《网络应对能力强化法》带来的安全事件应对剧变——系统运维一线需要做好哪些准备？【CTC系统管理公司研讨会报告】

2026年9月15日，本公司代表金筑敬晃在CTC系统管理株式会社的内部研讨会上发表演讲。演讲主题是将于2026年10月1日起主要条款正式实施的《网络应对能力强化法》。

据认为，该法律不仅将直接影响特定社会基础设施运营商，还将对支撑其系统开发和运维的IT企业产生重大的实际影响。因此，本文将基于演讲内容，介绍该法律实施后事件应对将发生哪些变化、系统公司应优先进行的准备工作，以及在解决一线难题方面“Incident Lake”所发挥的作用。

系统公司也难辞其咎——《网络应对能力强化法》的影响

在关于《网络应对能力强化法》的报道中，获取通信信息以及对攻击源服务器进行无害化处理等“主动网络防御”措施备受关注。然而，金筑指出，对民营企业实际业务影响更大的，反而是“官民合作”这一部分。

具体变化主要有两点。首先，信息资产申报将成为强制性要求。企业必须向国家申报其持有何种信息资产，以及其中哪些属于重要信息资产。此外，若申报内容发生变更，则需重新进行申报。

其次，是以“知悉”为起点的报告义务。以往，针对DDoS攻击和勒索软件等安全事件，报告主要集中在损失确认之后。但今后，报告义务将从“意识到可能发生安全事件的时刻”起产生。此外，以往的安全事件报告格式和报告标准由各公司、各团队自行决定。然而，该法施行后，相关企业自意识到DDoS攻击或勒索软件的时刻起即产生报告义务。报告格式也有明确规定，要求在意识到事件发生后的数日内，以规定的形式进行报告。

该法直接适用的“特定社会基础设施运营商”仅限于全国258家支撑国民生活和经济活动的企業，包括电力、自来水、燃气、通信、金融、铁路等。然而，这些运营商的系统并非仅靠一家企业就能独立运行。当重要基础设施运营商产生法律规定的申报义务或报告义务时，自然也会要求负责其IT实务的受托系统公司按照同等标准进行运营并迅速提供信息。此外，在供应链攻击中，防御能力相对较弱的交易伙伴可能会被用作入侵的跳板。由此可见，该法将对负责系统开发和运营的IT企业产生重大影响。此外，金筑还指出，该法的适用范围未来有可能扩大。该法计划在施行后3年左右对制度进行重新审视，参照以往法律修订的惯例来看，将适用范围扩大至一定规模以上的民营企业是完全有可能的。因此，金筑呼吁，即使目前尚未直接受该法约束，也必须尽早加深对该制度的理解并做好准备。

违规企业甚至可能面临刑事处罚！系统公司应优先采取哪些实务应对措施？

接下来，我们将按照事件响应的生命周期，分别讲解“准备”、“检测与响应”、“遏制与恢复”以及“事后处理”各阶段的变化。

1. 准备

首要义务是资产申报。相关企业必须向主管部委申报服务器架构以及数据库所用设备的名称、型号等信息。不仅在引进时，变更时也需进行申报。作为过渡措施，对施行时已投入使用的设备，申报期限截至2027年3月31日；对于新引进或变更的情况，原则上须在4个月内完成申报。违反规定将受到整改命令，若拒不执行，将被处以200万日元以下的罚款。需要特别注意的是，这是一项伴随刑事处罚的法律义务，一旦违反，可能会给企业带来声誉风险（谣言损害）。

申报对象不仅限于核心系统。防火墙、VPN设备、认证服务器、物理密钥等也广泛包含在内。必须对这些信息资产进行无遗漏的登记，并确保其信息始终保持最新状态。

当多家公司分工管理系统时，掌握整体情况也成为一项挑战。例如，如果A公司负责客户管理数据库，B公司负责库存管理数据库，即使掌握了各自的具体构成，也可能忽视了系统之间的依赖关系。为了准确申报资产，无论是经营者还是受托方，都必须掌握并管理包括这些依赖关系在内的整个系统。

2. 检测与分析

在检测与分析阶段，最大的变化在于报告义务的起算点。《网络应对能力强化法》规定，报告义务并非从确认受害或调查结束时开始，而是从知悉事件之时起即产生。因此，即使在尚未确认实际损失的阶段，也可能需要进行报告。

事件响应以警报触发为起点。随后，将进行分级处理，以判断是安全事件还是单纯的误报。如果此时认定发生安全事件的可能性极高，便会启动正式的安全事件响应，同时也会产生法律规定的报告义务。不过，也存在像勒索软件那样不会触发明确警报的情况，往往要等到数月后才通过系统延迟或可疑痕迹发现入侵。在这种情况下，报告期限将从察觉异常之时开始计算。

以往，不少组织主要围绕分诊后的应对措施制定流程，并将初步判断交由特定负责人负责。今后，建立能够迅速且依据统一标准进行分诊，并能记录判断结果的机制将至关重要。

需要特别注意的是，当SOC（安全运营中心）或MDR（托管检测与响应）等受托方与运营商之间的“认知”标准存在差异时的情况。即使受托方判断为“观望”，承担报告义务的仍是运营商一方，信息共享的延迟可能导致报告遗漏或延误。特别是在涉及多家公司的大规模项目中，此类风险会进一步增加。因此，受托方应与客户就认知标准达成一致。此外，还需在合同和运营两个层面建立机制，确保即使在调查尚未完成阶段，也能迅速共享重要迹象。

3. 控制与恢复

在遏制与恢复阶段，不仅需要考虑本公司，还需设想交易伙伴可能成为攻击跳板的状况。即使是非直接监管对象的企业，只要有可能通过供应链对核心基础设施运营商造成影响，未来也可能被要求采取报告等应对措施。

4. 后续活动

在事后处理阶段，工作流程也会发生变化。在报告书中，需要梳理事件概要、发生经过、受影响的设备、系统的运行状况以及与攻击相关的技术信息等。其中，影响范围和时间线部分的编写工作量尤为繁重。

如果信息分散在Slack或Teams的讨论串、个人笔记和工单中，就必须一边处理问题，一边重新收集报告所需的材料。相反，如果在处理过程中将检测时间、发现时间、判断、措施、影响范围等信息及时整理记录下来，只需对这些记录进行整理，就能完成报告的撰写。

此类记录不仅仅是为了符合法律法规要求。当发生类似故障时，如果能够检索到以往的判断和处理流程，将有助于加快故障控制和恢复的速度。也就是说，报告书并非在应对工作结束后才作为一种形式主义而编制的文件。而是在应对过程中就应留存记录，并将其转化为可用于下次应对及防止再次发生问题的宝贵资源。

当务之急是清点事件记录并制定分级处理标准

虽然这些合规措施均属必要，但要一次性全部落实并非易事。因此，金筑将企业应优先着手准备的工作归纳为以下两点。

(1) 将资产台账与事件记录关联起来
如果过去的事件记录仅零星保留，应首先进行盘点，梳理哪些信息资产发生了何种事件

(2) 将“认知”的定义和分诊标准以书面形式记录下来
建立一套机制，确保无需依赖特定负责人，任何人都能依据既定标准进行判断

金筑建议，首先优先处理这些问题，然后在未来一年左右的时间里，逐步落实以下要点。

(3) 自然地保留响应时间线
在响应过程中，即使有人试图记录，也容易遗漏何时检测到、何时意识到以及做出了何种判断等信息，因此尽可能实现自动化至关重要

(4) 将当局报告纳入事件指挥体系和培训中

(5) 从合同和运营两个方面设计与受托方及集团公司的报告流程

为什么事件记录的自动化如此重要？

目前，在事件报告方面，不少企业或部门仍采用各自的格式，在记录项目、信息详细程度以及响应速度等方面往往缺乏明确的标准。但今后，必须按照国家规定的格式进行报告。其中，“影响范围”和“时间线”尤为重要。

关于受影响范围，需说明在已申报的重要资产中，具体哪些部分受到了影响。关于时间线，必须记录由谁在何时发现问题以及采取了何种应对措施。报告所需的时间也应以发现问题的时间为基准。如果是勒索软件攻击，需在发现后的3至5天内报告；如果是DDoS攻击，则要求尽可能迅速地报告。此外，在提交初步报告后，还需在30天内提交详细报告。

这里需要特别注意的是节假日及长假期间的应对措施。例如，如果在连休前夕的深夜发生事件，导致应对工作拖延或报告延迟，仅此一项就可能导致逾期。因此，必须建立即使在夜间或长假期间也能持续记录的机制。

话虽如此，尽管大家明白留存记录和应对当局的必要性，但实际该如何应对却是另一个问题。若将目光投向一线，事件应对中存在着“依赖个人”这一根深蒂固的问题。

SIGQ于2026年开展的实况调查显示，72%的事件响应依赖于特定个人，89%的组织将关键人员的离职视为业务风险。在此背景下，若放任记录分散在聊天记录和个人笔记中的状况，自然容易导致“谁做出了什么判断、采取了何种应对措施”等记录丢失。

将“在处理过程中留存记录”制度化的Incident Lake

为了解决这些问题，SIGQ推出了事件响应平台“Incident Lake”。Incident Lake并非取代一线人员习惯使用的运维监控工具，而是通过在其上叠加“AI层”，在充分利用现有业务流程的同时，为事件响应提供支持。

具体而言，AI代理可与Teams、Slack等聊天工具直接集成，自动汇总有关事件响应的沟通内容。系统不仅会按时间顺序记录检测与识别的时间、后续判断及采取的措施，AI还会跨平台整理分散在聊天工具和内部工具中的信息，并总结当前状况。此外，通过与配置管理数据库的集成，还能协助确定影响范围。通过图表将实例和系统之间的依赖关系可视化，当发生故障时，可迅速掌握影响范围已波及至已申报的重要资产中的哪些部分。此外，AI还能协助处理事件响应中容易因人而异的分级和负责人选定工作。除了协助判断容易因人而异的严重程度外，系统还能分析其他运维监控工具中积累的历史数据，推荐具有相关处理经验的负责人，并提供类似事件及其解决方案。

关于报告书的编制，我们也准备了符合《网络应对能力强化法》规定必填项的模板。该机制由AI代理整理情况并制定应对方针及报告书草稿，再由人工审核并批准，从而确保即使负责人休假或不在岗，也能迅速作出应对。

可验证的记录是企业业务连续性和信誉的基石

最后，金筑总结道，应对《网络安全应对能力强化法》不应仅止于遵守法律法规，而应以此为契机，消除安全事件应对中的“个人依赖”现象，提升整个组织的应对能力。

在推进事件应对工作的同时，建立一套能够自然生成可验证记录的机制。这不仅有助于遵守法律法规，还能保障企业的业务连续性与社会公信力，并提升整个供应链的安全性。