Critical Infrastructure · Network Security
重要インフラ事業者のネットワークセキュリティ実践ガイド
従来型のオンプレミス構成（AD を頂点とするサーバー／クライアント、インターネット出口に Proxy と Firewall）を維持したまま、兼任3名で現実に回せる 強化策だけを選び抜いた実践ガイド。ゼロトラストは目指す方向として意識しつつ、前提にはしない 。
構成：オンプレAD＋Proxy/FW境界
公開サーバー：社内に置かない
体制：インフラ兼任3名
方針：境界防御の高度化（脱・ZT前提）
Contents
0 前提とアーキテクチャ本ガイドが対象とするネットワークの全体像。ここに書かれていない構成（大規模SOC、フルクラウド、ゼロトラストアーキテクチャ）は前提にしない。
インターネット
脅威はここから来る
公開Web・メール
外部ホスティング／クラウド
＝社内には置かない
境界（本ガイドの主戦場）
Firewall / UTM
入口・出口とも deny-by-default
Proxy Server
認証・URLフィルタ＝出口対策の核
VPN
MFA必須
社内LAN（セグメント分割して守る）
サーバーセグメント
AD（最重要）・ファイル・業務
管理は管理端末からのみ
クライアントセグメント
全端末 EDR＋標準ユーザー
端末間通信は抑制
攻撃者の狙い：境界を越える → クライアントに足場 → 横移動 → AD 掌握。この連鎖のどこかで必ず断ち切る。
公開サーバーを社内に持たない方針は、この規模では最良の設計判断。 攻撃対象面（アタックサーフェス）が構造的に小さく、DMZ の運用負荷も発生しない。本ガイドではこの原則を「維持する」ことも対策の一部として扱う（→
3章 ）。
1 基本方針 — 「侵入される前提」で境界防御を高度化するゼロトラストが望ましいことは理解した上で、現在地は従来型の境界防御。この過渡期に取るべき戦略を最初に固定する。
1-1. なぜ「境界防御の高度化」なのか
ゼロトラストへの全面移行には、ID基盤の刷新・全アプリのアクセス制御再設計・SASE等への投資と、それを設計運用できる人員が必要になる。兼任3名の体制で中途半端に着手すると、境界も内部も守り切れない「二正面作戦」 に陥る。本ガイドは逆に振り切る：
境界は今まで以上に固く ：入口だけでなく出口（C2通信・データ持ち出し）を統制する。境界は破られる前提で、内側に「段差」を作る ：セグメント分割・特権分離・EDR で、侵入からAD掌握までの連鎖を断ち切る。ゼロトラストの発想は「部分輸入」する ：MFA・最小権限・ログによる検証は境界型のままでも導入でき、将来の移行資産になる。
1-2. 3名体制の大原則
原則 意味すること
24時間365日を自前でやらない 監視・検知の一次対応は外部（MDR等）に委託する。深夜のアラート対応を3名で持続するのは不可能であり、無理な内製は「アラートを見ない運用」に堕ちる。 人が見なくても効く対策を優先 設定で恒久的に効くもの（deny-by-default、MFA、セグメント分割、自動パッチ、イミュータブルバックアップ）を、人が毎日見るもの（ダッシュボード）より優先する。 内製は「設計・判断・復旧」に集中 自社ネットワークの正常状態を知っているのは自分たちだけ。トリアージ後の意思決定と復旧作業こそ内製の価値。 やらないことを決める フルSIEMの自前運用・自前SOC・24時間当番は「やらない」と明文化する。中途半端が一番危険。
2 拠り所にする基準・ガイドライン重要インフラ事業者には所管省庁・制度への説明責任がある。「なぜこの対策なのか」を語れるよう、公式文書に紐付けておく。
文書 使いどころ
NISC「重要インフラのサイバーセキュリティに係る行動計画」／安全基準等策定指針 重要インフラ15分野共通の大枠。自社の分野別ガイドライン（所管省庁発行）と併せ、経営層・監査への説明の土台にする。 CISA CPG 2.0（Cross-Sector Cybersecurity Performance Goals） 2025年12月改訂。重要インフラ向けに「コスト・効果・導入難易度」の格付き実践目標を列挙しており、小規模チームの優先順位付けに最適 。本ガイドの選定基準もこれに整合。 NIST CSF 2.0 統治（Govern）〜復旧（Recover）の6機能で自社の弱点を棚卸しする際の地図。年1回の自己評価に使う。 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」 経営層への報告・投資判断の共通言語。「重要10項目」を年次報告のフォーマットにする。 経済安全保障推進法（基幹インフラ制度） 対象事業者は重要設備の導入・保守委託の事前届出が必要。機器更改・保守契約の際に必ず参照。 IPA「中小企業の情報セキュリティ対策ガイドライン」ほか 体制が小さい組織向けの具体的手順・様式集として実務で流用できる。
3 境界の高度化 — FW / Proxy / DNS / VPN「境界防御の高度化」の中身は、入口の強化に加えて出口の統制 と境界機器そのものの防御 。近年の侵害は境界装置（VPN・FW）の脆弱性経由が最多クラスであることを直視する。
3-1. Firewall：入口だけでなく出口も deny-by-default
アウトバウンド既定拒否 ：社内→インターネットは「Proxy経由のHTTP/HTTPS」「DNS（後述の指定リゾルバのみ）」「NTP・業務上必要な明示的許可」以外を全て遮断。マルウェアの C2 通信・データ持ち出しの大半は、この1設定で「Proxyを通らざるを得なく」なり、可視化される。直接続の遮断 ：クライアントから直接の 80/443 発信を FW で禁止し、Proxy 迂回を構造的に不可能にする。ルールの棚卸しを年2回 ：オーナー不明・期限切れ・any-any に近いルールを削除。「一時的に開けた穴」が恒久化するのが最大の劣化要因。管理インターフェースを外に出さない ：FW/VPN/サーバーの管理画面はインターネット非公開＋管理セグメントからのみ。これは CISA が繰り返し勧告する最重要項目。GeoIP・脅威フィード ：業務上通信しない国からのインバウンド、既知悪性IPは機械的に遮断（UTM機能で十分）。
3-2. Proxy：既にある資産を「出口対策の核」に育てる
認証プロキシ化 ：AD 連携で「どのユーザー・どの端末の通信か」を必ず記録する。インシデント調査の起点になる最重要ログ。URLカテゴリフィルタ＋新規観測ドメインのブロック ：フィッシング・C2 は「登録から日が浅いドメイン」を多用する。カテゴリ「未分類」「新規ドメイン」の既定ブロックは費用対効果が非常に高い。TLS復号（HTTPSインスペクション）は選択的に ：全復号は運用負荷・障害リスクが高い。金融・医療等の除外カテゴリを設けつつ、「未分類・低評価サイトのみ復号」から始めるのが3名体制の現実解。サーバーセグメントは原則プロキシ不可 ：サーバーからの外向き通信は、パッチ取得等の宛先を個別許可（allowlist）。サーバー発の想定外通信＝即アラートにできる。
3-3. DNS：最も安上がりな検知・遮断レイヤー
Protective DNS の導入 ：社内 DNS のフォワーダを保護DNSサービス（悪性ドメインを解決させない）に向けるだけで、フィッシング・C2・ランサムの多くを安価に遮断できる。導入工数が極小で3名体制向き。指定リゾルバ以外の 53/853 発信を FW で遮断 ：DNS 迂回（DoH直叩き含む）を防ぐ。DNSクエリログの保存 ：後述のログ戦略で「安くて価値が高い」筆頭。
3-4. リモートアクセス（VPN）と境界機器そのものの防御
境界装置は「守ってくれる箱」であると同時に、近年最大の侵入口。 VPN・FW 製品の深刻な脆弱性の悪用は、公表から数日以内（時に公表前）に始まる。ここだけは「月例パッチ」ではなく緊急対応枠を設ける。
VPN は全員 MFA 必須 （例外ゼロ）。ID/パスワードのみの VPN は「公開された裏口」と同義。境界機器の緊急パッチ体制 ：ベンダーのセキュリティアドバイザリと JPCERT/CC 注意喚起を購読し、「緊急」は72時間以内 適用を目標に。3名で即応できるよう、事前に「臨時メンテ即実施可」の社内合意を取り付けておく。使っていない機能を無効化 ：VPN ポータルの不要 Web 機能、UTM の未使用サービスは停止（脆弱性の露出面を減らす）。保守ベンダーのリモートアクセス統制 ：常時接続の保守回線・ベンダー用VPNアカウントは、個別ID＋MFA＋利用時のみ有効化＋操作ログ。サプライチェーン経由の侵害の定番経路。外部公開面の定期点検（ASM） ：自社グローバルIPを月1回外部からスキャンし、「開いているつもりのないポート」を検出。無料〜安価なASMサービスで十分。「公開サーバーを社内に置かない」原則の維持 ：新規のWeb公開需要は外部ホスティング/クラウドで受ける。例外を作る場合も、社内LANとは接続しない独立セグメントに限定し、稟議で経営判断を残す。
4 Active Directory を最優先で守るオンプレ型 AD はまだまだ現役であり、この構成における「王冠の宝石」。認証・端末管理（GPO）・ファイルアクセスのすべてが AD に依存する以上、本ガイドの防御はすべて「AD を最後まで渡さない」ために組まれている 。ランサムウェア事案の典型は「端末侵入 → 横移動 → ドメイン管理者奪取 → GPO経由で全端末一斉暗号化」であり、AD を守ることが被害の上限を決める。
4-0. 攻撃者から見た AD — 断ち切るべき5段階
攻撃段階 攻撃者がやること 本ガイドの遮断ポイント
① 足場確保 フィッシング・VPN脆弱性で一般端末/アカウントを1つ奪う 3章（境界）・5章（EDR・マクロ遮断）・9章（メール） ② 探索 BloodHound 等で AD の構造・特権への最短経路を自動探索（一般ユーザー権限で可能） 本章 4-4（攻撃者と同じツールで先に自己診断） ③ 資格情報窃取 端末メモリの資格情報奪取、Kerberoasting、SYSVOL 内の平文パスワード漁り 本章 4-1/4-2（特権分離・LAPS・gMSA・SYSVOL掃除） ④ 横移動 奪った資格情報で SMB/RDP/WinRM を渡り歩き、管理者がログオンした端末を狙う 6章（セグメント・管理プロトコル制限）＋本章 4-1（DAでクライアントに触れない） ⑤ AD 掌握 DCSync でパスワードハッシュ全取得、Golden Ticket で永続化、GPO でランサム一斉配布 本章 4-3（検知）・4-5（krbtgt・復旧）・8章（独立バックアップ）
重要な認識： ②の探索と③の一部は「一般ユーザー1人分の権限」でできてしまうのが AD の仕様。だから「侵入させない」だけでなく、侵入後の③→⑤を遅く・うるさく（検知されやすく）する のが AD 防御の本質になる。
4-1. 特権の分離（Tierモデルの簡易適用）
Domain Admins は2〜3アカウントまで に絞り、日常業務アカウントとは完全分離（管理者も普段は標準ユーザーで作業）。Tier 0 の概念だけ導入する ：AD（DC）・ADと同格のもの（バックアップサーバー、仮想基盤管理、EDR管理コンソール）を「Tier 0」と定義し、Tier 0 への管理ログオンは専用管理アカウント＋専用管理端末からのみ とする。フルの3層モデルは3名では過剰。この1点だけで横移動の難易度が激変する。Domain Admins でクライアントPCにログオンしない ：DA の資格情報が一般端末のメモリに残ることが、横移動の最短ルートになる。GPO の「ログオン拒否」設定でDA アカウントのクライアント/一般サーバーへのログオンを技術的に禁止 し、運用ルールではなく仕組みにする。特権アカウントは Protected Users グループへ ：NTLM 認証やキャッシュされた資格情報の利用が制限され、窃取への耐性が上がる（無償・設定のみ）。互換性の都合で入れられないアカウントは理由を台帳に残す。ヘルプデスク業務は「委任」で解決 ：パスワードリセット・PCのドメイン参加などは OU 単位の権限委任で専用アカウントに渡し、DA を日常業務から完全に引退させる。委任の内容は年1回棚卸し（過剰委任は BloodHound が真っ先に見つける経路になる）。管理端末（PAW相当）を最低1〜2台 ：インターネット・メール不可、Tier 0 管理専用。中古PCの再利用でも効果は絶大。
4-2. 認証と構成の技術的固め
対策 ポイント 工数
Windows LAPS 全端末・サーバーのローカルAdministratorパスワードを自動的に個別化。「1台破られたら全台同じパスワード」を根絶する。無償。 小 サービスアカウントの gMSA 化／長大パスワード Kerberoasting 対策。SPN 付きアカウントは gMSA へ移行、不可なら25文字以上のランダムパスワードに。放置された古いサービスアカウントは特権付きのまま眠っていることが多く、優先度が高い。 中 SYSVOL・共有内の平文パスワード掃除 旧グループポリシー基本設定（GPP）の cpassword、ログオンスクリプト・構築メモに残る平文パスワードを全削除。攻撃者が最初に漁る場所。 小 危険な委任設定の排除 「無制限の委任（Unconstrained Delegation）」が付いたサーバーは Tier 0 と同義になる。制約付き委任（できればリソースベース）へ移行し、不要な委任は削除。 中 NTLMv1 無効化・SMB署名必須・LDAP署名/チャネルバインディング 中継攻撃（リレー）対策の基本セット。まず監査モードで影響を洗ってから強制。 中 DC の役割を「DC だけ」にする DC 上の印刷スプーラー無効化（PrintNightmare 系の定番経路）、不要な役割・共有・ソフトの同居禁止。DC には EDR を必ず入れる。 小 一般ユーザーの PC ドメイン参加権を0に 既定では一般ユーザーが10台までコンピュータアカウントを作成できる仕様（ms-DS-MachineAccountQuota）。攻撃の踏み台になるため 0 に変更。 小 AD CS（証明書サービス）の点検 利用している場合、ESC1系の脆弱なテンプレート設定は「一般ユーザー→ドメイン管理者」直行の特権昇格経路。テンプレート棚卸しを年1回。 中 DSRM・復旧系パスワードの金庫管理 DC のディレクトリサービス復元モードのパスワードは全 DC で個別化し、オフラインの金庫（紙・パスワードマネージャ）で管理。森の再建時に必ず要る。 小 DC の最新パッチ即時適用 Netlogon・Kerberos 系の Critical は「当月中」でなく1週間以内 。DC は台数が少なく即応可能なはず。 小
4-3. AD 固有の検知 — 「うるさい AD」にする
7章のログ戦略のうち、AD についてだけは自社で即時通知を仕込む価値がある。いずれも無償（タスクスケジューラ＋イベントトリガーで構築可）で、誤検知がほぼ出ない＝3名でも運用が続く ものだけを選んでいる。
検知対象 手がかり（イベントID等） 意味
特権グループのメンバー追加 4728 / 4732 / 4756（DC のセキュリティログ） 攻撃段階⑤の直前。即時対応 DCSync の兆候 4662 のうちレプリケーション権限（DS-Replication-Get-Changes 系 GUID）を DC 以外が行使 ハッシュ全取得の瞬間。最重要 DC への新規ソフト/サービス登録 7045（新規サービス）・EDR のアラート DC 上での永続化の定番 Kerberoasting の兆候 4769 が短時間に大量（RC4/弱い暗号での TGS 要求） 攻撃段階③。gMSA化が済んでいれば実害も出にくい 管理者アカウントのログオン失敗連続 4625 の閾値超過 パスワードスプレーの兆候
4-4. 攻撃者と同じ目で定期健診する（無償）
PingCastle（無償版）を四半期ごとに実行 ：AD の危険設定を自動採点し、HTML レポートで「どこから直すか」まで示してくれる。兼任3名にとって最も費用対効果の高い AD 施策のひとつ 。スコアの推移を経営報告の KPI にできる。Purple Knight（無償）も同様に併用可。BloodHound を自分たちで一度は回す ：攻撃者が見る「一般ユーザーから Domain Admins への最短経路」を可視化し、過剰な委任・危険な ACL・DA がログオンしている端末を潰す。検証は業務時間内・自社環境のみで実施し、結果ファイルは厳重管理。これらのレポートで見つかる指摘の多くは 4-1〜4-2 の項目に対応する。「診断 → 該当項目を潰す → 次の四半期に再診断」 のループを回すことが、AD 防御の運用そのもの。
4-5. 永続化対策と復旧 — AD は「作り直せる」状態にしておく
krbtgt パスワードの定期リセット（年2回・2回連続） ：Golden Ticket の無効化。手順化すれば毎回30分の作業。侵害対応時にも必須手順になるため、平時に一度経験しておくことが重要。AdminSDHolder・危険な ACL の点検（年1回） ：特権オブジェクトに紐づく ACL の改変は検知しづらい永続化手口。PingCastle / BloodHound の指摘で潰す。AD のシステム状態バックアップと「森の再建」手順 ：ランサム後の最悪シナリオは AD 全損。DC のシステム状態をオフライン保管を含めて バックアップ（8章の独立バックアップ基盤で）し、フォレスト復旧手順を文書化。年1回リストア演習（検証環境で可）。「AD が消えても3日で再建できる」と言えることが、身代金を払わない交渉力になる。 DC の緊急パッチは「速く・事故なく」当てる ：Netlogon/Kerberos 系の Critical を72時間以内に、しかし全DC同時適用で認証を止めない段階適用で。構成・体制・確認コマンド・タイムラインの実務は別ガイド「Active Directory 72時間パッチ運用ガイド 」に詳述。
5 エンドポイント — EDR は「MDR前提」で導入するEDR の導入自体は必須レベルになった。ただし EDR は「アラートを出す装置」であり、見る人がいなければ価値は半減どころか偽りの安心になる。
結論：EDR は MDR（Managed Detection and Response）とセットで契約する。 兼任3名で 24/365 のアラート監視・トリアージは不可能。深夜に始まるランサム展開を朝まで放置するくらいなら、監視・一次対応（端末隔離まで）を外部に委ね、自社は「隔離後の判断と復旧」に集中する。SOC の自社構築、フルSIEMの自前相関分析は明確に「やらない」 。
EDR＋MDR を全端末・全サーバーへ ：選定時は「MDR側で端末隔離まで代行してくれるか」「日本語で夜間に電話が来るか」を必須要件に。全ユーザーを標準ユーザー化 ：ローカル管理者権限を剥奪（LAPS とセット）。マルウェアの大半はこれだけで行動が制限される。パッチの自動化 ：OS は WSUS／クラウド管理で自動適用（クライアントは原則「全自動・翌週強制」）。ブラウザ・Office・PDF 等の資産上位アプリも自動更新を有効化。攻撃面の削減（無償で効く設定） ：Office マクロの既定ブロック（インターネット由来）、ASR ルール（Microsoft Defender の Attack Surface Reduction）、PowerShell の実行ログ（ScriptBlockLogging）有効化。アプリケーション制御は「サーバーから」 ：AppLocker/WDAC の全社展開は運用が重い。まず変化の少ないサーバー群に許可リスト型を適用し、クライアントは EDR＋標準ユーザー化で守るのが現実解。USB・外部メディア制御 ：既定禁止＋申請制の例外。EDR/資産管理ツールの機能で足りる。
6 内部ネットワークの分割 — 横移動に「段差」を作る境界の内側が平坦（フラット）なままだと、1台の侵害が全社の侵害に直結する。ゼロトラストのマイクロセグメンテーションまでは行かずとも、VLAN と ACL でできる分割で十分に効く。
最低限のセグメント ：①サーバー ②クライアント ③管理（機器管理・バックアップ）④ゲスト/私物 ⑤（該当あれば）OT・制御系。⑤は IT 系と物理または論理で厳格分離し、相互通信は明示的許可のみ。クライアント→サーバーは「必要なポートだけ」 ：業務アプリ・ファイル共有・認証など必要通信を洗い出し、L3 スイッチ／内部FWの ACL で絞る。特に RDP(3389)・SSH(22)・WinRM(5985/5986)・SMB(445) の管理系プロトコルは管理セグメントからのみ 許可。クライアント同士の通信を抑制 ：ワーム型の拡散・横移動の主経路。Windows ファイアウォールの GPO で「クライアントへのインバウンド SMB/RDP 拒否」を配るだけでも大きい（NAC 製品の導入は運用負荷から任意）。無線LAN ：社内SSIDは証明書ベース認証（EAP-TLS）を目標に、当面も WPA2/3-Enterprise。ゲスト・私物はインターネット直行の別セグメントで社内LANに触れさせない。拠点間 ：拠点も同じセグメント設計を適用し、拠点間で管理プロトコルを開けっ放しにしない。
7 ログと監視 — 3名の現実解原則：「集めて残す」は全部やる、「常時見る」は外部に任せる、「自分で見る」は厳選する。 ログはインシデント対応時に過去へ遡るための保険であり、毎日眺めるものではない。
7-1. 収集・保存（自動化して人手ゼロに）
ログ 価値 保存目標
EDR テレメトリ 侵害調査の主役。MDR 契約内で保存されることが多い 90日〜1年 AD／DC のセキュリティイベント 認証・特権変更の追跡。4624/4625/4728系ほか 1年 Proxy（認証付き） 「誰がどこへ」の外向き全記録。C2・持ち出し調査の要 1年 FW・VPN 境界の出入り。VPN は認証成功/失敗と接続元 1年 DNS クエリ 安価で検知価値が高い。Protective DNS 側の記録でも可 1年
保存先は専用の syslog／ログサーバー1台 （管理セグメント・ドメイン非参加）で十分。フル機能 SIEM 製品は必須ではない。
時刻同期（NTP）を全機器で統一。時刻がずれたログは調査で使えない。
7-2. 監視（見る仕事の分担）
誰が 何を
外部：MDR EDR アラートの 24/365 監視・トリアージ・端末隔離の一次対応。可能なら FW/VPN ログの監視オプションも同一ベンダーに寄せる（マネージドSIEM/XDR）。 自社：即時通知（数種のみ） ①特権グループ変更 ②VPN の海外からの認証成功 ③サーバーセグメント発の想定外インターネット通信 ④バックアップ失敗。「鳴ったら必ず対応する」件数に絞る のが継続のコツ。 自社：定期レビュー（月1回・1時間） MDR 月次レポート、Proxy のブロック上位、FW ルール変更履歴、パッチ適用率。月例会議の固定議題にする。
8 バックアップ — ランサムウェア前提の復旧力境界がすべて破られた場合の最後の防衛線。重要インフラ事業者にとっては「サービスを止めない／早く戻す」責務そのもの。
3-2-1-1-0 ルール ：3コピー・2種類の媒体・1つはオフサイト・1つはオフラインまたはイミュータブル（変更不可） ・リストア検証エラー0。ランサムは今や「バックアップを先に破壊」するため、後半の「1-0」が本丸。バックアップ基盤を AD から独立させる ：バックアップサーバーはドメイン非参加＋固有の認証＋管理セグメント。ドメイン管理者が奪われてもバックアップに手が届かない構造にする。復旧演習を年1回 ：「ファイル1個の戻し」ではなく、AD（DC）と基幹業務サーバー1式をまっさらな環境に戻す 訓練。所要時間を計測し、経営層に「復旧目標時間（RTO）」として報告する。優先復旧順位表を平時に作る ：①AD ②認証に必要な基盤（DNS/DHCP）③基幹業務 ④ファイルサーバー…の順で、事業部門と合意しておく。
9 資産・脆弱性・メール・人 — 足腰の衛生管理9-1. 資産管理と脆弱性管理
資産台帳を「正」として維持 ：ハード・OS・主要ソフト・管理者・設置セグメント。EDR/資産管理ツールのインベントリで自動化し、手作業の Excel 台帳を捨てる。月次の脆弱性スキャン ：社内は認証スキャン、外部公開面は ASM で。対応期限は Critical=1週間／High=1か月を目安に、境界機器のみ72時間ルール（3-4節）。EOL（サポート切れ）の追放計画 ：残存する古い OS・機器は台帳で顕在化し、更改計画に載せる。どうしても残る場合は専用セグメントに隔離。
9-2. メール（初期侵入の最多経路）
メールは外部サービス利用（公開サーバーを持たない方針と整合）。迷惑メール/マルウェアフィルタ・添付サンドボックスはサービス側の上位プランで賄う のが3名体制の解。
SPF / DKIM / DMARC を自社ドメインに設定 （DMARC は p=none で観測開始→ quarantine へ）。なりすまし対策は取引先保護でもある。訓練は「報告率」を指標に ：開封率を責めず、「怪しいメールを報告するボタン／窓口」の利用を根付かせる。年2回。
9-3. アカウント衛生
退職・異動時の即日無効化フローを人事と直結（月次で棚卸し）。
パスワードは「長さ優先（12文字以上）・使い回し禁止・漏えい時のみ変更」の現代的ポリシーへ。クラウドサービス利用分は全て MFA。
共有アカウントの根絶（やむを得ないものはパスワード金庫＋貸出記録）。
10 インシデント対応と外部連携重要インフラ事業者は「検知後」の段取りまでが義務。3名で戦うために、初動を紙1枚に固めて全員が暗記レベルにしておく。
10-1. 初動フロー（紙1枚）
隔離 ：対象端末を EDR でネットワーク隔離（MDR に依頼可能な体制にしておく）。電源は切らない（メモリ証拠の保全）。影響の当たり付け ：AD 特権が触られた形跡（特権グループ変更・DC への不審ログオン）があるか最優先で確認。連絡 ：社内エスカレーション（責任者→経営層）と、下表の外部連絡。「疑い段階で第一報」 が原則。封じ込めの拡大判断 ：VPN 全停止・インターネット遮断・セグメント遮断の発動条件を事前に決めておく（現場3名の裁量で即断できる権限委譲を平時に得ておく）。復旧 ：8章の優先順位表に従う。再発防止は落ち着いてから。
10-2. 外部連携先（平時に整備）
連絡先 目的・備考
所管省庁（分野別の報告窓口） 重要インフラ分野ごとの報告義務・基準に従う。報告様式と期限を平時に確認しておく。 NISC／セプター（CEPTOAR） 分野内の情報共有枠組み。注意喚起の受領経路としても登録。 JPCERT/CC・IPA インシデント報告・調整、注意喚起の購読。J-CSIP等の共有枠組みも分野により活用。 警察（都道府県サイバー窓口） ランサム・不正アクセスの被害届。ノーウェアランサム含め相談推奨。 IR（インシデントレスポンス）専門ベンダー 平時にリテイナー契約または緊急連絡先を確保 。事後に探すと初動が数日遅れる。サイバー保険の付帯サービスも確認。
机上演習を年1回 ：「月曜朝、ファイルサーバーが暗号化されていた」想定で、初動フロー・権限委譲・広報文案まで通す。半日で十分な効果がある。
11 3名で回す運用設計対策は「導入した日」ではなく「回り続けた月数」で効く。内製と外部委託の線引きと、年間の運用カレンダーを固定する。
11-1. 内製／外部委託の分担
業務 担い手 備考
24/365 の検知・一次対応（EDR） 外部 MDR 端末隔離までの権限委譲を契約に含める FW/VPN/Proxy ログの相関監視 外部（任意） マネージドSIEM/XDR。予算次第で段階導入 脆弱性診断（外部公開面・年1回） 外部 ASM の月次スキャンとは別に専門診断 フォレンジック・本格 IR 外部（リテイナー） 平時契約。自社は証拠保全と社内調整 境界・AD・セグメントの設計と変更 内製 自社の構成を一番知る3名の主戦場 パッチ・バックアップ・アカウント棚卸しの運用 内製（自動化前提） ツールで自動化し、人は例外処理のみ 封じ込め判断・復旧・経営報告 内製 権限委譲と手順書で個人依存を排除
11-2. 運用カレンダー（目安）
頻度 作業
随時 即時アラート対応（7-2の4種）／境界機器の緊急パッチ（72時間ルール） 週次 パッチ適用状況とバックアップ成功の確認（各15分） 月次 セキュリティ定例1時間（MDRレポート・脆弱性スキャン結果・アカウント棚卸し・例外申請レビュー）／ASM 外部スキャン 四半期 PingCastle による AD 健全性診断 → 指摘の改善（4-4のループ） 半期 FW ルール棚卸し／krbtgt リセット／標的型メール訓練 年次 復旧演習（AD＋基幹1式）／机上演習／外部脆弱性診断／NIST CSF 自己評価と経営報告／AD CS・委任・特権の総点検
属人化対策： 上記すべてに手順書（実行コマンド・画面・所要時間つき）を用意し、年1回は「普段やらない人」が実施する。3名のうち1名が欠けても回ることを演習で確認しておく。これも重要インフラ事業者の可用性責務の一部。
12 ロードマップ — 90日／1年／2〜3年すべてを同時にはできない。効果／コスト／難易度（CISA CPG 2.0 の考え方）で並べた推奨順。
期間 実施項目（上から順に）
〜90日 ① VPN 全員 MFA ② FW アウトバウンド既定拒否＋Proxy 強制 ③ Protective DNS ④ Windows LAPS ⑤ Domain Admins 削減と管理端末分離 ⑥ 特権変更アラート ⑦ PingCastle 初回診断 （SYSVOL平文・MachineAccountQuota 等の即直せる指摘を潰す）⑧ バックアップのイミュータブル化確認 ⑨ 初動フロー紙1枚と外部連絡先整備 ⑩ Office マクロ既定ブロック 〜1年 ① EDR＋MDR 全台展開 ② セグメント分割（サーバー/クライアント/管理/ゲスト）と管理プロトコル制限 ③ ログサーバー整備と保存1年 ④ 認証プロキシ化＋新規ドメインブロック ⑤ 復旧演習・机上演習の初回実施 ⑥ IR リテイナー／サイバー保険 ⑦ NTLM/SMB署名等の認証堅牢化 ⑧ DMARC 導入 2〜3年 ① サーバーへのアプリケーション制御（許可リスト） ② マネージドSIEM/XDR で境界ログも外部監視へ ③ EOL 機器の完全排除 ④ 無線の証明書認証化 ⑤ ゼロトラストへの布石 ：資産・ID 台帳の完全性、全クラウドサービスの SSO+MFA 集約、条件付きアクセスの試行——「境界の内側でも認証で検証する」文化を先に作る。SASE/ZTNA の本格検討は、クラウド利用比率が高まった時点で改めて判断
ゼロトラストとの関係（再掲）： 本ガイドの施策（MFA・最小権限・セグメント化・ログ・ID 衛生）は、そのままゼロトラスト移行の前提資産になる。「境界防御の高度化」は回り道ではなく、ゼロトラストへの最短の助走路 である。
13 総まとめチェックリスト効果◎○、導入コスト（€=有償投資）、運用負荷（3名視点）で一覧化。年1回の自己点検にも使える。
対策 効果 コスト 運用負荷 章
VPN の全員 MFA ◎ 低〜中 低 3 FW 出口 deny-by-default＋Proxy 強制 ◎ 低（設定） 低 3 Protective DNS ◎ 低 低 3 境界機器の72時間緊急パッチ体制 ◎ 低（体制） 中 3 Domain Admins 削減＋管理端末分離（Tier 0） ◎ 低 中 4 Windows LAPS ◎ 無償 低 4 特権グループ変更・DCSync 兆候アラート ○ 無償 低 4 PingCastle 四半期健診（→指摘改善のループ） ◎ 無償 低 4 SYSVOL平文掃除・危険な委任排除・Protected Users ○ 無償 中（初期） 4 EDR＋MDR（全端末・全サーバー） ◎ € 継続費 低（委託） 5 標準ユーザー化＋マクロ既定ブロック＋ASR ◎ 無償 中（初期） 5 セグメント分割＋管理プロトコル制限 ◎ 低〜中 中 6 ログ集約（AD/Proxy/FW/DNS・保存1年） ○ 低 低 7 イミュータブル／オフラインバックアップ＋年1復旧演習 ◎ € 中 中 8 資産台帳自動化＋月次脆弱性スキャン＋ASM ○ 低〜中 中 9 SPF/DKIM/DMARC＋報告文化の訓練 ○ 低 低 9 初動フロー・外部連絡先・IR リテイナー・机上演習 ◎ 低〜€ 低 10
14 参考資料外部リンクは作成時点のもの。金額・製品名を出していない箇所は意図的（陳腐化を避け、方針として長持ちさせるため）。