5インシデント対応

• 5.1セキュリティイベント監視とエスカレーション

  ログを一箇所に集めて相関分析するSIEMと、検知後の対応を自動化・オーケストレーションするSOARの役割の違い、パケットキャプチャや各種ログといったネットワークデータ監視の対象、そして「これは普段と違う」という不審イベントの識別と、いつエスカレーションすべきかの判断を、監視の入口として学びます。

• 5.2デジタルフォレンジックと攻撃の帰属

  攻撃を時系列の段階で捉えるCyber Kill Chain、攻撃者の手口をカタログ化したMITRE ATT&CK、事象を4要素で整理するDiamond Modelという帰属の枠組み、攻撃者の戦術・技術・手順を指すTTP、証拠源としてのアーティファクト、そして証拠の真正性を守る証拠保全とchain of custodyを、入門レベルで学びます。

• 5.3コンプライアンスフレームワークの影響

  カード情報のPCI-DSS、医療情報のHIPAA、EU個人データのGDPR、教育記録のFERPA、米連邦システムのFISMAという代表的な規制が「どのデータを守るためのものか」の対応関係と、侵害時にどこへ・いつまでに知らせるかという報告/通知要件が、インシデント対応の手順にどう影響するかを、入門レベルで学びます。

• 5.4インシデント対応の要素

  「あるべき方針」を示すポリシー、「どう備え・動くか」の計画、「具体的に何をするか」の手順という3つの文書要素の役割の違いと、NIST SP 800-61が示すインシデント対応ライフサイクル——準備→検知/分析→封じ込め/根絶/復旧→事後（教訓）——の各段階と順序を、入門レベルで学びます。