セキュリティインシデントが発生した際の対応手順を、事業継続計画（BCP）の観点で整理してご説明します。

はじめに

セキュリティインシデントは、いつどの組織で発生してもおかしくない脅威です。マルウェア感染、不正アクセス、情報漏えいなどのインシデントが発生すると、システムの停止やデータの損失だけでなく、企業の社会的信用の失墜にも繋がりかねません。

このような事態に陥った際に、被害を最小限に食い止め、事業を迅速に復旧させるためには、**事業継続計画（BCP）**の観点から、あらかじめ対応手順を定めておくことが極めて重要です。本記事では、インシデント発生を想定した一般的な対応手順を、事業継続の視点からフェーズごとに解説します。

---

本文

セキュリティインシデントへの対応は、事業継続を目的として、以下の4つのフェーズに分けて段階的に進めるのが一般的です。

1. 検知と初動対応

インシデントの発生を認識し、最初に行動を起こすフェーズです。迅速かつ的確な初動が、その後の被害拡大を防ぐ鍵となります。

• インシデントの検知と報告:
  • システムの監視アラート、従業員からの「ファイルが開けない」「不審なメールが届いた」といった報告など、異常を検知します。
  • 検知した場合は、速やかに事前に定めた報告ルート（例：情報システム部、インシデント対応チーム）へ連絡します。自己判断で対応を進めないことが重要です。
• インシデント対応チームの招集:
  • 報告を受けた責任者は、インシデント対応チーム（CSIRTなど）を招集し、対応を開始します。
• 状況の把握とトリアージ:
  • 何が起きているのか、どのシステムが影響を受けているのかなど、初期的な情報を収集します。
  • 事業への影響度や緊急性を評価し、対応の優先順位を決定します（トリアージ）。
• 経営層への報告:
  • 状況を整理し、事業継続に関わる重要な判断を仰ぐため、速やかに経営層へ第一報を入れます。

**具体例：ランサムウェア感染の場合** 従業員から「PCのファイルが暗号化され、脅迫文が表示された」と報告があれば、すぐにネットワークからそのPCを物理的に切り離し、被害拡大を防ぎます。

2. 封じ込めと調査

インシデントの被害がさらに広がらないように抑え込み、原因を特定するフェーズです。

• 被害拡大の防止（封じ込め）:
  • 感染したサーバーやPCをネットワークから隔離します。
  • 不正アクセスが疑われるアカウントを一時的に停止します。
  • 外部との通信を必要最低限に制限します。
• 証拠の保全:
  • 原因究明や法的な手続きのために、ログやメモリイメージなどの証拠データを保全します。
• 原因と影響範囲の調査:
  • 「いつ、誰が、どこから、何をされたのか」を特定します。
  • 他に影響が及んでいるシステムがないか、情報漏えいの有無などを徹底的に調査します。

3. 復旧

システムや業務を正常な状態に戻すフェーズです。事業継続の観点から、優先順位をつけて復旧作業を進めます。

• システムの復旧:
  • 原因となった脆弱性の修正やセキュリティパッチを適用します。
  • クリーンな状態であることが確認されたバックアップデータを用いて、システムやデータを復元します。
  • 脅威が排除されたことを確認した上で、システムを再稼働させます。
• 業務の再開:
  • BCPで定められた優先順位に基づき、基幹業務から段階的に業務を再開します。
• 監視の強化:
  • 復旧後も、再発や新たな攻撃がないか、システムの監視を強化します。

**事業継続のポイント** 全てのシステムを同時に復旧させるのは困難な場合が多いため、BCPでは「どの業務を」「どのレベルまで」「どのくらいの時間で」復旧させるか（目標復旧時間：RTO）をあらかじめ定めておくことが重要です。

4. 事後対応と改善

インシデント対応が完了した後、再発防止と組織全体のセキュリティ強化に取り組むフェーズです。

• 関係者への報告:
  • 顧客、取引先、株主など、影響を受けた利害関係者に対して、真摯に状況を説明し謝罪します。
  • 個人情報の漏えいがあった場合などは、個人情報保護委員会や警察などの監督官庁へ、法令に基づき報告・届出を行います。
• 報告書の作成:
  • インシデントの発生から終息までの一連の対応を記録し、報告書としてまとめます。原因、被害、対応策、課題などを明確にします。
• 再発防止策の策定と実施:
  • 調査結果と報告書を基に、具体的な再発防止策を策定し、実行します。
• BCP・対応計画の見直し:
  • 今回の対応で得られた教訓や課題を反映し、BCPやインシデント対応マニュアルをより実効性の高いものへと見直します。
  • 定期的な訓練を実施し、対応力の維持・向上を図ります。

---

まとめ

セキュリティインシデントへの対応は、単なる技術的な問題解決に留まりません。いかにして事業への影響を最小限に抑え、迅速に事業を継続・復旧させるかという\*\*BCP（事業継続計画）\*\*の視点が不可欠です。 インシデントは「起こるもの」という前提に立ち、平時から以下の準備を進めておくことが、有事の際の組織の対応力を大きく左右します。

• インシデント対応体制の構築
• 対応手順を明記したマニュアルの整備
• 定期的な教育と実践的な訓練の実施

これらの準備を怠らず、組織全体でセキュリティ意識を高めていくことが、企業の持続的な成長を支える土台となります。

---

引用文献

• 情報処理推進機構（IPA）. 「情報セキュリティインシデント発生時に備えて」. https://www.ipa.go.jp/security/anshin/enterprise/incident.html
• JPCERT コーディネーションセンター（JPCERT/CC）. 「インシデント対応」. https://www.jpcert.or.jp/csirt_material/files/inc_res_1-organizational_CSIRT_j.pdf
• 総務省. 「サイバーセキュリティ対策」. https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/index.html