インシデント対応体制の事前準備｜担当者・連絡網・判断ルール・訓練を確認

Webサイトの改ざんや情報漏えいが疑われる時、意外と困るのが「誰が判断するのか決まっていない」状態です。

責任者や報告先、サイトを止める条件が曖昧だと、「まず誰に連絡する？」「サイトは止めたほうがいい？」と確認している間にも、影響が広がるおそれがあります。

事故が起きてから慌てないためにも、平時のうちに担当者と連絡先を決め、判断に必要な情報をそろえておくことが大切です。

この記事では、事故前に決めておきたい5つの項目と、Web診断を判断材料として活用する方法をご紹介します。

セキュリティー診断さん

インシデント対応…？なんだか難しそうな言葉だなあ。うちの会社、そういうのってちゃんと決まってるのかな…？

事故発生時に最も困るのは「誰も判断できないこと」

会社の規模にかかわらず、判断する人が決まっていないと、異常を見つけても報告やサイト停止の話がなかなか進みません。

たとえば、画面が書き換えられた、身に覚えのないページが表示された、顧客情報が漏れた可能性があるといった場面です。

担当者が「制作会社へ連絡していいのか」「誰がサイト停止を決めるのか」と迷っているうちに、社内確認だけで時間が過ぎてしまいます。

もちろん、事故を防ぐための対策は大切です。

あわせて、もし事故が起きても初動を止めない準備をしておきましょう。

責任者と代理者、報告先、判断の条件を文書に残し、関係者が同じ情報を確認できるようにしておくと安心です。

準備表は作って終わりではありません。

責任者が不在の時に誰が代わるのか、休日や営業時間外でも連絡できるかまで確かめておけば、いざという時にも判断が滞りにくくなります。

経営者が事故前に決めておきたい5項目

経営者にとって大切なのは、詳しい事故対応の操作を覚えることではなく、「誰が・いつ・何をするか」を会社として決めておくことです。

まずは次の5項目が文書になっているか確認し、決まっていない項目には担当者と期限を決めておきましょう。

1. 責任者と代理者

事故対応の中心となる責任者と、不在時に判断を引き継ぐ代理者を具体的に決めておきます。

異常を見つけた人が「誰に報告すればいい？」と迷わない状態にしておくことが大切です。

2. 社内外の連絡先

社内の報告窓口に加え、制作・保守会社、サーバー管理会社、セキュリティ会社などの連絡先をまとめます。

担当者の退職や契約先の変更があっても困らないよう、定期的に更新し、関係者が確認できる場所に保管しましょう。

3. 報告期限

異常を見つけてから責任者へ報告するまでの期限を決めます。

発見者が一人で原因を調べ続けるのではなく、決めた期限までに画面の状態、対象URL、発見時刻などを添えて報告できるようにしておきます。

4. サイトを止める条件と判断者

「情報漏えいの疑いがある」「改ざんが確認された」など、サイト停止を検討する条件と、最終的に判断する人を文書にしておきます。

原因調査を依頼する外部窓口と、記録を保管する場所も決めておきましょう。

事故発生後の行動は、緊急時に実行するセキュリティインシデント対応手順で確認できます。

5. 訓練日と未決事項の期限

想定した事故に沿って連絡や判断を試し、実施日、参加者、見つかった課題、次回の訓練日を記録します。

まだ決まっていない項目には、決める担当者と期限を入れておきます。

訓練では、連絡先がつながるか、代理者が判断表をすぐ確認できるか、外部会社へ必要な情報を渡せるかも確かめましょう。

確認できなかった項目は、次回までに準備する内容として残しておきます。

訓練後の見直しには、インシデント発生時の対応手順と事例も役立ちます。

中小企業のCSIRTは、まず連絡できる体制から始めよう

CSIRTとは、セキュリティ事故が起きた時に中心となって対応するチームです。

中小企業であれば、最初から専門部署を新設するより、経営者やWeb担当者、制作・保守会社など、必要な人がすぐに連絡を取り合える形を整えるほうが始めやすいでしょう。

社内では兼任でも構わないので、中心となる責任者を決め、代理者や外部の相談先とつないでおきます。

大切なのは、人数や組織名よりも、事故が起きた時に誰が情報を集め、誰が判断し、誰が外部へ連絡するかが決まっていることです。

前の5項目を1枚の連絡・判断表にまとめておけば、会社としてどこまで準備できているのかも確認しやすくなります。

制作・保守会社には技術的な確認を相談する、社内の責任者は業務を止めるか判断するなど、それぞれの役割も表に添えておきましょう。

連絡先だけでなく、何を相談する相手なのかまでわかれば、緊急時にたらい回しになるのを防げます。

体制を決めても、技術面の判断材料は別に必要

責任者や連絡先を決める体制確認と、Webサイトの技術的な弱点を調べるWeb診断は別の準備です。

ただし、事故時の判断では両方の情報が役立ちます。

判断者が決まっていても、どのページや機能に危険があり、どこから対応すべきか分からなければ、サイトを止める範囲や修正の順番を具体的に決めにくいためです。

AIによるWeb診断は、外部から利用できるWebサイトの弱点を確認し、見つかった問題を危険度順に整理するために活用できます。

『セキュリティー診断さん』の診断結果は、事故前の準備で次のように使えます。

経営者：危険度や事業への影響を見ながら、対応の優先順位を決める
Web担当者や制作・保守会社：問題が見つかったページや機能を把握し、対応する場所を確認する
社内の事故対応担当者：技術面の情報に合わせて、サイト停止の条件や連絡ルールを見直す

診断結果を責任者や制作・保守会社と共有すると、「誰が判断するか」に加えて、「どこから対応するか」まで話し合いやすくなるでしょう。

たとえば、危険度の高い問題が見つかったページは、サイト停止の条件を見直す材料になります。

影響が限られる問題であれば、修正する担当者や期限を決めるなど、診断結果を具体的な対応につなげることも可能です。

連絡体制だけでなく、こうした技術面の情報も平時にそろえておけば、いざという時に迷う場面を減らせます。

いざという時に慌てないよう、今できる準備から始めよう

セキュリティ事故が起きた時、その場で「誰に連絡する？」「サイトは止める？」と考え始めると、それだけ対応が遅れてしまいます。

責任者や連絡先、サイトを止める条件などは、何も起きていない今のうちに決めておくと安心です。

あわせて、いざ判断する時に迷わないよう、自社サイトにどんな弱点があるのかも確認しておきましょう。

『セキュリティー診断さん』なら、Webサイトの弱点や危険度を確認できるので、制作・保守会社へ相談する時にも話を進めやすくなります。

「誰が動くか」と「サイトにどんな不安があるか」の両方を確認し、もしもの時に会社を守れる準備を始めてみませんか？