「事故が起きたら、まず何から動けばいい?」
「CSIRTって、どんな役割のチーム?」
深夜、監視画面に不審な通信のアラートが上がった——そのとき、何から手をつけるか。順番が決まっていると、慌てずに動けます。
インシデント対応とは、セキュリティ事故が起きた時に被害を抑え、原因を取り除いて復旧するまでの一連の動きです。事故をゼロにするのではなく、起きてしまった後にどう動くかに焦点を当てる、現実的な考え方です。
この記事では、対応の6フェーズを1枚の流れ図でたどり、指揮を執るCSIRTの役割、そして初学者がやりがちな失敗まで押さえます。基本情報技術者のセキュリティ対策に効きます。事故を組織で防ぐ枠組みは 情報セキュリティマネジメントとは で扱っています。
1. インシデント対応は「起きた後」に効く
セキュリティインシデントとは、情報の安全をおびやかす出来事です。マルウェア感染、不正アクセス、情報漏えい、システム停止などが当てはまります。そしてインシデント対応は、事故に気づいてから、被害を最小限に抑えて元の状態に戻すまでの活動を指します。
2. 対応の6フェーズをたどる
対応は、決まった段階を順に進めます。あなたが慌てて順序を崩さないよう、6フェーズを流れ図で押さえてください。
とくに大切なのが初動と封じ込めです。最初に被害の広がりを止められるかで、その後の負担が大きく変わります。慌てて原因究明から始めず、まず広がりを止める。火事で、出火原因を調べる前に延焼を止めるのと同じ発想です。あなたが迷いやすいのが②トリアージで、これは限られた人手と時間の中で、どのインシデントから手をつけるかを判断すること。影響の大きいものから優先する、と決めておくと動けます。たとえば、1台の端末がマルウェアに感染したとき、まずその端末をネットワークから切り離す（封じ込め）。これで社内への広がりを止めてから、感染したマルウェアや侵入経路を取り除く（根絶）へ進みます。封じ込め（広がりを止める応急処置）と根絶（原因そのものを取り除く処置）は役割が違うので、混同しないよう分けて覚えましょう。各段階を飛ばさず、記録を残しながら順に進めることが、後の分析や報告もスムーズにします。
3. CSIRTは何をするチームか
対応の中心となるのがCSIRT（Computer Security Incident Response Team）です。「シーサート」と読み、インシデントに備え、起きた時に対応の指揮を執る専門チームを指します。役割は事故時の対応だけではありません。日ごろから情報を集めて備え、関係部署や外部とのやり取りの窓口にもなります。
事故対応では、技術担当・経営層・広報・法務など、立場の違う人が関わります。バラバラに動くと判断が食い違い、対応が遅れます。CSIRTはその間に立って情報を整理し、判断をつなぐ司令塔の役目を果たします。似た言葉のSOCは、日ごろの監視を専門に行うチーム。日常の監視で異変を見つけるのがSOC、事故が起きた後の対応をまとめるのがCSIRT、と役割が分かれます。両者の詳しい違いは CSIRTとSOCとは で押さえられます。あなたが試験でこの2つを見分ける鍵は「監視」か「指揮」かの一語です。監視で見つけ、指揮でさばく、と流れで覚えると取り違えません。
4. 初学者がやりがちな失敗
ここまでの流れを押さえたあなたが、それでもつまずきやすい2つの失敗を挙げます。手順を知っていても、この2点は現場でも試験でも取りこぼしやすいところです。慌てている場面ほど、ここで差がつきます。
- 直す前に記録を消す — 慌てて再起動や初期化をすると、原因の手がかり（ログや状態）が消えます。まず証拠保全、が鉄則です
- 報告を後回しにする — 悪い知らせほど、早く正確に。経営層は費用や事業影響を判断でき、状況によっては利用者や監督官庁への報告も要ります
証拠保全は、原因を調べるためにログや状態を残しておく作業です。あなたが感染した端末をよかれと思ってすぐ初期化すると、攻撃の痕跡もろとも消えてしまい、後の原因分析ができなくなります。どこから侵入され、何をされたのかが分からなければ、根絶も再発防止も手探りになります。だからこそ、直す前にまず記録を残す順序が効いてきます。「直す前に、まず記録を残す」という意識が欠かせません。報告も同じで、隠したり後回しにしたりすると、被害も信頼の損失も大きくなります。経営層への報告は対応の費用や事業への影響を判断してもらうために、外部への報告は状況によって利用者や監督官庁の求めに応じるために必要です。事実だけを整理し、判明している範囲を早めに共有する——この姿勢が、結果的に組織を守ります。あなたが「まだ全部分かっていないから」と報告をためらう間にも、被害は広がりうるからです。判明したことから小出しに伝える姿勢が、初動を早めます。
次のステップ
インシデント対応がセキュリティ分野のどこに入るかは、基本情報技術者試験 全体概要 で出題範囲と受験フローを見渡せます。
対応フローやCSIRTの手ごたえは、基本情報技術者 セキュリティ問題集 で、運用系の設問を解いて確かめられます。