5.4インシデント対応の要素

いざインシデントが起きたとき、その場の思いつきで動くのではなく、あらかじめ決めた文書と手順に沿って動ける組織が強い組織です。この節では、方針を示すポリシー・備えと動きを定める計画・具体的な作業を示す手順という3つの文書要素の役割の違いと、業界で広く参照されるNIST SP 800-61のインシデント対応ライフサイクル——準備→検知/分析→封じ込め/根絶/復旧→事後（教訓）——の各段階と順序を、入門レベルで学びます。順序を正しく押さえることが、この節の最大のねらいです。

5.4.1ポリシー・計画・手順の役割の違い

• ポリシー（方針）＝組織として「何を・なぜ守るか」「インシデントとは何か」「誰が責任を負うか」という上位の意思を示す文書。個別のやり方までは書かず、全体の方向性と原則を定める。経営の承認を受けた土台になる。
• 計画（プラン）＝ポリシーを受けて、どう備え、誰がどんな役割で、どんな流れで動くかを定める文書。連絡体制・役割分担・エスカレーション経路・必要なリソースなど、組織としての動き方の設計図にあたる。
• 手順（プロシージャ）＝計画を具体的な作業レベルに落とした手引き。「このアラートが出たらこのコマンドを実行し、この順で確認する」といった現場が実際に手を動かす詳細ステップ。ポリシー→計画→手順と抽象から具体へ降りていく関係。

5.4.2NIST SP 800-61 のライフサイクル

• ①準備（Preparation）＝事前の備え。体制・ツール・手順・訓練を整え、ログ収集や連絡網を用意しておく段階。
  ②検知/分析（Detection and Analysis）＝異常に気づき、本当にインシデントか・範囲や深刻度はどうかを見極める段階。まず「気づいて見極める」が先。
• ③封じ込め/根絶/復旧（Containment, Eradication and Recovery）＝被害の拡大を止め（封じ込め）、原因（マルウェア等）を取り除き（根絶）、正常な状態へ戻す（復旧）段階。検知/分析の後に来る点が重要——見極める前に闇雲に封じ込めない。
• ④事後（Post-Incident Activity＝教訓）＝対応を振り返り、「何がうまくいき、何を改善すべきか」を教訓としてまとめ、準備に反映する段階。ここで得た改善が次の
  ①準備を強くする。全体は準備→検知/分析→封じ込め/根絶/復旧→事後の順で回り、事後の学びが循環する。