インシデント対応体制

セキュリティインシデント対応体制とは、情報セキュリティに関する事故や兆候が発生したときに、検知、初動、原因の究明、復旧、再発防止までを組織として統制の取れた形で進めるための仕組みである。個人の判断に頼らず、役割、連絡経路、判断基準をあらかじめ定めておくことが、被害の拡大を抑える前提となる。中核を担う組織がCSIRTであり、事故の原因を技術的に明らかにする場面ではデジタルフォレンジックスの手順が用いられる。

対応の流れと役割

インシデント対応は、準備、検知と届出、初動、封じ込め、根絶、復旧、事後の振り返りという段階で進む。組織では、対応全体を指揮する責任者、技術的な調査を担う担当、利用部門との調整を行う窓口を分け、各段階で誰がどの判断を行うかを事前に決めておく必要がある。封じ込めを急ぐあまりに、原因の調査に必要なログや端末の状態を失ってしまうと、再発防止に必要な事実が残らない。そのため、被害の抑制と証拠の保全のどちらを優先するかを手順の中で明確にしておくことが求められる。

CSIRTの位置付けと代表的な組織

CSIRTは、企業や行政機関などに設置され、コンピュータセキュリティインシデントへの対応を担う組織である。 事故に関する情報の収集と分析を行い、関係部門との対応の調整を進めることが主な役割となる。

国内の代表的な組織として、JPCERT/CCは特定の政府機関や企業から独立した組織であり、国内のコンピュータセキュリティインシデントに関する報告の受付、対応の支援、手口の分析、再発防止策の助言を行う。 一方、政府全体のサイバーセキュリティ政策の総合調整を担うのは内閣サイバーセキュリティセンターであり、個々の組織の事故対応を直接担う組織とは役割が異なる。

サイバーレスキュー隊（J-CRAT）は、標的型サイバー攻撃を受けた組織などから提供された情報を分析し、攻撃の実態や被害を明らかにする。 深刻な攻撃の早期把握と対策の着手を支援する立場にあり、各組織が自ら行う対応を置き換えるものではない。