最新セキュリティマネジメント（第9回）インシデント発生時の緊急対応体制の整備

　では、インシデント発生後に企業が行うべき対応項目をいくつか挙げてみよう。

・証拠保全、調査の指示
　被害原因の特定および解析を速やかに実施するため、速やかな各種ログの保全や感染端末の確保などの証拠保全が行える体制を構築するとともに、関係機関との連携による調査が行えるよう指示する。

・再発防止
　インシデント収束後の再発防止策の策定、所管省庁などへの報告手順も含めて演習を行う。再発防止策の検討に当たっては、必要に応じて外部の専門家の知見を活用することも検討する。

・連絡網の整備
　緊急連絡網（システム運用、セキュリティベンダーなどの連絡先）、社外を含む情報開示の通知先一覧を整備し、対応に従事するメンバーに共有しておく。

・協力体制の構築
　初動対応時にはどのような業務影響が出るか検討し、緊急時に組織内各部署（総務、企画、営業など）が速やかに協力できるよう、あらかじめ取り決めておく。

・諸手続きの確認
　関係法令を確認し、法的義務が履行されるよう手続きを確認しておく。

・経営者への報告
　インシデントに関する被害状況、他社への影響などについて経営者に報告する。

　これらの対応を円滑に進めるためには、当然ながらインシデント発生前にあらかじめ社内の体制を整備し、テストや演習を繰り返してスキルを高めておくことが求められる。また、インシデントの原因調査に当たって参考にすべき事項として、本ガイドラインでは付録として基本項目、情報漏えい、ウイルス感染、不正アクセス、DoS攻撃の5項目について、組織内で整理しておくべき事項を示している。

対応の進め方

　初動対応が完了し、インシデントによる被害が確定した後には、そのインシデントがなぜ発生したかを探る「原因調査」を実施する。原因には外部の攻撃者によるもののほか、社員の不注意や不正行為、さらにはシステムの脆弱性などさまざまな種類があり、簡単には特定できないケースもある。本ガイドラインでは被害を受けた人に対する周知を徹底するほか、他組織が同様の攻撃による被害を受けないための情報共有を行う目的で、報告書を作成することを求めている。

　その後、対応の締めくくりとなるのが「事後対策」だ。被害に対する対応と、その後の再発防止策を含めた事後対策の実施などについて周知を行うことで、関係者の安心と、他組織の参考となる知見を提供することができる。

　なお、これらの対応に関する演習は情報セキュリティに関わる人だけでなく、経営者以下すべての社員が参加して行う必要がある。独自にCSIRTを立ち上げている企業などでは、「専門性の高いメンバーに任せておけば大丈夫」と考えてしまうケースもあるようだが、インシデントの発生を防ぐには「（インシデントを）起こさない・見逃さない」という意識を全社員が持つことが重要だ。

　また、本ガイドラインの付録C で、インシデント発生時に組織内で整理しておくべき事項をまとめているので参考にしたい。その中ではすべてのインシデントに共通する「基本項目」以外に、「情報漏えい」「ウイルス感染」「不正アクセス」「（D）DoS攻撃」といった主なインシデントについてより詳細な項目を列挙している。例えば「情報漏えい」の項目では、発覚の経緯、原因および経路、情報漏えいの有無、漏えいしたデータの項目および件数、二次被害など、詳細な部分を個別にリストアップして初動対策を考えている。

　企業がパソコンやネットワークを利用する上で、インシデントは避けて通れない問題だ。不測の事態に備え、日ごろから情報収集と訓練を欠かさない体制を構築しよう。