CSIRT・インシデント対応の参画初月にやること｜現場で信頼される進め方

CSIRT・インシデント対応の参画初月は、連絡と判断の流れ、ログの在りかと保存期間、報告が必要になり得る相手と期限をつかみ、月末に「体制の見立て」と「直す順番」を出して合意を取るところまでを目標にします。最初の1か月で求められるのは、手順書を書き上げることより、事故が起きたときにこの人に任せて大丈夫だと発注元が判断できる材料を示すことです。

ただし、有事のスポット支援として事案の最中に入る場合は、初日から事案の対応が中心になり、進め方が大きく変わります。参画前の契約・環境の準備は参画が決まってから開始日までにやること、職種を問わない最初の1週間の進め方は参画初日から最初の1週間でやることで解説しています。この記事では、インシデント対応ならではの初月の動き方に絞ります。

初月のゴールを3つに分ける

この3つを、1週目、2週目、3〜4週目の順に重心を移しながら進めます。JPCERT/CCは、CSIRTの立ち上げを構想・構築・運用の3つのフェーズに分けた資料を公開しています（2026年10月時点）。発注元が今どのフェーズにいるかを初月のうちに見極めると、何を優先すべきかが決めやすくなります。

1週目：資料と人から現状を集める

最初に読む資料

インシデント対応では、手順書だけでなく、実際に起きた事案の記録が現状を教えてくれます。次の順で目を通すと、全体像をつかみやすくなります。

1. 対応の手順書・連絡体制図：誰がどの順で連絡を受け、誰が判断するか。最終更新はいつか
2. 重大度の判断の基準：どの事態なら時間外に呼び出すか、経営層に上げるか
3. 過去の事案の記録：直近の数件で、受付から収束までどう進んだか。どこで止まったか
4. システムの構成とログの一覧：どのログがどこに、どれだけの期間残るか
5. 委託先・外部の連絡先：調査会社、クラウドの事業者、保守の委託先との窓口と契約の範囲（見られる範囲で）

読みながら、「手順ではこうなっているが、実際は違いそう」という点を書き留めておきます。この段階では結論を出さず、仮説としてためておきます。

関係者と短く話す

資料だけでは分からないのが、人の見方です。情報システム部門の責任者、社内のCSIRT担当、法務・広報・個人情報の担当、主な委託先の窓口と、それぞれ短い時間で話す機会をもらいます。聞くことは次の3つに絞ると、相手の負担になりません。

• 事故が起きたら、自分は何をすることになっているか
• 前の事案で困ったこと
• 外部の担当者に期待すること

同じ質問を全員にすると、部署ごとの認識の違いがはっきりします。たとえば、法務は「すぐ知らせてほしい」と考え、技術の担当は「確かめてから上げる」と考えている、といったずれです。このずれこそが、体制の穴の手がかりになります。

自分の足場を確かめる

1週目のうちに、自分が使う端末、調査に入れる権限、記録の保存先、緊急時の連絡手段を確かめます。普段のメールやチャットが使えない事態に備えた代わりの連絡手段があるかも、ここで聞いておきます。端末の扱いは貸与PCの記事を参考にしてください。

2週目：報告の期限と判断の流れを一枚にする

報告が必要になり得る相手と期限を整理する

事故のあとに報告が必要になり得る相手を、発注元の業種や契約に合わせて洗い出します。たとえば個人データの漏えい等では、個人情報保護委員会が速報を発覚日から3〜5日以内、確報を30日以内（不正の目的によるおそれがある場合は60日以内）としています（2026年10月時点）。報告するのは原則として発注元で、要否の法的な判断は法務や専門家が担います。外部の担当者の役割は、期限から逆算して、どの事実を誰がいつまでにそろえるかを見えるようにすることです。

連絡と判断の流れを一枚にまとめる

誰が受付をし、誰が重大度を判断し、誰がシステムを止める判断をし、誰が公表や報告を決めるかを一枚にまとめ、窓口と確かめます。時間外の連絡の順番と、責任者に連絡がつかないときの代わりも書き込みます。ここがあいまいなままだと、事故が起きた夜に判断が止まります。

定例と報告の型を決める

発注元の責任者に、どの頻度で、どの粒度の報告がほしいかを確かめ、初回の報告を出します。報告は、作業の説明より「判断が要ること」を先に書くと読まれやすくなります。会議の記録の残し方は議事録の記事も参考になります。

3〜4週目：見立てを出し、直す順番に合意を取る

体制の見立てをまとめる

1〜2週目で集めた情報をもとに、体制の見立てをまとめます。中身は次のとおりです。

• 手順と実際の動きの差（連絡の順番、判断の権限、時間外の体制）
• ログと保全の足りない点（保存期間が短い、取得の権限がないなど）
• 報告の期限に間に合わせるうえでの詰まりどころ
• このまま事故が起きた場合に起きそうなこと
• 直す手の選択肢と、それぞれの手間と効果

直す順番は選択肢で出す

一つの案だけを出すと、「今の体制を否定された」と受け取られやすくなります。すぐ直せるもの（連絡先の更新、代わりの連絡手段の用意など）と、時間のかかるもの（ログの保存期間の見直し、訓練の実施など）を分け、それぞれの手間と効果を示したうえで、責任者に順番を選んでもらいます。

次の1〜2か月の計画を引く

合意した内容をもとに、次の1〜2か月の計画を引き、関係者に共有します。机上の訓練を計画に入れておくと、手順の穴を早めに見つけられます。

案件の型によって初月の重心は変わる

平時の体制づくりの案件

上に書いた流れが基本です。手順書を一から作るより、今ある手順と実際の動きの差を埋めることを先に置くと、現場に受け入れられやすくなります。

常駐・継続の対応の案件

日々の相談や事案の受付をしながら、流れをつかむことになります。初月は、受け付けた事案を自分の判断で処理しきらず、社内の担当者と一緒に判断して進め方の感覚をそろえることが大切です。時間外の当番が始まる時期と範囲も、初月のうちに確かめます。

有事のスポット支援の案件

事案の最中に入る場合、初日の数時間で、事案の現状、すでに打った手、残っている証拠、報告の期限、判断する人を確かめます。そのうえで、時系列の記録を自分の手で引き継ぎ、判断が要ることの一覧を出すところから始めます。前の担当からの引き継ぎの受け方は引き継ぎの記事も参考になります。

初月に避けたい動き

範囲外の依頼が増えてきたときの扱いは業務範囲が変わったときの記事、インシデント対応でつまずきやすい場面はCSIRT・インシデント対応のフリーランスがつまずきやすい点と対策で整理しています。

1か月の終わりに振り返ること

1か月が過ぎたら、次の点を自分で振り返ります。

• 責任者に、体制の見立てと直す順番を伝えられたか
• 事故が起きたときに誰が何を決めるかが、関係者と共有できているか
• ログの在りかと保存期間、自分の権限を把握できているか
• 報告が必要になり得る相手と期限を一覧にできているか
• 契約で決めた業務の範囲や時間外の扱いと、実際の仕事がずれていないか
• 稼働と時間外の対応の記録が残っているか

フリーランス法では、発注事業者は業務を委託したら直ちに、業務の内容や報酬の額、支払期日、作業の場所などを書面やメールなどで明示することとされています（2026年10月時点、公正取引委員会の案内による）。ずれている点があれば、明示された内容と照らし合わせ、2か月目の早い段階で窓口と話しておきます。

よくある質問

手順書がほとんどない組織です。何から始めればよいですか？

過去の事案の記録と、関係者への聞き取りから、実際に起きている連絡と判断の流れを書き出すのが近道です。理想の手順を一から作るより、今の動きを一枚にし、穴の大きいところから埋めるほうが受け入れられやすくなります。手順書がない状態そのものも、体制の見立ての一部として報告に含めておくとよいでしょう。

初月から時間外の当番に入ってほしいと言われました。どうすればよいですか？

流れや権限をつかむ前の当番は、判断に迷う場面が増えます。引き受ける場合は、最初のうちは社内の担当者と二人で受ける、連絡を受けたら誰に上げるかを決めておく、といった形を相談してみてください。当番の範囲と報酬の扱いは、契約で決めた内容と合っているかも確かめます。

1か月たっても全体像がつかめません。どうすればよいですか？

委託先が多い組織や拠点の多い組織では、1か月で全体をつかみきれないこともあります。分かっていることと分かっていないことを分けて報告し、残りをいつまでに確かめるかの予定を示してください。分からない点を隠したまま見立てを出すより、範囲を区切って示すほうが信頼されます。