チェックシート「インシデント対応の体制はありますか」の答え方｜回答例と連絡網1枚のひな形

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑悠太

結論：この設問に「はい」と書くには、「誰が責任者か」「気づいた人が最初に誰へ連絡するか」「取引先へ何時間以内に知らせるか」の3つが、紙1枚に書いてあることが目安です。専任の部署や大がかりな規程は要りません。連絡網が1枚あれば「はい（簡易な連絡体制あり）」と答えられ、なければ「いいえ」に作る予定を添えて答えます。

インシデント対応の体制は、責任者・最初の連絡先・取引先への連絡期限・社外の相談先の4つを紙1枚にまとめれば答えられる

取引先がこの設問で確かめたいこと

取引先が心配しているのは、御社で事故が起きたときに自社への連絡が遅れることと、被害が取引先まで広がることです。IPAの「中小企業の情報セキュリティ対策ガイドライン」でも、経営者の取組の一つに「緊急時の対応や復旧のための体制を整備する」が挙げられ、付録の「中小企業のためのセキュリティインシデント対応の手引き」では、対応を次の3段階に分けています。

検知・初動対応：連絡を受け、体制を立ち上げ、被害が広がらないようにする。
報告・公表：第一報を出し、分かったことを第二報・最終報で伝える。
復旧・再発防止：原因を調べ、証拠を残し、元に戻し、同じことが起きないようにする。

チェックシートの段階では、このうち「誰が」「誰に」「いつまでに」が決まっているかを見られることが多いです（取引先の基準によります）。

回答例（はい・一部・いいえ）

以下は書き方の例です。御社の実態に合わせて書き換えてください。実態と違う内容をそのまま写すことはしないでください。

はいの例：「代表者を責任者とするインシデント連絡網を定め、全従業員に配布している。事故を把握した場合、把握から〇時間以内に貴社の担当者へ電話とメールで連絡する。連絡網は年1回見直している（最終見直し：20XX年X月）。」

一部の例：「責任者（代表者）と社内の連絡先は決めているが、手順書としては文書化していない。20XX年X月までに連絡網と初動の手順を1枚にまとめ、従業員に配布する予定。」

いいえの例：「文書化した対応体制は未整備。現在は、異常に気づいた場合は代表者へ直接連絡するよう口頭で周知している。20XX年X月までに連絡網を作成する予定。」

「〇時間以内」は、取引先との契約やシートに指定があればその数字に合わせます。守れない数字は書かないでください。

小さな会社の連絡網（1枚）のひな形

そのまま写して、〇〇を埋めて使ってください。印刷して机の近くに貼り、スマホにも写真で残しておくと、パソコンが使えないときにも見られます。

【インシデント連絡網】作成日：20XX年X月X日／次の見直し：20XX年X月

■ こんなときは連絡する（迷ったら連絡）
・不審なメールのリンクや添付を開いた
・パソコンの動きがおかしい／ファイルが開けない
・パソコン・スマホ・USBメモリをなくした
・メールを誤送信した／アカウントに覚えのないログインがある
・取引先から「御社から変なメールが届いた」と言われた

■ 気づいた人がすること
1. LANケーブルを抜く・Wi-Fiを切る（電源は切らない）
2. いつ・どの機器で・何が起きたかをメモする
3. すぐ「最初の連絡先」に電話する（夜間・休日も）

■ 社内
最初の連絡先（担当）：〇〇 〇〇　携帯 090-XXXX-XXXX
責任者（代表者）：〇〇 〇〇　携帯 090-XXXX-XXXX
担当が出ないとき：〇〇 〇〇　携帯 090-XXXX-XXXX

■ 社外
IT保守・サイト管理：〇〇社 〇〇様　電話／契約番号
取引先（契約で連絡の約束がある会社）：〇〇社 〇〇様　〇時間以内
サイバー保険：〇〇 事故受付 電話（加入していれば）
警察：都道府県警察のサイバー犯罪相談窓口
相談：IPA 企業組織向けサイバーセキュリティ相談窓口
個人情報が漏れたおそれ：個人情報保護委員会へ報告
　（速報は発覚から3〜5日以内、確報は30日以内。
　　不正な目的のおそれがある場合は60日以内）

■ 決める人
取引先への連絡・警察への相談・公表：責任者が決める

連絡網を作って回す4つの手順

責任者を決める：小さな会社では代表者が多いです。決める権限がある人にします。
取引先との約束を集める：契約書や過去のシートに「何時間以内に報告」とあれば書き出して、連絡網に載せます。
配って説明する：朝礼やチャットで「迷ったら連絡。怒らない」と伝えます。報告が遅れる一番の理由は、言い出しにくさです。
年1回、電話をかけてみる：番号が変わっていないかを確かめ、見直した日を連絡網に書きます。

実際に感染が疑われるときの動き方はランサムウェアに感染したら最初にやること、個人情報の報告は漏えいしたときの報告にまとめています。

よくある質問

従業員が数人でも「体制」と書いてよいですか？

はい。人数ではなく、責任者・連絡先・連絡の期限が決まっているかが大事です。「代表者が責任者を兼ねる」と書いて構いません。

「CSIRTはありますか」と聞かれました。

専門の組織がなければ「専門の組織はないが、代表者を責任者とする連絡体制を定めている」と事実を書きます。「あり」と書くのは避けてください。

報告の期限を何時間と書けばいいか分かりません。

まず契約書を確認し、指定があればそれに従います。指定がなければ、夜間や休日も含めて守れる時間を書いてください。

インシデント対応の設問も、事実で答えます

Moshiruは、取引先から届くセキュリティチェックシートの回答を、打合せなしで作ります。連絡網がまだない場合は、御社の人数に合わせた1枚の下書きも添えます。20問まで1.5万円（税別）。

回答代行を見る20問まで1.5万円・打合せなし回答の書き方と回答例よく聞かれる10問