委員会への報告が義務づけられています（個人情報保護法26条1項）。報告は速報・確報の2段階で行うため、インシデントレスポンスの計画には、技術的な手順と並んで法令上の期限を組み込む必要があります。

実務のポイント

• 最初に指揮役を決めます。技術担当者が調整まで兼ねると、経営層への報告や期限の管理が遅れます。
• 発覚の日時を記録します。報告期限は「事態を知った時点」から数えるため、最初の記録が後の説明の根拠になります。
• 技術調査の結論を待たずに判断します。わかっていることと、わかっていないことを分けて報告します。

GuardPlanでできること

GuardPlanは、インシデントレスポンスのうち組織としての対応を支援します。事故の内容に応じたタスクの提示、役割の割り当て、法令上の期限の管理、承認の記録を一つの画面で扱います。価値は対応の速さだけではありません。経営層、法務、広報、現場の連携を整え、判断の経緯を記録として残すことで、説明責任を果たせる対応につなげます。検知や技術的な復旧は、専門の製品や事業者と組み合わせて進めます。

関連用語

• インシデント対応計画
• 初動対応
• CSIRT（シーサート）
• CIRM（サイバーインシデント対応管理）

参考資料

• NIST SP 800-61 Rev. 3「Incident Response Recommendations and Considerations for Cybersecurity Risk Management」
• NIST「Cybersecurity Framework 2.0」
• 個人情報の保護に関する法律（e-Gov法令検索）
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver 3.0」

執筆：GuardPlan編集部　最終更新日：2026年11月4日

← 用語集トップへ戻る