事故対応と監視の役割を分ける

1監視で気付いた異常を、対応へつなげる

情報セキュリティの事故に備え、組織は「誰が気付き、誰へ連絡し、誰が対応するか」を決めます。役割の異なる体制を、つなげて働かせることが大切です。

• 情報セキュリティ委員会：組織の方針や対策を調整する。
• SOC（通信や機器の記録を監視・分析する拠点）（セキュリティ監視拠点）：通信や機器のログを監視し、異常を検知・分析する。ログは動作や出来事の記録です。
• CSIRT（コンピュータセキュリティ事故に対応するチーム）（事故対応チーム）：事故の影響を調べ、被害拡大の防止や復旧を支援する。

例えばSOCが不審な大量通信を見つけたら、定めた経路でCSIRTへつなぎ、影響の調査や対応判断へ進めます。通常の更新作業や、全社の事業継続計画、入退室監査だけを指す名前ではありません。

SOCはSecurity Operations Center、CSIRTはComputer Security Incident Response Teamの略です。略語を覚えるときも、監視で見つける役割と、事故に対応する役割を一緒に押さえましょう。

2事象を報告し、事故か評価する

不審な事象を見つけた人が報告できる経路を、事前に定めます。全ての事象を無条件にインシデントと決め付けるのではなく、担当者が影響と内容を評価します。

感染の疑いは手順に従って隔離・報告し、勝手な修復で証拠を失わないようにします。対応を記録し、復旧後は原因と教訓を教育・対策へ戻します。報告経路や判断手順は文書化し、訓練しておきます。

3証拠調査と事前の試験を分ける

デジタルフォレンジックスは、デジタル機器や記録から証拠を収集・保全し、分析する技術・手続です。削除メールの復元や時刻をそろえたログの調査などで、何が起きたかを確かめます。原本を不用意に変更しない扱いが重要です。

ペネトレーションテストは、許可された対象へ実際の攻撃を模した試験を行い、防御の有効性を確認することです。事故後の証拠調査と、事前に侵入可能性を試す評価を区別します。

4隔離と報告を行い、調査できる状態を残す

業務端末が不審な宛先へ通信している疑いを見つけた場面を考えます。利用者は組織の初動手順に従い、指定された方法でネットワークから隔離し、発見時刻や目にした状況を担当窓口へ報告します。報告しただけで接続したまま使い続けると、情報の持出しや他の機器への影響が続くおそれがあります。

隔離後も、原因を調べる前に独断でログを消したり、ソフトウェアを再インストールしたりしません。ログはいつ何が起きたかを調べる記録で、変更すると証拠や調査の手掛かりを失うことがあります。行った操作と時刻も記録し、電源の扱い、修復や復旧の開始は担当者の指示に従います。

拡大を抑えることと、調査に必要な情報を残すことを一緒に考えます。