企業のフィッシング詐欺対策体制構築ガイド【CSIRT/SOCの設計から運用まで】

企業のフィッシング詐欺対策体制構築ガイド

企業におけるフィッシング対策の全体像

フィッシング詐欺対策の完全ガイドでも解説しているとおり、フィッシング対策は個々のツール導入だけでなく、組織全体での取り組みが求められます。ここでは、企業フィッシング対策を「点」ではなく「面」で捉える全体設計の考え方を整理します。

フィッシング対策の三層モデル

企業におけるフィッシング対策は、以下の三層で構成される多層防御モデルで設計することが推奨されます。

【第1層】技術的対策（Technology Layer）

メールセキュリティゲートウェイ、エンドポイント保護（EPP/EDR）、Webフィルタリング、多要素認証（MFA）、SIEM/SOCによる監視などが該当します。

目的：攻撃の「水際」での遮断
効果：既知の攻撃パターンの多くをブロック
限界：ゼロデイ攻撃や高度な標的型攻撃は通過する可能性がある

フィッシング対策ツール徹底比較で、具体的な製品選定の参考情報を提供しています。

【第2層】組織的対策（Process Layer）

セキュリティポリシー策定、インシデント対応手順（IRP）、BCP/DR計画、定期的な監査・評価、サプライチェーンリスク管理などが該当します。

目的：組織としての「レジリエンス（回復力）」構築
効果：インシデント発生時の影響最小化
限界：形骸化リスク、運用負荷の増大

【第3層】人的対策（People Layer）

セキュリティ意識向上教育、標的型メール訓練、報告・相談しやすい文化醸成、インシデント対応訓練、専門人材の育成・確保などが該当します。

目的：最後の砦としての「人」の判断力向上
効果：第1層をすり抜けた攻撃への対応
限界：ヒューマンエラーを完全に防ぐことは困難

これら三層は相互に補完し合う関係にあり、いずれか一層だけでは十分な防御は実現できません。企業フィッシング対策では、三層すべてをバランスよく整備することが重要です。

組織規模別の体制モデル

組織の規模によって、現実的に構築可能な体制は異なります。以下は、一般的な目安です。

組織規模	従業員数目安	推奨体制	年間予算目安	専任人材目安
小規模	1〜50名	外部委託中心	100〜300万円	0〜0.5名（兼務）
中小規模	50〜100名	兼任+外部MSS	300〜800万円	0.5〜1名
中堅	100〜500名	小規模CSIRT	800〜3,000万円	2〜5名
準大手	500〜1,000名	CSIRT+SOC	3,000〜8,000万円	5〜10名
大企業	1,000名以上	専門組織	1億円以上	10名以上

注記: 上記は一般的な目安であり、業種、取り扱う情報の機密性、規制要件などにより大きく異なります。金融機関や医療機関など、規制の厳しい業界ではより高い水準が求められる場合があります。

---

CSIRT（セキュリティインシデント対応チーム）の構築

CSIRT（Computer Security Incident Response Team） は、セキュリティインシデントの予防、検知、対応を専門に行う組織内チームです。フィッシング詐欺を含むサイバー攻撃に対して、組織的に対処するための中核となります。

CSIRTの役割

平常時（予防フェーズ）

・脆弱性情報の収集・分析
・セキュリティ対策の計画・実装支援
・従業員教育の企画・実施
・インシデント対応手順書の整備
・訓練・演習の実施

インシデント発生時（対応フェーズ）

・初動対応（トリアージ）
・影響範囲の特定
・封じ込め・根絶措置
・復旧支援
・事後分析・報告書作成

事後（改善フェーズ）

・再発防止策の立案
・教訓の全社共有
・対応手順の見直し
・経営層への提言

CSIRT構築の7ステップ

CSIRTの構築は、以下の7つのステップで進めることが一般的です。

Step 1：経営層の承認とスポンサーシップ獲得（1ヶ月目）

実施事項

1. 経営層向けプレゼン資料の作成
   • フィッシング被害の経営リスク提示
   • 業界他社の被害事例紹介
   • CSIRT設置による効果の試算
2. 取締役会での承認取得
3. 予算・人員の確保

成功のポイント

• 「コスト」ではなく「リスク軽減への投資」として提案する
• 定量的なリスク評価を提示する
• 段階的な予算計画（3ヵ年程度）を示す

経営層の理解とコミットメントがなければ、CSIRTは形骸化するリスクが高まります。この段階で十分な時間をかけることが重要です。

Step 2：ミッション・目的の明確化（2ヶ月目）

ミッションステートメントの策定例

当社の情報資産を保護し、サイバー脅威による事業継続リスクを最小化する。
特にフィッシング攻撃に対しては、予防・検知・対応の三段階で対処し、
インシデント発生時は迅速な初動対応を完了することを目指す。

測定可能な目標設定（例）

指標	目標値
インシデント検知時間	30分以内
初動対応開始	1時間以内
封じ込め完了	24時間以内
全社周知	48時間以内

Step 3：体制・役割分担の設計（3ヶ月目）

中堅企業向けCSIRT組織構造（例）

CSIRT責任者（CISO兼任）
  │
  ├─ インシデントハンドラー（2名）
  │    ├─ 初動対応
  │    ├─ ログ分析
  │    └─ フォレンジック
  │
  ├─ セキュリティアナリスト（2名）
  │    ├─ 脅威インテリジェンス収集
  │    ├─ 脆弱性管理
  │    └─ セキュリティ評価
  │
  └─ セキュリティエンジニア（1名）
	   ├─ ツール運用
	   ├─ 技術対策実装
	   └─ システム監視

【サポートメンバー（兼務）】
  ・法務部門：1名（法的対応）
  ・広報部門：1名（情報開示）
  ・IT部門：2名（システム対応）
  ・人事部門：1名（教育・懲戒）

RACI図（責任分担表）

活動	CSIRT責任者	ハンドラー	アナリスト	IT部門	法務	広報
脅威検知	A	R	C	I	-	-
初動対応	A	R	C	C	-	-
影響調査	I	R	R	C	-	-
封じ込め	A	C	C	R	-	-
法的判断	C	I	I	-	R/A	-
情報開示	A	C	C	-	C	R

凡例: R＝実行責任、A＝説明責任、C＝相談、I＝情報共有

Step 4：ツール・システムの選定と導入（4〜5ヶ月目）

主要ツールカテゴリ

SIEM（Security Information and Event Management）

全システムのログを集約・分析する基盤。Splunk、Elastic Security、Microsoft Sentinelなどが代表的な製品です。

EDR/XDR（Endpoint Detection and Response / Extended Detection and Response）

エンドポイントの挙動を監視し、不審な活動を検知。CrowdStrike、SentinelOne、Microsoft Defender for Endpointなどがあります。

メールセキュリティ

フィッシングメールの検知・ブロック。Proofpoint、Mimecast、Trend Micro Email Securityなどがあります。

チケット管理

インシデント対応の進捗管理。JIRA、ServiceNow、Redmineなどがあります。

脅威インテリジェンス

最新の脅威情報を収集・共有。AlienVault OTX、MISP、商用サービスなどがあります。

フィッシング対策ツール徹底比較で、具体的な製品比較を行っています。

導入優先順位の考え方

1. SIEM（全ログ集約の基盤として最優先）
2. EDR（エンドポイントの可視化）
3. メールセキュリティ（フィッシング対策の要）
4. その他（状況に応じて順次追加）

Step 5：プロセス・手順書の整備（5〜6ヶ月目）

策定すべきドキュメント

1. インシデント対応手順書（IRP: Incident Response Procedures）

   • フィッシング検知時の初動手順
   • エスカレーションフロー
   • 連絡先リスト（緊急連絡網）
   • 判断基準（重要度分類）

2. プレイブック（Playbook）

   • フィッシングメール受信時の対応
   • 認証情報漏洩時の対応
   • マルウェア感染時の対応
   • ランサムウェア被害時の対応

3. コミュニケーションプラン

   • 社内報告（上司、経営層）
   • 社外報告（監督官庁、顧客）
   • メディア対応

Step 6：人材育成とトレーニング（6〜12ヶ月目）

CSIRTメンバー向けトレーニング

• デジタルフォレンジック基礎
• マルウェア解析入門
• インシデントハンドリング演習
• 脅威インテリジェンス活用

推奨資格（参考）

資格名	提供元	対象レベル
CISSP	(ISC)²	管理職・上級者
GIAC各種	SANS	技術者
CEH	EC-Council	技術者
情報処理安全確保支援士	IPA	全般

Step 7：運用開始と継続的改善（12ヶ月目〜）

運用KPI（例）

指標	測定方法	目標値
インシデント対応時間	検知から封じ込めまで	24時間以内
再発件数	同一原因のインシデント	前年比50%減
訓練参加率	机上演習への参加	100%
従業員満足度	サポート評価アンケート	4.0/5.0以上

四半期レビューの実施

• KPI達成状況の確認
• プロセスの見直し
• 予算執行状況の確認
• 次期計画の策定

---

SOC（セキュリティオペレーションセンター）設計と運用

SOC（Security Operations Center） は、セキュリティ監視を24時間365日体制で行う専門チームまたは施設です。CSIRTがインシデント「対応」に重点を置くのに対し、SOCは「監視・検知」に重点を置きます。

SOCの機能

リアルタイム監視

・SIEMアラートの監視
・不審な通信の検知
・ログの相関分析
・異常行動の検出

脅威ハンティング

・潜在的脅威の能動的な探索
・IoC（侵害指標）の調査
・過去ログの遡及調査

インシデント対応支援

・1次トリアージ（重要度判定）
・CSIRTへのエスカレーション
・技術的な初動対応

自社SOC vs 外部MSS（マネージドセキュリティサービス）

SOCを自社で構築するか、外部のマネージドセキュリティサービス（MSS）を利用するかは、多くの企業が直面する判断です。

比較項目	自社SOC	外部MSS
初期投資	大（数千万円〜）	小（初期費用なし〜少額）
運用コスト	年間数千万円〜1億円以上	月額50〜500万円程度
専門性	人材育成が必要	即座に専門家を利用可能
カスタマイズ	自由度が高い	制約がある場合が多い
24/365対応	人員確保が困難	標準で提供
情報統制	完全に自社管理	外部との情報共有が必要
推奨規模	従業員1,000名以上	全規模に対応

判断基準の目安

• 従業員1,000名以上 → 自社SOC構築を検討
• 従業員500〜1,000名 → ハイブリッド型（簡易SOC＋MSS）
• 従業員500名未満 → 外部MSS推奨

外部MSSを利用する場合でも、社内に「セキュリティ窓口担当者」を配置し、MSSベンダーとの連携を行う体制は必要です。

SOC運用のティアモデル

SOCは一般的に、3つのティア（階層）で運用されます。

ティア	役割	主な業務	必要スキル
Tier 1	アラート監視	アラートの1次確認、トリアージ	基礎的なセキュリティ知識
Tier 2	詳細分析	インシデントの深掘り調査	ログ分析、マルウェア解析
Tier 3	高度分析	脅威ハンティング、フォレンジック	高度な専門知識、経験

中小企業では、Tier 1を外部MSSに委託し、Tier 2以降を社内で対応する形態が現実的な選択肢となります。

---

セキュリティポリシーとガバナンス体制

企業フィッシング対策を組織的に推進するには、明文化されたセキュリティポリシーと、それを実行するためのガバナンス体制が不可欠です。

3階層ポリシー構造

情報セキュリティポリシーは、一般的に以下の3階層で構成されます。

第1階層：基本方針（Policy）

経営層が承認する企業の基本姿勢を示す文書です。1〜2ページ程度の簡潔な内容で、全従業員が理解できる平易な表現を用います。

記載例：「当社は、顧客・従業員・取引先の情報資産を守ることを経営の重要課題と位置づけ、フィッシング等のサイバー攻撃に対して組織的に対処します。」

第2階層：対策基準（Standard）

具体的な対策要件を規定する文書です。「〜しなければならない」という義務規定を中心に、10〜30ページ程度で構成されます。

フィッシング対策に関する記載例：
・従業員は、送信元が不明なメールのリンクをクリックしてはならない
・重要システムへのアクセスには多要素認証を設定しなければならない
・不審なメールを受信した場合は、IT部門に報告しなければならない

第3階層：実施手順（Procedure）

具体的な操作手順を詳細に記載する文書です。「〜する」という行動指示を中心に、部門・システムごとに作成されます。

フィッシングメール受信時の手順例：
1. メール内のリンクや添付ファイルを開かない
2. 件名に【フィッシング疑い】を付けてIT部門に転送
3. 上司に口頭で報告
4. IT部門からの指示を待つ

ガバナンス体制の設計

セキュリティガバナンス組織図（例）

取締役会
  │
  └─ セキュリティ委員会（四半期開催）
	   │  委員長：CEO/COO
	   │  委員：CISO、CFO、法務部長、人事部長、IT部長
	   │
	   ├─ CISO（最高情報セキュリティ責任者）
	   │    │
	   │    ├─ CSIRT
	   │    │
	   │    └─ SOC（または外部MSS）
	   │
	   └─ 各事業部門
			└─ 部門セキュリティ責任者（兼務）

セキュリティ委員会の役割

機能	内容
方針決定	セキュリティポリシーの承認・改定
予算承認	セキュリティ投資の承認
リスク評価	全社リスクの定期レビュー
インシデント報告	重大インシデントの報告受領
監査結果確認	内部監査結果のレビュー

形骸化を防ぐためには、経営層が率先してポリシーを遵守する姿勢を示すことが重要です。また、年1回以上のポリシー見直しを制度化し、現場の実態と乖離しないよう維持する必要があります。

---

インシデント対応プロセスの詳細設計

フィッシング詐欺被害の対応ガイドでも触れていますが、企業としてのインシデント対応プロセスを事前に設計しておくことは極めて重要です。ここでは、NIST（米国国立標準技術研究所）のフレームワークを参考にした6フェーズモデルを解説します。

インシデント対応の6フェーズ

Phase 1：準備（Preparation）

インシデントが発生する前の準備段階です。

主な活動

• フィッシング対策ツールの導入
• インシデント対応手順書の整備
• 緊急連絡網の作成
• 定期的なトレーニング・演習の実施

Phase 2：検知（Detection）

インシデントの発生を検知する段階です。

主な検知手段

• SIEMからのアラート
• 従業員からの報告（不審メール報告ボタン等）
• EDRによる異常検知
• 外部からの通報（JPCERT/CC、取引先等）

Phase 3：分析（Analysis）

検知した事象がインシデントかどうかを判断し、影響範囲を特定する段階です。

主な活動

• トリアージ（重要度判定）
• 影響範囲の特定（被害を受けた端末、アカウント、データの特定）
• 攻撃手法の分析

フィッシング攻撃の重要度分類（例）

レベル	定義	対応時間目標
Critical	認証情報漏洩＋不正アクセス発生	即時対応
High	認証情報漏洩の可能性あり	4時間以内
Medium	フィッシングリンクをクリック	24時間以内
Low	フィッシングメール受信のみ	翌営業日

Phase 4：封じ込め（Containment）

被害の拡大を防ぐ段階です。

短期的封じ込め

• 感染端末のネットワーク遮断
• 侵害アカウントのパスワード強制リセット
• 不審なメールの全社ブロック

長期的封じ込め

• システムへのパッチ適用
• セキュリティ設定の強化
• 監視の強化

Phase 5：根絶（Eradication）

脅威を完全に除去する段階です。

主な活動

• マルウェアの削除
• 侵害されたアカウントの無効化・再作成
• 脆弱性の修正
• バックドアの除去

Phase 6：復旧（Recovery）

通常運用に戻す段階です。

主な活動

• システムの復旧
• データの復元（必要に応じて）
• 監視の継続（再発の監視）
• 段階的な通常運用への移行

Phase 7：事後対応（Post-Incident）

インシデント対応完了後の振り返りと改善の段階です。

主な活動

• インシデント報告書の作成
• 再発防止策の立案・実施
• 教訓の全社共有
• 対応手順の見直し

フィッシング攻撃シナリオ別の対応フロー

シナリオ1：フィッシングメール大量配信

検知：複数従業員から同一の不審メール報告
  ↓
分析：送信元、リンク先、添付ファイルを調査
  ↓
封じ込め：該当メールの全社ブロック、受信者への注意喚起
  ↓
根絶：クリックした従業員の端末スキャン、認証情報リセット
  ↓
復旧：通常運用継続、監視強化
  ↓
事後：類似メールのブロックルール追加、従業員教育

シナリオ2：ビジネスメール詐欺（BEC）

検知：経理部門から「社長からの送金指示」の報告
  ↓
分析：送信元アドレス、文面、送金先を調査
  ↓
封じ込め：送金手続きの即時停止、関係者への注意喚起
  ↓
根絶：偽装アカウントのブロック、関係者への説明
  ↓
復旧：送金承認プロセスの見直し（ダブルチェック導入）
  ↓
事後：BEC対策教育の実施、ポリシー改定

ビジネスメール詐欺（BEC）の詳細については、関連ページをご参照ください。

---

従業員教育とセキュリティ文化の醸成

技術的対策や組織的対策が整っていても、最終的に攻撃を防ぐのは「人」の判断です。フィッシング対策の従業員教育は、企業フィッシング対策の中でも特に重要な要素となります。

階層別教育プログラム

【Level 1】全従業員向け（年1回必須）

所要時間：60分程度
内容：
・フィッシング詐欺とは何か
・最新の手口紹介
・見分け方の基本
・被害に遭った時の連絡先
形式：e-ラーニング＋理解度テスト
合格基準：80点以上

【Level 2】管理職向け（年2回）

所要時間：90分程度
内容：
・経営リスクとしてのフィッシング
・BEC（ビジネスメール詐欺）の手口
・部下への指導方法
・インシデント発生時の初動
形式：集合研修＋ケーススタディ

【Level 3】IT部門・CSIRT向け（四半期）

所要時間：4時間程度
内容：
・最新の攻撃手法（手口・事例）
・フォレンジック技術
・インシデントハンドリング演習
・脅威インテリジェンス活用
形式：ハンズオン演習

【Level 4】経営層向け（年1回）

所要時間：30分程度
内容：
・サイバーリスクの経営インパクト
・他社の被害事例（被害額・株価影響）
・投資判断のための情報
・法的責任
形式：役員会でのプレゼン

標的型メール訓練の実施

従業員が実際のフィッシングメールに遭遇した際に適切に対応できるよう、模擬的なフィッシングメールを送信する訓練が効果的です。

訓練の設計

項目	内容
頻度	四半期に1回（年4回）程度
通知	「今月中に訓練実施」と事前告知（具体的な日時は非公開）
シナリオ例	取引先を装った請求書、人事部からの給与明細、宅配業者の不在通知、経営層からの緊急依頼

評価指標

指標	目標値（参考）
クリック率	5%未満
報告率	80%以上（不審メールとして報告した割合）

訓練実施上の注意点

• ❌ 個人を特定して叱責する（逆効果となり、報告しにくい文化を醸成してしまう）
• ✅ 部門別の傾向分析と改善策の検討
• ✅ 成功事例の共有（報告した人を称賛）
• ✅ 訓練後の即座なフィードバック（教育コンテンツへの誘導）

訓練の目的は「引っかかった人を罰する」ことではなく、「組織全体の対応力を向上させる」ことです。この点を全社に周知し、心理的安全性を確保することが重要です。

---

外部連携とインテリジェンス共有

高度化するサイバー攻撃に対して、自社単独での対応には限界があります。業界団体や公的機関との連携により、脅威情報の共有や専門的な支援を受けることが可能です。

業界ISAC（Information Sharing and Analysis Center）との連携

ISACは、特定の業界におけるサイバー脅威情報の共有・分析を行う組織です。

ISAC名	対象業界	主な活動
金融ISAC	金融機関	金融業界特有の脅威情報共有、合同演習
ICT-ISAC	情報通信	通信事業者間の情報共有
電力ISAC	電力・エネルギー	重要インフラ保護に関する情報共有
医療ISAC	医療機関	医療業界の脅威情報共有

加入メリット

• 業界特有の脅威情報を早期に入手できる
• 同業他社との情報交換ができる
• 合同演習への参加機会がある
• 専門家のアドバイスを受けられる

JPCERT/CCとの連携

JPCERT/CC（Japan Computer Emergency Response Team Coordination Center）は、日本における情報セキュリティ対策の中核的な組織です。

活用方法

• インシデント発生時の報告・相談
• 脅威情報（早期警戒情報）の受信
• 脆弱性情報の入手
• CSIRT構築支援の活用

警察・監督官庁との連携

サイバー警察への通報

フィッシング詐欺の被害に遭った場合、または攻撃を受けた場合は、警察への通報を検討します。

• 都道府県警察のサイバー犯罪相談窓口
• 警察庁サイバー犯罪対策プロジェクト

監督官庁への報告

業種によっては、インシデント発生時に監督官庁への報告義務がある場合があります。

業種	監督官庁	報告が必要な場合
金融機関	金融庁	顧客情報漏洩、システム障害
通信事業者	総務省	通信の秘密に係る事故
医療機関	厚生労働省	患者情報漏洩
全業種	個人情報保護委員会	一定規模以上の個人情報漏洩

---

投資計画と予算獲得の実践

企業フィッシング対策の体制構築には、一定の投資が必要です。経営層を説得し、適切な予算を獲得するための考え方を解説します。

3ヵ年投資計画の考え方

セキュリティ投資は単年度で完結するものではなく、中長期的な視点で計画することが重要です。

従業員500名規模企業の投資計画例（参考）

年度	主な投資内容	概算金額
初年度（基盤構築）	ツール導入、人材採用、コンサル支援、教育プログラム	3,000〜4,000万円
2年目（体制強化）	ツール運用、人材増員、外部SOC委託、訓練・演習	2,500〜3,000万円
3年目（最適化）	ツール運用、人材育成、継続的改善	2,000〜2,500万円

注記: 上記は一般的な目安であり、業種、現状のセキュリティレベル、規制要件などにより大きく異なります。

経営層向けプレゼン資料の構成

スライド1：エグゼクティブサマリー

• 提案の要旨（1ページで完結）
• 投資額と期待効果のハイライト

スライド2：現状のリスク評価

• 自社が受けているフィッシング攻撃の件数（実データがあれば）
• 現状の体制と課題

スライド3：他社事例

• 同業他社の被害事例
• 被害額、事業への影響、株価への影響

スライド4：投資提案

• 具体的な施策内容
• 3ヵ年の投資計画
• 段階的なアプローチ

スライド5：期待効果（ROI試算）

• リスク削減効果の試算
• 投資回収期間の目安
• 定性的な効果（信頼性向上、取引機会等）

スライド6：実施計画

• タイムライン
• マイルストーン
• 責任者

ROI（投資対効果）の説明方法

セキュリティ投資の効果は「被害を防いだこと」であり、直接的な収益向上ではないため、ROIの説明は工夫が必要です。

計算式の考え方

リスク回避額 = 想定被害額 × 発生確率 × 対策による削減率
ROI（％）= （リスク回避額 − 投資額）÷ 投資額 × 100

説明のポイント

• 「コスト」ではなく「リスク軽減への投資」として位置づける
• 他社の被害事例を具体的な金額で示す
• 規制対応や取引先からの要請など、「やらないリスク」も説明する
• サイバー保険料の削減、セキュリティ認証取得による取引機会など、付加的な効果も含める

---

小規模組織向けの現実的アプローチ

従業員100名未満の中小企業では、大企業のような専門組織を構築することは現実的ではありません。中小企業のフィッシング対策でも解説していますが、ここでは限られたリソースで最大限の効果を得るための方法を紹介します。

最小構成（従業員50名企業の例）

人員体制

• セキュリティ担当：0.5名相当（IT担当者が兼務）
• 外部MSS：契約（24時間監視を委託）

ツール構成

• Microsoft 365 E3またはGoogle Workspace Business（標準セキュリティ機能を活用）
• 外部MSSのSOCサービス
• セキュリティ教育プラットフォーム

年間予算目安
| 項目 | 概算金額 |
|------|----------|
| ツール（クラウドサービス） | 200〜400万円 |
| 外部MSS | 300〜500万円 |
| 教育・訓練 | 50〜100万円 |
| 合計 | 550〜1,000万円 |

段階的成長モデル

中小企業であっても、事業の成長に合わせてセキュリティ体制を強化していくことが重要です。

Phase 1：外部委託中心（初年度）

• 外部MSSに監視・対応を委託
• 社内はIT担当者が窓口として兼務
• 最小限のポリシー整備

Phase 2：兼任体制の確立（2〜3年目）

• セキュリティ責任者を正式に任命（兼務可）
• インシデント対応手順書を整備
• 定期的な教育・訓練を開始

Phase 3：専任配置の検討（4年目〜）

• 専任のセキュリティ担当者を配置
• 小規模CSIRTの発足
• 外部委託と自社対応のバランス最適化

---

成熟度評価とKPI設定

自社のセキュリティ体制がどの程度整備されているかを客観的に評価し、継続的に改善していくための仕組みが必要です。

セキュリティ成熟度モデル（5段階）

Level 1：初期（Ad-hoc）

・対策は場当たり的
・ポリシー未整備
・専任担当者なし
・インシデント対応は都度判断

Level 2：管理（Managed）

・基本ポリシーを策定
・兼任担当者を配置
・基本的なツールを導入
・簡易な対応手順を整備

Level 3：定義（Defined）

・詳細な手順書を整備
・小規模CSIRTを発足
・定期的な教育を実施
・外部連携を開始

Level 4：定量管理（Quantitatively Managed）

・KPIを設定して測定
・SOC運用を開始
・外部連携を強化
・定期的な監査を実施

Level 5：最適化（Optimizing）

・継続的改善サイクルが定着
・プロアクティブな脅威ハンティング
・業界をリードする体制
・高度な自動化を実現

KPIダッシュボードの設計

企業フィッシング対策の効果を測定するためのKPI例を示します。

カテゴリ	KPI	測定方法	目標値（例）
検知	インシデント検知時間	発生から検知までの平均時間	30分以内
対応	初動対応時間	検知から対応開始までの時間	1時間以内
対応	封じ込め完了時間	検知から封じ込め完了までの時間	24時間以内
予防	教育受講率	年間教育受講者数÷全従業員数	100%
予防	訓練クリック率	模擬フィッシングのクリック数÷送信数	5%未満
予防	報告率	不審メール報告数÷受信数	80%以上
効果	インシデント件数	月間のインシデント発生件数	前年比50%減

これらのKPIを四半期ごとに測定し、経営層に報告することで、投資効果の可視化と継続的な改善が可能になります。

---

よくある質問（FAQ）

Q1: CSIRTの設置は中小企業にも必要ですか？

A: 規模に応じた形での設置を推奨します。従業員100名以下の中小企業では、フルタイムのCSIRTは現実的ではありませんが、「セキュリティインシデント対応責任者」を兼務で指名し、最小限の体制を作ることは可能です。具体的には、(1)IT部門の担当者1名を責任者に指名、(2)外部MSS（マネージドセキュリティサービス）と契約、(3)簡易的なインシデント対応手順書を作成、の3点から始めることができます。重要なのは、「誰が」「何を」「いつまでに」やるかを明確にすることです。中小企業のフィッシング対策も参照してください。

Q2: 24時間365日の監視体制は本当に必要ですか？

A: フィッシング攻撃は昼夜を問わず発生するため、理想的には24時間365日の監視が望ましいです。しかし、自社でこれを実現するには最低でも5〜6名の専任要員が必要であり、中小企業には現実的ではありません。解決策は「外部SOC（MSS）の活用」です。月額数十万円から、専門家による24時間監視を受けられるサービスがあります。自社では営業時間内の対応のみを行い、夜間・休日は外部に委託する「ハイブリッド型」も有効な選択肢です。

Q3: セキュリティポリシーが形骸化しないためには？

A: 形骸化の主な原因は「現場の実態と乖離したルール」と「トップのコミットメント不足」です。防ぐためのポイントは以下の5点です：(1)策定時に現場の意見を反映する、(2)年1回の見直しを制度化する、(3)経営層が率先して遵守する姿勢を示す、(4)違反時の対応を明確にする（ただし過度に厳しくしない）、(5)遵守することのメリットを従業員に説明する。特に(3)は重要で、経営層が「自分は例外」という態度を取ると、全社に規律が緩む原因になります。

Q4: 外部のセキュリティコンサルタントは本当に必要ですか？

A: 初期構築フェーズでは活用を検討する価値があります。理由は3つ：(1)ゼロから設計するより、ベストプラクティスを学んで適用する方が早い、(2)客観的な視点でリスク評価ができる、(3)経営層を説得する材料になる。ただし、丸投げは禁物です。自社の状況を最も理解しているのは自社の人間なので、コンサルとの協働が重要です。また、構築後の運用フェーズでは、自社で回せる体制を作り、コンサルへの依存度を下げていくことが望ましいです。

Q5: セキュリティ人材が採用できない場合はどうすれば？

A: セキュリティ人材不足は全世界的な課題であり、中小企業が専門家を採用するのは困難な状況です。現実的な対処法は4つ：(1)既存のIT人材を育成する（外部研修、資格取得支援）、(2)外部MSS/SOCを最大限活用する、(3)業務委託・派遣で短期的に確保する、(4)セキュリティベンダーのサポートを活用する。特に(1)の育成投資は長期的に効果的です。また、リモートワーク可能な環境を整備すれば、地方在住の人材を採用できる可能性も広がります。

Q6: インシデント発生時、どこまで情報を公開すべきですか？

A: 法的義務がある場合（一定規模以上の個人情報漏洩等）は必ず公開が必要です。それ以外は、影響範囲と業界慣行を考慮して判断します。重要なのは、隠蔽と判断されないことです。後から発覚すると信用を大きく損ないます。公開する場合は、(1)事実関係、(2)影響範囲、(3)対応状況、(4)再発防止策、の4点を明確に説明します。法務・広報と連携し、統一見解を示すことが重要です。フィッシング被害の公表対応も参照してください。

Q7: セキュリティ投資のROIをどう説明すれば？

A: 「予防」のROIは直接測定が難しいため、「リスク回避額」で説明します。計算式：ROI = [(想定被害額 × 発生確率 × 削減率) − 投資額] ÷ 投資額 × 100。これに加えて、「ビジネス機会の創出」も説明材料になります：(1)セキュリティ認証取得による大手企業との取引機会、(2)サイバー保険料の削減可能性、(3)従業員の意識向上。経営層には、「守り」だけでなく「攻め」の側面も訴求することが効果的です。フィッシング対策の費用対効果も参照してください。

Q8: グループ会社や子会社のセキュリティはどう管理すれば？

A: グループ全体で統一的なセキュリティガバナンスが必要です。推奨モデル：(1)持株会社にグループCSIRTを設置、(2)各社に「セキュリティ責任者」を配置（兼務可）、(3)統一ポリシーを策定し、各社は細則を独自に決定、(4)四半期に1回、グループセキュリティ委員会を開催、(5)インシデント発生時はグループCSIRTが統括。注意点は、子会社の独立性を尊重しつつ、最低基準は守らせること。特にM&Aで新たにグループ入りした企業は、セキュリティレベルが異なる場合が多いため、優先的に確認が必要です。

Q9: リモートワーク環境でのセキュリティ体制構築のポイントは？

A: リモートワークでは従来の「境界防御」が機能しにくいため、ゼロトラスト原則に基づく対策が推奨されます。具体策：(1)VPNまたはゼロトラストネットワークアクセスの導入、(2)クラウドベースのセキュリティツール（EDR、CASB等）導入、(3)多要素認証の徹底、(4)BYOD（私物端末）ポリシーの明確化、(5)自宅ネットワークのセキュリティガイドライン提供。特に注意すべきは「シャドーIT」の増加です。承認済みツールのリストを作成し、それ以外の使用を制限することを検討してください。

Q10: セキュリティ体制の構築にどれくらいの期間が必要ですか？

A: 組織規模と目標レベルにより異なりますが、目安は以下の通りです：【最小構成（Level 2）】3〜6ヶ月、従業員100名以下、外部委託中心、【標準構成（Level 3）】6〜12ヶ月、従業員100〜500名、小規模CSIRT設置、【成熟構成（Level 4）】1〜2年、従業員500名以上、専門組織設置。焦って拙速に進めるより、段階的に成熟度を上げることが重要です。初年度は「基盤構築」、2年目は「運用定着」、3年目以降は「継続的改善」というフェーズ分けを推奨します。経営層には、2〜3年のロードマップを示し、長期的な投資計画として承認を得ることが望ましいです。

---

まとめ

本記事では、企業フィッシング対策の体制構築について、CSIRTの設置からSOCの運用、セキュリティポリシーの策定、インシデント対応プロセス、従業員教育、予算獲得まで、包括的に解説しました。

体制構築のポイント

1. 三層防御モデルを意識し、技術・組織・人の対策をバランスよく整備する
2. 組織規模に応じた現実的なアプローチを選択する（無理に大企業の真似をしない）
3. 経営層のコミットメントを得ることが成功の鍵
4. 段階的な成熟度向上を目指し、継続的に改善する
5. 外部リソース（MSS、ISAC等）を積極的に活用する

フィッシング詐欺の脅威は今後も進化を続けると考えられます。組織的なセキュリティ体制を構築し、継続的に改善していくことで、被害リスクを軽減することが期待できます。

フィッシング詐欺対策の完全ガイドでは、個人・組織を問わず活用できる対策の全体像を解説しています。また、フィッシング対策ツール徹底比較では、具体的な製品選定の参考情報を提供しています。併せてご参照ください。

---

【重要なお知らせ】

• 本記事は一般的な情報提供を目的としており、個別の状況に対する助言ではありません
• 組織のセキュリティ体制構築にあたっては、専門家への相談を推奨します
• 記載されている予算や体制は一般的な目安であり、業種、規模、規制要件などにより大きく異なります
• 実際に被害に遭われた場合は、警察（#9110）や所管の監督官庁などにご相談ください
• 法的な対応が必要な場合は、弁護士などの専門家にご相談ください

---

---

📍 ナビゲーション

🏠 フィッシング詐欺完全ガイドTOP

現在地: TOP > 対策・防御方法

📂 主要カテゴリー

• 📰 最新情報・速報
• 🔧 技術者向け対策
• 📋 手口と事例
• 🛡️ 対策・防御方法 ← 現在のページ
• 🚨 被害時の対応
• 🏢 業界別対策

📄 対策・防御方法の詳細ページ

基本対策

• [推奨] 基本5原則（初心者向け）
• メール対策設定ガイド
• フィッシングサイトブロック方法
• 詐欺かどうか確認する方法

対象別対策

• 個人向け対策ガイド
• [人気] 中小企業向け（月額1万円）
• 大企業のセキュリティ体制
• 高齢者向け対策ガイド

高度な対策

• 対策ツール比較（50製品）
• 従業員教育プログラム
• 認証強化（パスキー・生体認証）
• 費用対効果分析
• サイバー保険活用

💡 まず始めるなら： 基本5原則から始めることをおすすめします

---