5.2NIST SP800-61 に基づくインシデント対応

インシデント対応が混乱するのは、たいてい「今が何の段階で、次に誰が何をするか」が共有されていないからです。NIST SP800-61は、この対応を4つの段階からなるライフサイクルとして体系化し、迷ったときの共通言語を与えます。この節では、事前に用意しておくIR計画の中身と、進行中の事象を段階に当てはめて次の一手を選ぶ判断の両方を扱います。「証拠を残すのが先か、まず止めるのが先か」といった現場の葛藤も、段階の理解があれば整理できます。

5.2.1IR計画に含める要素

• NIST SP800-61は、インシデント対応計画に含めるべき要素として、使命（mission）・戦略と目標・上級管理者の承認・組織としての対応方針・IRチームと組織内他部門との連携（コミュニケーション）・成熟度を測る指標（metrics）・プログラムを成熟させるロードマップ・組織全体の中でのIRの位置づけを挙げる。計画は文書として承認され、権限が裏打ちされていることが重要。
• 計画・手順（procedure）・方針（policy）は別物である。方針が「何をすべきか」の原則、計画が体制と全体像、手順（プレイブック）が「この事象で誰がどのコマンドを打つか」という具体手順。SOCの現場が迷わず動けるのは、この3層が事前に用意されているからである。

5.2.24段階のライフサイクル

• ①準備（Preparation）＝インシデントに備える段階。IRチーム編成・ツール整備・プレイブック作成・訓練・資産と通信経路の整備。
  ②検知と分析（Detection & Analysis）＝アラートやログから事象を検知し、真陽性か・影響範囲はどこか・侵害の兆候（IoC）は何かを見極める段階。ここでの分類・トリアージが後段の質を決める。
• ③封じ込め・根絶・復旧（Containment, Eradication & Recovery）＝被害拡大を止め（隔離・遮断）、原因（マルウェア・不正アカウント・脆弱性）を除去し、業務を正常状態に戻す段階。
  ④事後活動（Post-Incident Activity）＝教訓（lessons learned）を振り返り、検知・手順・防御を改善して次に備える段階。ここでの学びが
  ①準備へ還流し、ライフサイクルが回る。