5.3ステークホルダーとデジタルフォレンジック

インシデント対応は技術者だけの仕事ではありません。法務・広報・人事・経営・場合によっては法執行機関まで、適切なステークホルダーを適切な役割で巻き込むことが成否を分けます。同時に、集めた証拠が後で法的に通用するかは、どの順序で・どう完全性を保ちながら集めたかで決まります。この節では、ステークホルダーの対応づけとフレームワーク（NIST IRカテゴリ・CMMC）、そしてNIST SP800-86のフォレンジック原則を、SOCアナリストが証拠を壊さずに動くための判断として学びます。

5.3.1ステークホルダーとフレームワーク

• ステークホルダーの対応づけ＝インシデントの種類・影響に応じて、誰を・いつ・どの役割で関与させるかを事前に決めること。経営（意思決定・承認）／法務（法的リスク・証拠の扱い）／広報（対外説明）／人事（内部不正・従業員対応）／IT/SOC（技術対応）／法執行機関（犯罪捜査）などを、影響区分に応じて動員する。関与の遅れや役割の混線は対応を致命的に遅らせる。
• NIST IRカテゴリ＝インシデントを機能的影響・情報影響・復旧可能性などの区分で分類し、通知すべき相手や対応の優先度を決める枠組み。CMMC（Cybersecurity Maturity Model Certification）は主に米国防関連のサプライチェーンに求められるセキュリティ成熟度の認証枠組みで、組織のプロセスがどの成熟レベルにあるかを段階的に評価する。両者とも「誰にどこまで対応義務があるか」を体系づける。

5.3.2NIST SP800-86 のフォレンジック原則