中小企業のCSIRT構築ガイド ── 少人数で回す「インシデント対応チーム」の作り方
中小企業が2〜3名でCSIRT（セキュリティ対応チーム）を構築する手順を解説。専任不要・兼任体制で始められる実践ガイド。インシデント対応フロー、外部連絡テンプレ、訓練の進め方まで網羅。
「セキュリティ事故が起きたら、誰が何をするのか決まっていますか？」
この質問に即答できる中小企業は、残念ながら少数です。IPAの調査によると、中小企業の約7割がインシデント対応体制を整備できていないと回答しています。
2025年9月のアサヒグループへのランサムウェア攻撃では、VPN機器を経由した侵入により最大約152万件の個人情報漏洩の恐れが生じ、物流業務が数ヶ月にわたり影響を受けました。この事例は大企業のものですが、サプライチェーン上の中小企業が「最初の侵入口」として狙われるケースは年々増加しています。
インシデント発生時の初動対応フローは別記事で解説していますが、本記事ではそもそも「誰が対応するのか」という体制（＝CSIRT）の作り方に焦点を当てます。専任の人材は不要です。兼任2〜3名から始められる、中小企業のためのCSIRT構築ガイドをお届けします。
想定読者
- 中小企業の経営者・経営層の方
- インシデント対応の「体制」が未整備だと感じているIT担当者の方
- SCS評価制度の★3対応に向けて準備を始めたい方
この記事で得られること
- CSIRTとは何か（ITに詳しくなくても分かる解説）
- 政府機関（経済産業省・IPA）からの最新の注意喚起
- 2〜3名で始めるCSIRT構築の5ステップ
- 守るべき情報資産の優先順位の決め方
- インシデント対応フローと外部連絡テンプレート
- 訓練・演習の進め方
- 生成AIを活用した情報収集の自動化
- 中小企業のCSIRT構築事例
本記事の信頼性
- 大手SIerで複数社のITコンサル・システム開発案件に従事した経験
- 事業会社の情報システム部で社内SEとして勤務した経験
- IPA「中小企業の情報セキュリティ対策ガイドライン」およびJPCERT/CC「CSIRTガイド」に準拠
目次
- 【基礎知識】CSIRTとは？── 中小企業にも必要な理由
- 【注意喚起】政府機関が警鐘を鳴らす「今そこにある危機」
- 【最重要】守るべき情報資産と導入優先順位を決める
- 【実践】5ステップで作るCSIRT構築ロードマップ
- 【テンプレ】インシデント対応フローと外部連絡先
- 【訓練】年2回のシミュレーション演習の進め方
- 【効率化】生成AIで日々のセキュリティ情報収集を自動化する
- 【事例】中小企業のCSIRT構築と効果
- 【VPN】最近のランサムウェア事例に学ぶリスク管理
- ★今日からできるアクション
- まとめ
【基礎知識】CSIRTとは？── 中小企業にも必要な理由
CSIRTをひと言で説明すると
💡 CSIRTとは？ CSIRT（シーサート）とは「Computer Security Incident Response Team」の略で、セキュリティ事故（インシデント）が起きたときに対応するチームのことです。消防署の「消火チーム」をイメージしてください。火事（サイバー攻撃）が起きたときに、「誰が消火器を持ち出すか」「誰が119番するか」「誰が避難誘導するか」が決まっている状態を作るのがCSIRTです。
「専任のセキュリティ人材が必要」は誤解
中小企業の経営者からよく聞く声があります。
- 「うちにはセキュリティの専門家がいないから無理」
- 「大企業がやるもので、うちの規模では不要」
- 「別の業務が忙しくて、セキュリティ専任は置けない」
いずれも誤解です。 中小企業のCSIRTは、専任ではなく兼任で構いません。重要なのは、「有事の際にこの役割を担う人」が事前に決まっていることです。
graph TD
A["❌ よくある誤解"] --> B["専任セキュリティ人材が<br/>必要"]
A --> C["大企業向けの仕組み"]
A --> D["高額なツールが必要"]
E["⭕ 中小企業のCSIRT"] --> F["兼任2〜3名でOK"]
E --> G["役割を決めるだけ"]
E --> H["無料ツール＋<br/>外部サービスで対応"]
style A fill:#dc2626,stroke:#b91c1c,color:#ffffff
style E fill:#059669,stroke:#047857,color:#ffffff
style B fill:#fca5a5,stroke:#dc2626,color:#333
style C fill:#fca5a5,stroke:#dc2626,color:#333
style D fill:#fca5a5,stroke:#dc2626,color:#333
style F fill:#a7f3d0,stroke:#059669,color:#333
style G fill:#a7f3d0,stroke:#059669,color:#333
style H fill:#a7f3d0,stroke:#059669,color:#333CSIRTの「平時」と「有事」の役割
CSIRTは事故対応だけが仕事ではありません。平時の活動こそが、有事に備える土台になります。
| 区分 | 活動内容 | 頻度 |
|---|---|---|
| 平時 | セキュリティ情報の収集・共有 | 毎日〜週次 |
| 平時 | 従業員向けセキュリティ教育 | 四半期に1回 |
| 平時 | 情報資産の棚卸し・リスク評価 | 半年に1回 |
| 平時 | インシデント対応訓練（机上演習） | 半年に1回 |
| 有事 | インシデントの検知・初動対応 | 発生時 |
| 有事 | 経営層への報告・外部機関への届出 | 発生時 |
| 有事 | 復旧作業・再発防止策の実施 | 発生時 |
【注意喚起】政府機関が警鐘を鳴らす「今そこにある危機」
2026年3月時点で、経済産業省・IPA・中小企業庁から中小企業に向けた重要な注意喚起が複数出ています。
① IPA「情報セキュリティ10大脅威 2026」
2026年1月29日にIPAが公表した「情報セキュリティ10大脅威 2026」では、ランサム攻撃による被害が6年連続で組織向け脅威の1位となりました。侵入経路の約8割がVPN等のネットワーク機器からであり、中小企業が直接の標的になっています。10大脅威の詳細な解説は「IPA「情報セキュリティ10大脅威」を中小企業目線で読み解く」をご覧ください。
② 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
経済産業省は2025年12月26日にSCS評価制度の構築方針（案）を公表しました。2026年度末頃の制度開始を目指しており、★3（Basic）の要求事項にはインシデント対応体制の整備が含まれます。将来的に取引先選定の条件になる可能性が高く、CSIRT構築は「備え」ではなく「経営課題」になりつつあります。詳しくは「SCS評価制度とは？中小企業が★3取得に向けて今やるべきこと」をご覧ください。
③ 警察庁「令和7年のサイバー空間をめぐる脅威」
2026年3月公表の統計によると、2025年のランサムウェア被害は226件（前年比4件増）。うち**中小企業は143件（約63%）**を占めています。調査・復旧費用が1,000万円以上の事例が約半数に上り、1件の被害が中小企業の経営を揺るがすレベルに達しています。
④ IPA「中小企業の情報セキュリティ対策ガイドライン」
IPAは「中小企業の情報セキュリティ対策ガイドライン」（第3.1版）を公開しており、付録「中小企業のためのセキュリティインシデント対応の手引き」では、インシデント対応体制の整備が推奨されています。中小企業でも無料でダウンロードして活用できます。
⑤ 経済産業省「サイバーセキュリティ経営ガイドライン」
サイバーセキュリティ経営ガイドラインでは、経営者が認識すべき3原則として「リーダーシップの発揮」「サプライチェーンセキュリティ」「情報共有」を掲げ、重要10項目の中にインシデント対応体制（CSIRT等）の整備を明記しています。
📌 ポイント：セキュリティ体制の整備は「経営責任」 経済産業省のサイバーセキュリティ経営ガイドラインは、セキュリティ対策を「ITの問題」ではなく「経営の問題」と明確に位置付けています。CSIRT構築は、IT担当者の自発的な活動ではなく、経営者がリーダーシップを取って推進すべき課題です。
【最重要】守るべき情報資産と導入優先順位を決める
CSIRTを作る前に、何を守るのかを明確にすることが重要です。中小企業は人員も予算も限られているため、すべてを均等に守ることはできません。優先順位をつけましょう。
情報資産の棚卸し
まず、自社にどのような情報資産があるかを洗い出します。
| 情報資産の種類 | 具体例 | 漏洩時の影響度 |
|---|---|---|
| 顧客情報 | 顧客名簿、連絡先、購買履歴 | 極めて高い（法的義務・信用失墜） |
| 従業員情報 | マイナンバー、給与、人事評価 | 極めて高い（法的義務） |
| 営業秘密 | 製造ノウハウ、設計図、価格表 | 高い（競争力喪失） |
| 財務情報 | 会計データ、銀行口座、決算書 | 高い（直接的な金銭被害） |
| 業務データ | メール、契約書、議事録 | 中程度（業務停止） |
防御の優先順位 ── まずはメール・VPN・クラウド
中小企業がセキュリティ対策を始めるとき、すべてを一度にやろうとすると挫折します。以下の3領域から優先的に着手してください。
graph TD
P1["🥇 最優先<br/>メール"] --> P1D["フィッシング詐欺<br/>BEC（ビジネスメール詐欺）<br/>の侵入経路"]
P2["🥈 優先度2<br/>VPN・リモートアクセス"] --> P2D["ランサムウェアの<br/>侵入経路No.1<br/>（約8割がVPN経由）"]
P3["🥉 優先度3<br/>クラウドサービス"] --> P3D["Microsoft 365<br/>Google Workspace<br/>のアカウント管理"]
style P1 fill:#dc2626,stroke:#b91c1c,color:#ffffff
style P2 fill:#d97706,stroke:#b45309,color:#ffffff
style P3 fill:#2563eb,stroke:#1d4ed8,color:#ffffff
style P1D fill:#fef2f2,stroke:#dc2626,color:#333
style P2D fill:#fffbeb,stroke:#d97706,color:#333
style P3D fill:#eff6ff,stroke:#2563eb,color:#333| 優先度 | 対象 | 主なリスク | 対策 |
|---|---|---|---|
| 最優先 | メール | フィッシング・BEC | 迷惑メールフィルタ強化、MFA導入、社員教育 |
| 優先度2 | VPN・リモートアクセス | ランサムウェア侵入 | ファームウェア更新、SASE/SSE移行、MFA導入 |
| 優先度3 | クラウドサービス | 不正アクセス・情報漏洩 | アカウント棚卸し、MFA、アクセスログ監視 |
💡 製造業の場合：OT（制御系）も対象に 製造業の中小企業では、工場の制御系システム（OT：Operational Technology）もサイバー攻撃の対象になります。CSIRTメンバーにOTの知識を持つ現場リーダーを加えておくと、有事の際にIT系・OT系の両面から迅速に対応できます。
【実践】5ステップで作るCSIRT構築ロードマップ
全体像
graph TD
S1["📋 STEP 1<br/>経営者の意思決定<br/>（1日）"]
S2["👥 STEP 2<br/>メンバー選定と<br/>役割定義（1週間）"]
S3["📝 STEP 3<br/>対応フローと<br/>連絡先の整備（2週間）"]
S4["🎓 STEP 4<br/>教育と訓練<br/>（1ヶ月目〜）"]
S5["🔄 STEP 5<br/>運用と改善<br/>（継続）"]
S1 --> S2
S2 --> S3
S3 --> S4
S4 --> S5
style S1 fill:#dc2626,stroke:#b91c1c,color:#ffffff
style S2 fill:#d97706,stroke:#b45309,color:#ffffff
style S3 fill:#2563eb,stroke:#1d4ed8,color:#ffffff
style S4 fill:#7c3aed,stroke:#6d28d9,color:#ffffff
style S5 fill:#059669,stroke:#047857,color:#ffffffSTEP 1：経営者の意思決定（1日）
CSIRTは「IT部門が勝手に作るもの」ではありません。経営者が「うちの会社にはインシデント対応チームが必要だ」と宣言することがスタートです。
経営者がやるべきこと：
- 「セキュリティインシデント対応は経営課題である」と社内に宣言する
- CSIRT構築の責任者を指名する（IT担当者でなくてもよい）
- CSIRTの活動に必要な時間・予算の確保を承認する
📌 なぜ経営者の宣言が必要か？ 経営者の関与がないと、「兼任でCSIRTをやる」と言われたメンバーは通常業務を優先し、セキュリティ活動が形骸化します。セキュリティポリシーの策定と合わせて、経営者自身がセキュリティへの姿勢を示すことが、実効性のあるCSIRTの大前提です。
STEP 2：メンバー選定と役割定義（1週間）
中小企業のCSIRTは2〜3名の兼任体制で十分です。重要なのは、「有事にこの人がこの役割を担う」と明確にしておくことです。
推奨メンバー構成（従業員50名以下の場合）
| 役割 | 担当者の目安 | 主な責務 |
|---|---|---|
| CSIRT統括（リーダー） | 経営者または管理職 | 対外発表・意思決定の最終責任者 |
| 技術担当 | IT担当者・情シス | 技術的な初動対応、ログ確認、復旧作業 |
| 事務局・渉外担当 | 総務・管理部門 | 外部機関への連絡、記録管理、社員への周知 |
| OT担当（製造業） | 現場リーダー・設備管理者 | 工場系設備の状況確認、生産ラインの判断 |
graph TD
L["👔 CSIRT統括<br/>（経営者/管理職）<br/>意思決定・対外発表"]
T["💻 技術担当<br/>（IT担当/情シス）<br/>技術対応・復旧"]
A["📞 事務局・渉外<br/>（総務/管理部門）<br/>連絡・記録"]
O["🏭 OT担当<br/>（現場リーダー）<br/>※製造業の場合"]
L --> T
L --> A
L --> O
style L fill:#1e40af,stroke:#1e3a8a,color:#ffffff
style T fill:#059669,stroke:#047857,color:#ffffff
style A fill:#d97706,stroke:#b45309,color:#ffffff
style O fill:#7c3aed,stroke:#6d28d9,color:#ffffffメンバー選定のポイント
- 複数人を割り当てる：1名だと出張・休暇中に対応できません。各役割に主担当と副担当を決めておきましょう
- 「人」ではなく「役職・ポジション」で定義する：異動・退職時の引き継ぎをスムーズにするためです
- 全員がITに詳しい必要はない：統括は経営判断、事務局は連絡・記録が主な役割です
STEP 3：対応フローと連絡先の整備（2週間）
インシデント発生時に「誰が、何を、どの順番で」行うかを文書化します。詳細なテンプレートは「インシデント対応マニュアルの作り方」に掲載しています。CSIRTとしては、以下の3つの文書を最低限準備してください。
最低限必要な3つの文書：
| 文書 | 内容 | 保管場所 |
|---|---|---|
| ① インシデント対応フロー | 発生〜復旧までの手順 | 紙＋デジタル |
| ② 緊急連絡先一覧 | 社内・社外の連絡先 | 必ず紙でも保管 |
| ③ 外部連絡テンプレート | 取引先・監督官庁への通知文 | デジタル |
外部連絡テンプレート（例：取引先への通知文）
件名：セキュリティインシデントに関するご報告
○○株式会社
○○様
平素よりお世話になっております。
株式会社○○の○○でございます。
弊社にて、下記のセキュリティインシデントが
発生いたしましたのでご報告申し上げます。
■ 発生日時：○年○月○日 ○時○分頃
■ 概要：（簡潔に記載）
■ 御社への影響：（ある場合は具体的に記載）
■ 現在の対応状況：（実施中の対策を記載）
■ 今後の予定：（調査完了の見込み等）
詳細が判明次第、改めてご報告いたします。
ご不明な点がございましたら、下記までお問い合わせください。
【お問い合わせ窓口】
担当者名：○○
電話番号：○○-○○○○-○○○○
メール：○○@○○.co.jpSTEP 4：教育と訓練（1ヶ月目〜）
体制と文書を整えたら、実際に動けるかどうかを検証します。
平時のセキュリティ教育
CSIRTメンバーだけでなく、全従業員への定期的なセキュリティ教育が重要です。年間を通じた教育計画の立て方は「セキュリティ教育の年間計画の作り方」で詳しく解説しています。
| 教育内容 | 対象 | 頻度 | 実施方法 |
|---|---|---|---|
| フィッシングメールの見分け方 | 全従業員 | 四半期に1回 | 実例を使った研修（15分） |
| パスワード管理のルール | 全従業員 | 年1回 | 社内通達＋確認テスト |
| インシデント発見時の報告ルール | 全従業員 | 年1回 | マニュアル配布＋周知 |
| 最新脅威動向の共有 | CSIRTメンバー | 月1回 | 定例ミーティング（30分） |
💡 フィッシング詐欺・BECの手口と対策は「フィッシング詐欺・BEC対策ガイド」で詳しく解説しています。
机上演習（テーブルトップ・エクササイズ）
年2回の机上演習を推奨します。演習の進め方は「インシデント対応マニュアルの作り方」の「机上演習の進め方」セクションでも解説していますが、CSIRTとしての演習ポイントを以下にまとめます。
演習シナリオ例：
【シナリオ】
月曜朝9時、経理担当者がPCを起動すると、
ファイルサーバー上の共有フォルダにアクセスできない。
画面に英語のメッセージが表示されている。
「Your files have been encrypted. Pay 3 BTC to...」
【検討事項】
1. 最初に何をしますか？
2. 誰に、どの順番で連絡しますか？
3. ネットワークを遮断する判断は誰がしますか？
4. 取引先への連絡は必要ですか？
5. 警察・IPAへの届出は誰が行いますか？STEP 5：運用と改善（継続）
CSIRTは「作って終わり」ではなく、継続的に改善していくものです。
graph TB
R1["📊 見直し<br/>（半年ごと）"]
R2["📝 連絡先<br/>更新"]
R3["🎭 訓練<br/>実施"]
R4["🔄 フロー<br/>改善"]
R1 --> R2
R2 --> R3
R3 --> R4
R4 --> R1
style R1 fill:#2563eb,stroke:#1d4ed8,color:#ffffff
style R2 fill:#d97706,stroke:#b45309,color:#ffffff
style R3 fill:#dc2626,stroke:#b91c1c,color:#ffffff
style R4 fill:#059669,stroke:#047857,color:#ffffff定期的に見直すべき項目：
- CSIRTメンバーの変更（異動・退職）はないか？
- 外部連絡先（ITベンダー、セキュリティ会社）は最新か？
- 新しいシステムやクラウドサービスが追加されていないか？
- 前回の訓練で出た改善点は反映されたか？
- 守るべき情報資産に変更はないか？
【テンプレ】インシデント対応フローと外部連絡先
CSIRTのインシデント対応フロー
CSIRTとしてのインシデント対応は、検知→初動→報告→復旧→振り返りの5段階で進みます。
graph TD
D["🔍 検知<br/>異常の発見・報告"]
I["🚨 初動対応<br/>被害拡大の防止"]
R["📢 報告・届出<br/>経営層・外部機関"]
F["🔧 復旧<br/>システム復元・業務再開"]
L["📝 振り返り<br/>原因分析・再発防止"]
D --> I
I --> R
R --> F
F --> L
style D fill:#2563eb,stroke:#1d4ed8,color:#ffffff
style I fill:#dc2626,stroke:#b91c1c,color:#ffffff
style R fill:#d97706,stroke:#b45309,color:#ffffff
style F fill:#059669,stroke:#047857,color:#ffffff
style L fill:#7c3aed,stroke:#6d28d9,color:#ffffff| 段階 | CSIRTの主な動き | 担当 | 時間目安 |
|---|---|---|---|
| 検知 | 従業員からの報告受付、監視ツールのアラート確認 | 技術担当 | 〜30分 |
| 初動 | ネットワーク遮断判断、感染端末の隔離、証拠保全 | 技術担当→統括 | 30分〜2時間 |
| 報告 | 経営者報告、監督官庁届出、取引先通知 | 事務局＋統括 | 数時間〜数日 |
| 復旧 | バックアップからの復元、セキュリティ強化 | 技術担当＋外部専門家 | 数日〜数週間 |
| 振り返り | 報告書作成、再発防止策策定、マニュアル改訂 | 全員 | 復旧後1ヶ月以内 |
外部連絡先一覧テンプレート
有事の際に連絡すべき外部機関をまとめます。この一覧は必ず紙にも印刷して、オフィスの壁に掲示してください。 ランサムウェアに感染すると社内ネットワークが使えなくなり、デジタルファイルにアクセスできなくなります。
| # | 連絡先 | 用途 | 連絡先情報 |
|---|---|---|---|
| 1 | 警察（サイバー犯罪相談窓口） | 犯罪性がある場合 | #9110 |
| 2 | IPA（情報処理推進機構） | ウイルス届出 | 03-5978-7509 |
| 3 | JPCERT/CC | 不正アクセス報告 | Web報告フォーム |
| 4 | 個人情報保護委員会 | 個人情報漏洩時（報告義務） | 03-6457-9685 |
| 5 | サイバーセキュリティお助け隊 | 中小企業向け安価な支援 | IPA公式サイト |
| 6 | 契約ITベンダー | 技術支援 | （自社で記入） |
| 7 | サイバー保険会社 | 保険請求 | （自社で記入） |
【訓練】年2回のシミュレーション演習の進め方
なぜ訓練が必要か
マニュアルを作っただけでは、いざというときに動けません。年2回の机上演習でCSIRTの対応力を検証しましょう。
演習の進め方（90分）
graph TB
E1["📖 座学<br/>（20分）<br/>最新脅威＋<br/>対応手順の確認"]
E2["🎭 シナリオ演習<br/>（50分）<br/>役割に基づく<br/>対応シミュレーション"]
E3["💬 振り返り<br/>（20分）<br/>課題抽出＋<br/>改善策の議論"]
E1 --> E2
E2 --> E3
style E1 fill:#2563eb,stroke:#1d4ed8,color:#ffffff
style E2 fill:#dc2626,stroke:#b91c1c,color:#ffffff
style E3 fill:#059669,stroke:#047857,color:#ffffff| パート | 時間 | 内容 | ポイント |
|---|---|---|---|
| 座学 | 20分 | 最近のインシデント事例紹介、自社のCSIRT体制と対応フローの確認 | CSIRTメンバー以外の一般従業員にも「異常を見つけたらどこに報告するか」を再確認 |
| シナリオ演習 | 50分 | 「金曜夕方、VPN経由でランサムウェアに感染した」等のシナリオで、各メンバーが役割に基づいて対応を議論 | 「誰が」「何分以内に」「何をするか」を具体的に |
| 振り返り | 20分 | 対応フローの不備、連絡先の不足、判断に迷ったポイントを洗い出し | 改善点は必ず文書化し、次回までに反映 |
💡 IPAの無料教材を活用 IPAは「セキュリティインシデント対応机上演習教材」を無料で公開しています。ランサムウェア感染シナリオの演習教材（パワーポイント）と実施マニュアルがセットになっており、そのまま使えます。
演習後のチェックリスト
- 緊急連絡先一覧は最新の状態か？
- ネットワーク遮断の判断基準と手順は全員が理解しているか？
- 経営者への第一報の内容・タイミングは明確か？
- バックアップからの復旧手順は検証済みか？（3-2-1ルールを参照）
- 外部専門家との連絡・契約は有効か？
【効率化】生成AIで日々のセキュリティ情報収集を自動化する
CSIRTの平時の業務として重要な「セキュリティ情報の収集」ですが、毎日の情報収集を人力で行うのは負担が大きいのが現実です。生成AIを活用して効率化しましょう。
情報収集の自動化アイデア
| 方法 | ツール例 | 内容 |
|---|---|---|
| RSSフィード＋AI要約 | Feedly + ChatGPT/Claude | IPA、JPCERT/CC、警察庁のRSSをAIで日本語要約 |
| メールアラート登録 | IPA、JVN（脆弱性情報） | 新しい脅威情報を自動で受信 |
| Slack/Teams連携 | Power Automate / Make | 重要な脆弱性情報をチャットに自動通知 |
おすすめの情報源
| 情報源 | URL | 更新頻度 |
|---|---|---|
| IPA 重要なセキュリティ情報 | IPA公式 | 随時 |
| JPCERT/CC 注意喚起 | JPCERT/CC | 随時 |
| JVN（脆弱性対策情報） | JVN | 随時 |
| 警察庁 サイバー空間の脅威 | 警察庁 | 月次〜 |
💡 生成AIの業務活用 生成AIの社内活用方法については「中小企業の生成AI導入ガイド」「生成AIの社内利用ガイドラインの作り方」も参考にしてください。
【事例】中小企業のCSIRT構築と効果
事例1：東京都の支援事業を活用した製造業A社（従業員30名）
東京都産業労働局が実施する「中小企業サイバーセキュリティ社内体制整備事業」に参加したA社では、以下の成果が報告されています。
| 項目 | 取り組み前 | 取り組み後 |
|---|---|---|
| インシデント対応体制 | なし（IT担当者が個人で対応） | CSIRT3名体制（統括＋技術＋事務局） |
| 対応フロー | なし | インシデント対応フロー図を作成 |
| 訓練 | 未実施 | フィッシング感染シナリオで机上演習を実施 |
| BCP連携 | IT-BCPなし | IT-BCP計画書を作成し、CSIRT活動と連動 |
この事業では、専門家の派遣を受けながら約3ヶ月でCSIRTの基本体制を構築できたとのことです。演習では「実際にやってみると、連絡先が古い」「誰がネットワーク遮断するか決まっていなかった」といった課題が明らかになり、体制の改善につながっています。
事例2：ITベンダーの支援でCSIRTを構築した通信事業者B社（従業員約100名）
広域高速ネット二九六（株）では、外部のセキュリティベンダーの支援を受け、約3ヶ月でCSIRTを構築しました。専門知識のある社員がいない中でも、ベンダーのCSIRT構築・運用支援サービスを活用することで、必要な文書整備からインシデント対応訓練までを短期間で完了しています。
事例から学べること
- 3ヶ月あればCSIRTの基本体制は構築できる
- 外部の専門家や公的支援を活用することで、専門知識のハードルを下げられる
- 机上演習を実施して初めて「穴」が見つかる（体制を作っただけでは不十分）
- 東京都のような自治体の支援事業は積極的に活用すべき
【VPN】最近のランサムウェア事例に学ぶリスク管理
アサヒグループの事例（2025年9月）
2025年9月、アサヒグループホールディングスがランサムウェア攻撃を受け、物流業務が数ヶ月にわたり影響を受けた大規模インシデントが発生しました。
| 項目 | 内容 |
|---|---|
| 発生時期 | 2025年9月 |
| 侵入経路 | ネットワーク機器（VPN機器と推定） |
| 被害規模 | 最大約152万件の個人情報漏洩の恐れ |
| 業務影響 | 物流・配送業務が数ヶ月停止 |
| 事後対策 | VPN廃止を含む抜本的なネットワーク見直し |
この事例の教訓は3つあります。
- VPN機器の脆弱性は最大の侵入経路：ファームウェアの更新を怠ると、攻撃者にとっての「正面玄関」になる
- 大企業でも復旧に数ヶ月かかる：中小企業が同規模の被害を受ければ、事業継続そのものが危うくなる
- 事後対応としてVPN廃止に踏み切った：VPNからSASE/SSEへの移行は、もはや「先進的な取り組み」ではなく「必要な対応」
📌 VPN脱却の具体的な進め方 VPNの代替手段（SASE/SSE）への移行については「中小企業のVPN脱却ガイド」で、6ヶ月の段階的移行プランとコスト試算を解説しています。
VPNリスクとCSIRTの関係
CSIRTの観点では、VPNは以下の理由で最優先の監視対象です。
graph TD
V["🔒 VPN機器"]
R1["⚠️ リスク1<br/>脆弱性の放置<br/>（パッチ未適用）"]
R2["⚠️ リスク2<br/>認証情報の窃取<br/>（ID/PW漏洩）"]
R3["⚠️ リスク3<br/>ログ監視の不備<br/>（不正アクセスに<br/>気づけない）"]
V --> R1
V --> R2
V --> R3
R1 --> D["💀 ランサムウェア感染<br/>業務停止・情報漏洩"]
R2 --> D
R3 --> D
style V fill:#d97706,stroke:#b45309,color:#ffffff
style R1 fill:#fef2f2,stroke:#dc2626,color:#333
style R2 fill:#fef2f2,stroke:#dc2626,color:#333
style R3 fill:#fef2f2,stroke:#dc2626,color:#333
style D fill:#dc2626,stroke:#b91c1c,color:#ffffffCSIRTがVPNについて確認すべきこと：
- VPN機器のファームウェアは最新版か？
- VPNの認証にMFA（多要素認証）を導入しているか？
- VPNのアクセスログを定期的に確認しているか？
- 退職者のVPNアカウントは無効化されているか？
- VPN機器の脆弱性情報を定期的にチェックしているか？
VPNのセキュリティ対策の基本については「セキュリティ対策15選」でも触れていますので、合わせてご確認ください。
★今日からできるアクション
すぐできる（10分以内）
- 「セキュリティインシデントが起きたら誰が対応するか」を社内で確認する
- IPAの「中小企業の情報セキュリティ対策ガイドライン」をダウンロードする
- 自社のVPN機器のファームウェアバージョンを確認する
今週中に
- CSIRT統括（リーダー）を誰にするか、経営者と話し合う
- CSIRT候補メンバー2〜3名をリストアップする
- 現在の緊急連絡先一覧を確認し、最新の状態に更新する
今月中に
- CSIRTメンバーの役割分担を正式に決定し、社内に周知する
- インシデント対応フローと外部連絡先一覧を文書化し、紙でも保管する
- 守るべき情報資産の棚卸しを実施する
3ヶ月以内に
- 第1回の机上演習（テーブルトップ・エクササイズ）を実施する
- セキュリティポリシーにCSIRT体制を明記する
- 外部のセキュリティ支援サービス（サイバーセキュリティお助け隊等）の導入を検討する
まとめ
本記事では、中小企業がCSIRT（セキュリティ対応チーム）を構築するための5ステップを解説しました。
| ステップ | 内容 | 期間目安 |
|---|---|---|
| STEP 1 | 経営者の意思決定 | 1日 |
| STEP 2 | メンバー選定と役割定義 | 1週間 |
| STEP 3 | 対応フローと連絡先の整備 | 2週間 |
| STEP 4 | 教育と訓練 | 1ヶ月目〜 |
| STEP 5 | 運用と改善 | 継続 |
CSIRTは「大企業のもの」ではありません。 専任のセキュリティ人材がいなくても、兼任2〜3名で始められます。重要なのは、「有事にこの人がこの役割を担う」と決めておくことです。
2026年度末に開始予定のSCS評価制度では、インシデント対応体制の整備が求められます。また、サプライチェーン攻撃の増加により、取引先からセキュリティ体制の説明を求められるケースも増えています。
「完璧なCSIRT」を目指す必要はありません。 まずは経営者が宣言し、メンバーを決め、最低限の文書を整える。そこから始めて、訓練を通じて改善していく。その繰り返しが、会社を守る体制を作ります。
関連記事
- 【テンプレ付き】インシデント対応マニュアルの作り方 ── 初動対応フロー・連絡先テンプレート・報告書フォーマット（本記事の「マニュアル編」）
- IT担当者が「最低限やるべき」セキュリティ対策15選 ── 予算ゼロでも今日から始められるセキュリティの基盤
- ゼロトラストセキュリティ入門 ── MFA→ID管理→デバイス管理の段階的ロードマップ
- 中小企業のVPN脱却ガイド ── SASE/SSEへの6ヶ月移行プラン
- ランサムウェア被害の5つの防御策 ── 感染を「防ぐ」ための具体策
- 情報セキュリティポリシーの作り方 ── CSIRT体制を含むセキュリティ方針の文書化
- SCS評価制度とは？ ── ★3取得に向けた準備ガイド
- サイバーセキュリティ対策の補助金ガイド ── CSIRT構築にも使える補助金情報
以上となります。
最後まで読んでいただき、ありがとうございました。
本記事は2026年3月時点の情報に基づいて作成しています。法令やガイドラインは変更される可能性があるため、最新情報はIPA・経済産業省・個人情報保護委員会等の公式サイトをご確認ください。