「ランサムウェアの被害を受け、調査会社に調べてもらった。でも報告書のどこを読めばいいのか分からない」「情報漏えいの痕跡は見つからなかった、と書かれていれば安全なのか」。事故対応が初めての組織では、こうした判断に迷いがちです。
JPCERT/CCは2026年11月11日、被害組織と調査担当者の双方が使える「インシデント調査報告書チェックリスト」を公開しました。調査の依頼前に決めること、報告書に記載してもらうこと、受領後に検証することを具体的に整理した資料です。JPCERT/CC自身に情報漏えいが起きたという発表ではありません。
まず確認したいのは、①どの機器・期間を調査したか、②侵入経路の判断根拠、③情報流出の評価と調査できなかった範囲、④復旧後に残るリスク、⑤再発防止策の優先順位の5点です。この記事では情シス担当者が調査会社に何を依頼し、受領後に何を確認すればよいかを解説します。
確認時点：2026年11月12日。一次情報：JPCERT/CC公式発表。
JPCERT/CCのチェックリストは誰が、何に使う？
公開されたのは、インシデント調査の品質を一律に認定する制度ではなく、調査を依頼する側と調査する側で、調査目的・対象・成果物の認識を合わせるための補助ツールです。
| 公開資料 | 主な利用者 | 内容 |
|---|---|---|
| 被害組織向け（58項目） | 情シス、CSIRT、総務・経営層など | 委託前の合意事項、受領した報告書の確認、詳細レビュー |
| 調査担当者向け（76項目） | 調査会社、フォレンジック担当者など | 事前合意、証拠保全、分析結果の根拠、復旧・再発防止策、付属資料 |
| 調査報告書サンプル（PDF） | 双方 | チェック項目を報告書の章立てや記載例で確認できる |
チェックリストは、主としてマルウェア感染などを伴うネットワーク侵害を想定しています。内部不正を疑う事案などでは適用できない項目もあります。また、項目がすべて埋まっていても、調査の正確さが保証されるわけではありません。
公式入口：インシデント調査報告書チェックリスト
無料チェックリストの開き方・使い方
- 公式ページを開き、「ユーザー向け」のHTML版を選びます。情報システム担当者が委託前と報告書受領後に確認するための58項目です。
- 調査会社側は「レポーター向け」のHTML版を使い、必須・推奨・任意の区分も参考に報告内容を点検します。
- 各項目を確認しながら進めます。HTML版にはチェック状況、検索・絞り込み、結果の保存・読み込み、印刷の操作が用意されています。
- 文書として説明したい場合はトップページのMarkdown版、完成イメージを確認したい場合は報告書サンプルPDFも参照します。
サイトは公開されており、チェックリストの閲覧に有料の会員登録は案内されていません。資料のライセンスはCC BY-SA 4.0です。内容を改変して社内様式に取り込む場合は、表示や継承などの条件を確認してください。
調査会社へ依頼する前に決めておきたい7項目
被害が発覚すると、復旧を急ぐあまり「原因を調べてください」とだけ依頼しがちです。しかし、何を結論として必要とするかを先にそろえなければ、報告書を受け取っても判断材料が足りないことがあります。
| 確認すること | 調査会社への具体的な質問例 |
|---|---|
| 調査の目的 | 侵入経路、被害拡大、情報漏えい、復旧可否のうち、どこまでを調べますか？ |
| 対象システム | VPN・公開サーバー・AD・ファイルサーバー・クラウドをどこまで含めますか？ |
| 対象ログ・期間 | どの機器の、いつからいつまでのログを確認しますか？保存されていない期間はありますか？ |
| 証拠保全と復旧の順番 | 電源断・再構築で失われる証拠はありますか？業務再開と保全をどう両立しますか？ |
| 結果の限界 | 分からない可能性がある事項と、その理由を報告書に残せますか？ |
| 報告方法と期限 | 緊急報告・中間報告・最終報告をいつ、誰に、どの形式で共有しますか？ |
| 費用・追加調査 | 追加調査が必要になった場合の承認方法、費用、納品後の質問対応は？ |
合意事項は、電話で済ませずメールや議事録など記録に残る形で保存しましょう。なお、すべての事故で詳細なディスク解析が必要なわけではありません。EDRやログの調査で目的を達成できる場合もあり、手法とその限界を説明してもらうことが重要です。
報告書を受け取ったら「漏えいなし」の根拠を見る
最も注意したいのは、「漏えいの痕跡が確認されなかった」と「漏えいしていないことが証明された」を同じ意味にしないことです。調査対象のログが残っていない場合、漏えいを否定する材料が足りない可能性があります。
| 報告書の表現 | 読者が確認すべき点 |
|---|---|
| 漏えいを確認した | どのデータが、いつ、どの根拠によって外部へ出たと判断されたか |
| 漏えいした可能性がある | その可能性を示す通信・操作の痕跡は何か。確定できない理由は何か |
| 漏えいを示す痕跡は確認されなかった | どのログ・期間・システムを確認した結果なのか。未調査部分はないか |
| 判断できない | 不足している証拠、追加調査の余地、残るリスクをどう扱うか |
例えば、攻撃が疑われる期間のファイアウォールやプロキシの通信ログが欠けているなら、「外部送信はなかった」とは言い切れません。逆に、大量の外部通信があっただけで、直ちに個人情報の漏えいが確定するわけでもありません。事実、可能性、未確認を区別することが、関係者や利用者への説明で大切です。
情シス担当者が技術面で確認するポイント
1. 初期侵入・横展開の根拠
最初に侵入された可能性があるVPN、リモートデスクトップ、Webサーバー、クラウドアカウントなどを具体的に示しているかを見ます。原因が脆弱性なら製品名・バージョン・CVE番号、認証情報の悪用なら使用アカウント・権限・日時などが説明されているか確認します。これらは一般的な調査例であり、今回JPCERT/CCが特定の攻撃経路を発表したという意味ではありません。
ランサムウェアの場合、暗号化された端末だけを調べても十分とは限りません。ADや管理者アカウントを経由した横展開、共有フォルダーへのアクセス、不審なツールの実行など、関係システムの調査範囲も確認します。
2. 証拠の追跡可能性と時刻の整合
「不審なログインがあった」という結論には、イベントログ、EDR記録、VPN・プロキシログなどの根拠を対応付けたいところです。調査報告書の時刻がJSTなのかUTCなのか、ログ取得時のタイムゾーンが一致しているかも重要です。報告書で証拠IDやハッシュ値、取得日時が管理されていれば、後日内容を再確認しやすくなります。
3. 外部送信の有無とIoCの扱い
情報持ち出しが疑われる場合は、外部通信の送信元・通信先、時刻、送信量、調査したログの種類を確認します。IoC（侵害の痕跡となるIPアドレス、ドメイン、ファイルのハッシュ値など）が示されていれば、他端末の監視やログ検索にも利用できます。ただし、IoCの一致だけで侵害を断定せず、前後の操作や通信と合わせて判断します。
4. 再発防止策が「今回の原因」と対応しているか
報告書末尾に「パスワードを強化する」「ソフトウェアを更新する」とだけ書かれていても、十分とは限りません。侵入経路が外部公開機器の設定不備なら公開範囲や更新管理、認証情報の流用ならアカウント分離・MFA・権限見直し、といったように、調査で確認された問題と対策が1対1で結び付いているかを確認します。実施担当者、優先度、期限も社内で決めておきます。
そのまま使える：報告書受領後の確認表
以下はJPCERT/CC公開資料を参考に、情シスが調査会社に質問するために編集部で要約した表です。公式58項目・76項目をそのまま転載したものではありません。
| 確認 | チェックする内容 |
|---|---|
| □ | 経営層向けの要約に、被害・未解決事項・今すべきことが記載されている |
| □ | 調査したシステム、アカウント、ログ、期間と、調査対象外が分かる |
| □ | 初期侵入や横展開の結論に、証拠・日時・判断の確度がある |
| □ | 情報漏えいの「確認」「可能性」「痕跡なし」「判断不可」が区別されている |
| □ | 証拠が不足した理由、追加調査の必要性、残存リスクが書かれている |
| □ | 復旧・封じ込め策が具体的で、業務影響と優先順位が示されている |
| □ | 再発防止策が今回の調査結果と結び付いている |
| □ | 報告書の共有範囲、問い合わせ窓口、追加調査費用を確認した |
1つでも空欄なら即座に調査不十分と断定するのではなく、契約した範囲との対応を見たうえで、不足理由や追加調査の必要性を調査会社と確認してください。
よくある質問
JPCERT/CCのチェックリストは無料で使えますか？
公式Webページでユーザー向け・レポーター向けのHTMLとMarkdown、サンプルPDFが公開されています。利用時には同ページのライセンス（CC BY-SA 4.0）を確認してください。
チェックリストに全項目チェックすれば、調査結果は正しいといえますか？
いいえ。JPCERT/CCはチェックリストを補助ツールと位置付けています。調査範囲・手法・証拠の十分性などの技術的な妥当性は、必要に応じて専門家のレビューが必要です。
被害を受けていなくても役立ちますか？
はい。インシデント発生時の外部委託先、ログ保存期間、証拠保全方法、連絡・報告の責任者を事前に整理する際にも、調査範囲や成果物を考える材料として役立ちます。ただし、予防対策そのものを網羅する資料ではありません。
チェックリストは情報漏えいの有無を自動で判定してくれますか？
いいえ。報告書の確認事項を一覧にしたもので、ネットワークや端末を自動診断する機能ではありません。ログ解析やフォレンジックは別途必要です。
まとめ：調査報告書は「何が分からないか」も確認する
今回の公開資料の価値は、被害組織が専門業者の報告をただ受け取るのではなく、調査の対象・根拠・限界・次の対応を整理して確認できる点にあります。委託前に目的を合わせ、受領時に未確認事項や再侵入リスクまで確認することが、適切な復旧判断と再発防止につながります。
事故発生前の総点検については、関連記事「情報漏えい、何から点検？IPAが至急確認を要請」、初動時の停止判断については「情報漏えい対策で『システムを止める』のはなぜ？」も参考にしてください。
一次情報・更新履歴
- JPCERT/CC（2026年11月11日）「インシデント調査報告書チェックリスト公開のお知らせ」
- JPCERT/CC 公式チェックリスト・サンプル
- JPCERT/CC ユーザー向け58項目／レポーター向け76項目
公開・一次情報確認：2026年11月12日。資料の更新により画面や項目が変わる可能性があります。
