対応（インシデント対応）
サイバーセキュリティのインシデント（事案）を見つけた後に、被害を抑え、原因を取り除き、関係者に報告し、復旧へつなげる活動です（英語では incident response。インシデントレスポンスとも呼ぶ）。CISSP では
CISSPドメイン7 セキュリティ運用のインシデント管理で扱います。
検知・
復旧と並ぶ活動で、復旧は対応の最中に始めることもあります。組織の中で対応を担うチームを
CSIRTと呼びます。
定義
NIST SP 800-61 Rev. 3（インシデント対応の推奨事項、2025年4月）は、用語集で次のように定めています。
| 語 |
定義 |
| 事象（event） |
物理と仮想の基盤、ネットワーク、サービス、クラウドの環境を含む、コンピュータの資産にかかわる、観察できるあらゆる出来事 |
| インシデント（cybersecurity incident） |
法的な権限なしに、情報や情報システムの完全性・機密性・可用性を、実際に、または差し迫って危うくする出来事。あるいは、法令・セキュリティの方針・手順・利用の規則への違反や、その差し迫ったおそれとなる出来事 |
| インシデント対応（incident response） |
セキュリティの方針と推奨される実践への違反を、是正または緩和すること |
すべての事象がインシデントではありません。事象のうち、上の条件に当たるものがインシデントです（筆者の整理）。
対応の流れの考え方の変化
SP 800-61 の前の版（Rev. 2、2012年）は、対応を「準備」「検知と分析」「封じ込め・根絶・復旧」「事後の活動」の4つの段階が輪になって回る形で描いていました。Rev. 3 は、当時はインシデントが比較的まれで範囲が狭く、対応と復旧が1〜2日で終わることが多かったので、別のチームが行う別の活動として描くのが現実的だったと説明しています。今は、インシデントが頻繁に起き、被害が大きく、復旧に数週間から数か月かかることも多いとして、対応を組織の運営の全体に組み込むべき、サイバーセキュリティのリスク管理の重要な一部と位置づけています。
Rev. 3 は、NIST のサイバーセキュリティフレームワーク（CSF 2.0）の6つの機能に沿って、対応の流れを描き直しています。
| 機能 |
内容（CSF 2.0） |
対応での役割（SP 800-61 Rev. 3） |
| 統治（GV） |
リスク管理の戦略・期待・方針を定め、伝え、監視する |
準備。一部のインシデントを防ぎ、起きたときに備え、影響を減らす。対応そのものではなく、より広いリスク管理の活動 |
| 識別（ID） |
今のサイバーセキュリティのリスクを理解する |
同上。中の「改善（ID.IM）」の区分が、すべての機能から教訓を集めて改善に回す |
| 防御（PR） |
リスクを管理するための守りを使う |
同上 |
| 検知（DE） |
ありうる攻撃や侵害を見つけて分析する |
対応そのもの（検知） |
| 対応（RS） |
検知したインシデントについて行動する |
対応そのもの（このページ） |
| 復旧（RC） |
インシデントで影響を受けた資産と業務を元に戻す |
対応そのもの（復旧） |
前の版の段階との対応は、Rev. 3 の表1によると、「準備」が統治・識別（すべての区分）・防御に、「検知と分析」が検知と識別の中の改善（ID.IM）に、「封じ込め・根絶・復旧」が対応・復旧と識別の中の改善に、「事後の活動」が識別の中の改善にあたります。
対応（RS）の中身
SP 800-61 Rev. 3 は、CSF 2.0 の対応の機能を、次の区分で説明しています（要約）。
| 区分 |
内容 |
| インシデント管理（RS.MA） |
すべてのインシデントへの対応を監督し、必要に応じて優先度と資源を付け替える。資源に限りがあるので、インシデントを先着順で扱うべきではなく、リスクの評価の要素に基づいて、優先付けや、復旧をいつ始めるかを決める |
| インシデントの分析（RS.AN） |
何が起きたか、どのように、なぜ起きたかを調べて記録し、根本の原因を明らかにする。フォレンジクス（証拠の調査）と復旧を支える |
| 報告と伝達（RS.CO） |
法令・規則・方針に従って、社内外の関係者と連携する。関係者の間の調整、影響を受けた顧客・従業員・取引先・規制当局などへの正式な通知、報道への対応などの公表、脅威の情報の共有、の4つに分かれる |
| 緩和（RS.MI） |
事象の広がりを防ぎ、影響を抑える（封じ込めと根絶）。基準と手順を前もって決めておくと、手作業での選択が早く楽になりうる |
誰が担うか
SP 800-61 Rev. 3 は、かつては対応を組織の中の対応チームがほぼ一手に担っていたが、今は社内外の多くの関係者の参加が成功を左右すると、多くの組織が認識しているとしています。役割の例として次を挙げています。
- 経営層：対応を監督し、予算を割り当て、重要なサービスを止めたり作り直したりするような影響の大きい判断の権限を持つことがある
- インシデントの対応者：インシデントが起きたかを確かめ、データと証拠を集めて分析し、対応の優先度を決め、被害を抑え、根本の原因を見つけ、業務を元に戻す。組織の中の対応チームのほか、契約先（SOC（セキュリティの監視の拠点）を外部のセキュリティサービスに任せる、クラウドの提供者の対応チームを使うなど）や、必要なときに頼れる先（親会社、セキュリティの事業者、取引先、法執行機関など）が担うこともある
- ほかに、技術の担当（設計者・技術者・管理者・開発者）、法務（法令やプライバシーへの適合、取引先との契約の確認）、広報（報道と、その先の一般への説明）、人事（従業員が意図してインシデントを起こした疑いがあるときなど）、物理的なセキュリティと施設の管理、資産の持ち主を挙げています
方針に書くこと
SP 800-61 Rev. 3 は、多くの組織のインシデント対応の方針に共通する要素として、次を挙げています。
- 経営層の関与の表明
- 方針の目的と範囲（誰に、何に、どんな状況で当てはまるか）
- 事象・インシデント・調査などの用語の定義
- 役割・責任・権限（どの役割が機器を押収し、切り離し、止める権限を持つかなど）
- インシデントの優先度と深刻度の見積もり、復旧の開始、業務の維持や回復などの指針
- 成果の測り方
手順は方針と計画に基づいて文書にし、定期的に試験や演習で正しさを確かめることができ、新しい担当の訓練にも使えるとしています。すべての状況の詳しい手順を持つことはできないので、よくある種類のインシデントと脅威への手順を文書にすることを考えるよう勧めています。
違い・誤解しやすい点
- 「対応は起きた後の作業」：Rev. 3 は、統治・識別・防御での備えも対応を支えるとし、対応をリスク管理の全体に組み込むべきだとしています
- 「教訓は終わってからまとめる」：Rev. 3 は、対応の中で得た教訓は、復旧が終わるまで待たず、分かった時点で共有するべき場合が多いとしています
- 「来た順に片付ける」：RS.MA の推奨のとおり、資源に限りがあるので、リスクに基づいて優先度を付けます
- ''CISSP の試験アウトラインとの関係''：ISC2 の試験アウトライン（2024年4月15日発効）は、インシデント管理の項目（7.6）に、検知、対応、緩和、報告、復旧、是正、教訓を挙げています。Rev. 3 の機能の分け方とは粒度が違いますが、扱う活動はほぼ重なります（筆者の整理）
日本で働くなら
2026年10月時点の内容に基づきます。
| 考え方 |
日本で対応するもの |
| 個人データの漏えい等の報告 |
個人情報保護法第26条第1項と個人情報保護委員会規則第7条：個人データの漏えい・滅失・毀損などのうち、(1) 要配慮個人情報を含むもの、(2) 不正に利用されると財産的被害が生じるおそれがあるもの、(3) 不正の目的をもって行われたおそれがある行為によるもの（取得しようとしている個人情報を含む。入力ページの改ざんで盗まれた場合など）、(4) 本人の数が千人を超えるもの、が発生し、または発生したおそれがあるときは、個人情報保護委員会に報告しなければならない。いずれも、高度な暗号化その他の個人の権利利益を守るために必要な措置を講じた個人データは除く（規則第7条第1号の括弧書き）。委託を受けて個人データを扱う事業者が、委託元に通知したときは、報告の義務を負わない（法第26条第1項ただし書） |
| 報告の期限と報告先 |
規則第8条：事態を知った後、速やかに報告（速報）し、知った日から30日以内（上の (3) は60日以内）に報告（確報）する。個人情報保護委員会のガイドラインは、「速やか」の目安を、個別の事案によるものの、知った時点から概ね3〜5日以内とし、法人では、いずれかの部署が知った時点を起算点とするとしている。確報の期限は、知った日を1日目とし、土日・祝日も含めて数える（末日が休日などなら翌日）。委員会が報告を受ける権限を事業所管大臣に委ねている業種では、その大臣に報告する |
| 本人への通知 |
報告の対象となる事態が生じたときは、本人にも、事態の状況に応じて速やかに通知しなければならない（法第26条第2項、規則第10条）。委託元に通知した委託先は除く。本人への通知が困難な場合で、本人の権利利益を守るために必要な代わりの措置をとるときは、この限りでない |
| 相談と報告の先 |
インシデントの報告と調整の窓口として JPCERT/CC（JPCERT コーディネーションセンター）、サイバー事案の通報・相談の窓口として警察がある（リンク集） |
施行前の改正：2026年7月17日公布の個人情報保護法の改正法で、本人への通知の例外が広がるなど、決まりが変わる予定です（本体は公布から2年以内に政令で定める日に施行）。施行までは上の表の決まりが適用されます。
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:19
