その情報で誰が動くのか？——初報・相手別の伝え方・外部機関・情報共有・公表を午後の問われ方で読む｜支援士解説1の7

この記事の重要度：Bランク（午後では小問や問題文の前提として問われる分野。用語は午前II（科目A-2）でも問われる）

この記事で分かること：

• 連絡を相手の行動までつなぐ方法と、初報で事実と未確認の事項を分ける書き方

• JPCERT/CC、IPA（J-CSIP・J-CRAT・早期警戒パートナーシップ）、NCO、警察、ISACの役割の違いとTLP

• 法定の報告・本人への通知・公表を分け、社外への公表を進める手順

シラバスとの対応：小項目1-7「関係者とのコミュニケーション」。CSIRTの体制は支援士解説4の1、インシデント対応の進め方は支援士解説4の3、漏えい等の法定の報告は支援士解説3の11、脅威情報の形式（STIX・TAXII）は支援士解説3の4で扱います。

住民から「施設予約の画面に、自分以外の予約情報が表示された」と連絡がありました。電話を受けた職員は、誰へ、何を伝えればよいでしょうか。システムの担当者にメールを一通送れば十分でしょうか。表示された情報の内容、他の利用者にも起きるか、攻撃かどうかは、まだ分かりません。それでも、住民への案内、画面の一時停止、記録の保存、個人情報への影響という別々の判断が、同時に必要になります。

午後の問題では、誰に何を連絡し、連絡した後に何を確かめるか、影響を受けた利用者をどう絞って案内するかが、インシデントや脆弱性管理の大問の中で問われます。この記事では、架空の予約サービスを例に、初報、相手別の伝え方、外部機関、情報共有、公表の順に整理します（架空の事例です）。

1. 連絡は、相手の行動までつなぐ

同じ事実でも、必要な説明は違う

冒頭の架空の予約サービスで、住民から画面の表示異常が伝わったとします。窓口の職員は「今はどの操作を案内できるか」を知る必要があります。情報システム部門は「どの画面、いつ、どのアカウントで、再現するか」が必要です。委託先には修正やログ取得の作業条件が必要です。CISOなどの責任者は、機能停止と代替受付、個人情報への影響、説明に必要な資源を判断します。住民には、利用を続けてよいか、問い合わせ先、次に案内を受けられる時期が重要です。

全員に同じ技術報告書を送っても、必要な判断は進みません。反対に、専門家へ「大変なことになりました」とだけ伝えても、調査を始められません。事実は共通に保ち、相手に求める判断や行動を変えて伝えることが基本です。専門用語を単に言い換えるだけでなく、相手が持つ権限と期限を考えます。

伝達には「返ってくる情報」もある

職員へ暫定的な受付手順を伝えたら、実行できるか、代替手段で扱えない予約がないかを聞きます。委託先へ影響調査を依頼したら、対象版、確認したログの範囲、回答予定時刻を受け取ります。管理職へ停止案を示したら、誰が承認し、どの条件で再開するかを確かめます。送信履歴だけでなく、受領、判断、実施、確認を追えるようにします。

伝わらない理由は文章だけとは限りません。夜間に窓口が閉まっている、委託先の連絡先が古い、決裁者が不在、利用できるチャネルが一つしかない場合もあります。重要な連絡は代替経路と代理の判断者を決め、平時に試しておきます。

調整と指揮を混同しない

CSIRTは報告をまとめ、状況を評価して関係者に調整を求めます。しかし、誰がシステム停止、予算投入、対外公表を決めるかは、組織の規程と事案によります。技術担当者が危険を説明する責任と、行政サービスを止める権限は同じではありません。逆に管理職が判断するには、技術上の条件と代替策が具体的に届いている必要があります。

午後での問われ方

• 令和7年度春期 午後問4：IT資産管理と脆弱性管理の改善が題材でした。改善策として、解答例は「情シ部がIT資産管理台帳にあるSWについて、重要な脆弱性情報が発表されていないかを継続的に確認する。」と「該当SWを保有する管理部門に対策の優先度を連絡し、対策実施を確認する。」です。連絡して終わりではなく、対策を実施したかを確かめるところまでが答えになっています。

記述の型

• 連絡の完了の条件：「（相手）に（依頼）を連絡し、受領・実施・結果を確認する」

• 判断と作業を分ける：「CSIRTは評価と調整を行い、停止や公表は権限のある責任者が判断する」

2. 初報で、分かったことと分からないことを分ける

確定を待たずに伝える

異常の報告を受けた職員が「漏えいと確定していないので連絡しない」と判断すると、画面の利用継続や記録の消失につながりかねません。初報は結論でなく、調査と被害拡大防止を始める合図です。事実、情報の出所、観測時刻と取得時刻、対象の画面やシステム、現時点の影響、既に行った操作を伝えます。推測と未確認事項は明示します。

例えば、「住民Aから9時10分に、別人の予約情報が見えたという電話。画面のスクリーンショットの有無は確認中。現時点で他の利用者への再現は未確認。窓口は受付を継続中。情報システム管理者に画面の確認とログ保全を依頼したい」と書けば、受け手は次の動きを決められます。ここで個人情報の実データを、広い一斉メールに貼り付ける必要はありません。必要な相手へ安全な方法で渡します。

初報の四つの要素

実務上、短い報告を次の四つに分けると抜けを減らせます（図2）。これは本稿の整理です。

1. 観測：何が、いつ、どのシステムで確認されたか。誰からの報告か。

2. 確かさと影響：直接確認した事実、未確認事項、影響の可能性。

3. 実施済み・依頼：停止、保全、委託先への照会など、既に行った措置と、受け手に求める判断や作業、担当、期限。

4. 次の更新：次にいつ、誰が、どこへ続報を出すか。

緊急時には全項目が埋まるまで待たず、分かる範囲で出します。ただし「詳細は追って連絡」だけで放置せず、次の更新時刻を置きます。事実が変わったら、以前の連絡を訂正し、受け手が古い説明を使い続けないようにします。

共有範囲と記録をそろえる

一つの事案で、電話、チャット、メール、委託先のチケットが並行すると、時刻や版がずれます。窓口を一本化し、事案番号、事実の更新時刻、判断者、対象者、送付した内容を記録します。原本のログや画面は、閲覧権限と保存先を分けて管理します。住民への説明を作る人も、技術調査の途中経過と公表可能な事実を区別します。

記述の型

• 初報の要素：「観測した事実、未確認の事項、実施済みの措置、依頼する判断、次の更新の時刻」

• 確定を待たない理由：「確定を待つと、被害の拡大を防ぐ措置や記録の保全が遅れる」

3. 組織内の相手ごとに、判断材料を変える

現場職員には、今できる手順を渡す

窓口で電話を受ける職員に必要なのは、脆弱性の詳細な攻撃手法より、利用者へ案内できる操作、停止中の代替受付、個人情報を追加で収集しない方法、問い合わせ先です。「不審な表示を見たら画面を閉じて、時刻・画面名を記録し、指定の窓口へ連絡する」のように、条件と行動を具体化します。職員個人に影響範囲や漏えいの有無を断定させません。

情報システム部門と委託先には、検証可能な対象を渡す

システムの担当者には、発生時刻、対象URL・機能、再現条件、利用者の権限、変更履歴、必要なログの所在を伝えます。委託先へは契約で定めた連絡先を使い、回答に必要な対象版、設定、影響の範囲と回答期限を指定します。何を調べていないかも返してもらいます。「当社で問題は見つかりませんでした」だけでは、どの期間・ログ・構成を確認したか分かりません。

委託先の管理下にあるクラウドでも、自治体側の案内と業務継続は残ります。委託先の調査と、自治体が対外説明に使う事実を結ぶ担当を決めておきます。契約上の通知期限、緊急連絡、再委託先の連絡経路は平時に確認します。

責任者には、選択肢と残る影響を示す

管理職へは「問題がありそうです」とだけ上げず、例えば「公開予約画面を一時停止する案」と「閲覧機能だけを止め、電話受付を続ける案」を示します。各案で、住民の利用、調査・証拠、漏えいの拡大可能性、復旧条件がどう変わるかを伝えます。停止を含む判断は、技術上の危険と業務上の影響を同じ紙面に載せると行いやすくなります。

広報・法務・個人情報保護担当へは、確定した事実、未確認の範囲、説明可能な措置、法令・契約・条例上の検討事項を渡します。公表文の承認者と次の更新時刻を決めます。調査担当が直接、未確認の人数や原因を対外的に断定しないよう、発信元をそろえます。

午後での問われ方

• 令和元年度秋期 午後I問3：標的型メールによる感染後の対応が題材でした。出題の趣旨は、セキュリティ製品の導入や、不審な添付ファイルを開かないよう利用者に注意喚起することでは、被害を完全には防げないと述べています。問題では、監視サービスからC&Cサーバへの通信の通知を受けた情報システム部の担当者が、手順に従って、そのPCの利用者に電話で、電源を入れたままLANケーブルだけを抜くよう伝えていました。電源を入れたままにする理由は「メモリ上の情報が失われないようにするため」です。現場の利用者には、「気を付けて」ではなく、その場で取る行動を具体的に伝えます。

記述の型

• 現場への伝え方：「（条件）のときは（行動）し、（記録）を残して（窓口）へ連絡する」

• 責任者への上げ方：「停止する案と続ける案について、業務への影響、残るリスク、必要な判断を並べて示す」

4. 外部機関は、連絡の目的で選ぶ

JPCERT/CCは調整・支援の窓口

JPCERT/CCは、国内に関係するインシデントの報告を受け、関係する組織への連絡調整、対応支援、手口の分析等を行うCSIRTです。例えば自組織のサービスが攻撃の踏み台になった疑いがあり、相手先組織との調整が必要なら相談先になります。ただし、JPCERT/CCへの相談だけで、警察への通報や法令上の報告が済むわけではありません。JPCERT/CC「インシデント対応とは」

IPAのJ-CSIPとJ-CRATは目的が違う

J-CSIPは、IPAを情報ハブとして参加組織間でサイバー攻撃に関する情報を共有する枠組みです。IPAは提供元を特定する情報等を処理し、分析情報を付け、提供元が認めた範囲で参加組織に共有します。参加・共有には所定の枠組みがあり、組織が自由に全ての情報を投稿できる公開掲示板ではありません。IPA「J-CSIP」

J-CRATは、主に標的型サイバー攻撃（APT）について、IPAの特別相談窓口で広く相談・情報提供を受け、分析・助言や、必要と判断した組織へのレスキュー支援を行います。相談した全組織へ現地派遣する制度ではなく、支援はメール・電話が基本で、状況により訪問もあります。情報共有の枠組みがJ-CSIP、標的型攻撃の相談・支援がJ-CRATと区別します。IPA「J-CRAT」

NCO、警察、所管機関、自治体の共有経路

国家サイバー統括室（NCO）は、旧内閣サイバーセキュリティセンター（NISC）を2025年7月に改組して設置された内閣官房の組織です。シラバスにNISCと書かれていても、現行の組織名と役割を確認して読みます。政府統一基準では国の行政機関のCSIRTからNCOへの連絡を定めますが、この経路を自治体にそのまま当てはめません。国家サイバー統括室「概要」、同「統一基準（令和7年度版）」2.2.4

犯罪の疑いがあるときの警察への通報・相談、所管機関への行政上の報告、個人情報保護委員会への法令上の報告は目的が違います。警察庁はサイバー事案について、通報、相談、情報提供を区別したオンライン受付窓口を案内しています。何を確認して、どの根拠で、誰が連絡したかを自組織でも記録します。警察庁「サイバー事案に関する相談窓口」

地方公共団体情報システム機構（J-LIS）は自治体CEPTOARとして、国家サイバー統括室等からの緊急情報を地方公共団体へ共有する役割も担います。自治体が受け取った情報を、そのまま全庁へ転送するだけではなく、影響するシステムの担当へ渡し、確認結果を集めます。J-LIS「情報セキュリティ対策支援」

記述の型

• 外部機関の使い分け：「技術的な調整はJPCERT/CC、犯罪の疑いは警察、法令上の報告は所管の機関と、目的ごとに連絡する」

5. 脆弱性の届出と、事故の相談を分ける

早期警戒パートナーシップは、調整して公表につなぐ

発見した弱点をすぐSNSに詳しく書くと、対策が用意される前に悪用へつながる可能性があります。情報セキュリティ早期警戒パートナーシップは、発見者、受付機関、調整機関、製品開発者やウェブサイト運営者が協力して、脆弱性関連情報を扱う枠組みです。2024年版のガイドラインでは、IPAが届出受付機関、JPCERT/CCが調整機関です。IPA「早期警戒パートナーシップガイドライン（2024年版）」

製品の弱点なら、JPCERT/CCから開発者へ連絡し、対策情報の公表まで調整します。ウェブサイトの弱点ならIPAから運営者へ連絡し、運営者による修正が中心です。ウェブサイトの弱点は必ず公表する運用ではなく、両者で扱う対象や公表の方法は異なります。IPA「早期警戒パートナーシップの紹介」、2・4ページ 実際の届出では対象と手順、秘密にすべき内容を公式窓口で確認します。自組織で事故が起きたという相談や、攻撃被害の法定報告をこの届出と混同しません。

2026年9月14日には、IPAがこのガイドラインの改訂案を公表しました。記事の確認時点では意見募集の途中です。本記事で説明する運用は2024年版に基づき、改訂案を施行済みの要件として扱いません。IPA「早期警戒パートナーシップガイドライン改訂案」

開発者側・運営者側の返答も重要

もし自治体や委託先が開発したサービスの弱点を知らされたなら、受付の事実を記録し、影響範囲、担当者、修正と確認の予定、発見者への返答方法を決めます。外部からの報告者を放置したり、調査中の技術情報を不用意に広めたりしないようにします。製品開発側の脆弱性対応を担うPSIRTがある場合は、庁内CSIRTや委託先との役割を明確にします。PSIRTが存在しない組織でも、誰が調整するかは必要です。

午後での問われ方

• 令和7年度春期 午後問3：出題の趣旨は、JPCERT/CCとIPAが運営する脆弱性対策情報のポータルサイトJVNに、国内の企業が開発したスマートフォンのアプリの脆弱性が公表されている、と述べています。問題は、アプリの脆弱性とその対策が題材でした。ただし、問題の中心は、開発中のアプリへの攻撃（認証の情報やアクセスキーの取得、URLの検証の不備など）と対策で、届出や調整の制度そのものは問われていません。届け出られた脆弱性が調整を経てJVNで公表される流れは、この記事での整理です。見つかった脆弱性への対応の優先順位は支援士解説3の6で扱います。

6. コミュニティでの共有は、使い方と範囲を決める

ISACと他のCSIRTから得た情報を、内部へ戻す

ISACは、特定分野の参加組織が脅威やインシデントの情報を集め、分析・共有する仕組みです。他組織のCSIRTとの関係や勉強会・イベントも、手口や対策を早く知る機会になります。参加したこと自体が対策ではありません。例えば共有された攻撃指標を受け取ったら、観測時期、対象、確からしさ、利用条件を確かめ、自組織のログや資産との関係を調べます。必要な担当者へ結果を返し、検知条件や運用へ反映します。国家サイバー統括室「重要インフラのサイバーセキュリティに係る行動計画」

情報を提供する側も、共有先が行動できる形に整理します。「不審な通信があった」だけでなく、観測時刻、対象の種別、確認した範囲、関連する手口、誤検知の可能性を添えます。住所、個人名、認証情報、未公表の構成、被害組織の識別情報をむやみに含めません。契約と共有元の条件を確認し、必要なら匿名化や事前承認を行います。匿名化したつもりでも、組合せで組織や人が分かる場合があります。

TLPは、再共有できる相手を示す

FIRSTのTraffic Light Protocol（TLP）2.0は、情報をどこまで共有してよいかを示すラベルです。TLP:REDは受信者に厳しく限定し、TLP:AMBERは受信組織と必要に応じその顧客まで、TLP:GREENはコミュニティ内で共有可能、TLP:CLEAR（TLP 1.0のTLP:WHITEに当たる）は公開可能という範囲を示します。TLP:AMBER+STRICTは組織内に限る指定です。共有元が追加条件を付けることもあります。FIRST「TLP 2.0」

TLPは個人情報保護や秘密保持契約、自治体の情報分類規程に代わるものではありません。相手先へさらに共有したい場合に、元の条件より広げられるか確認します。公開済みの技術情報と、事案当事者の情報を同じ添付ファイルで配る必要はありません。受領した情報の利用結果を、許される範囲で共有元に返すことが、次の情報の質を高めます。

午後での問われ方

• 令和元年度秋期 午後I問2：出題の趣旨は、攻撃の対象の組織ごとにマルウェアを用意する攻撃が増え、ISACなどの脅威インテリジェンスを共有する組織を活用してインシデントに対応するケースが増えている、と述べています。問題では、ISACから提供されたマルウェアの情報を使ってEDRで端末を調べ、情報の持出しに成功したときに残る痕跡として「グローバルIPアドレスMへのHTTP通信成功のログ」「パブリックDNSサービスLへのDNS通信成功のログ」を探し、調査で分かった情報をISACに提供していました。受け取った情報を自組織の記録と照合し、結果を共有元に返すところまでが共有の活用です。脅威情報を機械で扱う形式（STIX・TAXII）は支援士解説3の4で扱います。

記述の型

• 受け取った情報の使い方：「共有された指標で自組織のログを検索し、該当する通信や端末がないかを確かめる」

• 再共有の判断：「TLPの指定と共有元の条件を確かめ、許された範囲の相手にだけ渡す」

7. 対外説明と法令上の報告を区別する

法定報告、相談、公表は別々の判断

住民の予約情報が他人に表示された可能性があるとき、庁内報告、委託先への調査依頼、外部機関への相談、個人情報保護委員会への法定報告、本人への通知、住民一般への公表を一つにまとめないでください。目的、要件、受け手、担当者が違います。「JPCERT/CCに相談したので法定報告は不要」「警察へ通報したので本人へ知らせなくてよい」とは言えません。

行政機関等の保有個人情報については、個人情報保護法68条と個人情報保護委員会の行政機関等編ガイドラインを確認します。法68条は、一定の漏えい等又はそのおそれについて委員会への報告と本人への通知を定めます。対象には、要配慮個人情報、不正の目的をもって行われたおそれのある行為による漏えい等、本人の数が100人を超える漏えい等などの類型があります。一つの件数基準だけで判断しません。民間の個人情報取扱事業者に関する法26条の説明を、そのまま自治体の保有個人情報の判断へ転用しません。個人情報保護委員会「行政機関等編ガイドライン」、5-4

事案の対象情報、利用者、原因、成立したかどうかが未確認なら、法務・個人情報保護担当と対象要件を調べます。委託先にも独自の報告義務がある場合があるため、誰の情報を誰が保有・取扱うかを確認します。確定できない点は「調査中」とし、必要な期限を公式の現行規定で確かめます。記事の架空例から法定報告の要否を決めつけません。

対外説明は、今わかる事実と次の案内を示す

利用者へ案内する必要が生じたら、「影響の可能性があるサービスと機能」「既に止めた・確認していること」「利用者が今できること」「問い合わせ先」「次の更新」を示します。原因や被害人数が分からなければそのまま伝え、確認できた数値と混同しません。技術的な仕組みだけを長く説明しても、予約をどうすればよいか分からなければ役に立ちません。

一方、未確認のスクリーンショットだけで、広く侵害が確定したと公表することも避けます。公表の時期と範囲は、法令上の通知、被害拡大防止、住民に必要な行動、調査への影響を踏まえて権限を持つ人が決めます。最初の説明後に新たな事実が分かったら、変更点と前回からの更新を示して訂正します。「調査中」とだけ繰り返さず、次の更新予定を守ります。

社外への公表の進め方

公表は、隠すか全部出すかの二択ではありません。次の順で進めます（本稿の整理）。

1. 判断者を決める：公表するか、いつ、どの範囲に出すかは、権限のある責任者が決める。調査の担当が、未確認の人数や原因を外へ断定しないよう、発信元を一つにする

2. 相手を分ける：委員会などへの法定の報告、影響を受けた本人への通知、住民や取引先への公表、報道への対応は、宛先と目的が違う

3. 内容をそろえる：影響の可能性があるサービスと期間、確認した事実と調査中の事項、既に取った措置、利用者がすべきこと（パスワードの変更、カードの利用明細の確認など）、問合せ先、次の更新の予定

4. 出さないものを決める：攻撃に悪用できる未修正の構成、認証情報、個人名は広く出さない。専門機関への相談や委託先への依頼とは、内容と共有の方法を分ける

5. 訂正と続報：新しい事実が分かったら、前回から何が変わったかを示して訂正する。続報が遅れるときも、理由と次の予定を示す

窓口の職員が古い説明で答え続けないよう、内部の案内文も同時に差し替えます。

午後での問われ方

• 令和6年度秋期 午後問3：ECサイトの決済の画面が改ざんされ、入力したクレジットカード情報が攻撃者のWebサーバへ送られた事案が題材でした。責任者は、漏えいの可能性を利用者に案内したいが、情報を送ってしまった利用者は漏れなく特定し、送っていない利用者はできるだけ含めたくない、と求めました。そこで、改ざんの影響があった期間のアプリケーションログから、送信の直前までの操作をした利用者を被害者の候補として抽出します。抽出する対象として、解答例は「配送先・支払方法選択画面にアクセスしたアカウント名」です。案内の対象を、記録に基づいて過不足なく絞ることが問われています。

記述の型

• 案内の対象の絞り方：「影響のあった期間に、該当する画面まで操作した利用者を記録から抽出する」

• 利用者への案内に含めること：「確認した事実、調査中の事項、利用者がすべきこと、問合せ先、次の更新」

8. 架空の予約サービスで、連絡を往復させる

最初の報告から判断まで

架空の自治体の施設予約サービスで、住民Aが別の住民の予約情報を見たと電話で伝えたとします。窓口職員は、表示された画面、時刻、操作、連絡可能な方法を聞き、実際の個人情報を広く転送せずに指定された情報セキュリティ窓口へ報告します。システム担当者はアクセス記録を保全し、同じ表示が再現するか、どの期間と利用者に影響するかを委託先と調べます。Aには受付を伝え、未確認事項を断定せず、次の連絡予定を示します。

CSIRTは確認できた情報を整理し、他の機能や自治体内の別システムでも同じ問題がないか検討します。住民向け画面の利用継続が二次被害を生む可能性があれば、一時停止案と代替受付案を業務部門・責任者へ上げます。責任者は、停止の必要性、業務の継続、承認の範囲を判断します。職員には決まった案内文を渡し、住民の問い合わせから新しい事実が得られればCSIRTへ戻します。

事実が増えたら、連絡先と内容を更新する

後の調査で「特定の操作をすると別利用者の予約情報が表示される」と確認されたなら、これは初報より確かさが上がった状態です。個人情報保護担当は、保有個人情報の種類、件数、原因と法定報告・本人通知の要件を確認します。委託先には修正と検証、再開条件を求めます。広報・窓口は、住民が必要とする説明と代替手段を整えます。攻撃の疑いが確認されれば、警察やJPCERT/CC等への相談も状況に応じて検討します。全ての機関へ一律に同時報告するわけではありません。

事故が収まった後も、最初の報告を受け取るまでの時間、誰の判断が滞ったか、委託先の回答内容、住民向け説明の訂正を振り返ります。連絡網、契約、訓練を改めることで、次の事案の判断を速くできます。

9. 午前II（科目A-2）で正誤を見分けるポイント

• 「JPCERT/CCは、国内のインシデントの報告を受け、関係する組織との連絡調整や対応の支援を行う」→ 正しい

• 「J-CSIPは、IPAが標的型攻撃の被害組織に現地で調査員を派遣する仕組みである」→ 誤り。J-CSIPは参加組織の間の情報共有。標的型攻撃の相談・支援はJ-CRAT

• 「情報セキュリティ早期警戒パートナーシップでは、IPAが届出を受け付け、JPCERT/CCが調整を行う」→ 正しい

• 「早期警戒パートナーシップの届出をすれば、自組織の事故の法定報告も済む」→ 誤り。脆弱性の届出と事故の報告は別

• 「ISACは、特定の分野の組織が脅威やインシデントの情報を集め、分析・共有する仕組みである」→ 正しい

• 「TLP:REDの情報は、受信した組織の中であれば誰にでも共有してよい」→ 誤り。受信者本人に厳しく限られる

• 「TLP:CLEARは、公開してよい情報を示す」→ 正しい

• 「国家サイバー統括室（NCO）は、内閣サイバーセキュリティセンター（NISC）を改組して設置された」→ 正しい

• 「警察に通報すれば、個人情報の漏えい等の報告と本人への通知も不要になる」→ 誤り。目的の違う手続

• 「被害が確定するまで、組織内への初報は控える」→ 誤り。確定を待たず、事実と未確認の事項を分けて伝える

• 「PSIRTは、自社が提供する製品の脆弱性に対応する組織である」→ 正しい

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　住民からの初報

住民が「他人の予約情報が表示された」と窓口へ電話した。最初の対応として、適切なものはどれか。

• ア：他の住民でも再現するまで、庁内に連絡しない

• イ：漏えいが確定したと発表し、画面の記録を全職員へ転送する

• ウ：観測した時刻・画面などの事実と未確認の事項を分け、指定の窓口へ速やかに報告する

• エ：住民に、自分で原因を調べてからかけ直すよう求める

正解：ウ。初報は、調査と被害の拡大の防止を始めるためのものです。確定を待たず、個人情報を共有する範囲は絞ります。

問2　管理職へ伝える内容

公開の機能を止める必要がありそうなとき、責任者への報告として、適切なものはどれか。

• ア：CVSSの値と技術用語だけを並べる

• イ：停止と代替の受付の選択肢、住民への影響、未確認の事項、必要な判断を示す

• ウ：システムの担当者が停止の時刻を決め、決めた後に責任者へ知らせる

• エ：委託先の調査が終わるまで、責任者へ報告しない

正解：イ。責任者が持つ権限に合わせて、技術上の危険と業務への影響を一緒に伝えます。

問3　J-CSIPとJ-CRAT

IPAの二つの取組の説明として、正しいものはどれか。

• ア：J-CSIPは参加組織の間の攻撃情報の共有、J-CRATは標的型攻撃の相談と支援を担う

• イ：J-CSIPは警察の被害届の受付、J-CRATは法定の報告の受付を担う

• ウ：どちらも、全ての企業に現地の調査員を必ず派遣する

• エ：J-CRATに相談すれば、自組織のCSIRTは要らなくなる

正解：ア。J-CRATの支援は状況に応じて選ばれ、現地への派遣が常に行われるわけではありません。

問4　脆弱性関連情報の届出

情報セキュリティ早期警戒パートナーシップ（2024年版）で、届出の受付機関と調整機関の組合せはどれか。

• ア：警察庁とIPA

• イ：IPAとJPCERT/CC

• ウ：JPCERT/CCと個人情報保護委員会

• エ：ISACとNCO

正解：イ。脆弱性の届出を、既に起きた事故の相談や法定の報告と混同しません。

問5　ISACと共有の条件

ISACから、TLP:AMBERの情報を受け取った。次の判断として、適切なものはどれか。

• ア：情報の対象・時点・共有の範囲を確かめ、必要な担当へ利用の条件に沿って渡す

• イ：公表してよい情報なので、組織の公式サイトに全文を載せる

• ウ：TLPがあれば、個人情報の扱いは確かめなくてよい

• エ：他組織の情報なので、自組織の資産と照合する必要はない

正解：ア。TLPは再共有できる相手の目安です。情報の正確さ、自組織への当てはまり、契約や法令上の扱いは別に確かめます。

実務と国・自治体では

実務では、連絡先の一覧があっても、夜間は誰も受け取らない、担当者の異動で番号が変わった、委託先の一次窓口に緊急の権限がない、ということが起きます。重要なサービスについて、受付から代理の判断者まで連絡がたどれるかを訓練で試します。不審な画面を見た職員が「誤解だったら叱られる」と考えると初報が遅れるので、確定していなくても報告できる窓口と、記録の取り方を伝えておきます。外部から届いた注意喚起も、関係する製品の担当へ確認を依頼し、結果を集める経路と一組で運用します。

政府機関等の統一基準は、インシデントの報告の窓口と手順、外部との情報共有、緊急連絡先を整備するよう求め、国の行政機関のCSIRTから国家サイバー統括室への連絡も定めています。これは政府機関等の基準なので、自治体は総務省のガイドラインの例文（庁内と住民からの報告、CSIRTの評価、CISOへの報告）と自団体のポリシーで確かめます。資料の位置付けは支援士解説1の1で整理しています。

まとめ

• 連絡は、相手の行動まで追う。 同じ事実を、相手に求める判断と行動に合わせて伝え、受領・実施・結果を確かめる。

• 初報は確定を待たない。 観測した事実、未確認の事項、実施済みの措置、依頼、次の更新を分けて出す。

• 外部機関は目的で選ぶ。 JPCERT/CCは調整、J-CSIPは共有、J-CRATは標的型攻撃の支援、早期警戒パートナーシップは脆弱性の届出、警察は犯罪、法定の報告は所管の機関。一つの連絡は別の手続の代わりにならない。

• 共有と公表は範囲を決める。 TLPと共有元の条件を守り、受け取った情報は自組織の記録と照合する。公表は判断者・相手・内容・訂正を決めて進め、案内の対象は記録で絞る。

関連記事

• 前提：注意喚起がどこに影響するのか？｜支援士解説1の6（外部の情報を自組織に当てはめる）

• あわせて読む：法律を知っていれば、コンプライアンスは守れる？｜支援士解説3の11（漏えい等の法定の報告）

• 次に読む：CSIRTがあれば、インシデントに対応できる？｜支援士解説4の1（CSIRTの体制）

• あわせて読む：インシデントから復旧したら、もう安全？｜支援士解説4の3（インシデント対応の進め方）

2026年10月改訂：午後の出題例と記述の型を加え、社外への公表の進め方を補い、確認問題を四択で作り直して、構成を見直しました。