インシデント対応手順

1. 目的

この手順書は、情報セキュリティインシデント（以下「インシデント」という）が発生またはその疑いがある場合に、迅速かつ適切に対応するための流れを定めるものです。インシデントによる被害を最小限に抑え、早期に事業運営を正常化するとともに、再発防止策を徹底することを目的とします。

2. インシデントの定義

インシデントとは、当社の情報資産（システム、データ、ネットワーク、設備、業務プロセスなど）に関し、

• 漏えい、毀損、改ざん、紛失
• 不正アクセス、マルウェア感染、サービス停止
• その他、当社や顧客・取引先に重大な影響を及ぼす可能性のあるセキュリティ上の事象
  を指します。

3. 役割・責任

1. 情報セキュリティ管理責任者
   • インシデントの最終責任者として、状況把握・対応方針の指示・社内外への報告・再発防止策の策定を行います。
2. インシデント対応チーム（CSIRT）
   • 各部署の担当者を中心に組成し、技術・法務・広報・総務など専門的な観点から支援します。
   • 必要に応じて外部ベンダーや専門家（フォレンジック調査会社など）と連携します。
3. 従業員（全員）
   • インシデントやその兆候を発見した場合は、速やかに管理責任者・上長またはインシデント対応窓口に報告する義務があります。

4. インシデント対応フロー

4.1. 検知・認知フェーズ

1. インシデントの兆候や事象を発見した従業員は、ただちに上長または管理責任者に報告します。
2. 管理責任者またはインシデント対応チームは初動判断を行い、インシデントとして扱うかどうかを決定します。

4.2. 初動対応フェーズ

1. 被害拡大防止
   • 不正アクセスが疑われるサーバをネットワークから切り離す。
   • マルウェア感染が疑われる端末の利用を停止する。
   • 物理的な盗難・紛失の場合は速やかに関係箇所へ報告し、捜索・警察への届け出を検討する。
2. 重要データの保護
   • バックアップ取得状況を確認し、必要に応じてバックアップを安全な場所に隔離。
   • 二次被害を防ぐため、関連システムやサービスの利用制限を検討する。

4.3. 調査・分析フェーズ

1. 原因究明
   • ログ調査、アクセス履歴確認、フォレンジック調査などを実施。
   • 外部の専門業者を活用する場合は、管理責任者の承認を経て契約を行う。
2. 被害範囲の特定
   • 漏えい・改ざん・紛失したデータの範囲を特定し、影響範囲を分析。
   • 必要に応じて関係部署・外部ステークホルダー（顧客、取引先、監督官庁）への連絡方法を検討。

4.4. 復旧・再開フェーズ

1. システム復旧
   • 安全が確認されたバックアップからシステムをリストア、または代替システムへの切り替えを実施。
   • 復旧時にはウイルススキャンやパッチ適用などセキュリティ強化策を講じる。
2. 業務再開判断
   • 業務再開前に再度インシデント対応チームまたは管理責任者がリスクを評価し、安全を確認。
   • 顧客や取引先への案内が必要な場合は広報・法務と連携し実施する。

4.5. 報告・レビュー

1. 社内外への報告
   • 影響を受ける顧客や取引先、社内の関係部署に対し、適切な報告を行う。
   • 必要に応じて監督官庁（個人情報保護委員会等）や警察への届け出を検討。
2. 事後検証・再発防止策
   • インシデントの詳細報告書を作成し、原因分析と再発防止策をまとめる。
   • 再発防止策の実施状況を定期的にモニタリングし、効果検証を行う。

5. 通報・連絡体制

• 緊急連絡先として、情報セキュリティ管理責任者・インシデント対応チームのメンバーや外部専門家の連絡先を一覧化しておき、全従業員に共有します。
• 非稼働時間帯の連絡方法（携帯電話やメール、チャットツール等）も整備し、24時間以内の初動対応を目指します。

6. 記録・ログ保全

• インシデント対応中に取得したログや調査結果、やり取りの記録を時系列で保存しておきます。
• 証拠保全が必要な場合は、データコピー（フォレンジックイメージ）を取得し、改ざんが起きないように管理します。

7. 見直し・改訂

• 本手順は、法令・規範の変更や新たな脅威の出現などに合わせて随時見直しを行い、必要に応じて改訂します。
• インシデント対応後には必ず手順やマニュアルの改善点を洗い出し、速やかに反映します。

---

インシデント対応訓練

1. 目的

インシデント対応訓練は、従業員が本手順に基づいて迅速かつ的確に行動できるようにするために実施します。訓練を通じてインシデント対応手順や体制の問題点を洗い出し、改善を図ることが目的です。

2. 訓練の種類

1. テーブルトップ訓練（机上演習）
   • 想定シナリオをもとに関係者が集まり、口頭や討議により対応をシミュレーションします。手軽に実施できる一方、実機を使った対応訓練は含みません。
2. 実動訓練（ライブ演習）
   • 実際のシステムや端末を用いて障害・攻撃を擬似的に発生させ、対応手順を検証します。テーブルトップ訓練に比べて負荷は高いものの、より実践的な対応力を養えます。
3. 標的型メール訓練
   • 不審メールを擬似送付し、従業員がどの程度正しく認識・報告できるかをテストします。

3. 訓練計画

• 年に1回以上の定期訓練を基本とし、必要に応じて突発的な抜き打ち訓練を実施することも検討します。
• 訓練シナリオ（想定インシデント内容）、参加部署、訓練目的を事前に明確化します。

4. 訓練実施の流れ

1. 準備
   • 訓練日程、想定シナリオ、使用する機材、連携手段の確認。
   • 必要に応じて事前説明会を開催。
2. 実施
   • シナリオに沿ってインシデントが発生した想定で、関係者が対応を進めます。
   • 報告連絡のタイミング、現場対応の流れ、復旧プロセスなどを確認。
3. 評価・フィードバック
   • 訓練後にレビューを行い、良かった点・改善すべき点を洗い出します。
   • インシデント対応手順やマニュアル、体制に不足や問題があれば、早急に是正策を検討し反映します。

5. 訓練結果の記録

• 訓練の実施日時・参加者・シナリオ概要・対応結果を「訓練報告書」としてまとめ、管理責任者に報告します。
• 訓練報告書は社内で共有し、全員が学習できるようにします。

6. 改善サイクル

• 訓練結果をもとにインシデント対応手順や関連マニュアル、連絡体制、教育内容を定期的にアップデートします。
• PDCAサイクル（Plan-Do-Check-Act）を回し、継続的なレベルアップを図ります。