CSIRT・インシデント対応のフリーランスがつまずきやすい点と対策

CSIRT・インシデント対応のフリーランスがつまずきやすいのは、急ぎの依頼で条件を決めないまま着手すること、発注元が決めるべき判断を自分で下してしまうこと、封じ込めを急いで調査の手がかりを消すこと、待機や呼び出しの負担が報酬に反映されないことです。どれも、事故の最中という時間のない場面で、外部の立場のまま社内の担当者と同じように動こうとすることから起きます。

対策の基本は、平時のうちに契約と役割の線を決め、事案の最中は記録と早めの共有で自分と発注元を守ることです。この記事では、契約・現場・技術・お金の4面で、インシデント対応ならではの場面と対策を整理します。独立前の準備はCSIRT・インシデント対応がフリーランスになるにはで扱っているので、ここでは「参画してから起きやすい場面」に絞ります。

契約でのつまずき

「今夜から入ってほしい」で条件が決まらない

事故が起きた直後の依頼は急ぎです。電話で頼まれてそのまま作業を始め、範囲や報酬、時間外の扱いが決まらないまま数日が過ぎる、ということが起こりがちです。

対策：フリーランス法では、発注事業者は業務を委託したら直ちに、業務の内容、作業の期日、作業の場所、報酬の額と支払期日などを書面やメールなどで明示することとされ、口頭だけでは認められていません（2026年10月時点、公正取引委員会の案内による）。急ぎでも、作業の範囲、報酬、時間外の扱い、使ってよい端末の4点だけは、メールなど記録が残る形で受け取ってから始めます。

「原因を突き止めてほしい」が約束にすり替わる

インシデント対応は、ログが残っていなければ原因を特定できないこともある仕事です。ところが依頼の言葉が「原因の特定」「被害の全容解明」になっていると、成果を約束したように読めてしまいます。

対策：契約では、調査の範囲と、分かったことを報告する業務であることを明らかにします。準委任契約で受ける場合でも、契約書の文言に結果を約束するように読める部分がないかを署名の前に読みます。損害賠償の上限は損害賠償の条項の記事、備えは賠償責任保険の記事をご覧ください。判断に迷う場合は弁護士などの専門家にご相談ください。

調査中に触れる個人データの扱いが決まっていない

漏えいが疑われる事案では、調査の中で顧客の個人データに触れることがあります。取り扱いの範囲や保存場所を決めないまま進めると、自分が新たな漏えいの経路になりかねません。委託先として求められる管理は業務で個人情報を扱うときの契約の記事で解説しています。

現場でのつまずき

判断を自分で下してしまう

事故の最中は、目の前のサーバーを止めるべきか、取引先に知らせるべきかがすぐに問われます。社内CSIRT出身の人ほど、以前の職場と同じ感覚で「止めましょう」と決めてしまいがちです。しかし外部の立場では、システムを止める、公表する、当局に報告するといった判断は発注元のものです。

対策：判断が要る場面では、事実、見立て、取れる手の選択肢とそれぞれの影響、決めてほしい期限を一緒に出し、決めてもらう形をとります。決まったことと、自分が示したリスクは、その場で記録に残します。

報告の期限が意識から抜ける

調査に集中していると、報告の期限が後回しになります。個人データの漏えい等では、個人情報保護委員会が、速報を発覚日から3〜5日以内、確報を30日以内（不正の目的によるおそれがある場合は60日以内）としています（2026年10月時点）。報告するのは原則として発注元ですが、判断の材料がそろわなければ期限に間に合いません。

対策：事案の初日に、報告が必要になり得る相手と期限を一覧にし、どの事実をいつまでにそろえるかを発注元の窓口と確かめます。報告の要否の法的な判断は、発注元の法務や専門家に委ねます。

連絡の経路が攻撃者に見られている

社内のメールやチャットが侵害されている事案では、普段の連絡手段で状況を共有すると、攻撃者に手の内を見られるおそれがあります。

対策：参画した時点で、普段の連絡手段が使えないときの代わり（別の連絡手段、電話、対面）を決めておきます。平時の案件でも、手順書にこの切り替えを書いておくと、いざというときに迷いません。

社内の担当者との役割が重なる

社内CSIRTの担当者や情報システム部門の責任者がいる体制では、誰が指揮を執るかがあいまいになり、指示が二重に出たり、どちらも決めなかったりします。

対策：「対策の会議の進行は自分、調査会社への依頼と経営層への報告は社内の責任者」のように、場面ごとに役割を分けて初日に確かめます。

技術でのつまずき

封じ込めを急いで、証拠を消してしまう

端末の電源を切る、再起動する、アカウントを削除するといった封じ込めは、被害の広がりを止める一方で、メモリ上の情報や操作の記録など、後の調査に必要な手がかりを消すことがあります。

対策：封じ込めの前に、何を残すべきかを確かめ、保全と封じ込めの順番を選択肢として発注元に示します。保全した時刻、扱った人、保存先は、その都度記録します。

環境が分からないまま調査に入る

発注元ごとに、ログの保存先、保存期間、クラウドの権限の構成は違います。どこに何があるかをつかまないまま調査を始めると、必要な記録がすでに消えていたことに後から気づくことがあります。

対策：初日に、ログの在りかと保存期間、取得できる権限、調査に使ってよい端末と道具を確かめます。保存期間が短い記録は、ほかの作業より先に保全を頼みます。

推測を事実のように書く

報告書や経営層への説明で、「漏えいした」と「漏えいのおそれがある」、「原因」と「原因と考えられる」を混ぜると、後で訂正が必要になり、発注元の対外的な説明にも響きます。

対策：資料では、確かめたこと、推測、次に確かめることを分けて書きます。書き分けの考え方はCSIRT・インシデント対応のスキルの記事でも触れています。

調査データが手元に残り続ける

リモートで調査すると、ログや端末の記録が自分の端末に集まります。契約が終わってもそのまま残っていると、守秘の面で問題になります。

対策：保存先と受け渡しの方法を決め、契約の終了時や事案の区切りで削除し、削除したことを伝えます。考え方はデータの返却・削除の記事をご覧ください。

お金でのつまずき

待機と呼び出しが報酬に反映されない

「何かあったら連絡します」とだけ言われて待機が始まり、呼び出しが続いても、取り決めがないまま月額の精算幅に吸収されてしまうことがあります。

対策：待機の時間帯、応答の目安、待機そのものへの報酬の有無、対応した時間の数え方を、参画前に書面で決めます。決め方は待機時間の報酬の記事と精算幅の記事をご覧ください。呼び出しの日時と対応した時間は、発注元の情報を伏せた形で記録しておきます。

事案が収まると、契約も急に終わる

有事の支援は、事態が落ち着いた時点で役割を終えることがあります。フリーランス法では、6か月以上の業務委託を解除したり更新しなかったりする場合、発注事業者は原則として30日前までに予告することになっています（2026年10月時点、公正取引委員会の案内による）。ただ、短期のスポット支援ではこの予告の対象にならないこともあります。

対策：スポットの依頼を受けるときは、終わりの目安と、延長の決め方を最初に確かめます。継続の案件を一つ持ちながらスポットを受ける形にすると、収入の波を抑えやすくなります。

自前の道具の費用を見込んでいない

解析の道具や保全用の機材を自分で用意する場合、その費用を報酬に含めるのか、別に精算するのかを決めていないと、手取りが目減りします。

対策：見積もりや契約の段階で、道具・機材・交通費の扱いを確かめます。

よくある質問

参画してから、聞いていたより待機の頻度が多いと気づきました。どうすればよいですか？

まずは、実際の待機と呼び出しの日時を記録で整理し、契約で決めた内容と照らし合わせます。そのうえで、紹介を受けたエージェントや発注元の窓口に早めに伝えてください。我慢して続けると、その頻度が当たり前になり、後から戻しにくくなります。

調査で原因を特定できなかったら、責任を問われますか？

準委任契約で調査と助言を受けている場合、原因の特定そのものを約束しているわけではありません。ただ、契約の内容や、調査の進め方に落ち度があったかどうかで判断が変わることがあります。不安がある場合は、契約書の損害賠償の条項を読み、弁護士などの専門家にご相談ください。

発注元の判断が遅く、被害が広がりそうなときはどうすればよいですか？

判断が遅れた場合に起きそうなことと、決めてほしい期限を具体的に示して、改めて判断を仰ぎます。自分の判断で操作を進めるのは避け、伝えた内容と時刻を記録に残しておくと、後で経緯を確かめられます。