中小企業がサイバーインシデント発生時に経営者が即座に判断する対応フローの作り方

2026年7月20日

「うちの会社が狙われるはずがない」と思っていた中小企業が、ある朝突然ランサムウェアの被害に遭い、3日間業務が全停止した——そういった事例は2025年以降急増しています。問題は攻撃を受けたこと以上に、「誰が何を決めるか」が決まっておらず、経営者も社員も立ちすくんでしまうことです。

この記事では、ITに詳しくない中小企業の経営者が、サイバーインシデント発生時に即座に判断できる対応フローの作り方を解説します。インシデントレスポンスの5ステップ、BCP（事業継続計画）との連携方法、よくある初動ミスの回避策まで網羅します。

サイバーインシデントとは何か？経営者主導の対応が必要な理由

サイバーインシデントとは、不正アクセス・ランサムウェア・情報漏洩・フィッシング詐欺など、企業のIT環境に対する攻撃や事故の総称です。警察庁の調査（2026年3月時点）によれば、ランサムウェア被害報告件数の約6割が中小企業・中堅企業から寄せられています。大企業に比べてセキュリティ投資が少なく、攻撃者にとって「侵入しやすい入口」とみなされている現状があります。

中小企業で実際に起きているサイバーインシデントの主な類型は次のとおりです。

・ランサムウェア感染: 社内ファイルが暗号化され、復旧と引き換えに金銭を要求されます。業務停止期間は平均5日～2週間に及ぶケースが多く報告されています。
・標的型メール（フィッシング）: 経営者や経理担当に偽メールを送りつけ、クラウドサービスの認証情報を詐取する手口です。
・不正アクセス: VPNやリモートデスクトップの脆弱な認証設定を突かれ、社内システムに侵入されます。情シスが不在の時間帯を狙う傾向があります。
・情報漏洩: 顧客データや設計情報が外部に流出し、取引先・顧客への報告義務と損害賠償リスクが発生します。
・サービス妨害（DoS攻撃）: 自社サイトやシステムへの大量アクセスにより、受発注業務やECが機能しなくなります。

経営者が知っておくべき重要な事実は、「技術的な対応はITの専門家に任せてよいが、業務停止・情報開示・対外対応に関する意思決定は経営者にしかできない」という点です。インシデントが発生した際に「誰に連絡するか」「何を止めるか」「顧客にどう説明するか」を経営者が判断できなければ、組織全体がフリーズします。

BCP（事業継続計画）の文脈では、サイバーインシデントは自然災害と並ぶ重大リスクとして位置づけられています。IPA（情報処理推進機構）が2026年に公表した「中小企業向けセキュリティガイドライン第3版」でも、経営者自身がインシデント対応の指揮命令系統を明文化することが強く推奨されています。技術リテラシーに関係なく、「誰が何を決めるか」を事前に定めておくことが、インシデント対応の最初の一歩です。

士業所長（税理士・社労士・行政書士等）にとってはさらに重大な問題があります。顧客の守秘義務情報がシステム内に蓄積されているため、インシデントによる情報漏洩は職業上の信用と法的責任に直結します。対応の遅れが「守秘義務違反」の問責につながるリスクもあるため、一般の中小企業より厳格な初動体制が求められます。

多くの中小企業では、IT管理を情シス兼任の社員や外部ベンダーに任せています。しかし、サイバーインシデントが発生した場合に経営者が関わらなければならない判断が複数あります。この判断を経営者が事前に把握しておくことが「経営者主導フロー」の核心です。

第一に、業務停止の判断です。感染拡大を防ぐためにネットワークを遮断すると、販売管理システムや受発注メールが使えなくなります。「止めるか止めないか」は経営上の意思決定であり、IT担当者には権限がありません。担当者レベルで判断すると、後から「なぜ止めた」あるいは「なぜ止めなかった」という問題になります。

第二に、情報開示の判断です。顧客データが漏洩した可能性がある場合、個人情報保護委員会への報告義務（個人情報保護法第26条）が発生します。取引先への通知タイミングと内容も経営者が決定します。報告が遅れれば信用失墜だけでなく、行政処分のリスクも生じます。

第三に、費用承認の判断です。フォレンジック調査（証拠保全・原因究明）を専門業者に依頼すると、中小企業規模でも50万円～200万円程度のコストが発生します。この発注を即断できるのは経営者だけです。ベンダーが「まず依頼書をください」と言っているうちに被害が拡大するケースは珍しくありません。

第四に、メディア・SNS対応の判断です。インシデントが外部に漏れた場合、「公式コメントを出すか否か」「どのタイミングで出すか」は経営者レベルの判断が必要です。担当者が独断で対外発信すると、かえって混乱を招くケースがあります。

経営者主導のフローがない会社では、「誰も決断できない空白時間」が生まれます。この空白が被害を拡大させます。2024年に製造業A社（従業員45名）で発生したランサムウェア感染では、IT担当者が「社長に報告すべきか迷った」結果、対応開始が6時間遅れ、バックアップデータまで暗号化されてしまいました。Beforeは「ITの問題はIT担当者が解決する」という暗黙のルール、Afterは「発生から30分以内に経営者へエスカレーション」という明文化されたフローです。この差が復旧コストで500万円以上の違いを生みます。

経営者が即座に判断するためのインシデントレスポンス5ステップ

対応フローは「発生→初動→封じ込め→対外対応→復旧」の5段階で設計します。各ステップに「タイムリミット」と「経営者の判断事項」を明記することが、実際に機能するフローの鍵です。技術的な手順はIT担当者に委ねてよいですが、経営者は「自分がいつ何を決めるか」だけを把握しておきます。

1. 初動確認（発生から30分以内）

インシデントを発見した社員は、まず直属の上長と情シス兼任担当者に同時報告します。情シス担当者は「本当にインシデントか否か」を5分以内に一次判断し、経営者に連絡します。この連絡は電話でよく、メールは使いません（メールサーバーが感染している可能性があるため）。

経営者の判断事項は「対応チームの招集」のみです。技術的な詳細を理解する必要はなく、「今から対応チームを集める」という号令を出すことが経営者の初動です。

社内に対応チームがない場合、この段階でセキュリティベンダーの緊急連絡先に電話します。緊急連絡先は事前に「インシデント対応カード」として経営者の手元に常備しておくことが前提です。このカードがなければ、30分以内の初動は不可能です。

2. 影響範囲の特定（発生から30分～2時間）

情シス担当者または外部ベンダーが「何が」「どこまで」影響を受けているかを調査します。経営者はこの段階で「調査の指示と時間軸の確認」を行います。

・感染端末の台数: 1台か複数台かで対応規模が変わります。
・漏洩した可能性のあるデータの種別: 顧客情報・取引データ・設計情報など、何が含まれるかを確認します。
・外部接続の有無: インターネットや取引先ネットワークへの侵害拡大リスクを確認します。
・バックアップの健全性: 最新バックアップが暗号化されていないか、取得日はいつかを確認します。

経営者はこの情報を「1時間後に報告」など時間を区切って受け取ります。報告を待ちながら、顧問弁護士や士業（税理士・行政書士等）への連絡準備も並行して進めます。

3. 封じ込めと業務継続の判断（発生から2時間以内）

影響範囲が判明したら、経営者は「ネットワーク遮断の可否」と「業務の代替手段」を決断します。これがインシデント対応で最も重要な経営判断です。

ネットワーク遮断を行う場合：受発注・在庫管理・メール送受信が停止します。取引先への「一時的なシステム障害」通知が必要です。代替手段（電話・FAX・紙運用）への切り替え指示を出します。

ネットワーク遮断を行わない場合：感染拡大のリスクを受容する判断です。この判断は必ず記録に残します（後日の説明責任のため）。

業務継続判断のポイントは、「被害拡大リスク」と「業務停止コスト」のバランスです。士業事務所の場合、顧客の守秘義務情報が漏洩するリスクを優先して「即時遮断」を選ぶ判断が増えています。製造業では受注ラインへの影響を考慮して「部分遮断」にとどめるケースもあります。いずれの場合も、判断した経営者の名前・日時・理由を文書で残すことが後の説明責任を守ります。

4. 対外対応と報告（発生当日中）

経営者が主体となって行う対外対応は3つあります。

第一に、個人情報が関わる場合は個人情報保護委員会への速報（72時間以内）の準備です。行政書士や法律事務所を顧問に持つ場合は、ここで助言を求めます。「判明した範囲だけ報告し、続報で補足する」形が認められています。

第二に、取引先・顧客への通知です。影響の可能性がある先には当日中に一報を入れます。「詳細は調査中ですが、●月●日に何らかの事象が発生した事実をお知らせします」という形の連絡で構いません。黙っていることが後から大きな信頼毀損につながります。

第三に、警察（サイバー犯罪相談窓口）への届出です。ランサムウェアや不正アクセスは犯罪です。証拠保全の観点からも、フォレンジック調査の開始より前に届出しておくことが推奨されます。

5. 復旧と再発防止（発生から48時間以内）

バックアップからの復元作業は技術担当者に任せますが、「いつまでに復旧するか」の目標設定（RTO：目標復旧時間）は経営者が決めます。製造ラインか、経理か、受発注かによって優先順位が変わるため、現場を知る経営者の判断が必要です。

復旧完了後、経営者が主導して「再発防止策の承認」と「社内周知」を行います。「なぜ起きたか」の原因究明（フォレンジック調査報告書）を受け取り、セキュリティポリシーの改訂を指示します。この工程をBCPに反映し、年1回の訓練に組み込むことで、次のインシデントへの備えが整います。

中小企業がサイバーインシデント発生時に経営者が即座に判断する — 関連イメージ1

インシデント種別別・経営判断の比較

インシデントの種類によって、経営者が優先すべき判断事項が異なります。下表を対応フロー文書に添付しておくと、発生時に素早く参照できます。

インシデント種別	ネットワーク遮断	情報開示義務	緊急度	目安コスト（参考）
ランサムウェア感染	即時遮断を推奨	個人情報含む場合は72時間以内報告	最高	50万円～300万円
不正アクセス（侵入のみ）	侵入経路遮断後に継続可	漏洩確認後に判断	高	30万円～100万円
フィッシング被害（認証情報詐取）	該当アカウントの凍結のみ	漏洩した情報の種類で判断	高	10万円～50万円
情報漏洩（内部不正含む）	不要の場合が多い	原則即日速報	最高	法的費用別途
DoS攻撃（サービス妨害）	外部公開サービスのみ停止	基本不要	中	5万円～20万円

（費用は2026年7月時点の参考値です。実際の被害規模・調査範囲によって変動します。）

BCPと連携して対応力を底上げする方法

サイバーインシデントへの対応は、単体のセキュリティ文書だけでなく、BCP（事業継続計画）に組み込むことで実効性が高まります。多くの中小企業がBCPを「自然災害への備え」として作成していますが、サイバーインシデントをBCPに組み込んでいる企業は半数以下に留まっています（IPA調査、2025年度）。

BCP連携で経営者がやるべきことは3点です。

第一に、指揮命令系統の明文化です。BCPの「組織体制」の章に、サイバーインシデント発生時の役割分担を追記します。

・経営者（指揮官）: 業務停止・情報開示・費用承認の最終判断者。
・情シス兼任担当（技術対応リーダー）: 一次調査・封じ込め・ベンダー連携の実務担当。
・総務・法務担当（対外連絡リーダー）: 顧客通知・行政報告・メディア対応の窓口。
・外部顧問（法律・セキュリティ）: 法的判断・フォレンジック調査依頼・行政報告の助言役。

第二に、「インシデント対応カード」の作成と配布です。A4一枚に、緊急連絡先・報告ルート・判断フローのチェック項目をまとめたカードを作り、経営者・情シス担当・総務担当の3名に配布します。このカードが手元にあるかどうかで、初動30分の動きが大きく変わります。カードには「最初にかける電話先」「次に判断すること」の2点だけを書けば十分です。複雑にしすぎると緊急時に使われません。

第三に、年1回のシミュレーション訓練です。「ランサムウェア感染を発見した」という想定シナリオで、実際に対応チームを集めて訓練を行います。訓練の結果で浮かび上がった課題をBCPとインシデント対応フローに反映します。訓練なしの対応フローは「存在するが機能しない文書」になりがちです。多くの中小企業が「文書は作ったが誰も読んでいない」という状態に陥っています。

Beforeの典型的な状況：インシデント発生→IT担当者が「社長に言うべきか迷う」→6時間経過→社長が知らないまま被害拡大→事後に全社で後悔。

Afterの理想的な状況：インシデント発生→IT担当者が30分以内に社長へ電話報告→社長が対応チームを招集→2時間以内に封じ込め判断→当日中に取引先へ一報→72時間以内に行政速報。

BCPにインシデント対応を組み込む際のポイントは「判断権者」と「タイムリミット」を全員が知っていることです。全員が「次に何をすればいいか」を判断できる状態にしておくことが、初動の遅れを防ぎます。

中小企業がサイバーインシデント発生時に経営者が即座に判断する — 関連イメージ2

よくある質問

Q1. セキュリティの専門家がいない小規模事務所でも対応フローは作れますか？

作れます。対応フローの本質は「経営者が何を判断するか」の整理であり、技術的な手順の記述は最小限で構いません。IPA（情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」の付録チェックリストを参照するだけで骨格を作ることができます。専門家への相談は「フローを作った後の確認」として行うと費用対効果が高まります。まず1時間で「誰が」「30分以内に」「誰へ連絡するか」を決めるだけでも、対応速度が格段に変わります。

Q2. ランサムウェアの身代金を支払えば早期解決になりますか？

支払いは推奨されません。理由は3点あります。①支払っても復号できないケースが多い（復号成功率は約6割程度との報告があります）、②支払い実績が「次の攻撃ターゲット」として共有される、③支払い行為が違法取引に該当するリスクがある（特に海外制裁対象組織の場合）。初動でネットワークを遮断し、バックアップからの復旧を優先することが原則です。バックアップがなかった場合も、専門業者に相談することで復号できるケースがあります。

Q3. 個人情報保護委員会への報告は必ず行うべきですか？

個人情報の漏洩が「生じた恐れ」のある場合は法的な報告義務が生じます（個人情報保護法第26条、2022年4月施行の改正による）。「恐れ」の段階での報告義務であるため、確認が取れてから報告するのでは遅い場合があります。インシデント発覚から72時間以内の速報（内容は判明した範囲で構いません）が求められます。不明な点は顧問弁護士や行政書士に確認を取ってください。

Q4. 外部ベンダーにすべて任せるのではいけませんか？

技術対応はベンダーに任せてよいですが、「業務停止の可否」「情報開示のタイミング」「費用承認」の3点は経営者が決定する必要があります。ベンダーにすべて丸投げすると、ベンダーが動けない判断事項で空白時間が生まれます。経営者が「判断できる状態」でいることが、ベンダーとの連携を円滑にします。

Q5. 対応フローはどのくらいの頻度で見直すべきですか？

年1回の見直しが目安です。セキュリティの脅威は毎年変化しており、2年前のフローが現状の脅威に対応できていないことも珍しくありません。また、社内の人員変更（担当者が退職した、など）により連絡先が古くなっているケースも多く、年1回の棚卸しが実効性を維持するうえで必要です。

対応フロー整備前チェックリスト

以下の項目を確認し、未整備の箇所から優先的に整えてください。

・緊急連絡先（セキュリティベンダー・顧問弁護士・行政書士）を経営者が手元に持っている
・「発生から30分以内に経営者へエスカレーション」のルールが全社員に周知されている
・バックアップの保管場所と直近の正常性確認日が記録されている
・インシデント発生時の業務代替手段（電話・FAX・紙運用）が準備されている
・個人情報保護委員会への報告手順と担当者が明確になっている
・BCPにサイバーインシデントの項目が組み込まれている
・年1回以上のシミュレーション訓練のスケジュールが設定されている
・インシデント対応カード（A4一枚）が経営者・情シス担当・総務担当に配布されている

8項目中5項目未満の場合、インシデント発生時に初動が30分以上遅れるリスクが高い状態です。まず「緊急連絡先の確認」と「エスカレーションルールの周知」の2点から着手することを推奨します。