SCS評価制度★3のインシデント対応手順の作り方｜5つの手順・連絡先・報告フォーマット
「SCS評価制度の★3でインシデント対応手順が必要と言われたけど、何を書けばいいかわからない」と困っていませんか。
結論から言うと、★3のインシデント対応手順には①発見報告、②初動、③調査・対応、④復旧、⑤最終報告の5つの手順を入れることが求められています。さらに、連絡先・報告ルート、役員と担当部署の役割、報告フォーマット、年1回の点検と事例の共有が必要です。
この記事では、★3の評価基準の原文をもとに、中小企業でも作れるインシデント対応手順の中身を解説します。
この記事でわかること
- ★3のインシデント対応手順に関する6つの評価基準
- 5つの手順それぞれに書くべきこと
- 連絡先一覧に入れておくべき社外の窓口
- 報告フォーマットと年1回の点検の進め方
私は情報処理安全確保支援士の資格を持つセキュリティマネージャーで、勤務先で★3の評価基準のチェックを完了しています。SCS評価制度の全体像はSCS評価制度とは？★3の要求事項と中小企業がやることを解説をご覧ください。
★3のインシデント対応に関する評価基準
インシデント対応は、★3の要求事項「6-1-1 インシデント対応手順」で求められています。評価基準は6つあります。
| 評価基準 | 求められること（要約） |
|---|---|
| 6-1-1-1 | ①発見報告、②初動、③調査・対応、④復旧、⑤最終報告を含む対応手順を定める |
| 6-1-1-2 | 社内外の組織（関係当局・所管省庁を含む）の連絡先と、報告・情報共有ルートを定める |
| 6-1-1-3 | セキュリティを統括する役員とセキュリティ担当部署の役割・責任を定める |
| 6-1-1-4 | 年1回以上、連絡先・体制（6-1-1-2、6-1-1-3）を点検する |
| 6-1-1-5 | インシデントの報告フォーマットを整備する |
| 6-1-1-6 | 年1回以上と重大インシデントの発生時に、事例と対応策を社内に共有する |
「手順書を1枚作れば終わり」ではなく、体制・連絡先・様式・点検・共有までがセットになっているのが特徴です。
5つの手順に書くべきこと（6-1-1-1）
①発見報告
「おかしい」と気づいた社員が、誰に、どうやって報告するかを決めます。中小企業では、ここが一番大切です。
- 報告先（担当者名と電話番号。メールが使えない場合に備えて電話も）
- 報告すべき例：不審なメールを開いた、画面に身代金要求が出た、パソコンを紛失した、誤送信した
- 「自分のミスでもすぐ報告してよい。報告を責めない」という方針を明記する
②初動
被害を広げないための最初の行動です。誰でもその場でできることを具体的に書きます。
- 感染が疑われるパソコンはLANケーブルを抜く、Wi-Fiを切る（電源は切らずに担当者の指示を待つ）特にノートパソコンではWi-Fiの切り忘れが多いので注意してください。
- アカウントの乗っ取りが疑われる場合はパスワードを変更し、ほかの端末のログインを解除する
- 誤送信の場合は、送信先に削除を依頼する
電源を切るかどうかは、調査に必要な情報が消えることもあるため、担当者や専門業者の判断に任せるのが一般的です。
③調査・対応
何が起きたか、どこまで影響があるかを調べ、対処します。
- 影響範囲（どの機器、どのデータ、どの取引先）を確認する
- 個人情報や取引先の機密情報が漏れた可能性があるかを判断する
- 社内で対応できない場合に依頼する専門業者（保守事業者、セキュリティ会社）を決めておく
④復旧
安全を確認してから業務を元に戻します。バックアップから戻す場合は、バックアップ自体が感染していないかも確認します。リストアの準備はバックアップの要件の解説記事で詳しく説明しています。
⑤最終報告
原因、影響、行った対応、再発防止策をまとめ、経営層に報告します。取引先や関係当局に報告した内容も記録に残します。
連絡先と報告ルートを決める（6-1-1-2）
評価基準では「関係当局及び所管省庁を含む」と明記されています。社内だけでなく、社外の連絡先も一覧にしておきましょう。
| 区分 | 連絡先の例 | どんなときに |
|---|---|---|
| 社内 | セキュリティ担当、統括役員、社長、総務 | すべてのインシデント |
| 取引先 | 発注元のセキュリティ窓口 | 取引先の情報やシステムに影響がある場合（契約で報告義務があることも多い） |
| 保守・専門業者 | ネットワーク機器の保守事業者、セキュリティ会社 | 調査や復旧を依頼する場合 |
| 個人情報保護委員会 | 漏えい等報告の窓口 | 個人情報の漏えい等で報告義務がある場合 |
| 警察 | 都道府県警察のサイバー犯罪相談窓口 | 不正アクセスやランサムウェアなど犯罪の被害 |
| 所管省庁 | 自社の業界を所管する省庁 | 業法などで報告が求められる場合 |
| 相談窓口 | IPAの相談窓口、JPCERT/CC | 対応に迷ったときの相談・届出 |
個人情報の漏えい等で個人情報保護委員会への報告が必要な場合、速報はおおむね3〜5日以内、確報は原則30日以内（不正アクセスなど不正の目的によるおそれがある場合は60日以内）とされています。期限が短いので、判断する人と報告する人をあらかじめ決めておきましょう。最新の要件は個人情報保護委員会のサイトで確認してください。
報告ルートは「社員→セキュリティ担当→統括役員→社長」のように、誰が誰に、どのタイミングで伝えるかを図にしておくとわかりやすくなります。夜間や休日の連絡方法も決めておくと安心です。
役員と担当部署の役割を決める（6-1-1-3）
★3では、インシデント発生時の「セキュリティを統括する役員」と「セキュリティ担当部署」の役割・責任を定めることが求められています。CISOがいない中小企業では、社長や担当役員がこの役割を担うのが一般的です。
- 統括役員：業務やシステムを止めるかどうかの判断、取引先や当局への報告の承認、社外への公表の判断
- 担当部署（担当者）：報告の受付、初動の指示、調査・復旧の実施、専門業者との連絡、記録の作成
「システムを止める判断を誰がするか」は特に揉めやすいポイントです。止めると業務に影響が出るため、担当者だけで判断できるようにしておくのか、役員の承認が必要なのかを先に決めておきましょう。
報告フォーマットを用意する（6-1-1-5）
報告フォーマットがあると、慌てているときでも必要な情報を漏れなく集められます。最低限、次の項目を入れておきます。
- 発見日時と発見者
- 何が起きたか（事象の概要）
- 影響を受けた機器・アカウント・データ
- 取った初動の内容と時刻
- 個人情報や取引先の情報への影響の有無
- 社外への報告の要否と報告先
- 原因と再発防止策（最終報告時）
★3対応テンプレート集には、インシデント対応手順と報告フォーマットのひな形があります。
年1回の点検と事例の共有（6-1-1-4、6-1-1-6）
連絡先や体制は、人事異動や担当者の退職ですぐに古くなります。年に1回は、連絡先の電話番号が今もつながるか、役割を担う人が変わっていないかを点検し、点検した記録を残しましょう。
また、年1回以上と、社内外で重大なインシデントが起きたときに、事例と対応策を社内に共有することも求められています。他社のニュースを使って「うちで同じことが起きたらどうするか」を話し合う机上演習を行うと、点検と共有を一度にこなせます。IPAはセキュリティインシデント対応机上演習教材を公開しているので、題材探しに使えます。
まとめ
- ★3のインシデント対応手順には、発見報告・初動・調査対応・復旧・最終報告の5つの手順が必要
- 関係当局・所管省庁を含む社外の連絡先と報告ルート、役員と担当部署の役割も決める
- 報告フォーマットを用意し、年1回以上の点検と事例の共有を記録に残す
- 中小企業では「すぐ報告できる雰囲気づくり」と「止める判断をする人」を決めることが特に大切
今の対応状況はSCS★3セルフチェックで確認できます。ほかの要求事項は、多要素認証、IT資産台帳、バックアップの記事で解説しています。CSIRTの体制づくりをさらに学びたい方はCSIRTのおすすめ本もあわせてご覧ください。自社だけで進めるのが難しい場合は、SCS評価制度の対応支援でご相談も受け付けています。
出典
評価基準の引用は2026年4月21日公開版にもとづきます。解説書や評価ガイドが公開されたら、この記事も更新します。
