第5章 · セキュリティポリシーと手順·v1.0.0·更新 2026/7/20·読了目安 約17分
変更要約: 初版
5.5保護データ・侵入モデルとSOC指標
この節の要点
ネットワーク内で守るべき保護データ（PII・PHI・PSI・知的財産（IP））の識別、侵入を段階/要素で捉えるCyber Kill ChainとDiamond Model、そして対応の速さを測るSOC指標（検知/封じ込め/対応/制御までの時間）を、「この事象をどう分類し、どこを改善するか」という判断として学びます。
同じ侵害でも、盗まれたのが公開済みのカタログか、患者の医療記録かで、被害の重みも法的義務もまったく異なります。だからこそSOCは何が保護データかを識別できなければなりません。さらに、断片的なアラートを侵入モデル（Cyber Kill Chain・Diamond Model）に当てはめると、攻撃の全体像と「次に何が来るか」が見えてきます。そして自チームの強さはSOC指標（検知・封じ込め・対応・制御までの時間）で測り、改善します。この節では、これらを「事象の分類と改善の判断」として結びつけます。
5.5.1ネットワーク内の保護データ
- PII（個人を識別できる情報）＝氏名・住所・生年月日・マイナンバー等、個人を特定できる情報。PHI（保護対象の医療情報）＝診療記録・病歴・保険情報など医療に関わる個人情報で、規制（例：米HIPAA）が特に厳しい。漏えい時の影響と法的義務の重さから、両者は最優先の保護対象になる。
- PSI（機微な個人情報／決済関連情報）＝決済カード番号や特に機微な個人情報など、漏えい時の被害が大きい情報（PCI DSS等の規制対象を含む）。知的財産（IP：intellectual property）＝設計図・ソースコード・営業秘密など、組織の競争力の源泉。規制上の義務は薄くても、流出は事業に直接打撃を与える。どのデータ種別かで守り方・通知義務・優先度が変わる。
5.5.2侵入モデル
- Cyber Kill Chain（サイバーキルチェーン）＝Lockheed Martinが提唱した攻撃の7段階モデル：偵察（reconnaissance）→武器化（weaponization）→配送（delivery）→エクスプロイト（exploitation）→インストール（installation）→C2（command and control）→目的の実行（actions on objectives）。攻撃を段階で捉え、早い段階で断ち切るほど被害が小さいと考える。事象がどの段階かを見極めると次の一手が読める。
- Diamond Model（ダイヤモンドモデル）＝一つの侵入イベントを4つの頂点＝敵対者（adversary）・能力（capability）・インフラ（infrastructure）・被害者（victim）の関係で捉える分析モデル。ある頂点が分かると他の頂点を推定できる（例：使われたマルウェア＝能力から、C2サーバ＝インフラや敵対者を辿る）。段階のKill Chainと関係のDiamond Modelは補完的に使う。