セキュリティインシデント発生時の対応フロー｜初動から復旧・再発防止まで解説

ランサムウェアや不正アクセス、情報漏えいなどのセキュリティインシデントが発生した際は、被害の拡大を抑えるため、速やかに状況を把握し、適切な初動対応につなげる必要があります。しかし、対応手順や役割分担、報告先などが整理されていなければ、判断や対応が遅れる可能性があります。

また、インシデントの内容によっては、顧客や取引先への連絡、公的機関への報告・届出なども必要です。そのため、技術的な対応だけでなく、社内外への報告・連絡を含めた対応フローを平時から整備しておくことが大切です。

本記事では、セキュリティインシデント発生時の基本的な対応フローを「検知・初動対応」「報告・公表」「復旧・再発防止」の3つのステップに分けて解説します。併せて、対応フローを実際のインシデント発生時に機能させるための運用のポイントも紹介します。

セキュリティインシデントとは

セキュリティインシデントとは、情報システムやネットワーク、情報資産の機密性・完全性・可用性を脅かす事象のことです。サイバー攻撃によって実際に被害が発生したケースだけでなく、情報漏えいや不正アクセスにつながるおそれのある事象も含まれます。

代表的なセキュリティインシデントには、次のようなものがあります。

セキュリティインシデントの原因や侵入経路はさまざまで、自社が直接攻撃を受けるケースに限りません。そのため、インシデント発生時に状況を迅速に把握し、被害の拡大を抑えるには、想定される事象や関係者を踏まえて対応手順をあらかじめ整理しておくことが重要です。

対応フロー整備の重要性

セキュリティインシデントが発生した際、対応手順や役割分担が決まっていないと、状況確認や意思決定に時間がかかり、被害が拡大する可能性があります。

例えば、感染端末の隔離が遅れて影響範囲が広がったり、調査に必要なログが失われたりするケースが考えられます。あらかじめ連絡先や対応手順、判断基準などを整理しておくことが、迅速な初動につながります。

個人情報保護法では、要配慮個人情報を含む個人データの漏えい等や、不正アクセスなどの不正な目的による行為に起因する漏えい等、財産的被害が生じるおそれがある場合など、一定の要件に該当すると、個人情報保護委員会への報告と本人への通知が義務づけられています。

さらに、情報漏えいやサービス停止などが発生すれば、顧客や取引先との関係にも影響を及ぼす可能性があります。技術的な対応だけでなく、社内の報告体制や社外への連絡・公表を含めた対応フローを整備し、インシデント発生時に組織として対応できる体制を整えておくことが重要です。

出典：個人情報保護委員会ウェブサイト『漏えい等報告・本人への通知の義務化について』

セキュリティインシデントが発生した際の基本的な対応フロー

独立行政法人 情報処理推進機構の『中小企業のためのセキュリティインシデント対応の手引き』では、インシデント発生時の対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3つのステップで整理しています。

STEP1｜検知・初動対応

インシデントが疑われる兆候や実際の発生を確認した場合は、情報セキュリティ責任者へ報告します。外部から通報を受けた場合は、通報者の連絡先や通報内容など、調査に必要な情報を確認します。

対応すべきインシデントと判断した場合は、速やかに経営者へ報告し、対応体制を立ち上げます。あらかじめ定めた対応方針に沿って責任者と担当者を決め、役割分担を明確にします。

初動対応では、被害が広がる可能性がある場合に、対象となる情報へのアクセス遮断やネットワークの遮断、情報・機器の隔離、システム・サービスの停止などを行います。ただし、機器の電源を切るなどの操作によって、システム上に残された記録が失われる可能性があるため注意が必要です。

主な対応内容は次のとおりです。

• インシデントの検知と連絡受付

• 経営者への報告と対応体制の立ち上げ

• 責任者・担当者の決定と役割分担

• アクセスやネットワークの遮断、情報・機器の隔離

• 必要に応じたシステム・サービスの停止

STEP2｜報告・公表

インシデントの内容や影響範囲に応じて、顧客や取引先などへの報告・通知を行います。すべての関係者への個別通知が難しい場合や、影響が広く一般に及ぶ場合には、Webサイトやメディアを通じた公表も検討します。公表する際は、被害の拡大を招かないよう、時期や内容、対象などを考慮することが重要です。

また、インシデントの内容によっては、関係機関への報告・届出が必要になる場合があります。例えば、個人情報の漏えい等は個人情報保護委員会、犯罪性がある場合は警察など、事象に応じた窓口への報告・届出を行います。

顧客や取引先などへの報告は、第一報だけで完了するとは限りません。その後の調査や対応の進捗に応じて、対応状況や再発防止策などを継続的に伝えることも必要です。

主な対応内容は次のとおりです。

• 顧客や取引先などへの第一報

• 必要に応じたWebサイトやメディアでの公表

• 関係機関への報告・届出

• 対応状況や再発防止策などの継続的な報告

STEP3｜復旧・再発防止

インシデントの状況や影響範囲を調査し、原因に応じた修復を行います。調査では、発生した事象や経緯を整理したうえで、修正プログラムの適用や設定変更、機器の入れ替え、データの復元など、必要な対応を進めます。自社だけでの対応が難しい場合は、外部の専門事業者や公的機関の相談窓口などを活用することも選択肢となります。

また、訴訟対応などを見据えて事実関係を裏づける必要がある場合は、関連する情報や証拠を保全し、必要に応じてフォレンジック調査を行います。必要な修復が完了し、安全に利用できることを確認したうえで、停止していたシステムやサービスを復旧します。

復旧後は対応結果を経営者へ報告するとともに、インシデントの根本原因を分析し、再発防止策を検討します。技術的な対策だけでなく、社内ルールや運用方法、対応体制、従業員教育なども含めて見直すことが重要です。

主な対応内容は次のとおりです。

• インシデントの状況や原因、影響範囲の調査

• 原因に応じた修復

• 必要に応じた証拠の保全・フォレンジック調査

• システムやサービスの復旧

• 根本原因の分析と再発防止策の実施

• 社内ルールや運用体制、従業員教育などの見直し

出典：独立行政法人 情報処理推進機構『中小企業のためのセキュリティインシデント対応の手引き』

対応フローを機能させるための運用のポイント

セキュリティインシデントの対応フローは、策定して終わりではありません。実際のインシデント発生時に機能するよう、定期的な訓練や手順の見直しを行い、組織内に定着させることが重要です。

定期的な訓練・演習を実施する

実際のインシデントを想定した訓練を定期的に実施し、策定したフローに沿って対応できるかを確認します。インシデントのシナリオを基に対応を検討する机上演習であれば、実際のシステムを停止させずに実施できます。

訓練では、主に次の点を確認します。

• 連絡先や報告先が最新の状態になっているか

• 各担当者が自分の役割や対応手順を把握しているか

• 社内外への報告・連絡手順が明確になっているか

• 判断に迷った場合のエスカレーション先が決まっているか

訓練で見つかった課題は対応フローや手順書に反映し、実際の対応に生かせる状態へ更新します。

特定の担当者に依存しない体制を整える

インシデント対応を一部の担当者の知識や経験に頼っていると、不在時に初動や意思決定が遅れる可能性があります。担当者が変わっても必要な対応を進められるよう、手順や判断基準を組織内で共有しておくことが重要です。

具体的には、判断基準や連絡先を含めた対応手順書を整備するほか、フェーズごとのチェックリストを用意する方法があります。訓練時に役割を入れ替えるなど、複数の担当者が対応手順を経験できる機会を設けることも、属人化を抑える方法の一つです。

必要に応じて外部リソースを活用する

セキュリティインシデントの種類によっては、原因調査やフォレンジックなど高度な専門知識が必要になります。すべてを自社で対応するのではなく、必要な領域を外部の専門機関や事業者と連携できる体制を整えておくことも重要です。

また、インシデントへの備えは、発生後の対応体制だけでなく、平時の監視やシステム運用も含めて考えます。日常的なIT運用に十分なリソースを確保できていない場合は、外部のIT運用サービスを活用する方法も一つです。監視や運用の一部を外部へ委託することで、情報システム部門の負荷を抑えながら、ICTインフラを継続的に管理できる体制を整えやすくなります。

当社が提供する統合型IT運用サービス『Managed ONE』では、モニタリングやシステム運用、サービスデスク、製品保守など、ICTインフラの運用に関わる幅広いサービスを提供しています。自社の体制や課題に応じて必要なサービスを活用できるため、日常業務の負荷軽減やICTインフラの安定稼働を支援します。

セキュリティインシデントへの備えを検討する際は、対応フローを整備するだけでなく、平時の監視や運用を含めて、自社で担う範囲と外部へ委託する範囲を整理しておくことも大切です。

まとめ

この記事では、セキュリティインシデント発生時の対応フローについて、以下の内容を解説しました。

• セキュリティインシデントとは

• 対応フロー整備の重要性

• セキュリティインシデントが発生した際の基本的な対応フロー

• 対応フローを機能させるための運用のポイント

セキュリティインシデントが発生した際は、状況を把握して被害の拡大を抑えるだけでなく、関係者への報告や原因調査、システムの復旧、再発防止まで一連の対応が必要です。迅速に対応できるよう、平時から対応手順や役割分担、報告先を整理しておくことが求められます。

また、策定した対応フローを実際に機能させるには、定期的な訓練や手順の見直しを行い、特定の担当者に依存しない体制を整えることも大切です。自社だけで対応が難しい領域については、専門機関や外部事業者との連携も含めて、必要な体制を検討するとよいでしょう。

インシデント発生時の対応だけでなく、平時の監視やシステム運用も含めて体制を整備することで、ICTインフラを継続的かつ安定的に運用しやすくなります。