はじめに
今回から、情報セキュリティに関するシリーズを開始しよう。情報セキュリティは科目A・科目Bの両方で重要分野である。特に科目Bでは、インシデント発生時の対応手順や具体的な攻撃手法を題材にした事例問題が多く出題される傾向にある。
シリーズの第一回となる本稿では、セキュリティインシデントが発生した際の「初動対応」について解説する。
セキュリティインシデントとは
セキュリティインシデントとは、情報システムやネットワークにおいて発生する、情報の機密性・完全性・可用性を脅かす事象を指す。具体的には、不正アクセス、マルウェア感染、情報漏えい、サービス妨害攻撃（DoS/DDoS攻撃）などが該当する。
インシデントは完全に防ぎきることが難しいため、実際に発生した場合にどのように対応するかという「インシデントレスポンス」の考え方が重要になる。
インシデント対応の基本的な流れ
インシデント対応は、一般的に以下のような流れで進められる。
- 検知・報告：ログ監視やユーザーからの申告により、異常を検知する。
- 初動対応（トリアージ）：被害状況を把握し、影響範囲を暫定的に評価する。
- 封じ込め：被害の拡大を防ぐため、該当機器のネットワークからの切り離しなどを行う。
- 根絶：原因となったマルウェアや脆弱性を除去する。
- 復旧：システムを正常な状態に戻す。
- 事後対応（再発防止）：原因分析を行い、再発防止策を検討・実施する。
このうち、本稿で扱う「初動対応」は主に1〜3の段階、特に検知直後の初期的な対応を指す。
初動対応で重視されるポイント
被害拡大の防止を最優先する
インシデント発生時にまず重視すべきは、原因の完全な特定よりも「被害をこれ以上広げないこと」である。例えば、あるPCがマルウェアに感染したと判明した場合、原因調査に時間をかける前に、まずそのPCをネットワークから切り離す（LANケーブルを抜く、Wi-Fiを無効化するなど）対応が優先される。
証拠保全を意識する
初動対応においては、後の原因調査（フォレンジック調査）に備え、証拠となる情報を保全することも重要である。安易に機器の電源を切る、ログを削除するといった行為は、原因究明に必要な証拠を失わせる可能性があるため注意が必要である。
報告・連絡体制の確立
インシデントを発見した従業員が、誰にどのように報告すべきかが明確になっていることも重要である。多くの組織では、CSIRT（Computer Security Incident Response Team）と呼ばれる、インシデント対応を専門に担う組織・チームが設置されている。
CSIRTの役割
CSIRTは、インシデント発生時の対応窓口として、以下のような役割を担う。
- インシデント情報の受付・記録
- 影響範囲の分析
- 関係部署・外部機関との連携
- 再発防止策の検討
社内に設置されるCSIRTのほか、日本国内では JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）のように、組織横断的にインシデント対応を支援する外部機関も存在する。
科目Bで問われるポイント
情報セキュリティのインシデント対応に関する問題では、以下のような視点が問われやすい。
- ある状況が発生した際に、「まず最初に取るべき行動」として最も適切なものを選ばせる問題（被害拡大防止を優先する選択肢が正解になりやすい）
- 証拠保全の観点から、望ましくない対応（安易な電源断やログ削除など）を選ばせない問題
- CSIRTなど、インシデント対応に関わる組織・用語の役割を問う問題
単なる用語暗記だけでなく、「なぜその対応が正しいのか」という理由まで理解しておくことが、事例形式の問題を解く上で有効である。
まとめ
- セキュリティインシデントとは、機密性・完全性・可用性を脅かす事象である。
- インシデント対応は、検知・初動対応・封じ込め・根絶・復旧・事後対応という流れで進む。
- 初動対応では「被害拡大の防止」と「証拠保全」が特に重視される。
- CSIRTはインシデント対応を専門に担う組織であり、社内外の連携窓口としての役割を持つ。
コメント