JPCERT/CC「インシデント調査報告書チェックリスト」の使い方

不正アクセスや情報漏えいに気づいたとき、小さな会社がいちばん困るのは 「次に何をすればいいか分からない」 ことです。調査会社に頼もうにも、何を頼めばいいのか、出てきた報告書が十分なのか、判断する材料がありません。

2026年11月11日、JPCERT コーディネーションセンター（JPCERT/CC）は 「インシデント調査報告書チェックリスト」 を無償で公開しました。調査を頼む側（被害を受けた組織）と調べる側（調査会社など）が、同じ前提で調査を進めるための確認リストです。

インシデント調査報告書チェックリスト公開のお知らせ

この記事では、チェックリストの中身を整理したうえで、情報システムの専任がいない小さな会社・個人事業の目線で「平時の準備 → 気づいたとき → 調査を頼む・記録する → 報告・相談」の順に使い方を手順にしました。IPA の手引きや個人情報保護委員会の報告期限も組み合わせています。初めての調査で「言われるがまま」にならないための道具——という位置づけです。

インシデント調査報告書チェックリストとは？一言でまとめると

一言でまとめると、「調査会社に調査を頼む前に決めること」と「報告書を受け取ったときに見ること」を並べたリストです。調査そのもののやり方を教える資料ではありません。

公開されているのは次の3つです。どれも JPCERT/CC の GitHub のページから、登録なしで開けます。

ライセンスは CC BY-SA 4.0 です。社内向けに作り替えて使うのは自由で、作り替えたものを社外に配るときは、出典を示して同じライセンスで公開する必要があります。作成にはセキュリティ会社など14社が協力しています。

注意したいのは対象の範囲です。このチェックリストはマルウェア感染などをともなうネットワークへの侵入を前提にしています。社員による持ち出しのような内部不正では、当てはまらない項目があります。

JPCERT/CC は10月にも、国内で相次ぐ不正アクセスについて注意喚起を更新しています。攻撃の手口はこちらで整理しています。

あわせて読みたい

相次ぐ不正アクセス、JPCERTがAI悪用の手口を追記【2026年10月】

なぜ初めての調査で迷うのか：頼む側と調べる側の違い

調査会社に調査を頼むと、調べる人は自社の業務を知らず、頼む側は調査の技術を知らないという状態から始まります。ここで前提がずれると、次のような行き違いが起きがちです。

• 頼む側は「漏えいしたかどうか」を知りたいのに、報告書は侵入経路の説明が中心だった
• 早く業務を再開したくてパソコンを初期化したら、調べる材料が消えていた
• 報告書に「判断できない」とあるが、なぜ判断できないのか、追加で何をすれば分かるのかが書かれていない

JPCERT/CC は公開の理由として、初めて対応する被害組織が、外部の調査の妥当性や「もう収まったのか」の判断に迷うことを挙げています。チェックリストは、この行き違いを調査を始める前の合意で減らす作りになっています。

小さな組織にとってのポイントは、ユーザー向けの58項目だけ見ればよいことです。レポーター向けは調査会社が使うものなので、頼む側は「こういう基準で書いてもらえる」と知っておく程度で十分です。

使い方の全体の流れ：4つの場面で使い分ける

チェックリストそのものは「依頼するとき」と「報告書を受け取ったとき」の2場面のためのものです。ただ、小さな組織ではその前後で失敗しやすいので、IT Picks では4つの場面に分けて使うことをおすすめします。

以下、この順に手順を説明します。

手順① 平時の準備：調べる材料を今のうちに残す

インシデント調査は、残っているログの量で結果が決まると言っても大げさではありません。ユーザー向けチェックリストにも「侵入経路や情報漏えいの有無は、エビデンス不足で特定できない可能性がある」という趣旨の注意書きがあります。起きてからログを増やすことはできないので、準備は平時にしかできません。

小さな組織で確かめておきたい記録を、どこにあるかと合わせて表にしました。保存期間はサービスや設定によって違うので、「何日分残っているか」を一度見ておくのがおすすめです。

バックアップについては、IPA の手引きがバックアップ装置を常時つないでいると暗号化される場合があることを指摘しています。複数用意して、バックアップのときだけつなぐか、1つは別の場所に置くのが基本です。

あわせて、次の3つも決めておくと、いざというときに迷いません。

• 最初に連絡する人：気づいた人が誰に知らせるか（IPA の手引きでは、情報セキュリティの責任者 → 経営者の順）
• 相談先の電話番号：後の「手順④」の表をそのまま社内に貼っておく
• 頼めそうな調査会社：IPA の「情報セキュリティサービス基準適合サービスリスト」に、デジタルフォレンジックサービスのリストがあります（掲載は IPA の保証ではありません）

VPS でサイトを運営しているなら、侵入されにくくする初期設定も平時の準備です。VPS で最初にやる5つのセキュリティ対策や最初にやる6つのセキュリティ設定もあわせて見直してください。

手順② 気づいたとき：最初の1時間・1日にやること

不正アクセスに気づいた直後は、「被害を広げない」と「記録を消さない」を両立させるのが一番の難しさです。IPA の「中小企業のためのセキュリティインシデント対応の手引き」の内容を、時間の流れに並べ替えました（時間の区切りは IT Picks の目安です）。

特に大事なのは電源を切らない・初期化しないことです。手引きでも、ネットワークの遮断や機器の隔離をするときに、不用意な操作でシステムに残った記録を消さないよう求めています。パソコンなら、手引きの「切り離す」は LAN ケーブルを抜く・Wi-Fi を切る といった操作になります。電源には触らず、そのままの状態で調査会社や相談窓口の指示を待つのが無難です。

メモには、手引きが「整理しておくべき事項」として挙げている項目——発覚した日時、起きていること、ここまでの対応、被害を受けたシステムの構成——を入れておくと、調査会社や相談窓口への説明がそのまま進みます。

手順③ 調査を頼むとき：「調査方針の合意」10項目の使い方

ここからがチェックリストの出番です。ユーザー向けの 「1. 調査方針の合意」 は、調査会社と最初に話すときの議題表として使えます。10項目を、小さな組織が実際に聞く・決める言葉に言い換えました。

小さな組織で特に効くのは 1-2・1-7・1-10 だと考えています。業務を止められない事情は頼む側にしか分からないので、優先順位は自分たちで決めて伝える必要があります。個人情報の漏えいの報告には期限があるので（手順④）、1-7 の速報の条件に「個人情報の漏えいが分かったとき」を入れておくと、期限に間に合わせやすくなります。

なお、すでに見守りや駆けつけのサービス（IPA の「サイバーセキュリティお助け隊サービス」など）を契約している場合は、契約書や仕様書で調査の範囲が決まっていることがあります。チェックリストと見比べて、足りない項目を相談しましょう。

手順③の続き 報告書を受け取ったら：チェックするポイント

報告書を受け取ったら、ユーザー向けの 「2. 調査結果のレビュー」（基本の9項目と、依頼内容に応じた追加の14項目）で確かめます。技術の正しさまでは見られなくても、頼んだことに答えているかは頼む側でも判断できます。

最初に見るべき3点を挙げます。

1. 頼んだ目的ごとに、答えか「答えられない理由」があるか：「漏えいしたか」を頼んだのに答えが無い、は差し戻してよい点です
2. 「確認した」「可能性がある」「痕跡なし」「判断できない」が分けて書かれているか：チェックリストの詳細確認ポイントでは、システムごと・情報漏えいについて、このどれかをはっきり書くよう求めています
3. 再発防止策が、その事件で分かったことに結びついているか：「パスワードを強くしましょう」のような一般論だけなら、どの調査結果に対応する対策かを聞き返しましょう

IoC（攻撃に使われた IP アドレスやファイルのハッシュ値など、攻撃の痕跡の一覧）は、報告書とは別にテキストや Excel で受け取るとセキュリティ製品に登録しやすい、とチェックリストは添えています。依頼時に頼んでおくと手間が減ります。

技術的な中身に不安が残るときは、チェックリスト自身が JPCERT/CC などの専門機関や専門家への相談を勧めています。JPCERT/CC の「インシデント対応依頼」では、初動対応のサポートなどを受け付けています（犯人の特定や捜査、法的な対応の代行は対象外です）。

手順④ 報告・相談先と期限：個人情報の漏えいは3〜5日以内に速報

調査と並行して、期限のある報告を進めます。中でも、個人データの漏えい（そのおそれを含む）で次のどれかに当たる場合、個人情報保護委員会への報告は義務です。

• 要配慮個人情報（病歴・健康診断の結果など）が含まれる
• クレジットカード番号や、送金・決済ができるサービスの ID とパスワードなど、お金の被害につながるおそれがある
• 不正アクセスなど、不正な目的で行われたおそれがある
• 本人の数が 1,000人を超える

不正アクセスによる漏えいの「おそれ」は3つ目に当たるので、人数が少なくても報告の対象になりうる点に気をつけてください。期限は、速報が発覚日から3〜5日以内、確報が30日以内（不正な目的のおそれがある場合は60日以内）です。

相談先・報告先を、目的別にまとめます。社内に貼っておくなら、この表を印刷しておくのがおすすめです。

IPA の手引きは、個人情報の漏えいは個人情報保護委員会、業法で求められる場合は所管の省庁、犯罪性があれば警察、ウイルス感染・不正アクセスは IPA へ届け出るよう整理しています。報告書の共有範囲（手順③の 1-8）を決めるときは、この表の提出先を思い浮かべると漏れがありません。

顧客など個人の側からの相談先は、こちらの記事でまとめています。

あわせて読みたい

漏えい被害の相談先は？IPAが個人向け窓口を強化【2026年11月】

チェックリストを実際にダウンロードして使ってみた

2026年11月15日に、テスト用の Linux 環境（Ubuntu 24.04）で次の手順を実際に動かしました。HTML 版でのチェックと保存、Markdown 版から表計算ソフト用のチェック表を作るところまで試しています。

① 3つのファイルをダウンロードする

curl -sSfO https://jpcertcc.github.io/ir_report_checklist/markdown/checklist_for_customer.md
curl -sSfO https://jpcertcc.github.io/ir_report_checklist/markdown/checklist_for_reporter.md
curl -sSfO https://jpcertcc.github.io/ir_report_checklist/pdf/incident_forensic_report_template_ja.pdf

13128 checklist_for_customer.md
22027 checklist_for_reporter.md
1122028 incident_forensic_report_template_ja.pdf

登録やログインは要らず、3つともそのまま落とせました。PDF の報告書サンプルは 42ページ（A4） で、表紙に「架空の報告書」であることと、載っている IP アドレスやドメインにアクセスしないよう注意書きがあります。

② HTML 版でチェックして、結果を保存する

ユーザー向けの HTML 版は、ただの表ではなくチェックできるページになっていました。各項目の左のチェック欄を押すと行が緑になり、上の「チェック状況」に進み具合が出ます。3項目にチェックを入れると「3 / 58 件（5%）」と表示されました。

上の欄では、項番・項目・詳細を検索したり、「未確認」「確認済み」で絞り込んだりできます。「漏えい」で検索すると、58項目のうち7項目に絞られました。

チェックの状態は同じブラウザに残り、ページを読み込み直しても消えませんでした。ほかのパソコンや担当者に渡すときは「結果を保存」を押します。すると次のような JSON ファイル（checklist_for_customer-result.json）がダウンロードされます。

{
  "format": "ir-checklist-state",
  "documentId": "checklist_for_customer",
  "checks": {
    "1-1": true,
    "1-2": true,
    "1-3": true,
    "1-4": false,

別のブラウザ（チェックが0件の状態）で「結果を読み込み」からこのファイルを選ぶと、表示が「3 / 58 件（5%）」に戻りました。調査会社との打ち合わせごとに保存しておけば、どこまで合意したかの記録にもなります。チェックはブラウザごとに残る仕組みで、別のブラウザでは0件から始まりました。担当者が替わるときや大事な打ち合わせの後は、保存しておくのが安心です。

③ 表計算ソフト用のチェック表（CSV）を作る

社内の共有フォルダで回したい場合は、Markdown 版から表を作れます。Markdown の表の「項番」と「項目」だけを取り出し、チェック欄とメモ欄を足した CSV にする小さなスクリプトです。

import csv, re, sys

src, dst = sys.argv[1], sys.argv[2]
rows, section = [], ""
for line in open(src, encoding="utf-8"):
    if line.startswith("#"):
        section = line.lstrip("#").strip()
    cols = [c.strip() for c in line.strip().strip("|").split("|")]
    if re.fullmatch(r"\d[\d.\-]*", cols[0]):
        rows.append([section, cols[0], cols[1], "", ""])

with open(dst, "w", encoding="utf-8-sig", newline="") as f:
    w = csv.writer(f)
    w.writerow(["章", "項番", "項目", "チェック", "メモ"])
    w.writerows(rows)
print(f"{len(rows)} 項目を {dst} に書き出しました")

python3 checklist_to_csv.py checklist_for_customer.md user_checklist.csv

58 項目を user_checklist.csv に書き出しました
章,項番,項目,チェック,メモ
1. 調査方針の合意,1-1,調査目的と報告書の利用目的,,
1. 調査方針の合意,1-2,優先確認事項,,

ユーザー向けは 58項目、同じスクリプトでレポーター向けを変えると 76項目 になりました。つまずきやすいのは項番の書き方で、元の表には 1-10| のように区切りの前に空白が無い行があります。空白の有無に頼らず「|」で分けてから前後の空白を落とすと、取りこぼしませんでした。Windows 版の Excel でダブルクリックして開く場合を考え、文字コードは BOM 付きの UTF-8（utf-8-sig）にしています。

作り替えた CSV を社内で使うのは自由です。社外に配る場合は、記事の最初で触れたとおり CC BY-SA 4.0 の条件（出典の表示と同じライセンスでの公開）に従ってください。

よくある質問

Q. 社員が数人の会社でも、このチェックリストは必要ですか？ A. 調査会社に頼む可能性があるなら役に立ちます。58項目すべてを使う必要はなく、まずは「1. 調査方針の合意」の10項目を、依頼の最初の打ち合わせの議題にするだけでも十分です。HTML 版ならブラウザでチェックを付けて、結果をファイルに保存できます。

Q. 費用はかかりますか？ A. チェックリストと報告書サンプルは無償で、登録なしでダウンロードできます。調査会社への調査の依頼は有償で、費用は調査の範囲によって変わります。

Q. 社員による情報の持ち出しにも使えますか？ A. 当てはまらない項目があります。チェックリストはマルウェア感染などをともなうネットワークへの侵入を前提にしているためです。

Q. 調査会社はどうやって探せばいいですか？ A. IPA の不正アクセス特別相談窓口で専門業者の一覧を紹介してもらえるほか、IPA の「情報セキュリティサービス基準適合サービスリスト」にデジタルフォレンジックサービスのリストがあります。どちらも特定の会社を保証するものではないので、手順③の10項目で説明の分かりやすさを比べるのがおすすめです。

Q. 報告書の内容に納得できないときは？ A. まず「どの調査結果に基づくか」「なぜ判断できないのか」を調査会社に聞き返します。それでも不安が残る場合は、JPCERT/CC などの専門機関や、別の専門家への相談を検討してください。

従業員のパスワードの管理を見直すなら、パスワード管理アプリの選び方・比較も参考にしてください。

あわせて読みたい

Studioに不正アクセス、サイト管理者がやること【2026年10月】

まとめ

JPCERT/CC「インシデント調査報告書チェックリスト」のポイントをまとめます。

• 公開日：2026年11月11日（JPCERT/CC、GitHub で公開）
• 中身：ユーザー向け58項目・レポーター向け76項目・報告書サンプル PDF（42ページ）
• 料金・ライセンス：無償、登録不要。CC BY-SA 4.0
• 対象：マルウェア感染などをともなうネットワークへの侵入（内部不正には合わない項目あり）
• 小さな組織の使い方：依頼前は「調査方針の合意」10項目、報告書は「調査結果のレビュー」で確かめる
• 気づいた直後：ネットワークから切り離す。電源を切らない・初期化しない・時刻つきでメモ
• 個人情報の漏えい：個人情報保護委員会へ速報は3〜5日以内、確報は30日以内（不正な目的のおそれは60日以内）
• 初動の相談：IPA 不正アクセス特別相談窓口 03-6759-5760（平日）

まずは今日、手順①の表でログが何日分残っているかと、手順④の相談先の表を社内で共有するところから始めてみてください。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。