【セミナーレポート】インシデントハンドラー資格保有者が解説！SCS評価制度で★を取得するためのIR（インシデントレスポンス）とは

サイバーセキュリティラボでは、中堅・中小企業向けに、サイバーセキュリティに関する情報発信の場としてセミナーを不定期開催しています。

2026年4月13日（月）には、2026年度末頃に運用開始予定の「サプライチェーン強化に向けたセキュリティ対策評価制度（以下、SCS評価制度）」の★3取得に向けて、本制度の概要や★3取得に向けた対策についてセミナーを実施しました。後半では、サイバーリーズン合同会社の竹下 寛敏 氏をお迎えし、IRサービスについてご紹介をいただきました。

本記事では、セミナーの内容を一部抜粋してお届けします。アーカイブ配信も行っておりますので、あわせてご確認ください。

^{※ 本記事の内容は、セミナー開催時点の情報です。
※ 本記事はサイバーセキュリティに関する啓発や考察を目的としています。特定の企業・団体を批判する意図は一切ありません。}

第一部では、昨今のサイバー攻撃の現実、SCS評価制度におけるIR対策の重要ポイントを解説します。

サイバー攻撃（ランサムウェア）は、ある日突然、何の前触れもなく発生します。PCの暗号化だけでなく、頼みの綱であるバックアップまで破壊される可能性があるため、企業は事前の警告なしに、突如として「経営存続を揺るがす決断」を迫られることになります。

そのため、「企業にとっては大打撃となりつつも、支払いが不可能とは言えない絶妙な金額を要求してくる」というケースが多いです。

情報漏えいの背景にあるのは、マルウェアのひとつ「InfoStealer」の存在です。

InfoStealerとは、感染した端末からID・パスワードや財務情報、社内文書、機密情報に至るまで、あらゆる情報を収集して、気づかないうちに外部に送信してしまうマルウェアです。

攻撃者は赤丸の2年前から標的の情報を収集および蓄積を繰り返しています。そして、財務情報や組織構造を緻密に把握した上で、最終的に攻撃に臨んでいることが分かります。

独立行政法人情報処理推進機構（IPA）が発表した「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」によると、VPN装置の脆弱性悪用によるランサムウェア感染・ファイル暗号化による想定被害額は約4,600万円としています。この金額は、あくまで直接的な調査・復旧費用に過ぎず、実際には端末台数の増加に伴いさらなるコスト増が見込まれます。また、この金額には売上損失や損害賠償といった最も大きな被害は含まれていないため、実態はより深刻です。

ブランド毀損などの無形資産の損害も加味すると、サイバー攻撃は想定以上の損失をもたらし、経営を揺るがす甚大なリスクとなります。

攻撃者は自らの成果を誇示する目的でリークサイトへ企業名を掲載するため、発生したインシデントは、遅かれ早かれ専門家やメディアを通じて知れ渡ることになります。また、乗っ取られたシステムから不審なメールが拡散されれば、取引先などのサプライチェーン側から指摘され、露呈する場合も少なくありません。

サイバー被害は自社内だけにとどまる問題ではなく、外部への影響を伴うため、サイバー攻撃を受けた事実を隠蔽することは、極めてリスクが高いと言わざるを得ません。

効率的なインシデント対応には、「早く気づく」「迅速に動く」「説明ができる」の3つが不可欠です。なかでも「説明ができる」は、ブランド毀損や風評被害といった間接損害を抑える鍵となります。

そうしたサイバー攻撃による被害拡大を受け、経済産業省はサプライチェーンのセキュリティ強化に向け、2026年度末から「SCS評価制度」の運用を開始することを発表しました。

SCS評価制度とは、企業が基本的なセキュリティ対策を実施しているかの指標を定め、示された対策を促すとともに取引先の選定やサプライチェーン管理の基準として活用されることを目的としたサイバーセキュリティ対策の成熟度評価制度です。

SCS評価制度における「★3」取得要件では、IR（インシデントレスポンス）に関する項目が非常に高い割合を占めています。要件を満たし、実効性の高い対応体制を整えるためのポイントを5つに分けて解説していきます。

インシデント対応の方針や手順は、SCS評価制度の「6-1-1-1」に明記されている最優先で取り組むべき重要事項です。しかし、手順書自体がない企業や、あっても有事の際に機能しないケースが多い状況です。

まず必要なのは、自社で対応する範囲と外部に委託する範囲を明確に切り分けることです。加えて、どのフェーズで外部の専門家を投入するかを具体的に説明できる状態にしておきましょう。評価基準に直接の項目はありませんが、実務上、極めて重要なのがエスカレーションフローの可視化です。Excelなどを用いて、以下の情報を整理しておくことが推奨されます。

有事の際、「何をしていいか分からない」という認知の遅れは、被害を拡大させる最大の要因となります。フロー図として可視化しておくことで、現場の迷いをなくし、迅速な行動へつなげることができます。

サイバー攻撃の被害に遭った際、企業の命運を分けるのは発覚から数時間の行動です。異変を感じたときには、以下の表を参考に初動対応を進めてください。

次に、情報漏えいおよびそのおそれがある場合、個人情報保護委員会への報告が必要です。何を報告すべきか迷うケースが多いため、以下の画像の基準を参考にしてください。自社での判断が困難な場合は、速やかに外部の調査機関へ支援を仰ぐことが重要です。

「これくらいなら大丈夫だろう」という安易な判断は禁物です。少しでも疑いがある場合は「要調査」として扱い、フォレンジック調査の専門家と連携して客観的な事実を積み上げることが、最終的な企業防衛につながります。

多くの企業が最も時間を費やすインシデント発生後の調査・対応は、想定外の事態のため混乱が生じやすく、何から手をつけていいか分からなくなるケースが多く発生します。今回は、自社内だけで調査および対応を完結させることが難しい（あるいはさせない方針の）企業に向けて、外部への委託を前提とした重要ポイントを以下の画像にまとめました。

SCS評価制度内でもバックアップに触れている要件が多く存在します。ランサムウェアやシステム障害から確実に復旧するためのポイントは、以下の3点です。

バックアップについては、こちらのセミナーで詳しく解説をしています。

★3の審査をクリアするためには、インシデント発生時に使用する報告書のテンプレート（ひな型）を事前に用意し、審査時にすぐ提示できることが必要です。

このテンプレートは、発生したインシデントだけでなく「再発防止策」までをセットでまとめられるフォーマットにしておくことが重要です。特に「再発リスクの低減方針がわかりやすいフォーマットになっているか」についても注意して作成してください。

第二部では、サイバーリーズン合同会社の竹下氏に登壇いただき、SCS制度の要件達成を支援する「DFIRサービス」について、実務目線で解説いただきました。

サイバーリーズンが提供するIRサービスは、大きく「デジタルフォレンジック（DF）」と「インシデントレスポンス（IR）」の2つの役割で構成され、この両者を組み合わせた対応は、「DFIRサービス」とも呼ばれます。

デジタルフォレンジック（DF）は何が起こったのか、なぜ起こったのかを明らかにするための事実の解明と証拠保全を目的としており、攻撃の根本原因や影響範囲を特定します。一方で、インシデントレスポンス（IR）は被害の最小化と早期復旧を目的としているため、インシデントの封じ込めや再発防止策の実施を主導します。

本サービスは、企業の状況やニーズに合わせて選択できるよう、「緊急IR」と「IRリテーナー（IRR）」の2つのプラン形態を用意しています。

従来のIRサービスは、他社製EDRの利用や事後のツール展開が多いため、全端末のリアルタイムな被害状況や全体像の把握に時間がかかり、封じ込めが遅れる課題がありました。対してサイバーリーズンが提供するDFIRサービスは、自社でEDRを開発しているため、IRチームがデータ構造や検知ロジックを深いレベルで理解しており、「どのログを見れば攻撃の全体像が浮かび上がるか」という読み取りの解像度が圧倒的に異なります。

また、自社開発のEDRとDFIRサービスを組み合わせることで、検知から対処までを一貫して高速化します。すでにEDRが導入されている環境であれば、リアルタイムに蓄積されたデータを用いて即座に調査を開始できるため、対応コストとビジネスへの影響を最小限に抑えることができます。

IRリテーナーサービスは、緊急時のインシデント対応だけでなく、平時の備えやセキュリティ体制強化など3つの用途に柔軟に振り替えて利用できる点が大きな特徴です。インシデントが起きてから慌てて動くのではなく、平時から無駄なくセキュリティの備えに活用できる非常に実用的な設計です。

ここからは、IRリテーナーサービスがSCS評価制度にどう活用できるか、4つの事例をご紹介します。

SCS評価制度では、実際の要求事項「4-2-2-2」において、「セキュリティインシデント発生時の対応に関する教育訓練を行うこと」が定められています。

朝方にランサムウェア感染の疑いが発覚した際、「誰が初動を判断するのか」「どこまでシステムを止めるのか」「どこへ連絡するのか」が即決できず、対応が後手に回るケースは少なくありません。サイバーリーズンの「インシデント対応演習」は、こうした「手順書はあるのに現場が動けない」という課題を解消するサービスです。

実際のケースを想定したリアルなシナリオを用い、「計画・実施・フィードバック」の体系的なプロセスを通じて、有事の際に現場が迷わず迅速に行動できるよう組織の対応力を実践的に鍛え上げます。

多くの現場では「最新の攻撃手法のキャッチアップ不足」や「従業員の意識のばらつき」が原因となり、フィッシングメールの誤開封や不審なUSBの接続など、人を起点としたインシデントが後を絶ちません。

本サービスは、実際の攻撃事例や最新のトレンドを基に、現場で起こり得るリスクを具体的に学ぶ教育プログラムです。単なる座学にとどまらず、不審な挙動に「どう気づき、どう対応すべきか」、そして「やってはいけないこと・すべきこと」の2点を明確に整理します。これにより従業員の意識の底上げを図るとともに、SCS評価制度における★3の厳しい要求事項を満たすサービスとしても活用可能です。

インシデント対応における大きな課題は、「誰が判断し、どのレベルでエスカレーションすべきか」という役割や責任の曖昧さが、初動の遅れや判断ミスを招く点にあります。この課題を解消するために、CSIRT記述書の作成、対応フローの定義、具体的マニュアルの策定の3ステップで組織の体制を整備します。

これらを通じて、SCS評価制度の「5-2-1-2」が求める体制整備の要件を確実に満たし、有事に機能する強固なセキュリティ体制の構築を支援します。

インシデントの現場では、「誰が何をするのか分からない」という混乱により、報告のタイミング、初動の動き、復旧の手順が不明確なまま対応が進み、被害が拡大してしまうケースが多発しています。

こうした現場の混乱を防ぐため、迅速な報告ルート、的確な初動対応、確実な復旧プロセスを網羅した具体的なインシデント対応マニュアル（手順書）を策定・整備します。これを通じて、評価基準「6-1-1-1」および「6-1-1-2」が求める要求事項の確実なクリアを支援します。