事故が起きる前に専門家へ契約しておく？緊急対応サービスの選び方

インシデントが起きる前に緊急対応サービスを契約しておくと、被害拡大を防ぎ迅速な復旧が期待できます。まずは自社のリスクと求める対応速度を整理し、次にサービス提供者の「受付開始時間」や「調査開始までの時間」を比較しましょう。

緊急対応サービスを事前に契約すべきか判断するポイント

インシデント対応の事前契約が必要かどうか

事前契約を考える目的は、事故の後に相談先や依頼条件を探す負担を減らすことです。契約しただけで直ちに専門家が来る、復旧が保証される、という意味ではありません。自社の機器やサービスが対象となるか、受付と調査開始の条件、実際に対応する範囲を確認して判断します。現在のIT保守や保険に含まれる支援との重複も確認してください。

まず、異常を見つけた担当者が誰へ連絡し、社内の誰が依頼を決められるかを書き出します。その連絡先が不在のときや、メールが使えないときにどうするかも確認します。日常保守の会社で対応できない調査や復旧があるなら、追加の相談先が必要かを検討します。契約前に渡す情報と、事故時に初めて提供する記録も分け、社内の責任者と受け渡し方法を合意しましょう。

自社のリスクとコストをどう測るか

重要な情報と業務、その管理を担うサービスを一覧にし、停止・漏えいの疑いが出た場合にどの仕事が影響するかを整理します。例えば受注台帳なら、顧客への連絡、注文の照合、代替受付、復旧後の再入力などが確認対象です。被害額を根拠なく作ったり、自己診断の結果を金銭的な損失へ換算したりする必要はありません。

費用は、契約に含まれる支援と、利用時に別途かかる調査・出張・機材などを分けて確認します。定額の契約とは限らず、受付条件や利用回数の制限も異なります。自社の予算に一定の割合を当てはめるのではなく、必要な作業と社内に残る負担を比較してください。事故が起きなかった年も、連絡訓練や情報更新をどこまで受けられるかが継続判断の材料になります。

経営層が納得できる判断材料

経営層には、連絡先が決まっているか、依頼の承認者がいるか、対象システムの情報を渡せるかを、現在の状態と改善案で示します。事前契約に期待することは、窓口の確保、対象機器の事前把握、調査の依頼条件の合意など、確認できる作業として整理します。未契約の場合にかかる時間も、調べていない数字では比較しません。

提案の比較表には、受付時間、調査開始の条件、対応範囲、追加費用、社内の担当を記載します。提供側が示す目安の時間と、契約上約束される内容を別欄にし、復旧完了まで含むのかを確認してください。契約を更新する際には、機器構成や外注先が変わったか、連絡手順を試せたかを振り返ります。事前契約を結ぶこと自体ではなく、困ったときに会社が依頼を判断できる状態を目標にします。

契約時に確認すべき「時間」関連の条件

利用受付は何分以内に開始されるか

まず、何をもって受付とするかを確認します。フォームの自動返信、担当者による連絡、状況の聞き取りでは意味が違うためです。電話・メール・専用窓口のどれが使え、契約者の本人確認や社内承認に何が必要かを聞いてください。公的資料にすべてのサービス共通の受付時間があると考えず、提供側の条件を文面で受け取ります。

初回の連絡で伝える項目は、会社名、契約、連絡担当、発覚時刻、分かっている症状、対象機器、業務への影響などです。未確認の原因を推測で埋める必要はありません。受付後の連絡予定と、連絡が来ないときの別窓口を確認します。社内でも、担当者が不在のときに誰が依頼できるかを決め、連絡手順を安全な演習で試しておくと、契約書と実際の動きの違いを確認できます。

調査開始までの標準時間はどれくらいか

受付後にいつ調査が始まるかは、契約、対象機器、現地へ行く必要性、必要な情報、同時期の依頼状況などによって変わります。提供会社には、開始の目安と前提条件、調査に含む作業、対象外の場合の案内を確認します。目安を復旧の保証時間として社内へ伝えないようにしてください。

調査開始までに自社で準備できることも合意します。対象機器やログをどう保全するか、どの操作を止めるか、業務上の判断を誰が行うかを確認します。原因が分からないまま端末を初期化したり、提供されたツールを全機器へ一斉に実行したりしないでください。

専門担当者が状況に応じて案内する範囲で対応し、実施時刻と操作内容を記録します。調査中も次回の報告時点と社内の意思決定の窓口を維持します。

24時間体制と平日限定の違いは

夜間や休日の対応が必要かは、自社の業務時間だけでなく、異常を検知する方法と翌営業日まで待てない作業から考えます。提供会社の「24時間対応」という表記が、自動受付、人による状況確認、調査、現地対応、復旧のどこまでを指すかを確認してください。常時受付であっても、すべての作業をいつでも行える契約とは限りません。

対応時間が限られる契約なら、時間外に自社が取る初動と、別途依頼できる窓口を整理します。社内の承認者や連絡担当も不在になる可能性があるため、代理の判断権限と連絡先を決めておきます。時間帯の広いサービスを選べばよいと一律に決めず、重要業務、既存の監視、社内体制、費用を合わせて比較しましょう。必要な時間帯と対象範囲を見積もりの前提として揃えることが大切です。

サービス範囲と費用構造の比較チェックリスト

対象地域・機器の範囲を確認する方法

緊急対応サービスは、国内全域をカバーするものと、特定地域や特定機器に限定したものがあります。たとえば、クラウド環境のみ対応、オンプレミスのサーバーは除外、といった制限があるケースです。IPA の「クラウドサービス安全利用の手引き」でも、クラウドとオンプレミスで対応範囲が分かれることが指摘されています。

契約前に「対象となるネットワーク（社内LAN、VPN、クラウド）」「対応可能なOS・ミドルウェア」「拠点数や地域（国内全域・特定県）」を一覧表にしてもらい、社内の資産リストと照らし合わせましょう。担当部門に「自社の主要システムはどこに設置されているか」「クラウド利用はどのサービスか」を確認し、抜けがないかチェックしてください。

追加費用が発生するシナリオと見積もり

契約費に含まれる作業と追加費用が出る条件を確認します。調査対象の機器が増える、現地への移動が必要、保存媒体や専門の調査が必要など、対象や進め方で費用は変わるためです。見積もりは、作業単位、上限、追加の承認方法、中止した場合の扱いを含めて説明してもらいます。

事故時に担当者が無制限に追加発注する状態を避けるため、社内の承認者と判断できる金額の範囲を決めます。提供側には、見積もりを更新する時点と報告方法を確認してください。原因調査、復旧、報告書作成が別の依頼になる場合もあります。保険を利用する予定があれば、依頼前の連絡や指定業者などの条件を保険の窓口に確認し、補償される前提で費用を支出しないことも重要です。

サポートレベルと成果物の違い

成果物は、調査対象、実施した作業、確認できた事実、まだ分からないこと、復旧や再発防止へ向けた提案を区別して受け取ります。簡単な相談の記録と、専門的な調査報告書では、対象と費用が異なります。取引先への説明に使う予定があれば、第三者へ共有できる範囲や追加説明の対応も先に確認してください。

個人情報の漏えいが疑われる場合の報告や本人通知は、技術調査とは別に判断が必要です。一つの期限だけを前提に待つのではなく、分かった時点で社内の責任者へ伝え、個人情報保護委員会の最新案内と専門家に速やかに確認します。契約に書類作成の支援が含まれていても、提出の判断、内容の確認、対外説明を誰が担うかを合意しておきましょう。

報告書が出ることと、すべての原因が確定することも同じではありません。

社内体制と契約後の運用フローの作り方

社内権限分担の設計と担当者の選定

緊急対応サービスを活用する際の社内体制は、誰がインシデントを検知し、誰がベンダーに連絡し、誰が復旧作業を監督するかを明確にしておくことが重要です。役割を表にし、決定する人、作業する人、相談先、報告先を自社向けに整理すると確認しやすくなります。

まずは、情報システム部門、経営層、法務部門、広報部門の4つの役割を洗い出し、各自の責任範囲を文書化します。担当者には「インシデントが発生したら最初に誰に連絡すべきか」「ベンダーからの指示を誰が承認するか」を質問し、実務フローを図式化すると混乱を防げます。社内で決めた連絡先とベンダー側の緊急連絡窓口を合わせて、連絡網をテストしておくと安心です。

契約書に入れるべき具体的条項

契約書は、トラブル防止のために具体的な項目を盛り込むことが必要です。まず「サービス開始までの時間（受付・調査開始）」と「対象範囲（地域・機器）」を明示し、次に「追加費用の計算方法」「成果物（レポート・法的助言）の納品形式」を記載します。さらに、契約解除条件や「サービス品質が基準を下回った場合のペナルティ」も重要です。

担当部門に「過去にベンダーとの契約でトラブルがあったか」「どの条項が不足していたか」をヒアリングし、実務経験を踏まえて条項を追加すると、後の紛争リスクが低減します。契約書は法務部門のレビューを受け、必要なら外部のセキュリティ専門家にも意見を求めましょう。

導入後の評価と見直しのタイミング

緊急対応サービスは導入後も定期的に評価し、必要に応じて見直すことが大切です。評価項目としては「実際の対応時間」「追加費用の発生頻度」「提供されたレポートの品質」「社内担当者の満足度」などがあります。「5分でできる！情報セキュリティ自社診断」でも、年1回の評価と改善策の策定が示されています。

評価はインシデントが発生した後だけでなく、年1回のシミュレーション演習でも行います。担当者に「演習の実施頻度は？」「評価結果は誰が承認するか」を聞き、改善サイクルを明確にしましょう。評価結果を元に、サービス範囲や費用構造の再交渉、あるいは別ベンダーへの切り替えを検討することで、常に最適な体制を維持できます。

「5分でできる！情報セキュリティ自社診断」でも、年1回の評価と改善策の策定が示されています。