インシデントの初動処理

要点と定義

「8-2 初動処理」は、インシデント発見時に上位者や関係部署へ連絡し、影響の大きさと範囲を見積もって対応の優先順位を考え、被害拡大を防ぐ処置を提案・実行し、記録と報告を行う技能です。IPAシラバス Ver.4.1 PDFの第20頁。

委託先を含めた連絡では、あらかじめ定めた経路や手順に沿って関係者へ伝えることが判断の基準になります。

インシデントの種類や影響度が異なると必要な連絡・報告先も異なり得るため、すべてを同じルートにする運用は不適切と判断できます。

警告画面をきっかけに対応する場合は、画面の指示に従わずブラウザを終了する判断が適切となる事例があります。

適用条件と例

初動で影響を見積もるときは、紛失機器に保存されていた情報の内容と量を確認します。これは、持ち出し方法の特定、損害額の検討、再発防止策の策定とは異なる確認です。

端末の紛失時には、端末を特定した後、その端末で暗号化やアクセス制御などの対策が実施されていたかを確認します。資産番号や貸与記録による端末の特定とは別の確認です。

端末からアクセスできたシステムを特定し、影響を受けるアクセスを見定めることも初動の一部です。端末上の証明書を使い外出先から接続できるシステムが、確認対象になる例があります。

原因が分からず一つのファイルの公開だけが確認された場合、他のファイルや今後登録するファイルにも危険が及ぶ可能性を考え、被害拡大を防ぐ判断につなげます。

調査が必要な端末は、初期化やデータ消去の前に証拠を保全して調べ、利用者には代替端末を手配する対応が適切となる事例があります。

誤りやすい点

迅速さを理由に、委託先の裁量だけに任せたり、事前に定めた手順より担当者の経験を優先したりすると、役割や対応が不明確になります。あらかじめ定めた連絡経路と手順に沿って動きます。