「初動対応」の概要

インシデントに気づいてから最初の数時間に行う対応のことです。被害を広げないための応急処置、関係者への連絡、状況の記録が中心です。

初動での判断の誤り（感染した端末の電源を切って証拠を消してしまう、連絡が遅れて報告期限に間に合わないなど）は、後から取り戻すのが難しいため、手順を事前に決めておくことが重要です。

要点

• 初動の判断と記録が、被害の大きさと原因調査のしやすさを左右します。
• 端末の初期化や電源断は、原因調査に必要な証拠を消すおそれがあります。
• 報告期限は事態を知った時点から進むため、初動から時刻付きの記録が必要です。

初動で行う5つのこと

項目	内容
拡大の防止	感染が疑われる端末をネットワークから切り離す。不審なアカウントを停止する
証拠の保全	電源を切らず、画面やログを保存する。外部専門家の指示を待つ
第一報	緊急連絡網に従い、情報システム部門と責任者に報告する
記録の開始	いつ、誰が、何に気づき、何をしたかを時刻付きで残す
指揮役の決定	インシデント・コマンダーを決め、対策本部の要否を判断する

よくある失敗

• 「念のため」端末を初期化し、侵入経路の調査ができなくなる。
• 担当者が一人で抱え込み、経営層への報告が遅れる。
• 発覚日時が記録されておらず、報告期限の起算日を説明できない。

具体例

病院で電子カルテの端末に脅迫文が表示された場合、当直者は端末のLANケーブルを抜き、画面を撮影し、緊急連絡網に従って情報システム担当と事務長に連絡します。事務長は指揮役として、対策本部の設置と外部専門家への連絡を判断します。

実務のポイント

• 初動の手順は1枚にまとめ、紙でも保管します。社内システムが止まっても参照できるようにします。
• 「切り離す」と「電源を切る」は違う操作であることを、全職員に周知します。
• 第一報は不確かな内容でも構いません。確認を待たずに上げる運用にします。

GuardPlanでできること

GuardPlanは、事故の報告を受けた時点で、AIによる聞き取りを通じて必要な情報を集めることを支援し、最初に行うべきタスクを提示します。報告を受けた時刻と、担当者が確認した「事態を知った日時」を記録し、報告期限の管理に使います。慌ただしい初動の中でも、何を確認し、誰に連絡すべきかを担当者が見失わないようにします。

関連用語

• インシデントレスポンス（インシデント対応）
• エスカレーション
• 緊急連絡網
• インシデント・コマンダー

参考資料

• NIST SP 800-61 Rev. 3「Incident Response Recommendations and Considerations for Cybersecurity Risk Management」
• JPCERT/CC「CSIRTマテリアル」

執筆：GuardPlan編集部　最終更新日：2026年11月4日

← 用語集トップへ戻る