5.4インシデント対応の要素

いざインシデントが起きたとき、その場の思いつきで動くのではなく、あらかじめ決めた文書と手順に沿って動ける組織が強い組織です。この節では、方針を示すポリシー・備えと動きを定める計画・具体的な作業を示す手順という3つの文書要素の役割の違いと、業界で広く参照されるNIST SP 800-61のインシデント対応ライフサイクル——準備→検知/分析→封じ込め/根絶/復旧→事後（教訓）——の各段階と順序を、入門レベルで学びます。順序を正しく押さえることが、この節の最大のねらいです。

5.4.1ポリシー・計画・手順の役割の違い

• ポリシー（方針）＝組織として「何を・なぜ守るか」「インシデントとは何か」「誰が責任を負うか」という上位の意思を示す文書。個別のやり方までは書かず、全体の方向性と原則を定める。経営の承認を受けた土台になる。
• 計画（プラン）＝ポリシーを受けて、どう備え、誰がどんな役割で、どんな流れで動くかを定める文書。連絡体制・役割分担・エスカレーション経路・必要なリソースなど、組織としての動き方の設計図にあたる。
• 手順（プロシージャ）＝計画を具体的な作業レベルに落とした手引き。「このアラートが出たらこのコマンドを実行し、この順で確認する」といった現場が実際に手を動かす詳細ステップ。ポリシー→計画→手順と抽象から具体へ降りていく関係。

5.4.2NIST SP 800-61 のライフサイクル

• ①準備（Preparation）＝事前の備え。体制・ツール・手順・訓練を整え、ログ収集や連絡網を用意しておく段階。
  ②検知/分析（Detection and Analysis）＝異常に気づき、本当にインシデントか・範囲や深刻度はどうかを見極める段階。まず「気づいて見極める」が先。
• ③封じ込め/根絶/復旧（Containment, Eradication and Recovery）＝被害の拡大を止め（封じ込め）、原因（マルウェア等）を取り除き（根絶）、正常な状態へ戻す（復旧）段階。検知/分析の後に来る点が重要——見極める前に闇雲に封じ込めない。
• ④事後（Post-Incident Activity＝教訓）＝対応を振り返り、「何がうまくいき、何を改善すべきか」を教訓としてまとめ、準備に反映する段階。ここで得た改善が次の
  ①準備を強くする。全体は準備→検知/分析→封じ込め/根絶/復旧→事後の順で回り、事後の学びが循環する。

ある朝、監視から「サーバの一台がマルウェアに感染した疑いがある」と連絡が来たとします。焦った担当者が「とにかく感染を止めよう」と、いきなりそのサーバをネットワークから切り離し、初期化して復旧まで一気に進めてしまったらどうなるでしょうか。一見スピーディーですが、これはNIST SP 800-61のライフサイクルの順序を飛ばした危うい対応です。まだ検知/分析が済んでいない——本当にインシデントなのか、感染範囲は一台だけか、どの経路で入られたか、を見極める前に封じ込め・根絶・復旧へ進んでしまったからです。範囲を確認せずに一台だけ初期化しても、実は他のサーバにも広がっていたり、原因の入口が塞がれていなければ再感染したりします。正しい流れは、まず
①準備で整えておいた体制と手順に沿って動き出し、
②検知/分析で「本当にインシデントか・範囲と深刻度はどうか」を見極め、その判断に基づいて
③封じ込め/根絶/復旧——拡大を止め、原因を取り除き、正常化する——を行い、最後に
④事後（教訓）で「初動でなぜ範囲確認を飛ばしそうになったか」を振り返って手順を改善し、次の準備に反映します。ここでの学びは、インシデント対応は気合や速さではなく、決められた順序（準備→検知/分析→封じ込め/根絶/復旧→事後）に沿って動くことであり、とりわけ「見極める前に封じ込めない」「終わったら教訓を次に活かす」という順序感覚が、被害の最小化と再発防止を分ける、という点です。

5.4.3この節のまとめ

• ポリシー（方針・何を/なぜ）→計画（備えと動き方の設計図）→手順（現場の詳細ステップ）と抽象から具体へ役割が分かれる
• NIST SP 800-61のライフサイクルは準備→検知/分析→封じ込め/根絶/復旧→事後（教訓）の順。順序を入れ替えない
• 見極める前に封じ込めない・事後の教訓を次の準備へ反映して循環させる、という順序感覚が被害最小化と再発防止を分ける