5.4インシデント対応の実践

インシデントは「起きるかどうか」ではなく「いつ起きるか」という前提で備えるのが現代のセキュリティ管理です。実際にインシデントが発生したときに、手順を知っているかどうかで被害の拡大速度も、事後の説明責任の果たし方もまったく変わります。科目Bでは、検知から事後対応までの一連の流れの中で「今この場面で何をすべきか」を問う問題が中心になります。

5.4.1検知から復旧までの流れ

• 検知＝ログ監視・IDS/IPSのアラート・従業員からの通報などにより異常を把握する段階。初動＝検知直後に被害範囲の暫定的な把握と責任者への即時報告を行う段階。ここで判断を誤ると、後の封じ込めが後手に回ります。封じ込め＝被害の拡大を止めるため、感染端末のネットワーク隔離や該当アカウントの一時停止など、被害を現状より広げない対応を取る段階。
• 根絶＝封じ込め後、原因となったマルウェアの除去や、悪用された脆弱性の修正など、問題の元を取り除く段階。復旧＝根絶を確認した上で、バックアップからの復元やサービスの再開を行う段階。復旧を急ぐあまり根絶が不十分なまま元の状態に戻すと、同じ経路で再侵入されるリスクが残ります。この6段階（検知→初動→封じ込め→根絶→復旧→事後対応）の順序を飛ばさないことが実務の基本です。

5.4.2報告・広報と証拠保全

• 報告と広報＝社内向けには経営層・関係部署への段階的な報告（第一報は速報性重視・詳細は後追い）、社外向けには影響を受けた顧客・取引先への個別連絡、必要に応じたプレスリリース等の公表を行います。事実が確定していない段階で断定的な発表をすると後で訂正が必要になり信頼を損なうため、確定した事実と調査中の事項を区別して伝えることが重要です。
• 証拠保全＝インシデント対応の初期段階から、ログ・メモリダンプ・ディスクイメージなどの証拠となりうる情報を、変更・上書きされないよう保全する活動。原因調査や、場合によっては捜査機関への相談・法的対応に備えるため、復旧作業を急ぐあまり証拠となるログを消してしまうことのないよう、封じ込め・根絶の各段階と並行して証拠保全の手順を組み込んでおく必要があります。