5.4インシデント対応の実践

インシデントは「起きるかどうか」ではなく「いつ起きるか」という前提で備えるのが現代のセキュリティ管理です。実際にインシデントが発生したときに、手順を知っているかどうかで被害の拡大速度も、事後の説明責任の果たし方もまったく変わります。科目Bでは、検知から事後対応までの一連の流れの中で「今この場面で何をすべきか」を問う問題が中心になります。

5.4.1検知から復旧までの流れ

• 検知＝ログ監視・IDS/IPSのアラート・従業員からの通報などにより異常を把握する段階。初動＝検知直後に被害範囲の暫定的な把握と責任者への即時報告を行う段階。ここで判断を誤ると、後の封じ込めが後手に回ります。封じ込め＝被害の拡大を止めるため、感染端末のネットワーク隔離や該当アカウントの一時停止など、被害を現状より広げない対応を取る段階。
• 根絶＝封じ込め後、原因となったマルウェアの除去や、悪用された脆弱性の修正など、問題の元を取り除く段階。復旧＝根絶を確認した上で、バックアップからの復元やサービスの再開を行う段階。復旧を急ぐあまり根絶が不十分なまま元の状態に戻すと、同じ経路で再侵入されるリスクが残ります。この6段階（検知→初動→封じ込め→根絶→復旧→事後対応）の順序を飛ばさないことが実務の基本です。

5.4.2報告・広報と証拠保全

• 報告と広報＝社内向けには経営層・関係部署への段階的な報告（第一報は速報性重視・詳細は後追い）、社外向けには影響を受けた顧客・取引先への個別連絡、必要に応じたプレスリリース等の公表を行います。事実が確定していない段階で断定的な発表をすると後で訂正が必要になり信頼を損なうため、確定した事実と調査中の事項を区別して伝えることが重要です。
• 証拠保全＝インシデント対応の初期段階から、ログ・メモリダンプ・ディスクイメージなどの証拠となりうる情報を、変更・上書きされないよう保全する活動。原因調査や、場合によっては捜査機関への相談・法的対応に備えるため、復旧作業を急ぐあまり証拠となるログを消してしまうことのないよう、封じ込め・根絶の各段階と並行して証拠保全の手順を組み込んでおく必要があります。

5.4.3再発防止と関係機関への届出

• 事後対応（ポストモーテム）＝インシデント収束後、発生原因・対応の時系列・良かった点/改善点を整理し、報告書として記録する段階。個人の責任追及に終始せず、プロセスや仕組みの弱点を洗い出し、再発防止策（監視の強化、規程の見直し、教育の追加等）を具体的なアクションとして落とし込むことが目的です。
• 関係機関への届出＝インシデントの内容によっては、JPCERT/CC（コンピュータ緊急対応チーム）への情報提供や、個人情報の漏えいを伴う場合は個人情報保護委員会への報告、犯罪性が疑われる場合は警察への相談など、社内で完結させず外部の専門機関と連携することが求められます。自組織だけで抱え込まず早期に外部と連携することで、被害の全体像の把握や類似被害の防止につながります。

ある中堅企業で発生したランサムウェア感染への対応を例に、一連の流れを追ってみます。深夜、監視システムが特定サーバーでの異常な暗号化処理を検知し、当直担当者にアラートが飛びました。当直担当者は初動として、CSIRTの緊急連絡網に従い直ちにセキュリティ責任者へ報告するとともに、影響を受けていそうな範囲を暫定的に洗い出しました。ここで責任者は封じ込めの判断として、感染が疑われるサーバーをネットワークから即座に物理的に切り離す一方、まだ暗号化の兆候がない他のサーバー群は業務継続のため稼働を維持する、という被害範囲を見極めた対応を取りました。この際、担当者は復旧を急ぎたい気持ちを抑え、感染時点のメモリダンプとログを証拠保全用に別媒体へコピーしてから作業を進めました。翌朝、フォレンジック調査により侵入経路が「半年前から放置されていたVPN機器の既知の脆弱性」だと判明し、根絶の段階としてこの脆弱性の修正パッチを適用し、疑わしいマルウェアの残存がないことを確認しました。根絶を確認した後、初めてバックアップからのデータ復元とサービスの復旧に着手し、拙速な復旧による再侵入のリスクを避けました。並行して広報部門は、影響が確認された顧客に対してのみ個別連絡を行い、被害範囲がまだ調査中である事項については「現在調査中」と明示した中間報告を、断定を避けた形で社内外に発信しました。今回のインシデントには顧客の個人情報が一部含まれていたため、法務部門は個人情報保護委員会への報告の要否を確認するとともに、攻撃の手口が既知の脆弱性の悪用であったことからJPCERT/CCへの情報提供も行い、類似の被害が他組織に広がるのを防ぐ一助としました。収束から2週間後、CSIRTは事後対応（ポストモーテム）として、なぜ半年間もVPN機器のパッチが未適用のまま放置されていたのかという運用プロセスの弱点を洗い出し、「重要機器のパッチ適用状況を月次で棚卸しする」という再発防止策を具体的な担当者・期限つきで導入しました。この一連の対応から分かるように、各段階の順序を守ること、証拠保全を復旧より優先させること、断定を避けた透明性のある報告、そして個人の責任追及ではなくプロセスの弱点に着目した再発防止が、インシデント対応の実践における一貫した原則です。

5.4.4この節のまとめ

• インシデント対応は検知→初動→封じ込め→根絶→復旧→事後対応の順序を飛ばさない。根絶確認前の復旧は再侵入リスクを残す
• 証拠保全は初期段階から封じ込め/根絶と並行して行う。報告・広報は確定事実と調査中の事項を区別する
• 事後対応（ポストモーテム）は個人責任追及でなくプロセスの弱点に着目。必要に応じJPCERT/CC等の関係機関へ届出