ランサムウェアや不正アクセスが起きたとき、初動対応記事や不正アクセス記事に沿って動ければ十分な場合もあります。従業員が増え、委託先や取引先が関わる場合は、誰が何を判断するかを短い計画に残しておくと混乱が減ります。
SCS評価制度そのものの解説は、SCSとはやロードマップに任せ、ここでは計画書の中身に絞ります。
連絡網
- 一次報告を受ける担当（役職名で記載）
- 経営判断者へのエスカレーション条件
- JPCERT/CC、IPA、警察相談の連絡先
- 委託先・ISP・保険会社への連絡順
技術初動
感染端末のネットワーク切断、ログと時刻の記録、バックアップからの復旧可否の判断基準を事前に書いておきます。個人情報が含まれる場合は、漏えい初動の報告判断も参照してください。
訓練
年1回、想定シナリオを30分で walk-through するだけでも、連絡先の古さに気づけます。訓練結果は次の計画改訂に反映してください。
サイバー法令・規範ハンドブックは国家サイバー統括室（NCO）が公開しています。2025年7月の組織再編後も、ハンドブックのURLは nisc.go.jp ドメイン上で提供されている場合があります。リンク先の表記と改定状況は公開時に再確認してください。