サイバー被害の相談先と届出先｜義務は1つだけと、最初の10分でやること

2026年9月10日 10:47

朝、出社した社員が、共有フォルダのファイルが全部開けなくなっていることに気づく。
デスクトップに、見慣れない英文のテキストファイルが置かれている。

この瞬間から、被害の大きさが決まっていきます。
決めるのは、詳しい人がいるかどうかではありません。
次に何をするかが決まっているかどうかです。

先に結論を書きます。
最初にやるのは、電源を切ることではなく、LANケーブルを抜くことです。
そして外部の窓口は、どの業種にも共通してかかる義務が1つと、任意のものが3つ、それに業種や契約によって生じるものに分かれています。
共通の義務は個人情報保護委員会への報告だけで、警察もIPAもJPCERT/CCも、こちらから助けを求めにいく先です。
この記事では、気づいた直後の10分から、どこに相談してどこに届け出るのかまでを、一次資料で確かめながら並べます。

この記事は、警察庁・IPA・JPCERT/CC・国家サイバー統括室の一次資料と、サイバー対処能力強化法の条文をもとに、2026年9月時点の内容にしています。

最初の10分でやること

電源を切らない

いちばん多い誤りから書きます。

何かおかしいと気づいたとき、多くの人は電源を切ります。
とりあえず止めれば被害が広がらない、という直感は自然なものです。

しかし警察庁は、ランサムウェア被害防止対策のページで、こう書いています。

被害拡大を防止するため、感染したパソコン等のＬＡＮケーブルを抜く・無線をオフにするなどして、ランサムウェアに感染したパソコン等をネットワークから隔離してください。感染原因等の調査に必要なログ等が消失する場合もあるので、パソコンやネットワーク機器等の電源は落とさないでください。

理由が後半に書かれています。
電源を切ると、メモリ上にしか残っていない情報が消えます。
何が起きたのかを後から調べる手がかりが、その瞬間に失われるということです。

被害を止めることと、原因を突き止めることは別の作業です。
電源を切るという行為は、前者のつもりで後者を潰してしまいます。

止め方は、ケーブルを1本抜くだけ

警察庁が示している方法は明快です。
機械は動かしたまま、通信だけを断ちます。

有線であればケーブルを1本抜く。
無線であれば機内モードにするか、Wi-Fiをオフにする。
専門知識は要りません。

社内で共有しておくべき手順は、突き詰めればこの2行です。
電源ボタンには触らない。
ケーブルを抜く。

どこまで切り離すか

次に迷うのが、どこまで切るかです。
1台だけなのか、その部署のセグメントごとなのか、会社全体なのか。

判断の材料は、被害が1台にとどまっている証拠があるかどうかです。
そして発見直後の段階では、その証拠はまずありません。
共有フォルダのファイルが開けないということは、少なくともファイルサーバーまで届いているということです。

現実的な考え方は、次のようになります。

症状が出ている端末は、即座にネットワークから外す
共有フォルダやファイルサーバーに症状が及んでいるなら、サーバー側も外す
バックアップ装置がネットワークにつながっているなら、それも外す

3つ目は、バックアップの記事で扱った論点と同じです。
同じネットワーク上にあるバックアップは、一緒にやられます。
まだ無事なら、真っ先に切り離すべき対象です。

一方、全社のインターネット回線を落とすかどうかは、業務への影響が大きく、その場の判断者だけでは決められないことが多いはずです。
ここは社内の体制の話につながります。

誰でもいいので、言う

技術的な操作と並行して、もう1つやることがあります。
連絡です。

そして、ここでつまずく会社がとても多いと感じます。
理由は単純で、連絡先が決まっていないからです。
情報システム担当がいる会社ならその人ですが、いない会社では、誰に言えばいいのかが分かりません。
上司に言うのか、社長に言うのか、保守を頼んでいる業者に言うのか。
迷っているあいだに時間が過ぎます。

この段階で大事なのは、正しい相手を選ぶことではなく、誰かに言うことです。

連絡先が1つに決まっていない会社でも、最低限「おかしいと思ったら、まずケーブルを抜いて、それから誰でもいいので上長に言う」という一文だけは共有しておく価値があります。

判断の質は、そのあとの体制で上げられます。
沈黙だけは取り返せません。

時刻を記録する

忘れられがちな作業です。
気づいた時刻を、メモしてください。

誰が、いつ、何を見て気づいたのか。
どの端末で、どんな症状だったのか。
どの操作を、何時何分に行ったのか。

この記録は、あとで2つの場面で効きます。

1つは、個人情報保護法の報告です。
報告の期限は、事態を知った時点から進みます。
知った時刻の記録がなければ、期限を計算できません。

もう1つは、調査を外部に依頼する場面です。
最初の症状と、その後に誰が何をしたのかが分かっているかどうかで、調査の効率がまったく変わります。

形式は問いません。
スマートフォンで画面を撮っておくだけでも、何もないよりはるかに良い状態です。

やってはいけないことと、その理由

やってはいけない6つ

初動でやりがちで、後の調査や復旧を難しくする行為を並べます。

電源を切る、再起動する
ウイルス対策ソフトで駆除して、そのまま使い続ける
暗号化されたファイルを削除する、上書きする
デスクトップに置かれた脅迫文を削除する
攻撃者に連絡を取る
見よう見まねで復号ツールを試す

駆除を先に済ませると、入口が分からなくなる

2つ目は説明が要ると思います。
駆除そのものは必要ですが、先に済ませてしまうと、何が入っていたのかという証拠が消えます。

どこから入られたのかが分からないまま復旧すると、同じ経路でまた入られます。
警察庁も、被害の再発防止のために感染原因等の調査をするよう求め、調査には各種機器のログが重要になるため、ログはバックアップデータと同様に適切に保管することを推奨する、としています。

脅迫文は、復号ツールを探す手がかりになる

3つ目と4つ目も同じ理由です。

警察庁は、ランサムウェアを特定するために、ランサムノート（身代金を要求するドキュメント等）や暗号化されたファイルの拡張子を確認するよう案内しています。
そのうえで、確認した情報をもとに、対応する復号ツールがNo More Ransomプロジェクトのウェブサイトで公開されているかを確認する、という手順を示しています。

つまり脅迫文は、消すべきゴミではなく、無料で戻せるかどうかを調べるための資料です。

ただし注意も併記されています。
一部のランサムウェアにしか復号ツールは対応していないこと、紹介されていてもバージョン等の違いで使えないことがあること、対応した復号ツールでも暗号化されたファイル全てを復号できるとは限らないことです。
期待しすぎないほうがよい、という趣旨だと思います。

なお、警察庁自身が開発した復号ツールもあります。
令和6年2月にLockBit向け、令和7年7月にPhobos／8base向けのものが広報されました。
Phobos／8base向けについては、警察に被害の届出をしていない方であっても利用できるとされています。
届け出るかどうかを決める前に、まず戻せるかを調べてよい、ということです。

順番を崩すと、戻れない

残す、調べる、それから直す。
この順番を崩すと、あとで取り返しがつきません。

なお、支払いについては警察庁が立場を明示しています。
要求される金銭等の支払いに関して、犯罪グループ等の活動資金となることが懸念されること、暗号化されたデータの復号が保証されるわけではないことを、被害者に対して説明しているとしています。

誰が決めて、誰が動くのか

既存の連絡網は、この場面では使えない

多くの会社には、すでに何らかの緊急連絡網があります。
災害時のものだったり、勤怠の連絡用だったりします。

それらがこの場面で機能しないのは、前提が違うからです。
災害の連絡網は、全員に一斉に伝えることを目的にしています。
一方、サイバー被害の初動で必要なのは、判断できる人に最短で届けることです。

全員に伝わることは、この段階では目的ではありません。
むしろ事実関係が固まる前に社内全体へ広がると、憶測が先行し、取引先への連絡が統制できなくなります。

流用するのではなく、この場面専用の細い線を1本引く、という考え方が要ります。

決めるのは、3つの役割

体制というと大げさに聞こえますが、決めることは3つです。

判断する人。業務を止めるかどうかを決められる人。実質的には経営者か、その権限を委ねられた役員
手を動かす人。機器を切り離し、ログを保全し、業者に連絡する人。社内にいなければ、保守を委託している業者
外と話す人。取引先や顧客からの問い合わせに答える人

3つ目が要るのは、被害の内容が固まる前にこの役割が決まっていないと、複数の人がばらばらの説明をすることになるからです。

中小企業では、この3つを2人で分けることも、1人が兼ねることもあります。
それでも構いません。

大事なのは人数ではなく、それぞれの役割を誰がやるのかが事前に決まっていることです。
兼任するのであれば、兼任すると決めておく。
決めていない状態と、決めたうえで兼任している状態は、当日の動きがまったく違います。

経営者には、分からない段階で上げる

判断する人が経営者である以上、いつ上げるかが問題になります。

実務的には、被害の大きさが分かってから、では遅すぎます。
被害の大きさを調べるにも、業務を止めるにも、費用をかけて外部に依頼するにも、経営者の判断が要るからです。

現実的な線引きは、次のようなものになります。

複数の端末に症状が出ている
共有フォルダやサーバーに症状が及んでいる
顧客や取引先の情報が入っている領域が関係している
脅迫文がある

このいずれかに当てはまるなら、全容が分かる前でも上げる。
むしろ、分からない段階で上げることに意味があります。

経営者の側にも準備が要ります。
夜間や休日に連絡が来る前提で、届く経路を用意しておく。
そして、まだ何も分かっていない、という報告を責めないことです。
責められると分かっている報告は、遅れます。

止める判断は、想像より重い

3つの役割のうち、いちばん難しいのが判断する人の仕事です。

業務システムを止めれば、その日の売上が止まります。
受注も出荷も請求も止まります。
一方、止めなければ被害が広がるかもしれません。
そして初動の段階では、どちらが正しいかを判断する材料がありません。

だからこそ、事前にある程度の方針を決めておく価値があります。

顧客情報を扱うシステムに症状が及んでいる場合は、原則として止める
止めた場合に、どの業務が何日止まるのかを、あらかじめ把握しておく
止めているあいだの代替手段（手書きの受注票、電話での連絡）を決めておく

3つ目は、事業継続の話そのものです。
サイバー被害を、火災や停電と同じ種類の事故として扱うと、考えやすくなります。

連絡手段そのものが、失われる前提で考える

メールもチャットも止まっている

見落とされやすい点があります。

ランサムウェアの被害では、社内のメールやファイルサーバー、業務システムが止まります。
ところが多くの会社の連絡体制は、社内メールやビジネスチャットを前提に組まれています。

被害が起きた瞬間に、連絡手段のほうも失われるということです。

紙が、いちばん強い

対応は単純です。

関係者の携帯電話番号を、紙に印刷して持っておく
社外の保守業者、相談先の電話番号も同じ紙に載せる
その紙を、少なくとも判断する人と手を動かす人が持つ
同じものを1部、自宅にも置いておく

クラウドのメモに置いておく、では足りません。
アカウントの認証基盤が影響を受けていれば、そこにも入れなくなる可能性があります。

紙を持ち歩くのは前時代的に見えますが、この場面では紙が最も強い媒体です。

なお、社内の連絡を私用のメッセージアプリで代替する会社もあります。
緊急時の一時的な手段としては現実的ですが、そこで顧客情報をやりとりし始めると別の問題が生まれます。
使うなら、何を送ってよいかを事前に決めておくべきです。

相談と届出は、別のものである

性質が違う

外部の窓口を並べる前に、性質の違う2つを分けます。

相談は、助けを求める行為です。
何が起きているのか分からない、どう対応すればいいか分からない、という状態で持ちかけるものです。

届出・報告は、義務または制度にもとづいて事実を伝える行為です。
助けてもらうために出すものではありません。

この2つを混同すると、届け出たら助けてくれるはずだという期待が外れたり、逆に相談すると公になるのではないかという不安で動けなくなったりします。

初動の段階で先に必要なのは、相談のほうです。

共通の義務は1つだけ

先に地図を示しておきます。

義務：個人情報保護委員会への報告（個人データの漏えい等が報告対象の事態に当たる場合）
任意：警察への通報・相談、IPAへの相談と届出、JPCERT/CCへの報告
業種や契約による：所管省庁への報告、取引先への通知

業種を問わずかかる義務は、1つ目だけです。
2つ目は、出さなくても法律違反にはなりません。
ただし、出したほうが返ってくるものがあります。
次の章で、窓口ごとに何が返ってくるのかを見ます。
3つ目は自社の業種と契約しだいで、これは後ろの章で扱います。

どこに相談するか

警察：通報すると、公表を求められるのか

警察庁は、ランサムウェアの被害に遭った場合は最寄りの警察署またはサイバー犯罪相談窓口に通報・相談するよう呼びかけ、被害拡大防止のための初動対応支援や復号ツールの案内が可能な場合がある、としています。

捜査機関であると同時に、実務的な支援の窓口でもあるということです。

そのうえで、通報をためらう理由に正面から答えるFAQが同じページに置かれています。
ここは引用しておく価値があります。

通報したら被害公表が必要ですか？レピュテーションリスク（信用の毀損・風評被害）が心配です。
⇒ 警察から公表を求めることはありません。被害情報の保秘は徹底します。

警察に通報すると、サーバや端末を全て持って行かれたりして復旧作業が遅れないですか？
⇒ 警察は、被害組織の復旧作業や業務継続に最大限配慮しながら捜査を進めます。例えば、発生直後はログの保存等のみを依頼して、後から詳しい状況を伺うなどしています。ご要望があれば遠慮無くお伝えください。

提供を求められる情報の例も挙げられていて、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図等とされています。
ここでも、電源を切らずログを残しておいたことが意味を持ちます。

軽微な事案でも通報すべきかという問いには、犯人につながる手掛かりがあるかもしれないので情報提供をお願いします、と答えられています。

警察：オンラインでも受け付けている

連絡の方法は、最寄りの警察署や都道府県警察のサイバー犯罪相談窓口のほかに、オンラインがあります。

警察庁は、サイバー事案に関する通報・相談・情報提供の全国統一のオンライン受付窓口を設けていて、e-Gov電子申請システムから行えます。
窓口で自分の都道府県の警察本部または管轄警察署を選び、その内容が選んだ先に通知される仕組みです。

実務的な注意も書かれています。
ファイルを添付できますが、マクロが設定されているファイルは受付時にマクロが除去されます。

なお、爆破予告や殺人予告のような人命に関わる事案は最寄りの警察署への通報、緊急を要するものは110番と案内されています。
また、被害届を出す場合は最寄りの警察署等に連絡するよう案内されています。
オンライン窓口で足りるのは通報・相談・情報提供までで、被害届は別、ということです。

IPA：迷ったら、ここに聞けばよい

IPAには目的の違う複数の窓口がありますが、企業が迷ったときの入口ははっきりしています。
IPAの相談・届出窓口一覧に、こう書かれています。

連絡先に迷った場合は、以下の＜1. 企業組織向けサイバーセキュリティ相談窓口>にご連絡ください。

この窓口の受付内容として挙げられているのは、次のようなものです。

各種インシデント発生時の初動対応に関する相談。起きている事象をヒアリングし、被害発生の可能性について助言する。被害が発生している場合、有効な応急処置案について助言する
インシデント対応を行う専門業者一覧の紹介
他に必要な相談・報告先等の紹介
標的型サイバー攻撃に関するインシデント相談。国家支援型の標的型攻撃を受けた可能性がある場合は、専門的知見を持つチームによる支援
その他の情報セキュリティに関する一般的な相談

3つ目は、この記事の内容そのものを教えてくれる窓口だということです。
どこに届け出ればいいか分からない、という状態のまま連絡してよい先が用意されています。

限界も明記されています。

ご相談いただく事案の調査や解析の実施は対応しておりません。

つまり、何をすべきかの助言と、専門業者の紹介まで。
実際の調査は自社と業者の仕事になります。

相談はメールで受け付けています。
アドレスはIPAのページに画像で掲載されているので、そちらを見てください。

IPA：ウイルス・不正アクセスの届出は、統計のため

これとは別に、コンピュータウイルス・不正アクセスに関する届出があります。
1990年4月の通商産業省（現経済産業省）告示「コンピュータウイルス対策基準」と、1996年8月の同省告示「コンピュータ不正アクセス対策基準」にもとづくものです。

対象として挙げられているのは、ランサムウェア感染事象を確認した場合、セキュリティソフトがウイルスを発見した場合、自組織のシステムやネットワークに何者かが不正に侵入した、または侵入を試みた形跡があった場合です。

こちらは被害の拡大や再発の防止に役立てるためのもので、届け出ることで社会全体の被害把握に寄与する性格の届出です。
自社が助かるかどうかとは、少し違う軸にあります。

なお、個人向けの情報セキュリティ安心相談窓口は別に案内されています。
自社が相談する場合は、企業組織向けのほうを見てください。

JPCERT/CC：自社では連絡できない相手に、連絡してくれる

JPCERT/CCは、インシデントが発生した後の被害を最小限にするための事後対応を担う組織です。
特定の政府機関や企業から独立した中立の組織として活動している、と自ら位置づけています。

活動として挙げられているのは、報告の受け付け、対応の支援、発生状況の把握、手口の分析、再発防止のための助言です。

ここが他と違うのは、調整という機能を持っている点です。
報告をもとに、インシデントに関係している可能性のあるサイト、たとえばアクセス元のネットワーク管理者や改ざんされたサイトの管理者に連絡を行い、状況に応じて海外のNational CSIRTにも連絡します。
扱っている件数は、年間およそ1万件とされています。

自社が被害を受けているだけでなく、自社のサーバーが他社への攻撃の踏み台になっている場合や、攻撃元が海外である場合に、この機能が効いてきます。
自分では相手に連絡できない、という場面で頼れる先だと考えると分かりやすいと思います。

報告する先と、その根拠

個人情報保護委員会への報告は義務。期限は相談中も止まらない

ここまでの3つは、いずれも任意です。
これに対して、個人データの漏えい等が報告対象の事態に当たる場合、個人情報保護委員会への報告は法律上の義務です。

報告の要否、速報と確報の期限、報告する9項目と本人に伝える5項目については、別の記事で扱いました。
ここでは1点だけ繰り返します。

期限は、事態を知った時点から進みます。
警察やIPAに相談しているあいだも、この期限は止まりません。
相談と報告は、並行して進める必要があります。

だからこそ、最初の10分で時刻を記録しておくことが効いてきます。

所管省庁と取引先は、業種と契約で決まる

業種によっては、所管省庁への報告が求められる場合があります。
金融、医療、電力、通信などが典型で、業法や監督指針にもとづくものです。
自社が該当するかどうかは、業界団体や顧問の専門家に確認するのが早いと思います。

そして、忘れられがちなのが取引先です。
契約書に、事故発生時の通知義務が書かれていることがあります。

とくに個人データの取扱いを委託されている場合、委託元への通知は制度上も意味を持ちます。
委託先が委託元に所定の事項を通知すれば、委託先自身の委員会への報告は不要になる仕組みがあるためです。
自社が受託側であれば、まず契約書を確認してください。

2026年9月時点の最新状況

共通様式で、同じ内容を書き写す作業が減る

窓口が分かれていることの負担は、行政側も認識しています。

国家サイバー統括室は、令和7年10月1日に、サイバー攻撃による被害発生時のインシデント報告様式の統一について公表しました。
もとになっているのは令和7年5月28日の関係省庁申合せで、令和7年9月25日に一部改正されています。

背景として挙げられているのは、被害報告件数が増加の一途を辿り、報告先となる官公署も多いため、被害組織に過度な報告負担がかかっているという指摘です。
とくにDDoS攻撃事案とランサムウェア事案は、サイバー攻撃であることが発生時から明白であることが多く、初動対応中の報告となり、件数も多いことから負担が極めて大きいとされています。

用意されているのは、DDoS攻撃事案共通様式とランサムウェア事案共通様式の2つで、いずれもExcelファイルです。
記載例のPDFも公開されています。

対象となる手続が、申合せに明記されています。

個人情報の保護に関する法律（平成15年法律第57号）第26条第1項の規定による個人データの漏えい等に係る報告等、都道府県警察への相談その他の共通様式に記載の手続に関する官公署への報告等

つまり、義務である委員会への報告と、任意である警察への相談を、同じ様式に書けるようにするという設計です。
ここで共通化されたのは様式であって、提出先ではありません。
申合せにも、具体的な提出先および提出方法は各法令、ガイドラインや各省庁が公表する方法に従う、と書かれています。
出す先は今のところ従来どおり別々ですが、同じ内容を様式ごとに書き写す作業は、そのまま減ります。

自社の事案がランサムウェアであれば、この共通様式が使えるかを最初に確認しておくと、初動の負担が変わります。
様式と記載例は、国家サイバー統括室のページから取れます。

もう1つ、同意にもとづく情報の流れが定められています。
被害報告を行う者の同意がある場合、各様式にもとづいて報告を受けた官公署は、その内容を内閣官房国家サイバー統括室に共有するものとされています。

見直しの時期が、ちょうど来る

この申合せには、見直しの目安が書かれています。
様式の適用開始から1年後を目途に、必要な見直しを行うとされています。

適用開始は令和7年10月1日でしたので、その1年後は2026年10月です。
この記事を書いている時点の翌月にあたります。

窓口そのものの一元化は、まだ先にある

同じ2026年10月に、もう1つ動くものがあります。
サイバー対処能力強化法（正式には「重要電子計算機に対する不正な行為による被害の防止に関する法律」、令和7年法律第42号）の第5条です。
特別社会基盤事業者、つまり基幹インフラの事業者に、特定侵害事象等を認知したときの報告義務を課す条文で、e-Gov法令検索で版を比べると、2026年4月1日施行の版にはなく、2026年10月1日施行の版から入ります。
一般の中小企業が直接の対象になることは、まずありません。
この条文の中身と、対象でない会社にも取引先経由で影響が及ぶ話は、72時間の記事で扱いました。

ここで関係してくるのは、申合せのほうです。
窓口の一元化について、こう書かれています。

第５条の施行に併せ、官民連携基盤の整備により、共通様式により報告が行われる場合における窓口を一元化するよう所要の調整を進める

様式の共通化までは実現しました。
次は窓口そのものの一元化で、その調整が第5条の施行に合わせて進む、という段取りです。
つまり2026年10月には、様式の見直し時期と、この調整の起点が重なります。

いま複数の窓口に別々に出している状態が、この先どこまで簡素になるのか。
動きのある領域なので、来年また見直す価値があります。

IPAのガイドラインが、5か条から6か条になった

もう1点、中小企業向けの基礎資料が更新されています。

IPAの「中小企業の情報セキュリティ対策ガイドライン」が、2026年3月27日に第4.0版として公開されました。
全70ページで、ページの最終更新は2026年7月3日です。

改訂のポイントとして挙げられているものが3つあります。

1つ目は、はじめに取り組んでほしい「情報セキュリティ5か条」に「バックアップを取ろう!」を新たに追加し、情報セキュリティ6か条にしたことです。
バックアップが、対策の最初の一歩の側に入ったということになります。

2つ目は、経済産業省と内閣官房国家サイバー統括室が検討を進めるサプライチェーン強化に向けたセキュリティ対策評価制度、いわゆるSCS評価制度の基本的な考え方に沿った内容にしたことです。

3つ目は、人材確保・育成の実践ガイドブックを付録として追加したことです。

そして、この記事の内容に対応する資料は、同じガイドラインの付録8に置かれています。
「中小企業のためのセキュリティインシデント対応の手引き」で、全8ページです。

手引きは、対応を3つのステップに分けています。
ステップ1が検知・初動対応（検知と連絡受付、対応体制の立ち上げ、初動対応）、ステップ2が報告・公表（第一報、第二報以降・最終報）、ステップ3が復旧・再発防止（調査・対応、証拠保全、復旧、再発防止策）です。

8ページなので、印刷して回覧できます。
社内で説明するときの土台としては、これが最も手軽だと思います。

何も起きていない今日、決めておくこと

手順書は、1枚でいい

インシデント対応手順書というと、分厚い文書を想像します。
実際、大企業ではそうなります。

しかし専任の担当者がいない会社で分厚い手順書を作ると、たいてい2つのうちどちらかが起きます。
作るのに疲れて途中で止まるか、作り上げたあと誰も読まないかです。
そして、いざというときに読まれない手順書は、存在しないのと同じです。

最初の版は1枚に収めることをおすすめします。
1枚なら、印刷して壁に貼れます。
持ち歩けます。
新入社員にも渡せます。
足りない部分は、翌年に1行ずつ足していけば構いません。

1枚に書く、6つの項目

書く内容は、ここまでの要約です。

気づいた人がやること。LANケーブルを抜く、無線をオフにする、電源は落とさない、上長に連絡する
やってはいけないこと。再起動しない、暗号化されたファイルを消さない、脅迫文を消さない、攻撃者に連絡しない
社内の役割と連絡先。判断する人、手を動かす人、外と話す人の氏名と携帯電話番号。兼任なら兼任と書く
社外の連絡先。保守を委託している業者、最寄りの警察署またはサイバー犯罪相談窓口、IPAの企業組織向け相談窓口
記録すること。気づいた時刻、症状、行った操作
報告が必要かもしれない先。個人情報保護委員会、所管省庁、取引先。この段階では「確認する」と書いてあれば十分

紙に個人の携帯電話番号を書く以上、その紙自体の管理は必要です。
持ち歩く人を限定し、退職時に回収する。
そこまで決めて、初めて運用になります。

年に1回、机の上で通してみる

作った1枚は、年に1回、声に出して通してみることをおすすめします。
警察庁も、被害を想定した訓練を行い、関係者との連絡、警察への通報・相談、広報対応やバックアップによる復旧手順等を確認しておくことを推奨しています。

大掛かりな訓練は要りません。
関係者が集まって、次の問いに順番に答えるだけです。

月曜の朝9時、共有フォルダが開けないと報告があった。最初に誰が何をするか
その端末を切り離した。次に何を確認するか
社長は外出中で電話に出ない。次は誰に上げるか
顧客名簿が入ったサーバーが対象だった。どこに報告するか
取引先から問い合わせが来た。誰が答えるか

これを15分やるだけで、たいてい2つか3つ、決まっていない項目が見つかります。
その場で決めて、紙に書き足す。
うまく答えられなかった問いが、そのまま来年の宿題になります。
これが、最も費用のかからない改善だと思います。

自前で問いを作るのが面倒であれば、教材が公開されています。
IPAの「セキュリティインシデント対応机上演習教材」で、ランサムウェア感染のシナリオを使って対応の一連の流れを机上で演習するパワーポイント教材と、実施マニュアルがZIPでまとめられています。
中小企業向けと医療機関向けの2種類があり、シナリオは過去の被害事例を参考に作られています。

構成は、付録8の手引きに沿って対応の流れを学ぶ座学パートと、受講者がグループで対応方針を検討して発表する演習パートの2つです。
実施マニュアルには、事前準備から当日の運営、事後作業、ファシリテーター向けの解説まで入っています。
著作権はIPAにありますが、カスタマイズは可能とされています。

社内で1回目をやるなら、これを土台にするのがいちばん早いと思います。

支援先は、被害が起きてから探さない

最後に、費用のかかる話をします。

中小企業が被害に遭ったとき、社内だけで調査や復旧を完結させるのは現実には困難です。
問題は、被害が起きてから業者を探し始めると、選ぶ時間も比べる余裕もないことです。

平時のうちにできることが2つあります。

1つは、いま保守を委託している業者に、事故が起きたときにどこまで対応してもらえるのかを確認しておくことです。
契約の範囲外であれば、その先を紹介してもらえるかを聞いておきます。

もう1つは、サービスに付帯する形で持つ道です。
IPAの「サイバーセキュリティお助け隊サービス」は、相談窓口、異常の監視、緊急時の対応支援、簡易サイバー保険などをひとまとめで提供する仕組みです。
この道筋とサイバー保険そのものは、保険の記事で扱いました。

いずれにしても、被害が起きてから探すのではなく、あらかじめ電話をかける先が決まっている状態を作る、という点に価値があります。
自社に情報システム担当がいない会社ほど、この差は大きく出ます。

ここで挙げた1枚の紙と机上訓練を書面にするなら、書式があります。
初動72時間フローシートと報告書式を含む6種をまとめています。

まとめ

最初にやるのは電源を切ることではなく、LANケーブルを抜くこと。警察庁は、調査に必要なログ等が消失する場合があるとして、電源を落とさないよう明記している
駆除も削除も、調べたあとで構わない。脅迫文は、復号ツールが公開されているかを調べる手がかりになる
気づいた時刻を記録する。報告の期限は事態を知った時点から進むので、記録がなければ期限を計算できない
社内で決めるのは、判断する人、手を動かす人、外と話す人の3つの役割。兼任でもよいが、事前に決まっていることが条件
連絡手段そのものが失われる前提で、電話番号は紙で持つ
外部の窓口のうち義務は個人情報保護委員会への報告だけ。警察・IPA・JPCERT/CCは、こちらから助けを求めにいく先
警察は「警察から公表を求めることはありません」「被害情報の保秘は徹底します」と明記している。IPAは「連絡先に迷った場合は」企業組織向け窓口へ、としている。ただしIPAは調査や解析の実施までは行わない
ランサムウェア事案には共通様式があり、委員会への報告と警察への相談を同じ様式に書ける。共通化されたのは様式であって提出先ではない。様式の見直し時期と、サイバー対処能力強化法第5条の施行が、どちらも2026年10月に来る

初動の巧拙を分けるのは、知識の量ではありません。
決まっているかどうかです。

何をするかが決まっていれば、専門知識のない人でも正しく動けます。
決まっていなければ、詳しい人がいても、その人に連絡がつくまで何も進みません。
そして、決めておく作業は、被害が起きていない今日しかできません。

皆さんの会社では、この1枚を、誰が作りますか。

参考・引用元

警察庁

警察庁「ランサムウェア被害防止対策」 https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
警察庁「サイバー事案に関する相談窓口」 https://www.npa.go.jp/bureau/cyber/soudan.html
No More Ransom（復号ツールの公開サイト。警察庁が案内している先） https://www.nomoreransom.org/ja/index.html

IPA

IPA「サイバーセキュリティ相談・届出窓口一覧」 https://www.ipa.go.jp/security/support/soudan.html
IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開） https://www.ipa.go.jp/security/guide/sme/about.html
IPA「中小企業のためのセキュリティインシデント対応の手引き」（同ガイドライン第4.0版付録8、全8ページ） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf
IPA「セキュリティインシデント対応机上演習教材」（2025年4月15日公開） https://www.ipa.go.jp/security/sec-tools/ttx.html

JPCERT/CC

JPCERT コーディネーションセンター「インシデント対応とは」 https://www.jpcert.or.jp/ir/

国家サイバー統括室

国家サイバー統括室「サイバー攻撃による被害発生時のインシデント報告様式の統一について」（令和7年10月1日） https://www.cyber.go.jp/policy/group/cyber/yoshikiichigenka.html
「サイバー攻撃による被害が発生した場合の報告手続等に関する申合せ」（令和7年5月28日、令和7年9月25日一部改正） https://www.cyber.go.jp/pdf/policy/infra/ref_moushiawase0925.pdf

法令

重要電子計算機に対する不正な行為による被害の防止に関する法律（令和7年法律第42号）第5条 https://laws.e-gov.go.jp/law/507AC0000000042
個人情報の保護に関する法律（平成15年法律第57号）第26条 https://laws.e-gov.go.jp/law/415AC0000000057

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40