四つの段階でやることと、順序を誤ったときの失敗を整理。CSIRT を置く目的、証拠の保全で気をつける点、脆弱性や事故の届出先、対外的な連絡の考え方まで解説します。
インシデント対応で最も難しいのは、判断の材料が揃わないうちに動かなければならないことです。何が起きたか分からない、どこまで広がっているか分からない。その状態で、止めるか、続けるか、いつ誰に伝えるかを決めます。だから、その場で考えるのではなく、手順として決めておく必要があります。
検知・分析では、何が起きているのかを掴み、影響範囲を絞ります。封じ込めは、これ以上広がらないように止める段階です。根絶で原因を取り除き、侵入経路を塞ぎます。復旧で業務を戻し、同じことが再び起きていないか監視します。そして、対応が終わった後に、手順のどこが機能しなかったかを振り返って反映します。
この流れの前に「準備」があることを忘れないようにします。連絡先の一覧、判断する人とその代理、隔離の手順、外部への依頼先、記録を保全する方法——事が起きてから用意するのでは間に合いません。準備が対応の質を決めます。
典型的な失敗が、封じ込めを急いで端末を再起動したり、初期化してしまったりすることです。メモリ上にしか無い情報（動いていたプロセス、確立していた通信、復号された鍵）は、電源を落とした瞬間に失われます。何が起きたか分からなくなり、影響範囲を絞れず、他の端末も同じ状態かどうか判断できなくなります。
「揮発性の高いものから順に」という原則は、覚えておく価値があります。メモリ、通信の状態、動いているプロセス、一時ファイル、ディスク——この順に消えやすいので、消えやすいものから採ります。証拠として扱うなら、誰がいつ何を採取し、どこに保管したかを連続して記録すること（保管の連鎖）も求められます。
CSIRT は、インシデントに対応する専門の窓口と体制です。目的は、報告を受け付ける先を一つにして、対応と情報の流れを一箇所に集めることにあります。窓口が定まっていないと、報告が分散して全体像が見えず、対外的な発表も食い違います。
常設の専任組織である必要はありません。多くの組織では、普段は各自の業務を持ちながら、事が起きたときに集まる形を採ります。重要なのは、誰が何を担うかが決まっていること、そして訓練で実際に動かしてみることです。名簿だけ作って動かしたことがない、という状態が最も危うい形です。
脆弱性を発見した場合の届出先は IPA で、届出を受けた後の調整は JPCERT/CC が行います。国内の企業からインシデントの届出を受け、関係先との調整を行う組織も JPCERT/CC です。個人データの漏えいでは個人情報保護委員会への報告、犯罪にあたるものは警察への相談、という具合に、内容によって届け先が変わります。
| 内容 | 主な連絡先 |
|---|---|
| 脆弱性の発見（製品・Web サイト） | IPA（届出）／ JPCERT/CC（調整） |
| インシデントの届出・調整 | JPCERT/CC |
| 個人データの漏えい等 | 個人情報保護委員会、および本人 |
| 犯罪の可能性があるもの | 警察 |
| 取引先への影響 | 契約に基づく通知先 |
対外的な連絡では、分かっていることと分かっていないことを分けて伝えるのが原則です。調査中の段階で断定すると、後から訂正することになり、信頼を損ないます。「現時点で確認できている範囲」「調査中の事項」「次の報告の予定」を示す形にします。
対応の途中で最も重い判断が、業務を止めるかどうかです。止めれば被害の拡大は抑えられますが、業務への影響が出ます。続ければ影響は避けられますが、広がる恐れがあります。この判断を現場に委ねると、責任の重さから決められず、時間だけが過ぎます。だから、誰が決めるのか、どういう状況なら止めるのかを、事前に決めておきます。
身代金を要求される形の被害では、支払うかどうかという判断も生じます。支払っても復旧する保証は無く、次の標的にされる恐れもあります。だからこそ、支払いに頼らずに戻せる状態——切り離して保管され、書き換えられないバックアップと、そこから戻す手順の訓練——を平時に用意しておくことが、最も確実な備えになります。
午前Ⅱでは、四つの段階の順序、CSIRT の役割、各機関の担当が問われます。午後では、対応の記録を示して「この操作の問題点」「次に何をすべきか」を書かせる形が出ます。証拠を失う操作を指摘させる設問が定番なので、再起動・初期化・ログの上書きに注意して読みます。答えを書くときは、止めることと調べることを両立させる観点を入れると、実務的な解答になります。
IPA 公式：過去問題（情報処理安全確保支援士試験） ↗各年度の問題冊子・解答例・採点講評の PDF を、公式サイトで確認できます。