3.3インシデント対応と組織

どれほど管理策を整備しても、インシデントの発生を完全にゼロにすることはできません。重要なのは、発生したインシデントにいかに早く気づき、正しい優先順位で対応し、被害を最小化するかです。この節では、組織内でその役割を担うCSIRT・SOCの機能と、実際のインシデント対応の流れ、さらに国内の情報セキュリティ関連組織との連携について学びます。特にトリアージ（優先順位付け）の判断は、支援士として現場で最も問われる実践スキルの一つです。

3.3.1CSIRTとSOCの役割分担

• CSIRT（Computer Security Incident Response Team）＝組織内でセキュリティインシデントの対応そのもの（連絡受付・トリアージ・調査・復旧・再発防止策の立案）を担うチーム。技術部門だけでなく、法務・広報・経営層との連携窓口としての機能も持つ。
• SOC（Security Operation Center）＝ログやアラートを24時間365日監視・検知することに特化した機能・組織。SIEM等のツールで異常を検知した場合、その情報をCSIRTに引き継いで実際の対応（インシデントレスポンス）を委ねる、という監視と対応の分業が典型的な体制。

3.3.2インシデントハンドリングとトリアージ

• インシデントハンドリングの典型的な流れ＝
  ①検知（SOCの監視や利用者からの通報等）
  ②連絡受付（CSIRTが一次情報を受け付け記録）
  ③トリアージ（複数のインシデント候補の緊急度・重要度を評価し対応順序を決める）
  ④インシデントレスポンス（封じ込め・根絶・復旧）
  ⑤報告（経営層・関係者・必要なら外部機関への報告）。
• トリアージの判断基準＝影響範囲（何件・どの資産に及ぶか）、深刻度（機密情報の漏えいか、単なる異常アクセス試行か）、拡大の速度（放置すればどれだけ早く被害が広がるか）を総合し、限られた人員を最も緊急度・重要度が高い事案から充てるための優先順位付けである。単純な「先に来た順」ではない点が重要。

ある企業のCSIRTメンバーが、深夜のシフトで同時に3件のアラートを受け取ったとします。
①社内向け業務システムへの、失敗を繰り返す不審なログイン試行（アカウントロックはまだ発生していない）、
②顧客データベースサーバからの、通常業務時間外の大量データ転送（過去にない通信パターン）、
③社内向けWikiページの改ざん（内容は軽微な誤字レベルの変更で、機密情報は含まれない）。限られた深夜対応要員でどれから着手すべきかを判断する際、トリアージの基準に沿って考えます。
②は顧客の個人情報という機密性の高いデータが、通常と異なるパターンで外部に流出しつつある可能性があり、影響範囲（多数の顧客）・深刻度（個人情報漏えい）・拡大速度（データ転送は今まさに進行中）のいずれも高いため、最優先で封じ込め（該当サーバの通信遮断等）に着手すべきインシデントです。
①はログイン試行が続いているものの、まだアカウントロックに至っておらず、被害が顕在化していない段階なので、
②の対応と並行して監視を強化しつつ、
②が落ち着き次第対応する次点の優先度です。
③は改ざんの内容が軽微で機密情報も含まれないため、深夜の緊急対応ではなく、翌営業日の通常対応で足りると判断できます。このように、トリアージは「先に来た順」ではなく、機密性・完全性・可用性への実害の大きさと、対応を遅らせた場合に被害がどれだけ拡大するかを天秤にかけて、限られたリソースを最も緊急度の高い事案に充てる意思決定です。

3.3.3バグバウンティと情報共有

• バグバウンティ（脆弱性報奨金制度）＝組織が自社製品・サービスの脆弱性を発見した外部の研究者に報奨金を支払う制度。組織内のリソースだけでは発見しきれない脆弱性を、外部の知見を活用して早期に発見・修正する狙いがある。
• J-CSIP（サイバー情報共有イニシアティブ）＝IPAが運営する、重要インフラ関連の企業間でサイバー攻撃に関する情報を共有する枠組み。一社の被害情報を業界内で共有することで、同様の攻撃による他社の被害を未然に防ぐ狙いがある。

3.3.4この節のまとめ

• SOC＝監視・検知に特化、CSIRT＝連絡受付・トリアージ・対応・復旧を担う。検知後にSOCからCSIRTへ引き継ぐのが典型
• トリアージ＝影響範囲・深刻度・拡大速度を総合した優先順位付け（受付順ではない）
• 国内組織はJPCERT/CC（調整）・NISC（政府政策）・IPA（普及啓発・届出）で役割が異なる。バグバウンティとJ-CSIPは外部知見・業界間の情報共有を活用する仕組み