インシデント対応と組織

1. インシデントが起きたら

おかしいと気づいた瞬間から、何を、どの順でやるのか。そして絶対にやってはいけないことが分かるようになります。

情報セキュリティインシデントとは、望ましくない、または予期しない情報セキュリティ事象のうち、事業運営を危うくし、情報セキュリティを脅かす可能性が高いものをいいます（JIS Q 27000）。「事象（イベント）」はログに残ったアラートや不審な通信など、まだ被害かどうか分からない出来事のこと。それを調べて「これはまずい」と判断されたものがインシデントです。マルウェア感染、ランサムウェアによる暗号化、不正アクセス、Webサイトの改ざん、メールの誤送信、USBメモリやノートPCの紛失・盗難、内部不正による情報の持ち出し、DoS攻撃によるサービス停止などが典型例です。

対応は「検知・受付 → 初動（トリアージ）→ 分析・調査 → 封じ込め・復旧 → 報告 → 再発防止」という流れで進みます。検知・受付は、利用者からの申告や監視のアラートを一つの窓口で受け止める段階。初動（トリアージ）は、影響範囲と緊急度を素早く見積もって優先順位を決め、誰を呼ぶかを決める段階です。分析・調査で原因と侵入経路を突き止め、封じ込め・復旧で被害の拡大を止めてから業務を戻し、報告で経営層や関係先に伝え、最後に再発防止策を決めて標準やルールに反映します。

利用部門の人にとって一番大事なのは、最初の数分の行動です。マルウェア感染が疑われる端末は、まずネットワークから切り離します（LANケーブルを抜く、無線LANをオフにする）。ほかの端末やサーバへ広がるのを止めるためです。そして電源は切ってはいけません。メモリ上のデータや通信の状態といった揮発性の情報は、電源を切ると消えてしまい、原因究明ができなくなるからです。

ほかにやってはいけないこと。ログを消したり、感染ファイルを自分で削除したりしない（証拠が失われます）。自分だけで解決しようとしない（判断を誤ると被害が広がり、発覚も遅れます）。攻撃メールに返信しない、添付ファイルやリンクを確認のために開き直さない（アドレスが有効だと相手に教えることになります）。ランサムウェアの身代金は、払っても復元される保証がなく、支払いは推奨されません。迷ったら、まず上長と情報セキュリティ担当（CSIRT）へ報告する、が正解です。

証拠保全とディジタルフォレンジックスも覚えておきましょう。フォレンジックスは、法的な証拠として使えるようにデータを収集・分析することです。原本のディスクを直接いじらず複製（イメージ）を取り、ハッシュ値で改ざんされていないことを示し、誰が・いつ・何をしたかという取扱いの記録（証拠の連鎖）を残します。記録は時刻・担当者・実施内容・判断の理由をその都度書き残すのが基本で、あとから報告書を書くときの土台になります。

エスカレーションは、決められた基準にしたがって上位者や専門チームへ引き上げることです。「自分の手に負えないと感じたら上げる」ではなく、「この条件に当てはまったら上げる」とあらかじめ決めておきます。連絡先は、経営層、社内の利用者、取引先や委託元、監督官庁（個人データの漏えいなら個人情報保護委員会）、犯罪の疑いがあれば警察。公表するかどうかは、被害者の保護と二次被害の防止という観点から経営層が判断します。

再発防止のところで、インシデント管理と問題管理の違いも押さえておきます。インシデント管理の目的はサービスをできるだけ早く復旧させること（暫定対応でもよい）。問題管理の目的は根本原因を突き止めて、同じことが二度と起きないようにすることです。目の前の火を消すのがインシデント管理、火元を直すのが問題管理、と考えると分かりやすいでしょう。

用語

情報セキュリティ事象

システムやサービス、ネットワークの状態で、セキュリティに関係する何かが起きたことを示す出来事。まだ被害かどうかは分からず、調査の結果インシデントと判断されることもあれば、問題なしで終わることもある。

情報セキュリティインシデント

望ましくない、または予期しない情報セキュリティ事象のうち、事業運営を危うくし、情報セキュリティを脅かす可能性が高いもの。感染・不正アクセス・紛失・誤送信・改ざんなどが該当する。

トリアージ

受け付けたインシデントの影響範囲と緊急度を短時間で見積もり、対応の優先順位と担当を決める初動の作業。もとは災害医療の用語で、限られた人手を重いものから順に割り当てるという考え方。

封じ込め

被害がこれ以上広がらないように、感染端末をネットワークから切り離す、侵害されたアカウントを停止する、通信を遮断するなどの手を打つこと。復旧より先に行うのが原則。

揮発性データ

メモリ上の情報、実行中のプロセス、確立中の通信など、電源を切ると消えてしまうデータ。攻撃の痕跡が残っていることが多いため、感染端末の電源を切らずネットワークだけ切り離す。

ディジタルフォレンジックス

不正アクセスや情報漏えいの原因究明・法的証拠の確保のために、機器やログのデータを保全し、分析して事実を明らかにする技術と手続の総称。原本は複製して扱う。

エスカレーション

あらかじめ決めた基準にしたがって、対応を上位者や専門チーム（CSIRTなど）へ引き上げること。判断が遅れると被害が広がるため、基準と連絡先を事前に決めておく。

インシデント管理と問題管理

インシデント管理はサービスの早期復旧が目的で、暫定的な回避策でもよい。問題管理は根本原因の究明と恒久対策による再発防止が目的。目的が違うので、別々の活動として管理する。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類2 情報セキュリティ管理（情報セキュリティインシデント管理）／JIS Q 27000（情報セキュリティ事象・インシデントの定義）

2. 守る組織をつくる

誰が見張り、誰が対応をまとめ、困ったときはどこへ相談するのか。社内外の役割分担が分かるようになります。

CSIRT（Computer Security Incident Response Team）は、インシデントの報告を受け付け、トリアージし、社内の対応をまとめる組織です。技術的な調査だけでなく、経営層への報告、関係部門との調整、外部機関との窓口、注意喚起の発信までを担います。多くの企業では専任者だけで作るのではなく、情報システム部門・法務・広報・人事などから人を集めた横断チームとして作り、平時は教育や訓練、脆弱性情報の収集を行います。大事なのは「困ったらここへ連絡すればよい」という単一の窓口があることです。

SOC（Security Operation Center）は、ネットワークやサーバ、端末を24時間365日監視し、ログやアラートから攻撃の兆候を見つけ出す組織です。SOCの中心は「検知」と「分析」で、見つけた事象を報告するところまで。そこから先の「どう対応するかを決めて、社内をまとめて動かす」のがCSIRTです。SOCは目、CSIRTは司令塔、と覚えると区別しやすくなります。SOCは外部の専門事業者に委託することも多く、その場合でも社内にCSIRTがないと判断ができません。

PSIRT（Product Security Incident Response Team）は、自社が販売・提供する製品やサービスの脆弱性に対応するチームです。守る対象が社内のシステムではなく「自社製品を使っている顧客」である点がCSIRTと違います。脆弱性の届出を受け付け、修正プログラムを作り、顧客へ告知します。

外部の窓口も覚えます。JPCERT/CC（JPCERTコーディネーションセンター）は、インシデントの報告を受け付け、関係者間の調整や海外CSIRTとの連携、注意喚起の発信を行う組織。IPA（情報処理推進機構）は、コンピュータウイルス・不正アクセス・脆弱性関連情報などの届出を受け付ける公的な窓口です。NISC（内閣サイバーセキュリティセンター）は、政府の司令塔として国全体の戦略や基準づくりを担ってきた組織で、2025年7月に内閣官房の国家サイバー統括室（NCO）へ発展的に改組されました（司令塔としての役割は引き継がれています）。犯罪の疑いがある場合は、都道府県警察のサイバー犯罪相談窓口へ相談します。

情報共有の枠組みもあります。J-CSIP（サイバー情報共有イニシアティブ）は、参加組織がIPAを介して標的型攻撃などの情報を共有し、早期の気づきにつなげる仕組み。J-CRAT（サイバーレスキュー隊）は、標的型攻撃の被害が疑われる組織に対し、IPAが被害の拡大防止を支援する活動。ISAC（アイザック）は、金融ISAC・ICT-ISACのように業界ごとに作られた情報共有・分析組織です。自分の会社だけで攻撃の全体像を見ることはできないので、外とつながることが防御になります。

脆弱性情報の届出制度も押さえます。ソフトウェア製品やWebサイトの脆弱性を見つけた人は、IPAへ届け出ます。IPAは受付・分析を行い、製品の脆弱性についてはJPCERT/CCが開発者との調整や公表日の設定を行い、対策情報はJVN（脆弱性対策情報ポータルサイト）で公表されます。この一連の枠組みが「情報セキュリティ早期警戒パートナーシップ」です。見つけた人が勝手に公表しないこと、そして許可なく他社のシステムを試さないことが前提になります。

検知を支える道具としては、各種ログを集めて相関分析し、単体では気づけない攻撃の兆候をあぶり出すSIEM、端末側の不審な挙動を検知して調査・隔離まで行うEDR、そして改ざんされないよう保護されたログ管理の仕組みがあります。ログは「取っているだけ」では意味がなく、保存期間を決め、定期的に確認し、必要なときに追跡できる状態にしておくことが求められます。

最後に演習と訓練。標的型攻撃メール訓練は、開封してしまった人を責めるためのものではなく、開いたときに速やかに窓口へ報告できるかを確かめ、報告しやすい空気をつくるためのものです。机上訓練（ウォークスルー）は、想定シナリオに沿って関係者が集まり、連絡・判断・報告の流れを口頭で確認する演習で、手順書の穴や連絡先の古さが見つかります。訓練の結果は必ず手順の見直しに反映します。

用語

CSIRT

インシデントの受付・トリアージ・対応の調整・外部機関との連絡・注意喚起を担う社内の中核チーム。平時は教育や訓練、脆弱性情報の収集を行う。単一の窓口として機能することが重要。

SOC

ネットワークや端末を常時監視し、ログやアラートから攻撃の兆候を検知・分析する組織。役割の中心は検知であり、対応方針の決定や社内調整はCSIRTが担う。外部委託されることも多い。

PSIRT

自社が提供する製品・サービスの脆弱性に対応するチーム。守る対象が自社内ではなく製品の利用者である点がCSIRTと異なり、脆弱性の受付、修正版の提供、顧客への告知を行う。

JPCERT/CC

インシデントの報告を受け付け、関係者間の調整や海外のCSIRTとの連携、注意喚起の発信を行う一般社団法人。製品脆弱性では開発者との調整と公表日の設定を担当する。

IPA

情報処理推進機構。ウイルス・不正アクセス・脆弱性関連情報などの届出を受け付ける公的な窓口で、J-CSIPの事務局やJ-CRATの活動、各種ガイドラインの公開も行っている。

J-CSIP

サイバー情報共有イニシアティブ。参加組織がIPAを介して標的型攻撃などの情報を共有し、他組織の被害の兆候を早期に把握できるようにする枠組み。共有情報は匿名化して展開される。

J-CRAT

サイバーレスキュー隊。標的型攻撃の被害が疑われる組織からの相談を受け、IPAが被害の拡大防止と早期対処を支援する活動。攻撃の連鎖を断ち切ることを狙いとする。

JVN

脆弱性対策情報ポータルサイト。IPAとJPCERT/CCが共同で運営し、届出・調整を経た脆弱性の対策情報を公表する。利用者はここで自社が使う製品の対策状況を確認できる。

SIEM

さまざまな機器やソフトのログを一か所に集め、相関分析して攻撃の兆候を見つける仕組み。単体のログでは気づけない一連の動きを結びつけて検知し、調査の起点になる。

EDR

端末（エンドポイント）の挙動を記録・監視し、不審な動きを検知して調査や隔離を行う仕組み。侵入されることを前提に、感染後にいかに早く気づいて広げないかを狙う対策。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類2 情報セキュリティ管理（CSIRT・インシデント管理・脆弱性情報の取扱い）／情報セキュリティ早期警戒パートナーシップ（IPA・JPCERT/CC）

3. 法令にもとづく報告と、監視のしくみ

個人データが漏れたときの報告義務と、組織を外から点検するシステム監査のルールが分かるようになります。

個人データの漏えい・滅失・毀損（あわせて漏えい等）が起きたとき、個人情報取扱事業者は、個人情報保護委員会への報告と、本人への通知を行う義務があります（個人情報保護法）。すべての漏えいが対象になるわけではなく、報告が必要になるのは次の4つの類型です。（1）要配慮個人情報が含まれる事態、（2）不正に利用されると財産的被害が生じるおそれがある事態（クレジットカード番号やログイン情報など）、（3）不正の目的をもって行われたおそれがある事態（不正アクセス、ランサムウェア、従業者による持ち出しなど）、（4）本人の数が1,000人を超える事態。実際に漏えいしたと確定していなくても、そのおそれがある段階で対象になります。

報告は2段階です。速報は、事態を知った後、速やかに（個人情報保護委員会の資料では発覚から概ね3〜5日以内が目安とされています）、その時点で分かっている範囲を報告します。確報は原則30日以内、（3）の不正の目的による類型は60日以内に、調査結果をまとめて報告します。分からないことがあるから報告しない、ではなく、まず速報を出すのが制度の考え方です。本人への通知も、事態の状況に応じて速やかに行います。連絡先が分からないなど通知が困難な場合は、ホームページでの公表や問合せ窓口の設置といった代替措置をとることが認められています。委託先で漏えいが起きた場合は、委託元へ通知することで委託先の報告義務が免除される扱いがあり、いずれにせよ報告そのものが消えるわけではありません。

経営層向けの指針としては、経済産業省とIPAが公開しているサイバーセキュリティ経営ガイドラインがあります。経営者が認識すべき3原則（経営者のリーダーシップ、自社だけでなく取引先を含めた対策、平時からの関係者との対話と情報共有）と、経営者がセキュリティ担当役員（CISO等）に指示すべき重要10項目からなり、体制の構築、リスクの把握、資源の確保、委託先の管理、インシデント発生時の緊急対応体制と復旧体制の整備、情報共有活動への参加などが並びます。セキュリティは技術の話ではなく経営の話だ、というのがこのガイドラインの土台です。

内部統制は、業務が適正に行われるように組織の中に組み込む仕組みのこと。職務分掌（一人に権限を集めない）、相互牽制、承認と記録、そしてITへの対応が柱になります。ITガバナンスは、経営陣がITの活用と統制の方向性を定め、実行を評価・監督して、企業価値の向上につなげる取組みです。統制を実際に回すのが現場、その方向を決めて監督するのが経営、という関係になります。

システム監査は、独立した立場のシステム監査人が、情報システムを点検・評価し、改善に向けた助言・勧告を行うものです。ここで最重要なのが独立性。監査人は、自分が設計・開発・運用に関与したシステムを監査してはいけません（自己監査の禁止）。外観上の独立性（被監査部門と利害関係がないこと）と、精神上の独立性（公正・客観的な判断を保つ姿勢）の両方が求められます。もう一つ、監査人は助言や勧告はしますが、対策そのものを実施する立場ではありません。改善を実施する責任は被監査部門にあります。監査人が自ら改善作業をしてしまうと、次の監査で自分の仕事を点検することになり、独立性が失われます。

監査の証拠になるのが監査証跡です。処理がいつ、誰によって、どのように行われたかを後から追跡できる記録（ログ、伝票、承認履歴など）で、監査人はこれを集めて監査調書としてまとめます。監査の手順は、監査計画の策定 → 予備調査（資料や体制の概要把握）→ 本調査（証拠の収集と評価）→ 評価・結論 → 監査報告書の提出 → フォローアップ（改善状況の確認）という流れです。フォローアップまでが監査であり、報告して終わりではありません。

監査の種類も整理しておきます。内部監査は、組織内の監査部門が自組織を対象に行うもので、経営に直結した改善につなげやすい一方、独立性の確保に工夫が要ります。外部監査は、組織の外の専門家が行うもので、客観性が高く、取引先や社会への説明に使えます。情報セキュリティ監査制度は、情報セキュリティ管理基準・情報セキュリティ監査基準にもとづいて行われる制度で、基準に照らして助言型または保証型の監査を実施します。

用語

漏えい等報告

個人データの漏えい・滅失・毀損またはそのおそれが生じたとき、個人情報保護委員会へ行う報告。要配慮個人情報、財産的被害のおそれ、不正の目的による行為、1,000人超の4類型が対象。

速報と確報

速報は事態を知った後、速やかに（発覚から概ね3〜5日以内が目安）、その時点で判明している内容を報告するもの。確報は原則30日以内（不正の目的による類型は60日以内）に調査結果をまとめて報告する。

本人への通知

漏えい等の事態を本人に知らせる義務。事態の状況に応じて速やかに行う。連絡先不明などで通知が困難なときは、公表や問合せ窓口の設置といった代替措置で代えることができる。

サイバーセキュリティ経営ガイドライン

経済産業省とIPAが公開する経営者向けの指針。経営者が認識すべき3原則と、担当役員に指示すべき重要10項目からなり、体制整備・委託先管理・緊急対応体制などを求めている。

内部統制

業務が適正に行われることを確保するために組織に組み込む仕組み。職務分掌、相互牽制、承認と記録、ITへの対応などからなり、整備と運用の責任は経営者にある。

システム監査人の独立性

被監査部門と利害関係を持たない外観上の独立性と、公正・客観的に判断する精神上の独立性。自分が開発・運用に関与したシステムを監査することはできない（自己監査の禁止）。

監査証跡

処理がいつ、誰によって、どのように行われたかを後から追跡できる記録。ログ、伝票、承認履歴などが該当し、監査人が事実を確かめる客観的な証拠になる。

フォローアップ

監査報告書で指摘した事項について、改善が実施されたかを後から確認する活動。改善の実施責任は被監査部門にあり、監査人は状況を確かめて必要なら再度助言する。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類2：企業と法務　中分類2：法務／マネジメント（システム監査）／個人情報保護法（漏えい等の報告・本人への通知）／個人情報保護委員会 公表資料／サイバーセキュリティ経営ガイドライン（経済産業省・IPA）

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。