第7章：インシデント時の初動（証跡 / 報告 / 隔離）

この章で学ぶこと

• 初動は「証跡保全→報告→隔離」を基本とし、被害拡大が継続している場合は隔離を先行する
• 誤操作を増やさない（権限 / 手順を統制する）
• 関係者への連絡粒度を固定する
• 個人情報・秘密情報の漏えい疑いでは、影響範囲と報告 / 通知判断を分ける

成果物（または判断基準）

• 初動チェック（チェックリスト集）
• 状況共有の最小テンプレ（チーム内で統一）

本文

初動で拙速に操作すると、証跡が消えたり影響を拡大しやすい。手順を固定する。

隔離の例: 公開停止、権限剥奪、トークン失効。原則は証跡（ログ / 設定）を先に確保するが、被害拡大が進行している場合は最小操作で隔離を先行し、証跡保全は並行して行う。

図の要点: 原則は証跡保全から始める。被害が継続している場合だけ最小隔離を先行・並行し、その後は報告、影響範囲、法務・プライバシー窓口による通知判断を分けて記録する。

漏えい疑いの初動で分ける判断

秘密情報と個人情報では、初動の優先順位と関係者が異なる。どちらも「問題なし」と即断せず、判断を分けて記録する。

個人情報に関する報告や本人通知の要否・期限は、法令、契約、委託関係、組織規程で変わる。現場判断だけで確定せず、所定の窓口にエスカレーションする。

2026-05-23 時点では、個人情報保護委員会の漏えい等対応資料が、速報、確報、本人通知、報告対象の整理を案内している。実務では「何日以内」と本文に固定せず、最新の一次情報、委託契約、社内規程を確認して期限と担当を記録する。

状況共有テンプレ（最小）

関係者への報告は、項目を固定して情報の抜け漏れを減らす。

• 発生時刻（推定可）:
• 概要（何が起きたか、1-2行）:
• 影響範囲（誰に / どこに）:
• 現在の状況（進行中か / 停止できているか）:
• 情報分類（秘密情報 / 個人情報 / 要配慮個人情報等の機微度の高い情報 / 社外秘など）:
• 実施した対応（証跡保全 / 隔離）:
• 次のアクション（担当 / 期限）:
• 報告 / 通知判断の担当:
• 証跡（チケット、ログ、設定差分のURL等）:

注: 被害拡大が継続している（攻撃 / 漏えいが進行している）場合は、最小操作で隔離を先行しつつ、証跡保全を並行する。 例: 「公開停止 / 権限剥奪」→「ログ / 設定の保全」→「関係者へ状況共有」。

具体例（悪い例→良い例）

悪い例

まず設定を変更して復旧を試みる
証跡を残さない

良い例

証跡保全（ログ / 設定の取得）
報告（関係者 / 窓口）
隔離（公開停止 / 権限剥奪 / トークン失効）
影響範囲と報告 / 通知判断を別項目で記録

チェックリスト

• 証跡を確保した
• 報告経路が分かっている
• 隔離手順がある
• 情報分類と影響範囲を記録した
• 報告 / 通知判断の担当を決めた
• 個人情報保護委員会、契約、社内規程の最新情報で速報・確報・本人通知の要否を確認した

まとめ

• 初動は「証跡保全→報告→隔離」を基本とし、拙速な変更で影響を拡大させない
• 操作権限と手順を統制し、状況共有の粒度（項目）を固定する
• 秘密情報・個人情報の漏えい疑いでは、影響範囲、隔離、報告 / 通知判断、再発防止を分けて記録する

次章への接続

• 次章: 第8章
• 関連: インシデント運用の型（詳細）: インシデント対応 基礎
• 関連: 障害報告/ポストモーテムの書式: エンジニアリングドキュメント 基礎