【2026年最新】サイバー攻撃・個人情報漏洩時の初動対応マニュアル｜報告義務とフォレンジック調査の費用相場

サイバー攻撃やランサムウェア感染、個人情報漏洩などのセキュリティインシデントが発生した際、企業の命運を分けるのは「発覚直後1時間の初動対応」と「法制度に則った迅速な公的報告」です。パニックに陥ってパソコンの電源を強制的に切ったり、隠蔽を図ったりすると、証拠が永遠に消滅して被害が拡大するだけでなく、数億円規模の罰則や社会的信用の失墜を招く恐れがあります。

ランサムウェア感染やサプライチェーン攻撃、フィッシング詐欺による認証情報の窃取は、大企業だけでなく中小企業でも日常的に発生しています。ひとたびインシデントが発生すれば、社内業務の停止にとどまらず、取引先への感染拡大や個人情報保護法に基づく厳格な報告義務、さらには多額の調査費用が発生するリスクへの備えが欠かせません。

万が一の事態に直面した担当者が今すぐ取るべき初動手順から、個人情報保護委員会（PPC）や警察への報告期日、専門会社によるフォレンジック調査の費用相場、そして事前のサイバー保険や情シス代行の備えまで詳しく整理しました。

インシデント発生！最初の1時間で絶対にやるべき初動対応フロー

ネットワーク即時切断と「端末の電源を切らない」証拠保全の鉄則

サイバー攻撃やマルウェア感染が疑われる事態を検知した瞬間、現場が最優先で実行しなければならないのは「被害端末のネットワークからの完全隔離」です。攻撃者は感染した端末を足がかり（踏み台）にして、社内ネットワーク内の他のサーバーやActive Directory、バックアップストレージへと横展開（ラテラルムーブメント）を進める傾向があります。

1. 有線LANケーブルの物理的抜去：感染疑いのあるPCやサーバーの背面からLANケーブルを直ちに引き抜く作業が最優先です。
2. Wi-Fi（無線LAN）・Bluetoothの無効化：ノートPCやタブレットの場合、機内モードをONにするか無線機能をハードウェアスイッチで確実に切断してください。
3. 社内VPN・共有フォルダの切断：リモートワーク環境やクラウド接続中の端末であれば、即座に接続セッションを切断してください。

ここで最も重大な注意点が「端末の電源を絶対に切らない（シャットダウンしない）」という原則です。一般の従業員はパニックになり、慌てて電源ボタンを長押ししたりコンセントを抜いたりしがちです。

PCやサーバーの電源を落とすと、揮発性メモリ（RAM）に一時保存されているマルウェアのプロセス情報、通信先IPアドレス、実行コマンド履歴などの極めて重要な電子証拠が完全に消滅します。電源は投入したまま画面ロックをかけ、操作を一切中断してください。

初動アクション	正しい対応（推奨）	致命的NG対応（厳禁）	理由・影響
ネットワーク接続	LANケーブル抜去・Wi-Fi切断	接続したまま様子見・放置	他端末やクラウドへの二次感染・漏洩拡大
端末の電源状態	通電状態を維持（現状維持）	強制シャットダウン・電源OFF	メモリ（RAM）上の電子証拠が揮発・消滅
データ復元作業	専門家の到着まで操作しない	市販ソフトでの独自復元試行	タイムスタンプやログが上書きされ証拠破壊
脅威の駆除	フォレンジック調査後に隔離	アンチウイルスで即時削除	侵入経路やバックドアの手がかりが消失

感染経路・被害範囲の一次切り分けと初期記録の残し方

物理的なネットワーク隔離を完了したら、次に現場で起きた現象を正確に時系列で記録する「初期トリアージ」へ移行します。この初期記録が、後に行われる警察や監督官庁への届出、フォレンジック専門会社による調査を円滑に進めるための土台となります。

• 発生日時の特定：異常な画面や警告ポップアップ、不審な挙動に最初に気づいた正確な時刻を記録に残すことが重要です。
• 画面状態の撮影：画面に表示されている身代金要求文（ランサムノート）やエラーメッセージをスマートフォン等で写真撮影してください。
• 直前操作のヒアリング：該当端末の利用者が直前に開いたメールの添付ファイル、クリックしたURL、接続したUSBメモリを記録に残します。
• 該当端末の基本情報：端末のホスト名、固定IPアドレス、MACアドレス、OSバージョン、設置場所をメモにまとめます。

初期対応のメモを作成する際は、感染端末上で直接テキストファイルを作成することは推奨されず、厳に控えるべき行為です。別の安全な端末や紙のノート、スマートフォンのメモ機能を使用して記録を残すことが証拠保全の基本作法です。

社内緊急連絡体制（CSIRT/経営層）の立ち上げと情報統制

端末の隔離と状況把握と並行して、組織としての意思決定を行う「緊急対策本部（インシデントレスポンスチーム）」を直ちに招集します。インシデント対応はIT担当者や情シス部門だけで抱え込める問題ではなく、経営陣、法務、総務、広報が一体となった組織的判断が不可欠です。

1. 経営トップ（CEO/CIO）への即時エスカレーション：現時点で判明している被害規模と事業継続リスクを速やかに報告します。
2. 社内連絡窓口の一本化：憶測や誤情報が社内外に拡散するのを防ぐため、全社へのアナウンスと指示系統を統率してください。
3. 外部専門家への緊急コール：提携している情シス代行会社、セキュリティ監視センター（SOC）、サイバー保険の事故受付窓口へ速やかに連絡を入れます。

社内チャットツール（TeamsやSlack）や社内メールサーバー自体が侵害されている疑いがある場合、社内インフラを使った連絡にはリスクが伴います。個人の業務用携帯電話（SMSや通話）や外部の隔離された通信手段を用いて連絡網を確立してください。

以前の記事「UTMとEDRの違い・役割比較」で解説した通り、平時からEDRを導入していれば、管理コンソールから遠隔で端末をネットワーク隔離し、侵入プロセスを即座に追跡することが可能です。

個人情報保護法に基づく「公的報告義務」と取引先への通知ルール

個人情報保護委員会（PPC）への2段階報告義務（速報3〜5日・確報30〜60日）

日本国内の事業者が管理する個人データにおいて、漏洩や滅失、毀損が発生した、あるいはそのおそれが生じた場合、個人情報保護法により「個人情報保護委員会（PPC）への報告」が法律上の義務として課されています。以前のような「努力義務」ではなく、報告を怠った場合には最大1億円の罰金刑が科される重い法的ペナルティが存在します。

個人情報保護委員会への報告は「速報（一次報告）」と「確報（最終報告）」の2段階に明確に分かれており、それぞれ遵守すべき厳格な法定提出期限が設定されています。

報告種別	法定提出期限	報告すべき主な内容	備考・対応方針
速報（一次報告）	事態を知った日から概ね3〜5日以内	事態の概要、漏洩した情報の項目、想定される影響、応急措置	詳細が未確定でも現時点で判明している範囲で即時提出
確報（最終報告・通常）	事態を知った日から30日以内	原因の究明結果、漏洩の対象者数、再発防止策、本人通知状況	社内調査および外部調査を完了させて提出
確報（不正アクセス時）	事態を知った日から60日以内	高度なサイバー攻撃・不正アクセス・ランサムウェア被害の全容	フォレンジック調査の実施を前提とした期限猶予規定

「まだ詳細な原因が特定できていないから」という理由で速報の提出を先延ばしにすることは重大な法令違反に該当するため十分な警戒が必要です。全容が不明であっても、「不正アクセスの痕跡があり、顧客情報が漏洩したおそれがある」という段階で3〜5日以内に速報を提出しなければなりません。

具体的な報告様式やWeb受付フォームの手順については、個人情報保護委員会（PPC）漏えい等の対応ページに公式ガイダンスが公開されています。

警察（サイバー犯罪対策課）への届出・相談と法的証拠の扱い

サイバー攻撃や不正アクセス、ランサムウェアによる恐喝は立派な刑事犯罪です。企業は被害者として、管轄の警察署および都道府県警察本部の「サイバー犯罪対策課」へ速やかに届出（被害相談・被害届の提出）を行わなければなりません。

1. 警察庁・都道府県警察の相談窓口への連絡：事案の概要を電話等で連絡し、担当官の指示を仰ぎます。
2. 証拠物件の保全：警察が捜査を行うにあたり、サーバーログや侵害端末のストレージデータ保全が欠かせません。
3. 被害届（または告訴状）の正式提出：経営陣の承認のもと、被害額や事業への影響を明記して正式に受理してもらう手順を踏みます。

警察への相談実績や被害届の受理番号は、個人情報保護委員会への確報報告書や、取引先・株主に対する公式リリースにおいても「適切な法的初動措置を講じた公的証拠」として極めて重要な客観的証拠そのものです。

取引先・被害者本人への公表・個別通知の判断基準とタイミング

漏洩した個人データの対象者（顧客、従業員、株主など）に対する通知も、原則として法的な義務と位置づけられています。また、BtoB取引において委託元から預かった情報や取引先との機密情報が関係している場合、契約に基づく迅速な通知が不可欠です。

• 本人通知の原則義務：漏洩した情報主体本人に対して、事態の概要、漏洩項目、問い合わせ窓口を速やかに案内しなければなりません。
• 通知が困難な場合の代替措置：対象者が膨大で住所や連絡先が不明な場合、公式Webサイト上での公表やプレスリリースで代替手段としての公表が法的に認められています。
• 取引先（元請け企業）への即時連絡：サプライチェーン攻撃の標的となった場合、元請け企業のシステムへ影響が波及するリスクがあるため、隠蔽を図ることなく速やかに一次報告を入れる姿勢が求められます。

「セキュリティチェックシートの記入ガイド」でも触れたように、現代の大手企業はサプライチェーン全体のセキュリティ統制を厳格に求めており、事故時の報告遅延は信用失墜や取引停止処分に直結しかねません。

フォレンジック調査（原因究明）の費用相場と信頼できる調査会社の選び方

ファストフォレンジックとフルフォレンジックの違いと費用相場

インシデントの原因究明、侵入経路の特定、および「実際に外部へデータが持ち出されたか否か」の法的立証には、専門技術者による「デジタルフォレンジック調査」が欠かせないプロセスと位置づけられています。フォレンジック調査には、大きく分けて2つのアプローチが広く採用されています。

企業の予算やインシデントの緊急度に応じて、「ファストフォレンジック」で迅速に概要を把握した上で、必要に応じて「フルフォレンジック」へ拡大するのが標準的なアプローチです。

調査手法	主な調査対象・手法	費用相場（目安）	納期（期間）	適しているケース
ファストフォレンジック（初期簡易調査）	対象端末1〜2台の揮発メモリ・主要OSログ・痕跡ファイル	50万〜150万円	2〜5営業日	侵入の有無の緊急トリアージ、一次報告用の事実確認
フルフォレンジック（詳細深層調査）	ストレージの完全ビットイメージ保全、削除データ復元、タイムライン解析	200万〜500万円	2〜4週間	公的報告・法的紛争対応、厳密な漏洩範囲の特定
大規模・全社調査（インフラ全域）	Active Directory、全社サーバー、クラウドログ、全端末の横断調査	500万〜1,500万円超	1〜3ヶ月	ランサムウェアによる全社感染、標的型攻撃の壊滅的被害

調査対象別の費用内訳（PC端末・サーバー・ネットワークログ解析）

フォレンジック専門会社の見積もりは、調査対象となる機器の台数、データ容量、および解析項目によって細かく積算されます。

調査費用は機器の種類やログの保存状態によって大きく変動するため、事前に主要な単価目安を把握しておくことが予算確保の第一歩となります。

調査対象機器・項目	1台・1件あたりの費用相場	主な解析作業内容	費用が変動する要因
クライアントPC端末（Windows/Mac）	30万〜60万円	操作ログ、ブラウザ閲覧履歴、マルウェア実行痕跡の特定	ストレージ容量（SSD/HDD）、暗号化の有無
サーバー機器（ファイルサーバー・AD等）	80万〜200万円	イベントログ解析、アクセス権限昇格の追跡、不正通信調査	ログ保存期間、DB容量、仮想化環境の構造
UTM・ファイアウォール・VPNログ	50万〜100万円	外部侵入パケットの解析、不審な海外C2サーバー通信の特定	パケットキャプチャの有無、ログの欠損状況
調査報告書作成・報告会費用	30万〜80万円	警察・PPC・経営会議提出用の公式エビデンス報告書作成	報告書の製本部数、技術者の説明会同席回数

平時からログのローテーション期間を短く設定していたり、UTMのログ保存を無効にしていたりすると、ログ欠落により解析が難航し、調査期間の長期化と費用の高騰を招く一因となります。

悪質業者に騙されないためのフォレンジック専門会社選定基準

インシデント発生時のパニックにつけ込み、法外な追加請求を行ったり、技術力が乏しく「原因不明」とだけ記載した報告書を不当に高額な請求を行う悪質業者への警戒も怠れません。信頼できるフォレンジック会社を選ぶための4大評価基準を押さえておきましょう。

• 公的機関・法廷提出用の証拠保全技術（デジタル・フォレンジック研究会等の加盟）：証拠性を担保する適切なイメージングを行えるか確認します。
• 24時間365日の緊急初動対応力：土日夜間でも専任のアナリストが即座に駆けつけ・リモートトリアージを開始できるか評価します。
• 追加費用の発生条件が明瞭な見積もり：基本料金に含まれる解析項目と、オプション料金の境界線が明確に区分されているかどうかの事前精査が肝要です。
• 報告書の品質と警察・弁護士との連携実績：過去に警察や監督官庁、危機管理弁護士への提出実績が十分に蓄積されているかどうかも重要な判断材料です。

自社にセキュリティ専門家が不在の場合でも、経済産業省が策定した「中小企業向けサイバーセキュリティインシデント対応の手引き」や、民間大手JBサービスのインシデント対応ガイドを事前確認しておくと有事の際にも冷静な判断を下す一助となるでしょう。

被害を最小限に抑えるサイバー保険と情シス代行の事前対策

フォレンジック調査や賠償金をカバーするサイバー保険の活用法

サイバー攻撃を受けた場合、フォレンジック調査費用（数百万円〜数千万円）、事故対応費用（見舞金・コールセンター設置・公表費用）、そして被害者からの損害賠償請求（数千万円〜数億円）が発生し、中小企業を一撃で債務超過に追い込むケースも少なくありません。

この壊滅的な金銭リスクを移転・ヘッジするための有力な備えが「サイバーセキュリティ保険」です。

多くのサイバー保険では、損害賠償金だけでなく「フォレンジック調査費用」「危機管理コンサルティング費用」「弁護士相談費用」が補償対象に含まれています。保険会社が提携する一流のフォレンジック会社を即座に派遣してもらえるサービスも付帯しています。

サイバー保険の補償内容や中小企業向けの年間保険料相場については、「中小企業向けサイバーセキュリティ保険の補償内容と費用相場」で詳しく比較解説していますので併せてご確認ください。

ひとり情シス・SMEの限界を補う情シス代行と24時間SOC/EDR体制

中小企業やスタートアップにおいて、専任のセキュリティ担当者を雇うことは人件費や採用難易度の面から極めて困難です。いわゆる「ひとり情シス」が日常のPCサポートやサーバー管理に追われている状況では、深夜や休日に発生したサイバー攻撃の初期対応を行うことは容易ではありません。

サイバー攻撃の約7割は、社内が手薄になる夜間・休日・大型連休に決行されます。社内担当者1人の力に依存した初動体制は、破綻するリスクを常に抱えています。

運用体制モデル	初期対応スピード	証拠保全・調査品質	月額コスト感	推奨企業規模
自社単独（ひとり情シス）	休日・夜間は完全停止（危険）	専門技術不足で証拠散逸リスク大	社内人件費のみ	危険性が極めて高く非推奨
情シス代行（ハイブリッド型）	専任チームが常時スタンバイ	定型フローに基づき迅速な隔離・保全	月額15万〜40万円	従業員30〜300名の中小企業
24時間365日 SOC/MDR導入	AIと専門アナリストが即時遮断	自動スナップショットと高精度解析	月額30万〜80万円	個人情報・機密データを扱う企業

リソース不足に悩む企業であれば、「ひとり情シスの負担軽減と情シス代行サービスの選び方」で紹介したような外部委託サービスを組み合わせ、一次対応の負担を分散させることが最も現実的かつ費用対効果の高い防衛策と言えます。

事前協定（リテイナー契約）による緊急駆けつけサポートの確保

インシデントが実際に発生してからフォレンジック調査会社を探し、相見積もりを取り、秘密保持契約（NDA）や基本契約を締結していては、初動のゴールデンタイム（発覚後24〜72時間）を対応の遅れが致命傷となりかねません。

1. インシデントレスポンス・リテイナー（有事即応契約）の締結：平時に基本契約とNDAを締結し、有事の駆けつけ条件や基本合意を平時から取り交わしておきます。
2. 緊急連絡網と権限移譲の明確化：担当役員不在時でもネットワーク遮断や外部調査会社への依頼を実行できる代行権限を策定してください。
3. 年1回の初動シミュレーション訓練：ランサムウェア画面に遭遇した想定で、ネットワーク遮断からPPC報告書ドラフト作成までの机上訓練を実施します。

平時にリテイナー契約を結んでおくことで、有事の際に優先的な調査リソースが割り当てられ、調査費用が20〜30%割引されるプランを用意しているセキュリティベンダーも多数存在します。

まとめ：備えなき企業は淘汰される！平時の体制構築こそが最大の防御

サイバー攻撃の初動対応と個人情報漏洩時の報告義務・フォレンジック費用の総括

現代のデジタルビジネスにおいて、サイバー攻撃や情報漏洩を「100%防ぐ」ことは極めて困難な時代を迎えています。侵入されることを前提とし、発生時にいかに被害を極小化し、法律に則った正しい初動対応を完遂できるかが企業の信頼性と事業継続性を大きく左右する分岐点にほかなりません。

• 初動1時間の鉄則：ネットワークを直ちに物理遮断し、端末の電源は絶対に落とさず現状維持する。
• 公的報告の厳守：個人情報保護委員会（PPC）へ概ね3〜5日以内に速報、30日（不正アクセス時は60日）以内に確報を提出する。
• フォレンジック調査の適正実施：状況に応じてファスト（50万〜150万円）とフル（200万〜500万円超）を賢く使い分ける。
• 二重のセーフティネット：想定外の多額な費用をサイバー保険でヘッジし、日頃の手薄なリソースを情シス代行でカバーする。

インシデントが起きてから右往左往するのではなく、今すぐ社内の初動対応マニュアルを整備し、緊急連絡網とバックアップ体制を総点検してください。平時のわずかな投資と準備が、将来の数千万円から数億円に及ぶ致命的な損失から会社を守り抜きます。