「封じ込め」の概要

攻撃や被害がこれ以上広がらないように、感染した端末をネットワークから切り離したり、乗っ取られたアカウントを止めたりする対応です。

原因の除去や復旧の前に行う「被害の拡大を止める」段階です。ただし、むやみに電源を切ったりデータを消したりすると、後の調査に必要な証拠が失われます。業務への影響も大きいため、どこまで止めるかは技術担当者だけでなく、業務の責任者も含めて判断します。

要点

• 応急処置としての短期の封じ込めと、原因除去までの長期の封じ込めがあります。
• どこまでシステムを止めるかは、業務への影響を踏まえた経営判断になります。
• 証拠を残しながら進めることが重要です。

短期と長期の封じ込め

種類	目的	例
短期	今すぐ拡大を止める	端末のネットワークからの切り離し、パスワードの変更
長期	原因を除去するまで安全に業務を続ける	一時的な設定変更、代替システムへの切り替え

経営判断が必要な理由

サーバー全体を止めれば被害は止まりますが、業務も止まります。病院では診療、工場では生産、小売では販売に直結します。封じ込めの範囲は、技術担当者だけでなく、業務への影響を判断できる経営層が決める事項です。

証拠の保全との両立

端末の初期化や再起動は、侵入経路や被害範囲の調査に必要な情報を消すことがあります。封じ込めの前に、フォレンジック調査会社や保守ベンダーに手順を確認するのが望ましい対応です。

実務のポイント

• 「切り離す」範囲の判断基準を、業務部門と事前に合意しておきます。
• 封じ込めの判断者と実施時刻を記録します。
• 業務を止める場合は、BCPの代替手段と同時に発動します。

GuardPlanでできること

封じ込めの技術的な作業は、情報システム部門や保守ベンダーが行います。GuardPlanは、業務を止めるかどうかといった封じ込めに伴う判断を、承認の記録として残すことを支援します。技術の作業と組織の判断を並行して追えるため、対策本部が全体の状況を把握しやすくなります。

関連用語

• 初動対応
• 復旧
• フォレンジック（デジタル・フォレンジック）
• BCP（事業継続計画）

参考資料

• NIST SP 800-61 Rev. 3「Incident Response Recommendations and Considerations for Cybersecurity Risk Management」

執筆：GuardPlan編集部　最終更新日：2026年11月4日

← 用語集トップへ戻る