変更要約: 初版
5.5保護データ・侵入モデルとSOC指標
ネットワーク内で守るべき保護データ（PII・PHI・PSI・知的財産（IP））の識別、侵入を段階/要素で捉えるCyber Kill ChainとDiamond Model、そして対応の速さを測るSOC指標（検知/封じ込め/対応/制御までの時間）を、「この事象をどう分類し、どこを改善するか」という判断として学びます。
同じ侵害でも、盗まれたのが公開済みのカタログか、患者の医療記録かで、被害の重みも法的義務もまったく異なります。だからこそSOCは何が保護データかを識別できなければなりません。さらに、断片的なアラートを侵入モデル（Cyber Kill Chain・Diamond Model）に当てはめると、攻撃の全体像と「次に何が来るか」が見えてきます。そして自チームの強さはSOC指標（検知・封じ込め・対応・制御までの時間）で測り、改善します。この節では、これらを「事象の分類と改善の判断」として結びつけます。
5.5.1ネットワーク内の保護データ
- PII（個人を識別できる情報）＝氏名・住所・生年月日・マイナンバー等、個人を特定できる情報。PHI（保護対象の医療情報）＝診療記録・病歴・保険情報など医療に関わる個人情報で、規制（例：米HIPAA）が特に厳しい。漏えい時の影響と法的義務の重さから、両者は最優先の保護対象になる。
- PSI（機微な個人情報／決済関連情報）＝決済カード番号や特に機微な個人情報など、漏えい時の被害が大きい情報（PCI DSS等の規制対象を含む）。知的財産（IP：intellectual property）＝設計図・ソースコード・営業秘密など、組織の競争力の源泉。規制上の義務は薄くても、流出は事業に直接打撃を与える。どのデータ種別かで守り方・通知義務・優先度が変わる。
5.5.2侵入モデル
- Cyber Kill Chain（サイバーキルチェーン）＝Lockheed Martinが提唱した攻撃の7段階モデル：偵察（reconnaissance）→武器化（weaponization）→配送（delivery）→エクスプロイト（exploitation）→インストール（installation）→C2（command and control）→目的の実行（actions on objectives）。攻撃を段階で捉え、早い段階で断ち切るほど被害が小さいと考える。事象がどの段階かを見極めると次の一手が読める。
- Diamond Model（ダイヤモンドモデル）＝一つの侵入イベントを4つの頂点＝敵対者（adversary）・能力（capability）・インフラ（infrastructure）・被害者（victim）の関係で捉える分析モデル。ある頂点が分かると他の頂点を推定できる（例：使われたマルウェア＝能力から、C2サーバ＝インフラや敵対者を辿る）。段階のKill Chainと関係のDiamond Modelは補完的に使う。
5.5.3SOC指標とスコープ分析
- SOC指標は対応の各段階に要した時間で運用力を測る：検知までの時間（time to detect）＝侵害発生から気付くまで、封じ込めまでの時間（time to contain）＝拡大を止めるまで、対応までの時間（time to respond）＝対応に着手するまで、制御までの時間（time to control）＝脅威を統制下に置くまで。これらが短いほど被害を抑えられる。
- これらの指標はスコープ分析（どこまで被害が及んだか）と結びつく。検知が遅れれば攻撃者の滞留時間が延び、侵害範囲は広がる。指標を継続的に測ると、どの段階が弱点か（例：検知は速いが封じ込めが遅い）が見え、投資や自動化の優先順位を根拠づけられる。指標は評価のためだけでなく改善の羅針盤である。
「保護データ＝PII（個人識別）/PHI（医療）/PSI（機微・決済）/IP（知的財産）」「Cyber Kill Chain＝偵察→武器化→配送→エクスプロイト→インストール→C2→目的実行の7段階」「Diamond Model＝敵対者・能力・インフラ・被害者の4頂点」「SOC指標＝検知/封じ込め/対応/制御までの時間」が頻出です。Kill Chainは段階、Diamondは要素/関係という違いを取り違えないこと。
ある製造業のSOCで、経営から「先月のインシデントは結局どういう攻撃で、うちの守りのどこが弱かったのか」と問われました。あなたは断片的なログをCyber Kill Chainに沿って並べ直します：役員宛の巧妙なフィッシング（配送）、開いた添付によるエクスプロイト、端末へのインストール、そして外部へのC2通信、最終的に設計図（知的財産（IP））の持ち出し（目的の実行）。こうして段階で並べると、「メールフィルタで配送を止められたはず」「EDRがあればインストールかC2で断てたはず」と、どの段階の防御が抜けたかが言語化できます。次にDiamond Modelで、使われたマルウェア（能力）と接続先C2（インフラ）から、同じ敵対者による類似攻撃の可能性を評価します。そして経営が本当に知りたい「守りの弱さ」は、SOC指標で定量化します。今回は検知までの時間が数週間と長く、その間に攻撃者が滞留してIPの持ち出しまで許してしまった一方、いったん検知した後の封じ込めまでの時間は短かった——つまり弱点は「対応の速さ」ではなく「気付くまでの遅さ」にあると分かります。ここで重要なのは、盗まれたデータが公開カタログではなく知的財産だったからこそ被害が重大で、しかもこの種の攻撃は規制通知の観点でPIIやPHIとは扱いが異なる、という保護データの識別が対応の優先度を決めた点です。侵入モデルで事象を分類し、SOC指標で弱点を数値化し、保護データの種別で重大性と義務を判断する——この三つを組み合わせて初めて、「次にどこへ投資すべきか（今回なら検知の高速化）」という経営に答えられる結論に到達できます。
| 観点 | 内容 | SOCでの使いどころ |
|---|---|---|
| 保護データ | PII/PHI/PSI/IP の識別 | 重大性・通知義務・保護優先度の判断 |
| Cyber Kill Chain | 攻撃の7段階（偵察〜目的実行） | どの段階で断てたか・次の一手の予測 |
| Diamond Model | 敵対者・能力・インフラ・被害者の4頂点 | 既知の頂点から未知の頂点を推定 |
| SOC指標 | 検知/封じ込め/対応/制御までの時間 | 弱点段階の特定と改善投資の根拠 |
ひっかけ： 「Cyber Kill ChainとDiamond Modelは同じものの言い換え」は誤りです——Cyber Kill Chainは攻撃を時系列の7段階で捉え、Diamond Modelは一イベントを敵対者・能力・インフラ・被害者の4要素の関係で捉えます（段階 vs 関係）。また「SOC指標は長いほど丁寧で良い」は誤り＝検知/封じ込め/対応/制御までの時間は短いほど滞留時間と被害を抑えられます。
5.5.4この節のまとめ
- 保護データはPII（個人識別）/PHI（医療）/PSI（機微・決済）/IP（知的財産）で識別し、種別により重大性・通知義務・優先度が変わる
- Cyber Kill Chainは攻撃の7段階、Diamond Modelは敵対者・能力・インフラ・被害者の4頂点。段階と関係で相補的に事象を分類する
- SOC指標（検知/封じ込め/対応/制御までの時間）は短いほど良く、弱点段階を特定して改善投資を根拠づける羅針盤になる
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 侵害調査で断片的なログを「偵察→武器化→配送→エクスプロイト→インストール→C2→目的の実行」の時系列で並べ、各段階でどの防御が抜けたかを評価したい。この分析に最も適したモデルはどれか。
Q2. 事後レビューで、侵害の発生から気付くまでに数週間かかっていた一方、検知後に拡大を止めるまでは短時間だったと判明した。SOC指標の観点で、改善投資を優先すべき弱点はどれか。
Q3. あるインシデントで、外部へ流出したのが患者の診療記録だった。別のインシデントでは製品の設計図（ソースコードや営業秘密）が流出した。これらの保護データの種別として最も適切な組み合わせはどれか。