インシデント対応の初動で“やるべきこと”完全版（チェックリスト付き）｜最初の60分で勝負が決まる

サイバーインシデントの対応で、被害を最小化できるかどうかは「検知できたか」だけでは決まりません。
本当の分かれ道は、最初の60分に「何をやったか／何をやらなかったか」です。

初動を間違えると、攻撃者は横展開（別端末への侵入）や情報窃取を続け、こちらはログも証拠も失って「何が起きたか」が説明できなくなります。

この記事では、インシデント対応の初動を“再現性のある型”として整理します。
さらにそのまま現場で使える「チェックリスト」も掲載します。

初動の目的は3つだけ：証拠・封じ込め・意思決定

初動でやるべきことは多そうに見えますが、目的はこの3つに集約できます。

この3つを守る動きが「正しい初動」です。逆に言えば、この3つを壊す行動が“初動でやってはいけないこと”になります。

初動は“とにかく何かする”ではなく、順序が大事です。おすすめの流れは以下です。

この順番を守るだけで、対応の「後戻り」が激減します。

最初の作業は「原因究明」ではなく、いま何が起きているかの確定です。ここで情報を雑に扱うと、後の全てが崩れます。

最低限集める情報：

ここで重要なのは「推測で話さない」ことです。推測は推測、事実は事実で分けてメモします。

次にやるのは“分類”です。初動では完璧な原因究明は不要ですが、型を決めると優先順位が整理されます。

よくある型：

この分類が決まると、封じ込めの手段（端末隔離／アカウント無効化／ネットワーク遮断）が選べます。

封じ込めは「被害を止める」最重要ステップですが、やり過ぎは逆効果になる場合があります。
基本はピンポイント封じ込めです。

封じ込めの優先度（おすすめ）：

「全部落とす」は最後の手段です。証拠収集や遠隔操作ができなくなり、むしろ詰むことがあります。

証拠確保は“調査のため”だけではありません。説明責任のために必要です。

最低限確保したい証拠：

特に「誰が何をしたか」のメモは、後から絶対に効きます。
インシデント対応は、技術戦というより“時系列の裁判”に近いです。

初動で最も失敗しやすいのはここです。
現場が独断で動き始めると、技術対応より先に「説明が壊れます」。

最低限決めること：

ここからは「そのまま運用に貼れる」チェックリストです。
チェックが付けられるように、短文で書きます。

初動で大事なのは、英雄的に頑張ることではありません。
“壊さずに止める”ことです。

このチェックリストをベースに、あなたの環境（IdPやEDR、監査ログ）に合わせて項目を増やすだけで、初動の質が確実に上がります。