インシデント対応とは？対応の流れとCSIRTの役割

ウイルスへの感染、不正なアクセス、情報の漏えい。こうしたセキュリティの事故（インシデント）が起きたときに、被害を抑えて元の状態に戻すための一連の動きが、インシデント対応です。事故は「起きないようにする」だけでなく、起きたときにどう動くかを決めておくことが、被害の大きさを左右します。

ここでは、インシデント対応とは何かを、対応の流れと各段階でやることから解説します。対応の中心になるCSIRTの役割や、SOCとの違いに加えて、インフラエンジニアがインシデント対応で担う仕事もまとめました。

インシデント対応とは？

セキュリティの事故に備え、対応すること

インシデント対応とは、セキュリティの事故が起きたときに、被害を最小限に抑え、元の状態に戻し、再発を防ぐための取り組みです。事故が起きてからの対応だけでなく、事前の準備も含みます。

インシデント対応の対象になる、主なセキュリティの事故は次のとおりです。

インシデントの例	内容
マルウェアへの感染	ウイルスやランサムウェアに、パソコンやサーバーが感染する
不正なアクセス	盗まれたパスワードや脆弱性を使われ、システムに入り込まれる
情報の漏えい	個人情報や機密の情報が、外部に流出する
サービスの妨害	大量の通信を送りつけられ、Webサービスが使えなくなる
内部の不正	社員や関係者が、情報を不正に持ち出す

障害対応との違い

インシデント対応と障害対応は、流れが似ていますが、目的と気をつける点が違います。

項目	障害対応	インシデント対応
きっかけ	機器の故障、設定のミス、処理の集中など	サイバー攻撃、情報の漏えい、内部の不正など
相手	主にシステムの不具合	攻撃者など、意図を持った相手がいることが多い
優先すること	サービスを早く元に戻す	被害の拡大を止め、証拠を残す
関わる人	主に運用・保守のチーム	経営層、法務、広報、外部の専門家なども加わる

インシデント対応では、攻撃者の痕跡（証拠）を残すことがとても大切です。障害対応のように、すぐに再起動したり、データを消して作り直したりすると、原因や被害の範囲が分からなくなることがあります。

障害対応の進め方は、［インフラエンジニアの障害対応とは］で解説しています。

インシデント対応が重要になっている理由

理由	内容
攻撃が防ぎきれない	ランサムウェアなどの攻撃が巧妙になり、入り込まれる前提で備える必要がある
被害が業務の停止につながる	システムが暗号化されるなどして、長い期間、業務が止まる例が増えている
報告の義務がある	個人情報の漏えいなどでは、国への報告や本人への通知が必要になる場合がある

個人情報の漏えいが起きたときは、個人情報保護委員会への報告が義務になる場合があります。報告の条件や期限は、個人情報保護委員会公式サイトで確認しておきましょう。

インシデント対応の流れ

全体の流れ

インシデント対応は、一般的に次の流れで進めます。アメリカのNIST（国立標準技術研究所）が公開しているガイドラインなどをもとに、多くの組織がこの考え方を取り入れています。

段階	やること
1. 準備	体制、連絡先、手順、ログの取り方を事前に決めておく
2. 検知と分析	異常に気づき、インシデントかどうか、どれくらい深刻かを見きわめる
3. 封じ込め	被害が広がらないように、影響のある機器や通信を切り離す
4. 根絶	マルウェアや、攻撃者が仕込んだ入り口を取り除く
5. 復旧	システムを安全な状態に戻し、業務を再開する
6. 事後の対応	原因と対応を振り返り、再発を防ぐ対策をとる

1. 準備

インシデントが起きてから慌てないように、事前に次のことを決めておきます。

準備すること	内容
体制と連絡先	誰が判断し、誰に連絡するかを決め、夜間や休日の連絡先も用意する
対応の手順	インシデントの種類ごとに、最初にやることをまとめておく
ログの取得	調査に必要なログを、十分な期間残せるようにしておく
バックアップ	ランサムウェアに備えて、ネットワークから切り離したバックアップも用意する
訓練	手順どおりに動けるかを、定期的に試す

とくにログとバックアップは、インフラエンジニアが中心になって整えるものです。ログが残っていなければ、何が起きたのかを調べられません。

2. 検知と分析

監視の仕組みや社員からの報告で異常に気づいたら、それが本当にインシデントかどうかを見きわめます。

確かめること	例
何が起きているか	怪しい通信、見覚えのないログイン、ファイルの暗号化など
どこまで広がっているか	1台のパソコンだけか、サーバーやほかのパソコンにも広がっているか
どれくらい深刻か	個人情報や機密の情報に関わるか、業務が止まっているか

深刻さによって、誰に報告し、どこまで対応するかが変わります。判断に迷ったら、早めに報告するのが原則です。

3〜5. 封じ込め・根絶・復旧

段階	主な対応の例
封じ込め	感染したパソコンをネットワークから切り離す、不正に使われたアカウントを止める、怪しい通信を遮断する
根絶	マルウェアを取り除く、攻撃に使われた脆弱性を修正する、パスワードを変更する
復旧	安全が確かめられたバックアップから戻す、監視を強めながら業務を再開する

封じ込めでは、電源を切るのではなく、ネットワークから切り離すことが基本とされます。電源を切ると、メモリに残っている攻撃の痕跡が消えてしまうためです。どう対応するかは、事前に決めた手順と、責任者の判断に従いましょう。

6. 事後の対応

インシデントが落ち着いたら、対応を振り返ります。

やること	内容
報告書をまとめる	何が起き、どう対応し、どんな被害があったかを記録する
原因を明らかにする	どこから入られ、なぜ防げなかったのかを調べる
再発防止の対策	設定の見直し、監視の強化、手順の改善などを行う
関係者への報告	必要に応じて、取引先や利用者、関係する機関に報告する

インシデント対応を担う組織と仕事

CSIRTとは

CSIRT（Computer Security Incident Response Team、読み方は「シーサート」）は、組織の中でインシデント対応を取りまとめるチームです。

役割	内容
対応の指揮	インシデントが起きたときに、対応の方針を決め、関係者を動かす
社内外の窓口	経営層や関係部署、外部の専門家、関係する機関とのやり取りを担う
情報の収集	新しい脆弱性や攻撃の情報を集め、社内に知らせる
平時の備え	手順の整備や訓練、社員への教育を行う

CSIRTは、専任のチームとして置く場合もあれば、情報システム部門などのメンバーが兼任する場合もあります。

SOCとの違い

組織	主な役割
SOC	ネットワークやシステムを24時間監視し、攻撃の兆しを見つけて知らせる
CSIRT	インシデントが起きたときに、組織としての対応を取りまとめる

SOCが「見つける」役割を担い、そこからの報告を受けてCSIRTが「組織として対応する」役割を担う、という形が一般的です。

SOCについては、［SOCとは］で解説しています。

インフラエンジニアが担う仕事

インシデント対応では、サーバーやネットワークを扱うインフラエンジニアの力が欠かせません。

段階	インフラエンジニアが担う仕事の例
準備	ログの取得とバックアップの仕組みづくり、構成図や連絡先の整備
検知と分析	サーバーや通信のログを調べ、怪しい動きの範囲を確かめる
封じ込め	ファイアウォールでの通信の遮断、機器のネットワークからの切り離し
根絶・復旧	パッチの適用、設定の見直し、バックアップからの復元
事後の対応	監視の強化、構成や設定の改善

インフラの構成を一番よく知っている人として、CSIRTの判断を技術の面から支えるのが、インフラエンジニアの役割です。

インシデント対応でよくある疑問

インシデントに気づいたら、まず何をすればいい？

慌てて自分だけで対応せず、決められた連絡先に、すぐ報告することが最優先です。そのうえで、手順に従って被害を広げないための対応をとります。気づいた時刻や画面の様子など、見たことを記録しておくことも大切です。

小さな会社でもCSIRTは必要？

専任のチームを作るのが難しくても、インシデントが起きたときに誰が判断し、誰に連絡するかだけは決めておきましょう。それだけでも、いざというときの対応の速さが大きく変わります。外部の専門の会社と、事前に相談の窓口を作っておく方法もあります。

インシデント対応の仕事に就くには？

ネットワークやOS、ログの読み方などのインフラの基礎が土台になります。そのうえで、SOCでの監視・分析の経験を積み、CSIRTやセキュリティエンジニアへ進む人が多くいます。

セキュリティの仕事については、［セキュリティエンジニアとは］で紹介しています。

インシデント対応に役立つ資格は？

セキュリティの知識を体系的に示すなら、情報処理安全確保支援士が代表的です。試験では、インシデントが起きたときの対応を、事例をもとに考える問題も出されます。

詳しくは、［情報処理安全確保支援士とは］で紹介しています。

まとめ

インシデント対応は、セキュリティの事故が起きたときに、被害を抑え、元に戻し、再発を防ぐための取り組みです。

この記事のポイントは次のとおりです。

• インシデント対応とは
  サイバー攻撃や情報の漏えいなどの事故に備え、起きたときに組織として対応すること。
• 障害対応との違い
  相手がいることが多く、すぐに元に戻すより、被害の拡大を止めて証拠を残すことを優先する。
• 対応の流れ
  準備、検知と分析、封じ込め、根絶、復旧、事後の対応の順に進める。
• CSIRTとSOC
  SOCが攻撃の兆しを見つけ、CSIRTが組織としての対応を取りまとめる。
• インフラエンジニアの役割
  ログとバックアップの準備、通信の遮断、復旧と再発防止など、技術の面から対応を支える。

インシデントは、どれだけ備えても起こりうるものです。まずは、自分が担当するシステムで、ログがどこにどれだけ残っているか、バックアップから戻せるかを確かめるところから始めてみてください。