インシデント対応とマネジメント

セキュリティ対策を講じていても、インシデント（セキュリティ事故）の発生を完全にゼロにすることはできない。試験では、インシデントが発生した後にどのような手順で対応するか、その対応を誰が担うか、そして組織として対策を継続的に改善していく仕組みがどうなっているかが問われる。ここでは「対応の流れ」「対応を担う組織」「継続的改善の枠組み」の3つに分けて整理する。

インシデント対応の基本フロー

インシデント対応は、思いつきで場当たり的に行うものではなく、一般的に次のような段階を踏んで進められる。

• 検知：IDS/IPSやSIEM、ログ監視などにより、不審な通信やシステムの異常を発見する。
• トリアージ・分析：検知した事象が本当にインシデントかを判断し、影響範囲や深刻度を分析して対応の優先順位を決める。
• 封じ込め：感染端末のネットワーク隔離など、被害のこれ以上の拡大を防ぐための応急処置を行う。
• 根絶：マルウェアの駆除や脆弱性の是正など、インシデントの原因そのものを取り除く。
• 復旧：システムを正常な状態に戻し、監視を強化しながら平常運用に復帰する。
• 事後対応：対応内容を記録し、原因分析の結果をもとに再発防止策をまとめ、報告する。

「封じ込め」と「根絶」は混同しやすい。封じ込めは被害拡大を止めるための応急処置（例：ネットワーク隔離）、根絶は原因そのものを取り除く恒久対策（例：マルウェア駆除、脆弱性修正）という違いで区別する。

CSIRTとSOCの役割分担

インシデント対応に関わる組織として、CSIRTとSOCがよく対比される。

• CSIRT（Computer Security Incident Response Team）：インシデント発生後の対応（分析・封じ込め・根絶・復旧・報告）を専門に担うチーム。社内に設置される組織内CSIRTのほか、国内の情報収集・注意喚起・調整を担うJPCERT/CCのような組織横断型のCSIRTもある。
• SOC（Security Operation Center）：24時間365日体制でネットワークやシステムを監視し、攻撃の兆候をいち早く検知することを専門に担う組織・拠点。

両者は連携して機能するが、役割の重心が異なる。SOCが「平時の監視・検知」を担い、異常を検知した後の「有事の対応」をCSIRTが引き継ぐ、という分担で理解しておくとよい。

SOCは「検知」中心、CSIRTは「対応」中心。試験では「24時間監視して異常を検知する組織はどれか」「発生したインシデントの分析・復旧を担う組織はどれか」のように役割で問われるため、名称と役割をセットで覚える。

ISMSにおけるPDCAサイクル

個別のインシデントに対応するだけでなく、組織として情報セキュリティを継続的に維持・改善していく仕組みがISMS（Information Security Management System：情報セキュリティマネジメントシステム）である。ISO/IEC 27001はISMSの国際規格として広く知られている。ISMSはPDCAサイクルを回すことで、対策を一度きりで終わらせず継続的に改善していく点が特徴である。

• Plan：リスクアセスメントを行い、セキュリティ方針や対策の目標を策定する。
• Do：策定した対策を実際に導入し、運用する。
• Check：内部監査などを通じて、対策の運用状況や有効性を点検・評価する。
• Act：Checkの結果をもとに、方針や対策の見直し・是正処置を行う。

Actの結果は次のPlanに反映され、サイクルとして繰り返し回されていく。これにより、環境や脅威の変化に合わせてセキュリティ対策を継続的にアップデートできる。

「内部監査はどの段階か」は頻出のポイント。内部監査は対策を評価するCheck段階に位置づけられ、その評価結果を受けた見直し・是正はAct段階で行われる、という順序を混同しないようにする。

試験対策としては、「インシデント対応の6段階（検知〜事後対応）」「対応を担う組織（CSIRT／SOC）の役割分担」「ISMSのPDCAサイクル」という3つの枠組みを分けて整理し、それぞれの段階・組織が何を指すのかをキーワードで即座に判断できるようにしておくとよい。