GuardPlan株式会社（本社：東京都渋谷区、代表取締役：森本 到史）は、サイバー攻撃や情報漏えいなどの重大インシデントが起きたときに組織が混乱せずに対応するための「サイバーインシデント対応マネジメント（CIRM：Cyber Incident Response Management）クラウド」として、「GuardPlan Response」を発表しました。あわせて、先行企業との共同検証を開始します。このサービスは、経営・法務・広報・事業部門・外部専門家にまたがる判断、対外説明のための文書づくり、関係者への連絡と配信を、AIとクラウドでひとつの流れにまとめ、即座に進められるようにするものです。
攻撃は防ぎきれない、問題は「攻撃を受けた直後」の混乱
同社は背景として、生成AIの普及により攻撃がより速く、より多くなっている点を挙げています。IPA「情報セキュリティ10大脅威 2026」（組織編）では「AIの利用をめぐるサイバーリスク」が初めて選ばれて3位に入りました。また警察庁によれば、2025年上半期のランサムウェア被害の約3分の2は中小企業だったとしています。どれだけ備えても、攻撃を完全に防ぐことは難しくなっているという認識です。
攻撃を受けた直後の担当者には、答えの決まっていない判断が一度に押し寄せます。業務を止めるのか続けるのか、どこまで紙や手作業で回すのか、公表するのか、するならいつ・どこまでか。取引先・顧客・当局・従業員の誰に、何を、どの順番で伝えるのか。判断の軸は事業継続、法令、契約、顧客や患者の安全、評判と多岐にわたり、しかも互いにぶつかり合います。同時に、組織の中では次のような混乱が起きるといいます。
- 判断の数が多すぎる：情報がそろわないまま、いくつもの判断を同時に迫られる
- 対外文書の作成が追いつかない：公表文、取引先や顧客への案内、従業員への指示、当局への報告書、想定問答を、限られた時間でゼロから作ることになる
- 誰が何をしているか分からない：電話・メール・チャットに指示が散らばり、担当と進捗が見えない
- この対応で正しいのか迷う：判断の拠りどころがなく、一つひとつの対応に確信が持てない
- 現場がどう動けばよいか分からない：指示が届かず、待つしかないまま時間が過ぎる
こうした混乱の中で判断が遅れたり説明を誤ったりすれば、攻撃そのものの被害に加え、事業停止の長期化や信頼の失墜という二次被害が生まれます。医療機関や重要インフラでは、人々の生命や安全にも関わります。さらに、攻撃後の組織対応に期限と説明責任が問われる場面も増えており、同社は次の制度を挙げています。
- サイバー対処能力強化法（2026年10月施行）：基幹インフラ事業者に、インシデントの報告が求められる
- 個人情報保護法：漏えい等が起きた場合、個人情報保護委員会への速報（把握から概ね3〜5日）と確報（30日以内、不正目的は60日以内）が必要
- 医療機関：医療法施行規則や厚生労働省のガイドラインで、サイバー攻撃を想定した事業継続計画の整備が求められている
CIRMの考え方を形にした「GuardPlan Response」
従来のサイバーセキュリティ対策は、攻撃の検知・防御や技術的な調査・復旧を中心に発展してきました。一方で重大インシデントの際には、経営陣による対策本部の設置と意思決定、法務・コンプライアンス部門による報告義務の確認、顧客・取引先への連絡と情報開示、広報部門による対外説明、事業部門による業務継続・代替手段の検討、外部のセキュリティ専門会社や法律専門家との連携なども同時に求められます。CIRMは、こうした組織全体の対応を技術対応とは別に体系立てて指揮する考え方です。日本ではこの部分を担当者の経験やメール、Excelで回している組織が少なくなく、特に専任のCSIRTを持たない組織では、誰が何を判断し、どの部門が何を実行するかをその場で一から整理することになるといいます。GuardPlan Responseは、インシデント対応に関わる情報、タスク、判断、承認、記録をひとつにまとめるクラウドで、主な機能は次のとおりです。
- 判断の整理：分かっていることだけで状況を登録すると、AIが足りない情報を質問し、事前に決めた手順に沿って、いま決めるべきことと選択肢、判断材料を整理。経営の承認と理由はそのまま記録に残る
- 対外文書の下書き：公表文、取引先や顧客への案内、従業員への指示、当局への報告書の下書きをAIが作成し、担当者は確認と修正に集中できる
- 連絡と配信：承認した指示や案内を、必要な関係者に一斉に配信し、確認状況も把握できる
- タスク・進捗の把握：社内の部門と社外の専門家のタスク・担当・進捗を一画面で把握でき、遅れはAIがリマインド
- 期限管理：速報・確報・契約上の通知期限を、把握した時点から管理
AIが担うのは質問・提案・下書きまでで、報告の要否や公表の判断は必ず担当者が確定する仕組みです。なお、これらは先行企業との共同検証を通じて仕上げていく機能で、正式提供時の仕様や提供範囲は変更となる場合があります。
発表記念として先行50社にサイバーBCPの策定・見直しを無料で支援
同社はCIRMの土台を「攻撃を受けたときに誰が何を決めるか」を平時に決めておくことだと位置づけています。そこで発表を記念し、サイバー攻撃でシステムが停止したときの事業継続計画（サイバーBCP）の策定・見直しを、先行50社に無料で提供します（2027年3月末まで）。各社の既存のBCPや緊急連絡体制を起点に、危機対応の専門家がオンライン2回のセッションで伴走します。概要は以下のとおりです。
- 内容：サイバー攻撃でシステムが停止した場合の初動・役割分担・代替業務・経営判断・社内外連絡を、1つのシナリオで整理（BCPがまだない企業も申込可）
- 進め方：STEP1でオンラインのヒアリング、STEP2でオンラインでのシナリオの整理を行い、STEP3として約3週間後にまとめ・お渡し
- お渡しするもの：シナリオ表（1枚）、連絡体制図、初動チェックリスト
- 費用：無料
- 想定する参加者：総務・情報システム・リスク管理などの担当者
- 協力事項：支援の中での気づきやサービスへの意見を伝えること、提供開始後にモニター企業としての参加を検討すること（導入・参加の約束は不要）
- 含まれないもの：全社BCPの新規策定、法令への適合性の保証、訓練・演習の実施、システムの技術的な調査・復旧作業
- 秘密保持：必要に応じて秘密保持契約を締結
医療機関や大学、IT企業をはじめ、さまざまな業種の企業・団体からすでに問い合わせが寄せられており、50社に達し次第、予告なく受付を終了する場合があります。申し込みは同社の無料サイバーBCP策定支援ページから、問い合わせ内容に「サイバーBCP策定支援」と記入して行います。同社は、基幹インフラ事業者（エネルギー、通信、交通、物流など）、医療機関、大学・研究機関、個人情報を多く扱うIT・SaaS・EC事業者や金融機関を、攻撃の影響が大きく組織対応や立て直しが急務となる分野として挙げています。
内部通報などの組織対応で培った知見をサイバー領域へ
2021年11月設立のGuardPlanは、これまで内部通報、コンプライアンス違反、ハラスメントなど企業内で発生する問題について、受付から調査、是正、再発防止までの対応を支援するクラウドサービスを展開してきました。半世紀以上にわたって研究・検証されてきた危機対応の知見を、組織が実際に使えるプラットフォームに落とし込んできた点を強みとしています。関係者の連携、対応手順の標準化、期限管理、経営判断、記録の保存といった課題はサイバーインシデントでも共通であり、GuardPlan Responseはこの組織対応マネジメントの考え方をサイバーセキュリティの領域へ広げるものです。
代表取締役の森本 到史氏は、「サイバー攻撃を完全に防ぐことは、もはや難しい時代になりました。いま組織に求められているのは、攻撃を受けたときにカオスに陥らずにどう対応するかです」とコメント。システムの復旧と並行して経営判断や現場対応、社外への説明を進めるための仕組みはまだ十分に整っていないとしたうえで、この領域をCIRMと呼び、これからの日本の組織に欠かせないものになると考えていると述べています。その第一歩として、各社がすでに持っているBCPを起点に、攻撃を受けたときに誰が何を決めるのかを一緒に整理するところから始めるとしています。
