なぜインシデント対応計画が企業の存続を左右するのか
サイバーセキュリティインシデントは、もはや「起こるかどうか」ではなく「いつ起こるか」の問題です。IBMの「Cost of a Data Breach Report 2025」によると、データ侵害の平均コストは440万ドル（約6.6億円）に達しています。米国では15年連続で世界最高額を更新し、1件あたり平均1,022万ドル（約15.3億円）に上ります。
日本でも被害は深刻化しています。サイバーセキュリティクラウドの調査によると、2025年のセキュリティインシデント公表件数は165件で前年比約4倍に増加し、約2日に1回の頻度でインシデントが発生。年間で約2,190万件の個人情報が流出しています。
しかし、適切なインシデント対応計画を策定している企業は、被害コストを61%削減（266万ドル節約）できるというデータがあります。対応計画の有無が、企業の損害額を数億円単位で左右するのです。
インシデント対応計画（IRP）の基本フレームワーク
NISTインシデント対応フレームワーク
米国国立標準技術研究所（NIST）のSP 800-61は、インシデント対応の国際標準フレームワークです。以下の4フェーズで構成されます。
| フェーズ | 目的 | 主要活動 |
|---|---|---|
| 1. 準備（Preparation） | 対応体制の構築 | CSIRT編成、ツール整備、訓練実施 |
| 2. 検知・分析（Detection & Analysis） | インシデントの発見と影響評価 | 監視体制、トリアージ、影響範囲の特定 |
| 3. 封じ込め・根絶・復旧（Containment, Eradication & Recovery） | 被害の拡大防止と正常化 | 隔離、マルウェア除去、システム復旧 |
| 4. 事後活動（Post-Incident Activity） | 再発防止と改善 | 振り返り、報告書作成、対策の見直し |
CSIRT（シーサート）の構築
CSIRTとは
CSIRT（Computer Security Incident Response Team）は、セキュリティインシデントが発生した際の対応を専門に行う社内組織です。平時はセキュリティ監視・脆弱性管理・教育啓発を行い、有事には初動対応の司令塔として機能します。
CSIRTの組織構成
| 役割 | 責任 | 平時の業務 | 有事の業務 |
|---|---|---|---|
| CSIRT責任者 | 全体統括、経営層報告 | 方針策定、予算管理 | 対応方針決定、対外発表承認 |
| インシデントマネージャー | 対応の進行管理 | 手順書更新、訓練計画 | タスク割当、進捗管理 |
| セキュリティアナリスト | 技術的な分析と対応 | 脅威モニタリング、脆弱性対応 | フォレンジック、マルウェア分析 |
| コミュニケーション担当 | 社内外の情報伝達 | セキュリティ啓発 | 関係者通知、広報対応 |
| 法務・コンプライアンス | 法的対応 | 規制動向の把握 | 当局報告、法的助言 |
インシデント対応計画の策定ステップ
ステップ1: リスクアセスメント
自社にとっての重要資産（顧客データ、知的財産、基幹システムなど）を特定し、各資産に対する脅威と脆弱性を評価します。リスクの優先順位に基づいて、対応計画の重点領域を決定します。
ステップ2: 対応手順書の作成
インシデントの種類ごとに具体的な対応手順を文書化します。主なインシデント類型と対応手順を整理します。
- ランサムウェア攻撃: ネットワーク隔離→バックアップ確認→復旧判断→当局報告
- フィッシング・不正アクセス: アカウント停止→影響範囲調査→パスワードリセット→再発防止
- 内部犯行・情報持ち出し: アクセスログ保全→法務連携→証拠保全→懲戒手続き
- DDoS攻撃: CDN/WAF対応→ISP連携→トラフィック分析→サービス復旧
ステップ3: エスカレーションルールの設定
インシデントの重大度に応じたエスカレーションルールを定めます。
| 重大度 | 基準 | 報告先 | 対応時間目標 |
|---|---|---|---|
| Critical | 基幹システム停止、大規模情報漏洩 | CEO/取締役会 | 1時間以内に初動 |
| High | 限定的な情報漏洩、マルウェア感染 | CISO/部門長 | 4時間以内に初動 |
| Medium | 不正アクセス試行、フィッシング検知 | CSIRT責任者 | 24時間以内に対応 |
| Low | ポリシー違反、軽微な異常検知 | セキュリティチーム | 72時間以内に対応 |
ステップ4: コミュニケーションプランの策定
インシデント発生時の社内外への情報伝達ルールを事前に策定します。顧客への通知テンプレート、メディア対応の方針、当局（個人情報保護委員会等）への報告手順を準備しておくことで、有事のパニックを防ぎます。
ステップ5: 訓練と演習の実施
対応計画は「作って終わり」ではなく、定期的な訓練で実効性を検証する必要があります。年1〜2回のインシデント対応訓練（テーブルトップ演習）と、年1回のレッドチーム演習（実際の攻撃シミュレーション）が推奨されます。
対応速度がコストを決定する
インシデントの解決速度は被害コストに直結します。IBMの調査では、200日未満で解決されたデータ侵害のコストは387万ドルであるのに対し、200日以上かかった場合は501万ドルに膨らみます（30%増）。初動の速さが数億円規模のコスト差を生むのです。
2025〜2026年の脅威トレンド
ランサムウェアの急増
Verizonの「2025 Data Breach Investigations Report」によると、データ侵害の44%にランサムウェアが関与しており、前年の32%から大幅に増加しています。二重恐喝（データ暗号化+データ公開脅迫）が標準的な手口になっています。
サプライチェーン攻撃の深刻化
サードパーティ（外部委託先・SaaSベンダーなど）の関与するインシデントが15%から30%に倍増しています。自社のセキュリティだけでなく、取引先のセキュリティ態勢も評価・管理する「サプライチェーンセキュリティ」の重要性が急速に高まっています。
ヒューマンエラーの持続的なリスク
データ侵害の約60%にヒューマンエラー（フィッシングメールのクリック、設定ミス、パスワードの使い回しなど）が関与しています。技術的対策だけでなく、従業員教育の継続的な実施が不可欠です。
よくある質問（FAQ）
Q. インシデント対応計画がない場合、どのくらいの追加コストが発生しますか？
IBMの調査によると、インシデント対応計画を策定している企業は未策定の企業と比較して、データ侵害コストを61%（約266万ドル＝約4億円）削減できています。別の調査では123万ドル（約1.8億円）の節約という数字も報告されています。計画策定のコスト（数百万円〜数千万円）と比較すると、投資対効果は極めて高いと言えます。
Q. 中小企業でもCSIRTは必要ですか？
専任の大規模なCSIRTは不要ですが、インシデント対応の責任者と最低限の手順書は必須です。中小企業の場合、IT担当者1〜2名を核にした兼任CSIRTを組織し、外部のセキュリティベンダーとの緊急連絡体制を構築するのが現実的です。東京都のような自治体が中小企業向けのインシデント対応強化事業を提供しているケースもありますので、積極的に活用してください。
Q. インシデント対応計画はどのくらいの頻度で見直すべきですか？
年1回の定期見直しに加え、大きなインシデントが発生した後、組織変更があった場合、新たな脅威トレンドが確認された場合にも臨時の見直しを行ってください。特にランサムウェアの手口やサプライチェーン攻撃の手法は急速に進化しているため、最新の脅威情報を反映し続けることが重要です。
まとめ：インシデント対応計画は「保険」ではなく「投資」
サイバーセキュリティインシデントの被害は年々深刻化しており、対応計画の有無が企業の損害額を数億円単位で左右します。NISTフレームワークに基づく体系的な対応計画の策定、CSIRTの構築、定期的な訓練の実施を通じて、有事への備えを万全にしましょう。
renueでは、企業のサイバーセキュリティ体制の構築やインシデント対応計画の策定を含むDXコンサルティングを提供しています。セキュリティ体制の強化でお悩みの方は、ぜひお気軽にご相談ください。
株式会社renueでは、AI導入戦略の策定からDX推進のコンサルティングを提供しています。お気軽にご相談ください。