インシデント対応フロー いんしでんたいおうふろー
簡単に言うとこんな感じ！
システムの障害やサイバー攻撃が起きたとき、「誰が・何を・どの順番でやるか」をあらかじめ決めておいた手順書のことだよ。火事が起きたときの避難訓練みたいなもので、パニックにならずに素早く被害を最小限にするための道案内なんだ！
インシデント対応フローとは
インシデント（incident） とは、情報セキュリティや業務システムにおいて「想定外の出来事・事故」のことを指します。具体的には、サーバーへの不正アクセス、マルウェア感染、情報漏えい、システムの大規模障害などが該当します。「インシデント対応フロー」とは、こうした事態が発生したときに組織として迷わず動けるよう、検知から復旧・再発防止までの手順を体系化したプロセスのことです。
フローが整備されていない組織では、いざ事故が起きると「誰に報告すれば？」「何を先にやれば？」と混乱し、対応が後手に回って被害が拡大しがちです。一方、フローを事前に定めておけば、担当者が変わっても一定の品質で素早く対処できます。経営判断・広報対応・法的対応が必要なケースでも、エスカレーション（上位者への報告・判断要請）のタイミングが明確になるため、組織全体での連携がスムーズになります。
近年、サイバー攻撃の巧妙化や個人情報保護法・セキュリティ関連法規の強化を受け、インシデント対応フローの整備は大企業だけでなく中小企業にとっても必須の経営課題となっています。「何か起きてから考える」ではなく、平時から準備しておくことがビジネスの継続性を守る鍵です。
インシデント対応フローの6ステップ
インシデント対応は一般に以下の6フェーズで構成されます。米国の政府機関向けセキュリティガイドラインである NIST SP 800-61 でも同様のフレームワークが示されており、国際的なスタンダードとなっています。
| フェーズ | 名称 | 主な活動 |
|---|---|---|
| ① | 準備（Preparation） | 対応チームの組成、連絡体制の整備、ツール・手順書の用意 |
| ② | 検知・分析（Detection & Analysis） | 異常の発見、影響範囲・深刻度の把握、初期トリアージ |
| ③ | 封じ込め（Containment） | 感染拡大・情報漏えいの防止、問題システムの隔離 |
| ④ | 根絶（Eradication） | マルウェア除去、脆弱性修正、攻撃の原因排除 |
| ⑤ | 復旧（Recovery） | サービス再開、正常稼働の確認、監視強化 |
| ⑥ | 事後対応（Post-Incident Activity） | 原因分析、再発防止策の策定、報告書作成 |
覚え方：「準検封根復事（じゅん・けん・ふう・こん・ふく・じ）」
「準備して、検知したら、封じて、根絶し、復旧して、事後対応」——この6ステップの頭文字を並べると「準検封根復事」。ちょっと強引ですが、フェーズを順番に思い出すときの手がかりにどうぞ！
深刻度（トリアージ）レベルの例
インシデントの深刻度を分類し、対応の優先度を決める「トリアージ」も重要です。
| レベル | 深刻度 | 例 | 対応目標時間 |
|---|---|---|---|
| P1 | 緊急（Critical） | 顧客情報大規模漏えい・サービス全停止 | 即時〜1時間以内 |
| P2 | 高（High） | ランサムウェア感染・内部不正 | 4時間以内 |
| P3 | 中（Medium） | 一部サービス障害・マルウェア検知 | 24時間以内 |
| P4 | 低（Low） | 軽微なポリシー違反・誤送信 | 72時間以内 |
歴史と背景
- 1988年 — モリスワームが全米のインターネットに拡散。組織的なインシデント対応の必要性が世界で初めて広く認識される
- 1988年 — 世界初のCSIRT（コンピュータセキュリティインシデント対応チーム）である CERT/CC がカーネギーメロン大学に設立される
- 2000年代初頭 — 企業の情報漏えい事故が相次ぎ、インシデント対応フローの整備がリスク管理の重要テーマに浮上
- 2002年 — NIST（米国国立標準技術研究所）が SP 800-61 を発行。インシデント対応の体系的ガイドラインとして広く普及
- 2012年 — SP 800-61 Rev.2 に改訂。フェーズ構成が現在の形に整理される
- 2015年〜 — ランサムウェアや標的型攻撃の激化により、日本企業でも CSIRT の整備が急速に進む
- 2022年 — 個人情報保護法改正により、個人データ漏えい時の報告義務・本人通知が法定化。インシデント対応フロー整備の法的要請が強まる
対応体制と関連する仕組み
インシデント対応フローを機能させるには、技術・人・プロセスの三つが揃う必要があります。
CSIRT（シーサート）とは
CSIRT（Computer Security Incident Response Team） は、インシデント対応を専門に担う社内チームです。セキュリティ担当者だけでなく、法務・広報・経営層も連携できる体制が理想です。専任チームを置けない中小企業は、外部のMSSP（マネージドセキュリティサービスプロバイダー）に対応を委託するケースも増えています。
フローを支えるツール
| ツール種別 | 役割 | 代表例 |
|---|---|---|
| SIEM | ログを集約し異常を検知 | Splunk, Microsoft Sentinel |
| EDR | エンドポイントの脅威を検知・遮断 | CrowdStrike, SentinelOne |
| SOAR | 対応手順の自動化・オーケストレーション | Palo Alto XSOAR |
| チケット管理 | 対応状況のトラッキング | Jira, ServiceNow |
関連する規格・RFC
| 規格・番号 | 内容 |
|---|---|
| NIST SP 800-61 Rev.2 | コンピュータセキュリティインシデント対応ガイド。6フェーズのフレームワークを定義 |
| ISO/IEC 27035 | 情報セキュリティインシデント管理の国際規格 |
| RFC 2350 | CSIRTの役割・責務・サービス内容の記述形式を定めた標準 |
関連用語
- CSIRT — コンピュータセキュリティインシデント対応チーム。フロー実行の主体となる組織
- SIEM — ログを集約して脅威を検知するセキュリティ監視システム
- ランサムウェア — ファイルを暗号化して身代金を要求するマルウェア。フロー発動の典型的なきっかけ
- 脆弱性管理 — 根絶フェーズで対応すべきシステムの弱点を継続的に管理するプロセス
- BCP（事業継続計画） — 大規模インシデント時も業務を継続するための計画。インシデント対応フローと連携する
- エスカレーション — 問題を上位者・専門家に引き上げる手続き。フロー内での判断分岐に必須
- 情報漏えい — 個人情報・機密情報が外部に流出するインシデントの代表例
- ゼロデイ攻撃 — 未修正の脆弱性を突く攻撃。検知・封じ込めの難易度が特に高い