インシデント発生時の初動対応｜最初の1時間で情シスが絶対にやるべきこと

「社内のパソコンがランサムウェアらしき画面に切り替わったと連絡があった」

「機密データが入ったサーバーに、海外から不自然なアクセスがあった形跡を見つけた」

このような緊急事態（セキュリティインシデント）に直面した際、情報システム部門（情シス）やセキュリティ担当者の肩には計り知れないプレッシャーがかかります。

インシデントの発生時、企業の命運を分けるのは、発覚から「最初の1時間（ゴールデンアワー）」の動きです。

この初動対応のフェーズでパニックに陥り、誤った操作を行ったり報告を後回しにしたりすると、被害は社内ネットワーク全体、さらには取引先へと一瞬で拡大する恐れがあります。

何を最優先し、何をやってはならないのか。

本記事では、緊迫した現場で情シス担当者が迷わず動くための「最初の1時間」に特化した初動対応マニュアルを徹底解説します。

1. 最初の1時間で情シスが実践すべき「3つの絶対死守フロー」

異変の第一報を受けてからの60分間は、原因究明よりも「被害の拡大を止めること」が最優先課題となります。

具体的なステップは以下の3つです。

最優先の実務：ウイルス感染や不正アクセスの疑いがある端末、あるいは被害を受けているサーバーのLANケーブルを即座に引き抜き、Wi-Fi接続を切断します。ネットワークを介した他のパソコンへの二次感染や、外部へのデータ流出経路を物理的に断つことが、この瞬間の最大の防衛策となります。

💡あわせて読みたい

最優先の実務：現場の従業員や知識の浅い担当者は、パニックから「ひとまずパソコンの電源を切ろう（強制終了）」としがちです。しかし、これは原則として避けるべき行動と考えられています。電源を切ってしまうと、パソコンのメモリ上に残っていたマルウェアの活動痕跡や、不正アクセスのログ（履歴）といった、後の原因究明に不可欠な「証拠」が完全に消去されてしまう恐れがあるためです。画面はそのままで、ネットワークだけを切断するよう徹底します。

最優先の実務：被害の全貌や原因が判明していなくても、発覚から1時間以内に「不審なアクセスを検知し、現在は隔離して調査中である」という事実を経営陣（および総務・法務などの関連部門）へ共有します。組織として迅速な経営判断（サービスの一時停止や対外発表の準備など）を行うための土台を、最速で整える必要があります。

💡あわせて読みたい

最初の1時間は、現場の状況が二転三転し、情報が錯綜しやすい時間帯でもあります。

「いつ・誰が・何をしたか」のタイムラインをメモする：後から外部のセキュリティ専門業者や弁護士、警察などの専門機関が入ってきた際、初動のログ（記録）が残っていないと、原因調査に多大な時間と費用がかかる原因になります。「10時15分：A氏よりPC画面異常の報告受領」「10時20分：該当PCのLANケーブル抜去完了」といった形で、1分単位の行動記録をメモ帳やホワイトボードにリアルタイムで残しておくことが、後の正確なインシデントレスポンスへ繋がります。

💡あわせて読みたい

情シスがどれほど完璧な初動マニュアルを用意していても、現場の従業員が「怒られるのが怖いから」と報告を数時間隠蔽してしまっては、ゴールデンアワーは一瞬で崩壊します。

現場の「スピード報告」を育てる定期研修動画：日頃のセキュリティ教育の中で、「ウイルスに感染すること自体よりも、報告が遅れて社内全体に広がることの方が会社にとって致命傷になる」というリスクの本質を、全従業員に繰り返し伝える必要があります。「異変を感じたら、10分以内に情シスへ連絡する」といった具体的な初動の流れを、15分〜30分程度の短い動画教材を用いて定期的に擬似体験させておくことが、いざという時の組織の防衛力に直結します。