「事故が起きたら、まず何から動けばいい？」
「CSIRTって、どんな役割のチーム？」
そんな疑問を抱える、これから基本情報技術者を目指すあなたへ。
結論から言えば、
インシデント対応とは、セキュリティ事故が起きた時に被害を抑え、原因を取り除いて復旧するまでの一連の動きのことです。
この記事では、インシデント対応の流れ、専門チームであるCSIRTの役割、そして証拠保全と報告の進め方まで、基本情報技術者の試験範囲を初心者向けにやさしく解説します。
1. セキュリティインシデントとは
まずあなたに、言葉の意味から掴んでもらいます。
セキュリティインシデントとは、情報の安全をおびやかす出来事のことです。マルウェア感染、不正アクセス、情報の漏えい、システムの停止などが当てはまります。
そしてインシデント対応（インシデントレスポンス）は、それらの事故に気づいてから、被害を最小限に抑えて元の状態に戻すまでの活動を指します。事故をゼロにするのではなく、起きてしまった後にどう動くかに焦点を当てる、現実的な考え方です。
イメージとしては「火事のときの動き」に近いです。火元を確かめ、燃え広がりを止め、消火し、後片付けと再発防止を考える。インシデント対応も、同じように決められた順序で動きます。
基本情報技術者試験では、対応の「順序」と、CSIRTという専門チームの役割が問われます。慌てて動くのではなく、段階を踏むことが大切だと押さえておきましょう。
覚えておきたい要点：インシデント対応は「事故を防ぐ」より「起きた後にどう動くか」に重きを置きます。被害を抑え、原因を取り除き、再発を防ぐまでが範囲です。
2. 対応フローの全体像
次にあなたに知ってほしいのが、対応の流れです。一般に、次のような段階を順に進めます。
- 検知・受付：おかしな兆候に気づき、インシデントとして受け付ける
- 初動・トリアージ：影響範囲を見積もり、対応の優先度を決める
- 封じ込め：被害の拡大を止める（端末の隔離・通信の遮断など）
- 根絶：原因となったマルウェアや侵入経路を取り除く
- 復旧：システムを安全な状態に戻し、通常運用へ
- 事後対応：原因分析と再発防止、記録の整理
とくに大切なのが初動と封じ込めです。最初に被害の広がりを止められるかどうかで、その後の負担が大きく変わります。慌てて原因究明から始めるのではなく、まず広がりを止めるのが基本です。火事でいえば、出火原因を調べる前に、まず延焼を止めるのと同じ発想です。
あなたが現場で迷いやすいのが、トリアージの段階だと思います。トリアージとは、限られた人手と時間の中で、どのインシデントから手をつけるかを判断することです。影響の大きいものから優先する、という考え方を持っておくと動きやすくなります。
各段階を飛ばさずに進めることが、結果的にいちばんの近道になります。記録を残しながら順に動くことで、後の分析や報告もスムーズになります。順番を決めておくのは、混乱の中でも抜け漏れを防ぐための工夫でもあります。
「封じ込め」と「根絶」は混同しやすいところです。封じ込めは広がりを止める応急処置、根絶は原因そのものを取り除く処置、と役割が分かれています。
3. CSIRT の役割
あなたが押さえておきたいのが、対応の中心となるチーム、CSIRTです。
CSIRT（Computer Security Incident Response Team）とは、インシデントに備え、起きた時に対応の指揮を執る専門チームのことです。「シーサート」と読みます。
CSIRTの役割は、事故が起きた時の対応だけではありません。日ごろから情報を集めて備え、関係する部署や外部とのやり取りの窓口にもなります。社内の消防団のような存在、とイメージすると分かりやすいです。
事故対応では、技術担当・経営層・広報・法務など、立場の違う人たちが関わります。CSIRTはその間に立って、情報を整理し、判断をつなぐ役目を担います。一人で抱え込まず、チームで動くための仕組みです。
似た役割の言葉に SOC（セキュリティ監視を専門に行うチーム）もあります。日ごろの監視を担うのが SOC、事故が起きた時の対応をまとめるのが CSIRT、と役割が分かれていると整理しておくと、用語を取り違えにくくなります。
CSIRTの要点：平時は備えと情報収集、有事は対応の指揮と窓口。組織内外の橋渡しをして、混乱の中でも対応を前に進めます。
4. 証拠保全と報告
では、あなたが見落としやすい2つの要素、証拠保全と報告にも触れておきます。対応と同時に進める大切な作業です。
証拠保全とは、原因を調べるためにログや状態を残しておくことです。慌てて再起動したり初期化したりすると、原因の手がかりが消えてしまいます。「直す前に、まず記録を残す」という意識が欠かせません。
そして報告も重要です。経営層への報告は、対応にかかる費用や事業への影響を判断してもらうために必要です。状況によっては、利用者や監督官庁など外部への報告が求められることもあります。
悪い知らせほど、早く・正確に伝えるのが基本です。隠したり後回しにしたりすると、被害も信頼の損失も大きくなりがちです。事実だけを整理して、判明している範囲を早めに共有する姿勢が、結果的に組織を守ります。こうした体制づくりの全体像は 情報セキュリティマネジメントとは で扱っています。
標的型攻撃のように、気づきにくく潜伏する攻撃では、証拠保全の価値がとくに高まります。手口の詳しい解説は 標的型攻撃とは もあわせてどうぞ。
5. まとめ: 今日からできる、最初の一歩
ここまでをあなたと一緒に振り返ります。
インシデント対応のポイントは 3つ でした。
（1）順序を踏む：検知→初動→封じ込め→根絶→復旧→事後の流れ
（2）CSIRT：備えと対応の指揮を執る専門チーム
（3）保全と報告：直す前に記録、悪い知らせほど早く正確に
これは 基本情報技術者 科目A セキュリティ で問われやすい運用面のテーマです。
今日からできる最初の一歩は、とてもシンプルです。
1. 対応フローの6段階を順番に言ってみる（3分）
2. 「封じ込め＝広がりを止める／根絶＝原因を取り除く」を区別する（2分）
3. 下の問題集で1問だけ解いてみる（10分）
たった15分で、あなたのインシデント対応の理解は試験で戦えるレベルまで動き出します。順序とチームの役割を掴めば、運用系の問題でも落ち着いて選べます。
次のステップ
- 情報セキュリティマネジメントとは — 組織としての守りの仕組み
- 標的型攻撃とは — 気づきにくい攻撃の手口と対策
- マルウェアとは — インシデントの主因となる悪意あるソフトの種類
- 基本情報技術者試験 全体概要 — 試験範囲・受験フローのまとめ（T1）