中小企業のインシデント対応体制（CSIRT）は、人数ではなく「役割と連絡先」で決まる。最小構成は、決める人（責任者）、情報を集めて連絡する人（窓口）、手を動かす人（技術担当）、外部につなぐ連絡先（広報・法務・弁護士・警察など）の4つである。兼任でかまわない。この記事では、IPAの手引きの流れを役割に落とし、平時の準備、外部に頼る範囲、机上演習、人が足りないときの選択肢を順に書く。
なお、本記事は一般的な情報提供であり、法的助言ではない。個人情報の漏えいが関わる場合の報告義務の判断は、漏えい等の報告義務と期限を参照し、弁護士や個人情報保護委員会の案内を確認してほしい。
結論：体制は人数より「役割と連絡先」で決まる
CSIRT（シーサート）は、インシデント対応を担う組織内のチームを指す。専用の部署を思い浮かべがちだが、中小企業では、既存の担当者が役割を兼ねる形で成り立つ。
専任を置けない前提で、何を決めておけば動けるか。それが体制づくりの出発点になる。IPAは、中小企業向けガイドラインの第4.0版（2026年3月27日公開）を改訂した理由として、ランサムウェアによる事業停止、サプライチェーン攻撃、社内の推進人材の不足を挙げていると伝えられている（出典: IPA、ipa.go.jp/pressrelease/2025/press20260327）。人が足りないことを前提に、役割を先に決めるほうが現実的である。
IPAの手引きの3段階を役割に落とす
IPAは、中小企業向けガイドラインの付録として、インシデント対応の手引きを公開している。手引きは、対応を「検知・初動」「報告・公表」「復旧・再発防止」の3段階で整理していると案内されている（出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録の手引き、2026年3月。ipa.go.jp の PDF）。この3段階を、役割に対応させると次のようになる。
| 段階 | 起きること | 主に動く役割 |
|---|---|---|
| 検知・初動 | 異常に気づく。被害を広げない。証拠を残す | 技術担当、窓口 |
| 報告・公表 | 社内、取引先、本人、関係機関へ連絡する。公表の判断をする | 責任者、窓口、広報／法務 |
| 復旧・再発防止 | システムを復旧する。原因を分析し、対策を見直す | 技術担当、責任者 |
個人情報が関わる事案では、個人情報保護委員会への報告に速報と確報の期限があり、期限は事態を知った時点から進むと案内されている（出典: 個人情報保護委員会 ppc.go.jp/legal/rouei）。期限の管理は窓口の仕事にしておく。要件の詳細は、漏えい等の報告義務と期限に書く。初動の中身は個人情報漏えいが起きたらにまとめた。
国際的な資料でも、対応を平時の備えと切り離さない考え方が示されている。米国のNISTが2025年4月に公開した SP 800-61 Rev.3 は、インシデント対応を、サイバーセキュリティのリスク管理の一部として位置づけている（出典: NIST SP 800-61 Rev.3、2025-04。nvlpubs.nist.gov の PDF）。事故が起きてからの作業としてだけ扱わず、平時の準備と一体で考える、ということである。
最小構成：責任者・窓口・技術担当・広報／法務の連絡先
最小構成は、次の4つの役割である。
| 役割 | 担うこと | 兼任の目安 |
|---|---|---|
| 責任者 | 事業への影響を見て、業務を止めるか、外部の専門家を入れるか、公表をどうするかを決める | 経営者か役員。不在時の代理も決める |
| 窓口 | 情報の集約と記録。社内外への連絡の一本化。報告の期限の管理 | 総務や情シスの兼任。技術担当とは別の人が望ましい |
| 技術担当 | 遮断、ログ保全、影響範囲の特定、復旧 | 情シスの兼任か、保守ベンダー |
| 広報・法務の連絡先 | 公表の文案、報告・通知の要否の相談 | 社内の担当者か、顧問弁護士・広報の連絡先 |
小さな会社では、責任者が経営者、窓口が総務、技術担当が情シス兼任の1人、という形になる。1人が2役を持ってもよいが、決める人と記録する人だけは分ける。技術担当が社内にいない場合は、保守ベンダーや外部の専門家を、技術担当として連絡先に入れておく。
人数と同じくらい大事なのが、権限である。たとえば「ランサムウェアの画面が出た端末は、責任者の判断を待たずに、技術担当がネットワークから切り離してよい」と平時に決めておく。夜間や休日に責任者へ連絡がつかなくても、最初の一手が止まらない。逆に、業務システム全体を止める、取引先へ連絡する、公表する、といった判断は責任者が行う。どこまでを技術担当の判断に任せ、どこからを責任者が決めるかを、手順書に1行ずつ書いておく。
兼任でも回すための平時の準備
事故が起きてから調べ始めると、時間がかかる。次の5つを、平時に用意しておく。
- 連絡網：夜間や休日でもつながる手段を含め、全員の連絡先と代理を決める
- 資産台帳：機器、ソフトウェア、クラウドサービス、アカウント、VPNなど外部に公開している接続口を一覧にする
- ログの保管：どの機器のログを、どこに、どれだけの期間残すかを決める
- 重要データの所在：個人情報や取引先の情報が、どのシステムとフォルダにあるかを把握する
- 初動の手順書：1枚にまとめる。「止める・残す・集める」の順番と、連絡先、判断が要る項目を書く
資産台帳は、完璧でなくてよい。まず、外部から接続できる場所（VPN、リモートデスクトップ、メールサーバー、クラウドの管理画面）から書く。ログは、機器によっては初期設定で保管の期間が短いことがあり、記録していなければ事故のときに調べようがない。
最初に作るなら、連絡網と初動の手順書の2つである。ここが空欄のままだと、事故のときに調べる時間が増える。
体制づくりの相談
SOC・CSIRT・脆弱性診断・クラウドセキュリティの要員と体制づくりについて、Heyday がお話を伺います。
外部に頼る範囲：警察・IPA・JPCERT/CC・弁護士・調査会社
すべてを社内で抱える必要はない。事故の種類ごとに、外部の窓口を連絡先に入れておく。電話番号だけでなく、契約の有無、受付の時間、伝えるべき情報（契約番号や機器の型番など）まで控える。調査会社や保守ベンダーは、事故が起きてから探すと時間がかかる。可能なら平時に、窓口だけでも決めておく。
| 相談先 | 頼ること |
|---|---|
| 警察（サイバー犯罪の相談窓口） | 不正アクセスやランサムウェアなど、犯罪の疑いがある事案の相談と届出 |
| IPA | 企業・組織向けのサイバーセキュリティ相談窓口。2025年4月に新設されたと公表されている |
| JPCERT/CC | インシデントの報告の受付と、技術的な情報の提供・調整 |
| 弁護士 | 報告・通知・公表の要否、契約や損害賠償の相談 |
| 調査（フォレンジック）事業者 | 原因と影響範囲の技術的な調査 |
| 保守ベンダー・監視サービス | 機器やネットワークの復旧、ログの提供 |
IPAの企業向け相談窓口については、IPAの四半期報告に記載がある（出典: IPA「情報セキュリティ安心相談窓口の相談状況」2026年第1四半期、ipa.go.jp の報告ページ）。中小企業向けには、IPAの基準に適合したサービスを案内する「サイバーセキュリティお助け隊サービス」もある（出典: IPA、ipa.go.jp の案内ページ）。JPCERT/CC の役割は、公式サイトで案内されている。CSIRT同士が情報を共有する場として、日本シーサート協議会がある。
机上演習：誰が何を言うか
体制は、作っただけでは動かない。紙の上で事故を想定し、役割を動かしてみる机上演習で、役割表の穴が見つかる。
- シナリオを1つ決める。「取引先から、自社を名乗る不審なメールが届いたと連絡があった」「VPN機器の脆弱性が公表された」「業務端末に脅迫の画面が出た」など
- 役割ごとに、最初の連絡で何を言うかを、声に出して言ってみる
- 詰まったところを、役割表と手順書に反映する
言う内容の例を挙げる。技術担当は、確認できた事実と推測を分けて報告する。窓口は、時刻、報告者、内容を記録し、取引先への連絡案をつくる。責任者は、業務を止める範囲を決め、弁護士に連絡する。演習の目的は、うまくやることではなく、詰まる場所を見つけることである。
人が足りないときの選択肢と、相談前のチェック
セキュリティ職の求人倍率は、2025年12月に42.6倍で、IT人材全体の10.4倍を上回っている（出典: レバテック「IT人材の正社員転職市場動向」、2026-01-29発表。レバテック自社の転職市場データ。ScanNetSecurity、2026-02-19）。MM総研の調査（2026年9月8日発表）では、83%の企業が人材不足を認識している（出典: ScanNetSecurity、2026-09-15）。正社員の採用だけで埋めるのは、簡単ではない。
足りないときの選択肢は、採用、育成、外部サービス、SES（準委任）、業務委託・顧問などに分かれる。違いと選び方は、セキュリティ人材・体制の相談先で比べている。SOCのように監視を担う部分を外に出すか、内製するかは、SOCは外注か内製かにまとめる。有資格者に外部の立場で入ってもらう場合の資格の見方は、情報処理安全確保支援士はフリーランスで意味ないのかが参考になる。
相談の前に、次の8つを確認しておくと、話が早い。
- 責任者と、不在時の代理が決まっている
- 窓口が一本化され、技術担当とは別の人になっている
- 夜間・休日を含む連絡網が最新である
- 機器・クラウド・アカウントの一覧がある
- 個人情報や重要データの所在が分かる
- ログの保管先と期間が決まっている
- 弁護士・調査会社・警察・IPA・取引先窓口の連絡先を控えている
- 机上演習を一度でも行った
「いいえ」が多いところから決めればよい。
よくある質問（FAQ）
Q. 専任の担当者は必要ですか？
専任を置くかどうかは、扱う情報の量、事業停止の影響の大きさ、監視を自社で行うかどうかで決まる。専任がいなくても、役割と連絡先が決まっていれば、最低限の体制にはなる。専任を置けない場合は、技術担当の一部を保守ベンダーなど外部に任せる形がある。
Q. CSIRTとSOCの違いは何ですか？
一般には、SOCは監視と検知を担い、CSIRTは事故が起きたときの対応を担う、と整理される。小さな会社では、同じ人が両方を兼ねることもあれば、監視は外部のサービスに出し、対応を自社で行う形もある。SOCの外注と内製は、SOCは外注か内製かで扱う。
Q. 兼任でも回りますか？
回る。条件は3つある。役割と代理が決まっていること、連絡網と手順書があること、机上演習で一度動かしたことである。決める人と記録する人だけは、分けておく。
Q. 最初に作る文書は何ですか？
連絡網と、1枚の初動手順書である。手順書には、「止める・残す・集める」の順番、連絡先、判断が要る項目を書く。内容の例は個人情報漏えいが起きたらにある。
関連記事
- セキュリティ人材・体制の相談先
- SOCは外注か内製か
- 個人情報漏えいが起きたら
- 漏えい等の報告義務と期限
- CSIRT・インシデント対応への転職
- セキュリティエンジニアSES単価2026
- 情報処理安全確保支援士はフリーランスで意味ないのか
