セキュリティ事故対応（インシデントレスポンス）の初動手順マニュアル

インシデントレスポンスの4段階フェーズ

インシデント対応は、NIST SP 800-61（Computer Security Incident Handling Guide）に基づくと以下の4つのフェーズに分けられます。なお、ISO/IEC 27035ではこれを「計画・準備」「検知・報告」「評価・決定」「対応」「教訓化」の5フェーズとして整理していますが、実施すべき活動の中身はおおむね対応しています。各フェーズを順序立てて進めることで、事故対応の漏れを防ぎ、効果的な復旧と再発防止につながります。

フェーズ1：準備

CSIRTの構築

CSIRT（Computer Security Incident Response Team）は、セキュリティ事故に対応する専任チームです。組織規模に応じて、IT部門長、セキュリティ担当者、法務、経営管理などが構成メンバーになります。平時には、各メンバーの連絡先リスト、役割分担、意思決定プロセスを定めておくことが重要です。実際の事故が起きた際に「誰に何を聞けばいいのか」が不明確だと、対応が遅れます。

ツール・インフラの整備

ネットワークの異常を自動検知するシステム（SIEM等）、エンドポイントの脅威を検知するツール（EDR等）、アクセスログの記録システムなどが整備されていることが前提です。これらが整備されていなければ、事故の早期発見が難しくなります。

定期的な訓練

インシデント対応マニュアルを作成しても、訓練なしに実際の事故時に機能することはありません。年1回以上の対応訓練（タビュレトップ演習や机上演習）を実施し、各メンバーの役割と手順を周知することが重要です。

フェーズ2：検知・分析（初動〜数時間）

アラート・報告の受け取り

セキュリティツール、従業員からの報告、外部からの通知など、さまざまな経路で事故の兆候が入ってきます。これらを一元的に受け取る体制を整えることが重要です。例えば、セキュリティ監視チームが24時間体制で監視を行い、事故の可能性がある場合は直ちにCSIRT責任者に報告するといった流れです。

初期調査と分類

事故の性質を初期段階で分類することで、その後の対応方針が決まります。情報漏えいの可能性があるのか、システムが停止しているのか、マルウェア感染の可能性があるのかといった分類です。分類に基づき、深刻度レベルを定め、対応の優先順位を付けます。

確認すべき項目は、異常が起きた日時、影響を受けたシステムの範囲、現在の状態（進行中か、既に終了しているか）、外部への情報流出の可能性などです。この段階ではまだ詳細が不明な場合が多いため「概算」で十分です。

経営層への報告

事故の可能性が判定された段階で、遅滞なく経営層に報告します。この時点での報告は「現在、セキュリティ事故の可能性が報告されました。詳細はまだ確認中です。進展があれば直ちにお知らせします」といった簡潔な形で構いません。重要なのは「透明性のある報告」と「報告の遅延の回避」です。

フェーズ3：抑止・根絶（数時間〜数日）

システムの隔離

ランサムウェア感染やネットワーク侵入が確認された場合は、感染したシステムを直ちにネットワークから切り離します。これにより、攻撃者による追加の悪意ある活動を防ぎます。隔離のタイミングが早いほど、被害の拡大を抑えられます。

影響範囲の把握

どのシステム、どのデータが侵害されたかを詳細に調査します。この段階では外部の専門家（フォレンジック企業）を支援を受けることが多いです。調査には、複数日から数週間を要することもあります。

マルウェアの削除・脆弱性の修復

検知されたマルウェアを削除し、悪用された脆弱性にパッチを当てます。部分的な削除やパッチ適用では、再侵入のリスクが残るため、完全な根絶を目指します。

フェーズ4：復旧・学習（数日〜数週間）

システムの復旧

隔離されたシステムを、段階的にネットワークに戻していきます。復旧の過程で、再度の侵入がないことを確認することが重要です。事前のバックアップから復旧する場合は、バックアップの作成日が事故の発生日より前であることを確認し、その時点で既に感染していないかを確認することが必要です。

報告書の作成

事故の原因、経過、影響範囲、採られた対応、今後の改善案などをまとめた報告書を作成します。報告書は、経営層への報告、規制当局への報告、社内の学習用として使われます。

再発防止策の立案と実装

事故の根本原因を特定し、同様の事故を防ぐための対策を検討します。例えば、侵入経路が既知の脆弱性を使われたものであれば、脆弱性管理プロセスの改善が必要です。内部者による盗難であれば、アクセス管理の強化が必要です。

法的義務と報告

個人情報が漏えいした場合は、個人情報保護法に基づき、個人情報保護委員会への報告と本人への通知が義務付けられています。報告は2段階で、まず「速報」を事態を知ってから速やかに（概ね3〜5日以内）、続いて「確報」を30日以内（不正アクセス等の不正な目的による漏えいの場合は60日以内）に行う必要があります。特定個人情報（マイナンバー）を含む場合も同様の枠組みで報告が求められます。報告の遅延は行政処分の対象になるため、初動段階での法務部門の関与が重要です。

よくある質問

まとめ

セキュリティ事故は、どの組織でも起こりうるものです。重要なのは「事故が起きないこと」だけでなく「起きたときに迅速に対応できる体制を整えること」です。インシデントレスポンスの4フェーズを参考に、組織に合わせたマニュアルを策定し、定期的な訓練を通じて組織内に浸透させることで、実際の事故時に冷静かつ効果的に対応できます。

特に、準備フェーズでの投資（CSIRT構築、ツール整備、訓練）が、実際の事故時の対応品質を大きく左右することを忘れてはいけません。

参考：NIST SP 800-61「Computer Security Incident Handling Guide」、ISO/IEC 27035「情報セキュリティインシデント管理」、経産省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」