インシデント対応の流れ

インシデントは、情報セキュリティの事故や、そのおそれのある出来事です。対応は、発見、初動、分析と復旧、再発防止の順に進みます。

初動は広げないこと

マルウェアに感染したおそれがあるパソコンは、まずネットワークから切り離します。有線ならケーブルを抜き、無線なら接続を切ります。電源をすぐに切ると、原因を調べる手がかりが消えることがあるので、組織の手順に従います。

報告は決められた窓口へ、すぐに

気づいた人は、決められた窓口（CSIRTや情報システム部門）へすぐに報告します。部門で原因を調べ終わってから、ではありません。報告が遅れるほど、被害は広がります。

証拠を残し、原因を調べる

ログやメールなど、何が起きたかの手がかりを消さずに残します。感染したパソコンのファイルを、自分の判断で消したり、ソフトを入れ直したりしません。

再発防止は原因に効くもの

原因が分かったら、その原因に直接効く対策を選びます。個人情報の漏えいのおそれがあれば、会社として、個人情報保護委員会への報告と本人への通知が要るかを判断します。部門のリーダーは、その判断に必要な事実を集めて伝えます。

責めずに報告させる

開いてしまった人を責めると、次から報告が遅れます。報告してくれたことに感謝し、手順どおりに動けたかを振り返ります。

• 発見・初動・分析と復旧・再発防止の流れ
• 感染のおそれがあるパソコンをネットワークから切り離す
• 決められた窓口へすぐに報告することと、証拠を残すこと
• 原因に効く再発防止策と、漏えいのときの報告