小規模
- 従業員
- 500名未満
- 年間売上
- 50億円未満
効果が出にくい
専任担当者の確保が難しく、ツール費用の回収も容易ではありません。最低限のインシデント対応チェックリストと外部MSSPへの通報経路確保を優先し、SOARなど高度な自動化ツールへの投資は次フェーズに据え置くのが現実的です。
情報セキュリティ・Zero Trust1988年誕生
インシデント対応
インシデント対応とは、サイバー攻撃やセキュリティ侵害が発生した際に、被害の封じ込め・根絶・復旧・再発防止を組織的かつ迅速に行うための体制・プロセス・技術の総称です。NIST SP 800-61などの国際標準フレームワークに基づき、準備・検知・封じ込め・根絶・復旧・事後対応の6フェーズで構成されます。
導入おすすめ度 — TOTAL RECOMMENDATION
6.98/ 10.00
●判定: 推奨 — 投資の保護領域。AI 代替リスクは低い
日本導入率
35%
海外導入率
58%
5年成長率 CAGR
+14%
推奨企業規模
500名〜
評価
ソリューションそのものの「価値」を 4 軸で評価。各項目は 0-100。
生成AIでの代替確率18
高いほど、AI代替が容易
費用対効果62
平均的な企業が得られる ROI の期待値。
成功確率48
導入プロジェクトが当初目的を達成する確率の目安。
日本市場での実績72
国内導入の歴史・事例の厚み。
導入ハードル — ADOPTION HURDLES
導入時の負担（コスト・期間）。ハードルが高いほど合意形成と予算確保に時間がかかります。
コストの大きさ
55/100
負担: 中
導入時の初期費用と運用月額の合算感。
導入期間
3-9 ヶ月
期間: 中-長
本格運用開始までの一般的な期間。
浸透期間
6-18 ヶ月
期間: 長い
社内に定着し成果が出始めるまでの期間。
01概要
インシデント対応とは、サイバー攻撃やセキュリティ侵害が発生した際に、被害の封じ込め・根絶・復旧・再発防止を組織的かつ迅速に行うための体制・プロセス・技術の総称です。NIST SP 800-61などの国際標準フレームワークに基づき、準備・検知・封じ込め・根絶・復旧・事後対応の6フェーズで構成されます。
編集部の見解
インシデント対応は「起きてから考える」では手遅れになる分野の代表格です。IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」においても、標的型攻撃やランサムウェアが上位を占め続けており、平均的な侵害検知までの時間（MTTD）はグローバル平均で約204日（IBM Security「Cost of a Data Breach Report 2023」）とされています。この間、攻撃者は組織内を横断移動し続けるため、事前に整備された対応プロセスがないと被害は雪だるま式に拡大します。
日本市場の課題として特筆すべきは、専任のCSIRT（Computer Security Incident Response Team）を持つ企業が依然として限られている点です。NCA（日本シーサート協議会）の加盟組織数は2024年時点で約700団体超に達しましたが、これは上場企業に限っても全体の一部にとどまります。中堅・中小規模の企業では、SOC（Security Operations Center）機能をMSSP（マネージドセキュリティサービスプロバイダー）へ外部委託しながら、インシデント対応プレイブックだけ内製で整備するハイブリッド型が現実解として注目されています。
編集部が特に重要と考えるのは、技術ツールの整備と並行して「意思決定の連鎖」を事前に設計することです。SIEMやEDRを導入してアラートを大量生成しても、誰がエスカレーションを判断し、経営層に何を報告し、いつ外部機関（警察・NISC・取引先）に通知するかの権限と手順が明文化されていなければ、ツールは「鳴り続けるアラームと化す」リスクがあります。
02こんなケースに向いている
インシデント対応の整備が特に急務となるのは、以下のような状況にある組織です。
- 個人情報や機密情報を大量に保有しており、情報漏えい時の法的リスク・レピュテーション被害が大きい企業（金融・医療・製造業など）
- ランサムウェアや標的型攻撃の被害を受けたことがある、または同業他社が被害を受けた事実を把握している場合
- SIEM、EDR、XDRなどのセキュリティツールを導入済みだが、アラートへの対応プロセスが属人化・形骸化しているケース
- グループ会社・サプライチェーン全体へのセキュリティ要求が強まり、インシデント報告義務を契約上求められるようになった場合
- 経済安全保障推進法や改正個人情報保護法など、インシデント報告義務を持つ法規制の対象となった組織
03成果が出る企業規模
推奨企業規模
500名〜
中堅企業向け
インシデント対応体制の整備には、専任または兼任のセキュリティ担当者の確保、対応プレイブックの策定・訓練、SIEMやSOARなどのオーケストレーションツールへの投資が必要です。ツールコストだけでも年間数百万円から数千万円規模になることが多く、MSSPへの外部委託を加えると月額100万〜500万円以上の固定コストが発生するケースもあります。この投資を正当化するためには、万一の情報漏えい事案に伴う損害（賠償・業務停止・ブランド毀損）が上回るリスクが具体的に存在することが前提となります。
従業員500名未満・年間売上50億円未満の組織では、専任CSIRT組織を内製で維持するコストが重くなりがちです。この規模帯では、MSSP活用と最低限のプレイブック整備（封じ込め手順・連絡ツリー）から始め、年1回以上のインシデント対応訓練（TTX：テーブルトップエクササイズ）を実施するアプローチが費用対効果の観点から現実的です。
一方、年間売上500億円以上・従業員2,000名超の組織では、インシデント発生時の事業継続リスクが大きく、SOC機能の内製化またはMSSPとの高水準SLA契約が投資対効果に見合います。特にグループ企業を複数抱える場合は、グループ横断のCSIRT統合や情報共有の仕組みがインシデントの横展開防止に直結します。
中堅企業
- 従業員
- 500〜2,000名
- 年間売上
- 50〜500億円
簡易導入向け
MSSPへの監視委託とプレイブック整備の組み合わせが適合します。内製SOCは人材確保の難易度が高いため、EDR・SIEMのアラートをMSSPが一次トリアージし、重大インシデント時に内部担当者が対応する分業モデルが費用効果を発揮します。
大企業
- 従業員
- 2,000〜1万名
- 年間売上
- 500〜5,000億円
投資回収可能
内製SOC設立またはMSSPとの高水準SLA契約が正当化できる規模です。SOAR導入による対応自動化（プレイブック自動実行）で対応時間を短縮し、MTTD・MTTR指標で投資効果を測定できます。年1〜2回のレッドチーム演習も有効です。
エンタープライズ
- 従業員
- 1万名以上
- 年間売上
- 5,000億円以上
大きなリターン
グループ横断CSIRTの設置と24時間365日対応SOCの維持が標準構成となります。インシデント1件あたりの潜在損失（業務停止・規制罰則・訴訟）が数十億円規模に及ぶため、体制整備への投資ROIは最も高くなります。脅威インテリジェンス共有（ISAC参加等）も推奨されます。
04生まれた経緯
インシデント対応の概念が組織的に整備されたきっかけは、1988年11月に発生した「モリスワーム」事件です。インターネットの前身であるARPANETに接続された約6,000台のシステムに感染が拡大したこの事件を受け、米国国防総省高等研究計画局（DARPA）の支援によってCERT/CC（Computer Emergency Response Team Coordination Center）がカーネギーメロン大学に設立されました。その後、1996年にNISTが発行したSP 800-3を皮切りに、2002年にSP 800-61（インシデント対応ガイドライン）が整備され、準備・検知・封じ込め・根絶・復旧・事後対応という現在も広く使われるフレームワークの基礎が確立しました。
日本では、2000年前後の官公庁サイト改ざん事件を契機に政府主導でJPCERT/CCが本格稼働し、2001年に経済産業省が「情報セキュリティポリシーに関するガイドライン」を公表。その後、2011年の東日本大震災後のサイバー攻撃増加や、2014〜2015年に相次いだ大企業・官公庁への標的型攻撃が社会的に大きな注目を集め、民間企業でのCSIRT設立が急増しました。2022年以降はランサムウェアによる大規模被害が製造業・医療機関などを直撃し、経済安全保障推進法や改正個人情報保護法によるインシデント報告義務の法制化も追い風となって、組織的なインシデント対応体制の整備が急速に進んでいます。
技術ライフサイクル上の位置
キャズム理論（イノベーター理論 × Crossing the Chasm）に基づく普及段階。（2026-05 時点の編集部判断）
アーリーマジョリティ期✓ キャズム突破済み▲ 成長中
キャズム突破済み、法規制追い風で主流化が着実に進行中
インシデント対応は1988年の概念誕生から30年以上を経た成熟した分野であり、キャズムはすでに突破済みと判断します。国内導入率35%・海外58%という数値は、アーリーマジョリティ期の中盤に差し掛かっていることを裏付けます。ランサムウェアや国家関与型サイバー攻撃の高頻度化を背景に、経営層がインシデント対応を「コスト」ではなく「経営リスク管理の核心」として位置づける動きが国内外で加速しており、勢いはgrowingと評価します。日本においては、2024年改正個人情報保護法への対応・経済安全保障推進法・金融庁サイバーセキュリティガイドラインの強化など複数の規制圧力が整備投資を後押ししており、中堅企業層への普及が継続しています。また、SOARやEDR・XDRとのシステム統合が進み、対応の自動化・高速化が実装レベルで現実的になってきた点も普及を加速させる要因です。一方、国内では専門人材の慢性的な不足がボトルネックとなっており、手順書を整備しても実効性が伴わないケースが多い。MSSPやIR専門会社へのアウトソーシング需要が拡大しているのはその裏返しです。今後の普及を左右する要因は、AIエージェントによる自動トリアージ・対応の成熟度、セキュリティ人材育成の加速、そして中小企業向け廉価なIRサービスの普及にあります。カテゴリとしての概念が隣接分野（BCP・サイバーレジリエンス・CTEM）に吸収される兆候も一部ありますが、独自の体系として語られる頻度は依然高く、衰退局面にはほど遠い状況です。
データ補足: 蓄積データの国内導入率35%はアーリーマジョリティ期の中盤に相当し、判断とおおむね一致しています。5年CAGR+14%はやや楽観的な数値ですが、規制強化・サイバー脅威の高度化を踏まえると直近の実需は維持されており、momentumをgrowingとした判断と大きな乖離はありません。海外58%はレイトマジョリティ入り手前であり、先進国市場では成熟が進んでいることを示しますが、国内は遅行しているため全体のposition_percentは42%と設定しました。
05成功事例 / 失敗事例
(社名非公開) 大手製造業: CSIRT設立とSOAR導入
国内大手製造業（従業員1万名超）が、グループ30社にまたがるCSIRTを設立し、SIEMとSOARを統合導入した事例です。導入前は平均インシデント対応時間（MTTR）が72時間を超えていましたが、プレイブックの自動実行により初動封じ込めまでの時間を平均4時間以内に短縮。年間セキュリティインシデント件数は変わらないものの、重大インシデントへのエスカレーション率が約40%低減し、対応コストの削減効果を確認しています。事前に整備した意思決定ツリーが、休日・深夜の対応判断の迅速化に直結しました。
学び:SOARによる自動化より先に、意思決定フローの文書化が成功の前提条件となる
(社名非公開) 地方金融機関: MSSP活用モデル
地方銀行（従業員1,500名規模）がMSSPへの24時間監視委託と、内製インシデント対応プレイブックを組み合わせたハイブリッド体制を構築した事例です。EDRとSIEMのアラートをMSSPが一次トリアージし、重要度「高」と判定されたインシデントのみ内部セキュリティ担当へエスカレーションする運用を実現。ランサムウェア感染を模したレッドチーム演習でも検知から封じ込めまでの時間が目標の2時間以内を達成し、金融庁ガイドラインへの対応状況も改善したと報告されています。
学び:内製化が難しい中堅規模では、MSSPとの明確な役割分担設計がコスト効率の鍵
米国小売大手 Target社: 侵害後の体制再構築
2013年に4,000万件超のクレジットカード情報漏えいを経験したTarget社が、その後5年かけてインシデント対応体制を全面再構築したグローバルベストプラクティスの事例です。専任CISOの設置、SOC機能の強化、年次でのサードパーティ侵入テスト義務化を導入。インシデント対応手順の整備と経営層への可視化レポーティング体制が整備されたことで、その後の複数インシデントにおける対応速度と公開開示の迅速性が業界内で高く評価されるようになりました。
学び:大規模侵害後の組織改革でも、経営コミットメントがあれば抜本的な体制強化は可能
(社名非公開) 大手小売: プレイブック未整備で被害拡大
国内大手小売チェーンがランサムウェア被害を受けた際、インシデント対応プレイブックが整備されておらず、誰が封じ込め判断を下すかが不明確だったために対応が遅延した事例です。セキュリティ担当者と情報システム部門・経営層の間でエスカレーション経路が合意されておらず、最初の検知から経営判断までに48時間以上を要しました。この間に横展開が進み、当初1拠点で発生した感染が基幹システムを含む複数拠点に波及。事業停止期間が延長され、対応費用は当初見込みの5倍以上に膨らんだとされています。
学び:ツール導入前に意思決定フローと連絡ツリーを文書化・全員合意しておくことが不可欠
(社名非公開) 中堅製造業: アラート疲労による形骸化
SIEMを導入したものの、チューニングが不十分なまま運用を開始したため、1日あたり数千件の誤検知アラートが発生し続けた事例です。担当者がアラートのトリアージに追われ、6ヶ月後には大多数のアラートが確認されないまま放置される「アラート疲労」状態に陥りました。その結果、実際の不正アクセスを示すアラートも見逃され、侵害発生から検知まで3週間以上を要しました。SIEMの導入自体が「対応完了」と誤認されたことが根本的な失敗要因です。
学び:SIEMは導入後のルールチューニングと運用プロセス設計に継続投資しないと逆効果になる
(社名非公開) 医療機関: 復旧計画不備による長期停止
地域中核病院がランサムウェアに感染し、電子カルテシステムが全停止した事例です。インシデント対応計画は整備されていたものの、バックアップの復元手順とシステム復旧の優先順位付けが事前に検証されておらず、実際の復旧に2ヶ月以上を要しました。業務停止期間中は紙運用へ切り替えましたが、人的リソースの限界から診療制限が続き、患者・地域医療へ多大な影響を与えました。インシデント対応計画にBCP（事業継続計画）との連携が盛り込まれていなかったことが教訓として残っています。
学び:インシデント対応計画は必ずBCPと連携させ、復旧手順を本番環境相当で事前検証すること
06代表的な提供企業
1
IBM Security QRadar SOAR（旧 Resilient）
米国2010年〜
- コスト感
- ¥¥¥¥高価格
- 実績
- 4.0 / 5.0
インシデント対応自動化（SOAR）の分野でグローバルリーダー的な地位を持つプラットフォームです。日本IBMを通じた国内サポート体制があり、大手金融・製造業での導入実績が豊富です。プレイブックのノーコード設計とSIEM連携が強みですが、ライセンスコストが高く中堅規模以下には導入ハードルがあります。
2
Palo Alto Networks XSOAR（旧 Demisto）
米国2015年〜
- コスト感
- ¥¥¥¥高価格
- 実績
- 4.0 / 5.0
豊富なインテグレーション（500種類以上のコンテンツパック）とプレイブック自動化が特徴のSOARプラットフォームです。国内では大手通信・製造業を中心に採用実績があります。Palo Alto NetworksのSIEM（Cortex XSIAM）との統合が進んでおり、XDR連携も強化されています。エンタープライズ向けの価格帯です。
3
NTTセキュリティ（マネージドSOCサービス）
日本2016年〜
- コスト感
- ¥¥¥¥中高価格
- 実績
- 3.5 / 5.0
NTTグループのセキュリティ専門子会社が提供するマネージドSOC・インシデント対応支援サービスです。国内企業向けの24時間365日監視・インシデント初動対応支援が強みで、日本語でのコミュニケーションと国内法規制（個人情報保護法等）への対応ノウハウを持ちます。中堅〜大企業向けに実績が積み重なっています。
07代替・関連ソリューション
インシデント対応の補完・代替として検討される手法・サービスには以下があります。
- SOAR（Security Orchestration, Automation and Response）: 対応プレイブックの自動実行により、人手を介さずに初動封じ込めを行う自動化アプローチ。インシデント対応の効率化に直結します。
- MDR（Managed Detection & Response）: 外部専門ベンダーが検知から対応まで一貫して請け負うマネージドサービス。内製リソースが不足する組織向けです。
- XDR（Extended Detection & Response）: エンドポイント・ネットワーク・クラウドを横断したテレメトリ統合により、インシデントの可視性を高める手法。EDRの進化系として位置づけられます。
- SIEM: ログ集約・相関分析によりインシデントを検知するプラットフォーム。インシデント対応の起点となるツールです。
- BCP/DR（事業継続計画・災害復旧）: サイバーインシデントを含む全般的な事業継続の枠組みとして、インシデント対応計画と統合して整備することが推奨されます。
関連業種
この用語が特に有効な業種（編集部判定）